ArgoCD拉取GitLab自定义路径镜像403认证失败解决方案咨询

以下是除拆分子项目仓库外的可行解决方案：

1. 确保镜像拉取令牌拥有正确权限 #

• 生成GitLab项目级或组级的访问令牌，必须勾选read_registry权限；如果是单仓库下的子路径镜像，令牌需对应父仓库的权限，确保能访问该仓库下所有Registry路径。
• 优先使用项目访问令牌而非个人账号密码，权限更精准且生命周期可控。

2. 配置正确格式的Docker认证Secret #

Docker认证针对Registry域名而非子路径，dockerconfigjson需指向GitLab Registry根域名：

1. 创建本地config.json文件，内容示例：

{
  "auths": {
    "registry.gitlab.com": {
      "auth": "<base64编码的用户名:令牌>"
    }
  }
}

注：可通过echo -n "username:token" | base64生成编码内容

2. 在ArgoCD命名空间或应用所在命名空间创建Secret：

kubectl create secret generic gitlab-registry-auth \
  --from-file=.dockerconfigjson=./config.json \
  --type=kubernetes.io/dockerconfigjson \
  -n <target-namespace>

3. 在ArgoCD应用中正确引用镜像拉取Secret #

• 方式一：在Kubernetes资源（Deployment/StatefulSet）的Pod模板中添加imagePullSecrets：

spec:
  template:
    spec:
      imagePullSecrets:
        - name: gitlab-registry-auth

• 方式二：在ArgoCD Application配置中，通过syncPolicy或values传递镜像拉取Secret名称，确保应用部署时自动关联。

4. 直接配置ArgoCD的镜像仓库认证 #

通过ArgoCD CLI或UI添加GitLab Registry作为受信任的镜像仓库，让ArgoCD全局使用该认证拉取镜像：

argocd repo add registry.gitlab.com \
  --type docker \
  --username <gitlab-username> \
  --password <gitlab-access-token>

添加完成后，ArgoCD拉取该Registry下任何路径的镜像都会自动使用此认证。

5. 检查GitLab Registry的可见性设置 #

• 进入GitLab项目的Settings > Repository > Container Registry，确认Registry的可见性为内部或公开（私有仓库必须使用令牌认证）。
• 确保项目未配置Registry访问限制（如IP白名单），避免ArgoCD所在集群IP被拦截。

内容的提问来源于stack exchange，提问作者sfl0r3nz05