OpenShift中通过imagePullSecrets拉取GAR镜像失败求助

你的核心问题是创建的dockerconfigjson格式错误——直接将服务账号JSON的Base64作为Secret值不符合Kubernetes/dockerconfigjson的规范，正确的格式需要包含符合Docker登录结构的auth信息。

正确的解决步骤： #

1. 生成符合要求的docker config文件 #

在本地执行你已验证成功的登录命令后，Docker会自动生成正确的配置文件~/.docker/config.json，内容类似：

{
  "auths": {
    "<你的GAR registry地址>": {
      "auth": "<自动生成的base64认证字符串>",
      "username": "_json_key_base64",
      "password": "<你的服务账号JSON的base64值>"
    }
  }
}

2. 将config.json转为Base64 #

执行以下命令，将完整的config.json文件编码为Base64（注意不要换行）：

cat ~/.docker/config.json | base64 -w 0

3. 更新Secret配置 #

替换原有Secret的.dockerconfigjson字段值为上述生成的Base64字符串，修改后的Secret YAML示例：

apiVersion: v1 
kind: Secret 
metadata:
  name: gcloud-secret
data:
  .dockerconfigjson: <上述步骤生成的完整config.json的base64值>
type: kubernetes.io/dockerconfigjson

4. 重新创建Secret并验证 #

删除旧Secret，重新创建：

oc delete secret gcloud-secret
oc create -f secret.yaml

验证Secret内容是否正确：

oc get secret gcloud-secret -o jsonpath='{.data..dockerconfigjson}' | base64 -d

输出应与本地~/.docker/config.json内容一致。

额外检查项 #

• 确认服务账号已被授予Artifact Registry Reader角色，且作用范围覆盖目标镜像仓库所在的项目或仓库本身。
• 确认Deployment中配置的镜像URL完全正确（包含GAR registry地址、项目ID、仓库名、镜像标签）。
• 确保OpenShift节点能访问GAR的网络（无防火墙/安全组限制）。

内容的提问来源于stack exchange，提问作者Sahil Butani