授予GitLab CI_JOB_TOKEN跨项目容器仓库权限后认证失败求助

先排查核心配置遗漏点 #

• 确认目标项目的CI_JOB_TOKEN访问权限：在目标项目的「设置 → CI/CD → 令牌访问」中，务必将发起流水线的源项目添加到「允许的项目」列表，并授予对应权限（推送用write_registry，拉取用read_registry）。注意这里选的是运行流水线的项目，不是容器仓库所在的目标项目。
• 检查认证命令的正确性：流水线中必须用固定用户名gitlab-ci-token，搭配环境变量$CI_JOB_TOKEN作为密码登录。正确的docker登录命令示例：

  docker login -u gitlab-ci-token -p $CI_JOB_TOKEN gitlab-url
  

  用其他用户名会直接触发认证失败。
• 验证镜像路径准确性：推送/拉取的镜像完整路径必须是gitlab-url/<目标项目路径>/<镜像名>:<标签>，比如gitlab-url/my-group/target-project/my-image:latest。路径错误会导致访问的仓库不存在或权限不匹配。
• 检查GitLab版本：CI_JOB_TOKEN跨项目访问容器仓库的功能在GitLab 14.7及以上版本才完全支持，低于该版本的话必须升级才能使用。

无需额外令牌的正确配置步骤 #

如果以上排查无问题，按以下步骤配置即可解决：

1. 在目标仓库项目中配置权限：
   • 进入目标项目的「设置 → CI/CD」，展开「令牌访问」
   • 搜索并选择发起流水线的源项目，为其分配write_registry或read_registry权限后保存
2. 在源项目流水线中编写正确脚本：

   push-image:
     script:
       - docker login -u gitlab-ci-token -p $CI_JOB_TOKEN gitlab-url
       - docker build -t gitlab-url/my-group/target-project/my-image:latest .
       - docker push gitlab-url/my-group/target-project/my-image:latest
   

3. 确认runner网络权限：确保运行流水线的runner能正常访问GitLab容器仓库地址，没有被防火墙或代理拦截请求。

常见避坑提示 #

• 不要混淆项目角色与CI_JOB_TOKEN权限：目标项目中给源项目的是专门的CI_JOB_TOKEN访问权限，和源项目成员的项目角色权限是相互独立的，不能用后者替代前者。
• 若使用组级容器仓库，需在组的设置 → CI/CD → 令牌访问中配置允许的项目，而非单个项目。

内容的提问来源于stack exchange，提问作者Erik