拉取GCR.IO公开镜像遭权限拒绝，请求解决方案

1. 确认仓库公开权限配置 #

• 登录Artifact Registry控制台，定位到projects/visionai-public-images/locations/us/repositories/gcr.io仓库
• 进入权限标签页，添加allUsers主体，授予Artifact Registry Reader角色（包含artifactregistry.repositories.downloadArtifacts权限），或直接给allUsers分配artifactregistry.repositories.downloadArtifacts权限
• 确认你的所有者账号在IAM中拥有对应权限，且权限已生效（IAM权限可能有5-10分钟延迟）

2. 验证gcloud CLI的身份与项目上下文 #

• 检查当前默认项目：

  gcloud config get-value project
  

• 若输出不是visionai-public-images，切换项目：

  gcloud config set project visionai-public-images
  

• 确认活跃账号：

  gcloud auth list
  

  若显示的不是你的所有者账号，重新登录：

  gcloud auth login
  

3. 重置Docker与GCR的认证关联 #

• 登出Docker的GCR认证：

  docker logout gcr.io
  

• 重新配置认证：

  gcloud auth configure-docker gcr.io
  

• 检查~/.docker/config.json文件，确保gcr.io的credHelpers配置为gcloud，无冲突的认证条目

4. 绕过Docker直接用gcloud拉取镜像 #

• 直接通过gcloud拉取到Docker：

  gcloud docker -- pull gcr.io/visionai-public-images/vaictl:latest
  

• 或先下载镜像文件再导入Docker：

  gcloud artifacts docker images pull gcr.io/visionai-public-images/vaictl:latest --destination ./vaictl.tar
  docker load -i ./vaictl.tar
  

5. 排查仓库路径与域名匹配问题 #

• 错误提示仓库位于us区域，尝试使用区域域名拉取：

  docker pull us.gcr.io/visionai-public-images/vaictl:latest
  

• 登录Artifact Registry控制台，确认镜像的完整路径是否和你使用的一致

内容的提问来源于stack exchange，提问作者edwin