无法用密钥配置DOCKER_AUTH_CONFIG，如何通过WIF拉取GCP私有镜像？

你的配置失败的核心原因是：GitLab CI中image字段指定的镜像会在Job的所有脚本（包括before_script）执行之前就开始拉取，这时候从docker-loginJob传递的DOCKER_AUTH_CONFIG还未加载生效，导致拉取私有镜像时没有认证信息，最终失败。

解决方案1：手动拉取并运行私有镜像（最直接） #

绕过image字段的自动拉取机制，用基础镜像提供docker环境，手动完成认证、拉取、运行的流程：

docker-login:
  extends: .gcp-login
  script:
    - gcloud auth print-access-token | docker login -u oauth2accesstoken --password-stdin europe-west4-docker.pkg.dev
  artifacts:
    paths:
      - /root/.docker/config.json  # 明确指定路径，避免用户目录差异问题

actual-job:
  needs:
    - job: docker-login
      artifacts: true
  # 使用带docker客户端的基础镜像，配合docker-in-docker服务
  image: docker:latest
  services:
    - docker:dind
  before_script:
    # 复制认证配置到当前环境的docker目录
    - cp /root/.docker/config.json /root/.docker/config.json
    # 手动拉取私有镜像
    - docker pull europe-west4-docker.pkg.dev/.../my_private_image:1.0
  script:
    # 运行私有镜像并执行业务命令
    - docker run europe-west4-docker.pkg.dev/.../my_private_image:1.0 echo "hello"

解决方案2：通过GitLab API动态设置DOCKER_AUTH_CONFIG #

如果有权限操作GitLab项目变量，可以在前置Job中临时设置项目级的DOCKER_AUTH_CONFIG，让actual-job拉取镜像时自动使用：

docker-login:
  extends: .gcp-login
  script:
    - gcloud auth print-access-token | docker login -u oauth2accesstoken --password-stdin europe-west4-docker.pkg.dev
    # 将docker配置转为base64，避免换行导致的变量解析问题
    - AUTH_CONFIG=$(cat /root/.docker/config.json | base64 -w 0)
    # 调用GitLab API设置项目变量（需提前配置GITLAB_API_TOKEN变量）
    - curl --request POST --header "PRIVATE-TOKEN: $GITLAB_API_TOKEN" "https://your-gitlab-instance/api/v4/projects/$CI_PROJECT_ID/variables" --form "key=DOCKER_AUTH_CONFIG" --form "value=$AUTH_CONFIG" --form "protected=false" --form "masked=true"
  after_script:
    # 可选：Job结束后删除临时变量，避免残留
    - curl --request DELETE --header "PRIVATE-TOKEN: $GITLAB_API_TOKEN" "https://your-gitlab-instance/api/v4/projects/$CI_PROJECT_ID/variables/DOCKER_AUTH_CONFIG"

actual-job:
  needs:
    - docker-login
  image: europe-west4-docker.pkg.dev/.../my_private_image:1.0
  script:
    - echo "hello"

解决方案3：在Job内直接完成WIF认证与镜像拉取 #

如果不需要前置Job，可以在actual-job中直接用WIF登录GCP，再完成docker认证和镜像拉取：

actual-job:
  # 使用包含gcloud SDK的基础镜像，用于WIF登录
  image: google/cloud-sdk:alpine
  services:
    - docker:dind
  before_script:
    # 执行WIF登录（复用.gcp-login中的配置逻辑）
    - gcloud auth login --cred-file=$WORKLOAD_IDENTITY_FILE
    - gcloud auth print-access-token | docker login -u oauth2accesstoken --password-stdin europe-west4-docker.pkg.dev
    # 手动拉取私有镜像
    - docker pull europe-west4-docker.pkg.dev/.../my_private_image:1.0
  script:
    - docker run europe-west4-docker.pkg.dev/.../my_private_image:1.0 echo "hello"

注意事项 #

• 确保Runner的用户权限足够操作docker，避免权限不足的报错。
• 使用docker-in-docker时，需在GitLab Runner配置中启用相应的权限（如privileged: true）。
• 方案2中的GITLAB_API_TOKEN需要具备维护项目变量的权限，建议设置为masked变量以保护敏感信息。

内容的提问来源于stack exchange，提问作者Krisztian