使用Terraform从gcr.io拉取Docker镜像时遭遇401未授权错误

问题分析 #

你遇到的401错误源于docker provider使用的access_token权限不足，或授权逻辑不匹配GCR的认证要求。虽然Google Provider能正常操作，但它的token可能缺少GCR所需的存储读取权限，或是个人token在GitHub Actions这类CI环境中存在会话限制。

解决方案 #

1. 为个人token补充权限范围

若坚持使用个人账号的access_token，需确保token包含GCR所需的权限范围。修改google_client_config数据源，添加存储读取相关权限：

data "google_client_config" "current-user" {
  scopes = [
    "https://www.googleapis.com/auth/cloud-platform",
    "https://www.googleapis.com/auth/devstorage.read_only"
  ]
}

2. 使用服务账号token授权（CI环境推荐）

在GitHub Actions等CI环境中，服务账号的授权方式更稳定可靠：

• 在GCP创建服务账号，为其分配Storage Object Viewer角色（仅需读取镜像元数据的最小权限）
• 通过Terraform生成服务账号专用访问token：

data "google_service_account_access_token" "gcr_token" {
  target_service_account = "your-service-account@your-project-id.iam.gserviceaccount.com"
  scopes                 = ["https://www.googleapis.com/auth/devstorage.read_only"]
  lifetime               = "3600s"
}

provider "docker" {
  registry_auth {
    address  = "gcr.io"
    username = "oauth2accesstoken"
    password = data.google_service_account_access_token.gcr_token.access_token
  }
}

3. 跳过docker provider，直接使用Google原生数据源

你可以无需依赖docker provider，直接用google_container_registry_image数据源获取镜像SHA值，彻底规避授权配置问题：

data "google_container_registry_image" "backend_services_image_data" {
  name = "gcr.io/${var.project_id}/${var.repo-name}:${var.repo-tag}"
}

# 输出镜像SHA256摘要
output "image_sha256_digest" {
  value = data.google_container_registry_image.backend_services_image_data.digest
}

4. 验证镜像名称正确性

GCR会对不存在的镜像返回401错误（隐藏资源存在性），请确认gcr.io/${var.project_id}/${var.repo-name}:${var.repo-tag}拼接后的镜像名称完全正确，包括项目ID、仓库名和标签的拼写。

本地验证方法 #

在本地环境中，可通过以下命令验证token有效性：

curl -u oauth2accesstoken:$(gcloud auth print-access-token) https://gcr.io/v2/[你的项目ID]/[你的仓库名]/manifests/[标签]

若返回镜像元数据，说明token有效，问题可能出在Terraform的token获取逻辑上。

内容的提问来源于stack exchange，提问作者SubriK