能否借助GitHub Actions私有构建推送Docker镜像至Artifact Registry，无需Docker Hub？代码可行吗？

1. 是否可以无需Docker Hub，通过GitHub Actions私有构建并推送镜像至Artifact Registry？ #

完全可以。Google Artifact Registry本身就是支持私有存储的Docker镜像仓库，整个构建推送流程完全不需要依赖Docker Hub，通过GitHub Actions结合Google Cloud官方提供的Action就能完成私有镜像的构建与推送。

2. 提供的Workflow代码验证 #

你的Workflow代码可以实现需求，但有几个细节可以优化，同时需要确认前置条件：

代码中的合理部分 #

• 采用了Google官方的setup-gcloud和auth Action，能正确完成Cloud SDK安装与服务账号认证
• 通过gcloud auth configure-docker配置了Docker凭证助手，确保推送镜像时的权限验证流程正常
• 镜像标签格式符合Artifact Registry的规范：[区域]-docker.pkg.dev/[项目ID]/[仓库名]:标签

注意事项与优化建议 #

• 服务账号权限：必须确保你使用的服务账号拥有Artifact Registry Writer角色，否则会出现推送权限不足的错误
• 凭证引用优化：credentials_json: '${{ secrets.Key }}'中的单引号可以去掉，GitHub Secrets的引用不需要额外包裹引号，修改为：

  credentials_json: ${{ secrets.Key }}
  

• 镜像标签多样化：除了latest标签，建议添加Git提交哈希作为标签（比如${{ github.sha }}），方便追溯镜像版本，避免latest标签覆盖问题
• 避免硬编码区域：如果需要适配多环境，可以把区域也放到GitHub Secrets中，比如${{ secrets.REGION }}-docker.pkg.dev

优化后的完整Workflow示例 #

build-and-push:
    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v4

    - name: Set up Cloud SDK
      uses: google-github-actions/setup-gcloud@v2

    - name: Authenticate service account
      uses: google-github-actions/auth@v2
      with:
        credentials_json: ${{ secrets.GCP_SERVICE_ACCOUNT_KEY }}

    - name: Configure Docker to use gcloud as credential helper
      run: gcloud auth configure-docker us-central1-docker.pkg.dev --quiet

    - name: Build Docker image with multiple tags
      run: |
        IMAGE_REPO=us-central1-docker.pkg.dev/${{ secrets.PROJECT_ID }}/simple-website
        docker build . -t $IMAGE_REPO:latest -t $IMAGE_REPO:${{ github.sha }}

    - name: Push Docker images to Artifact Registry
      run: |
        IMAGE_REPO=us-central1-docker.pkg.dev/${{ secrets.PROJECT_ID }}/simple-website
        docker push $IMAGE_REPO:latest
        docker push $IMAGE_REPO:${{ github.sha }}

内容的提问来源于stack exchange，提问作者momwhocode