关于GCR镜像推拉的容器注册表角色、权限及存在性的技术咨询

1. GCR推送/拉取镜像的合适角色 #

• 拉取镜像：使用roles/storage.objectViewer，该角色允许读取GCR关联的Cloud Storage存储桶内的镜像对象，满足拉取需求。
• 推送镜像：需要roles/storage.objectCreator（用于上传镜像文件），同时建议搭配roles/storage.objectViewer（用于推送前校验镜像信息）。如果需要全量管理权限，也可以用roles/storage.admin，但遵循最小权限原则优先选择细分角色。

2. 对比roles/storage.admin与roles/artifactregistry.admin的GCR访问权限 #

• roles/storage.admin拥有GCR依赖的Cloud Storage存储桶的完全管理权限，因此可以正常访问GCR。
• roles/artifactregistry.admin仅针对Artifact Registry（GCR的继任服务）生效，对GCR没有访问权限。

3. roles/containerregistry.admin角色的有效性与权限 #

该角色真实存在，是Google为GCR提供的专属管理角色，拥有GCR的完整操作权限（包括推送、拉取、删除镜像等），可以直接访问容器注册表。

4. Terraform为服务账号分配GCR角色示例 #

使用google_project_iam_member资源即可完成角色分配，示例代码如下：

# 分配拉取镜像权限
resource "google_project_iam_member" "gcr_pull" {
  project = "your-project-id"
  role    = "roles/storage.objectViewer"
  member  = "serviceAccount:your-sa@your-project-id.iam.gserviceaccount.com"
}

# 分配推送镜像权限
resource "google_project_iam_member" "gcr_push" {
  project = "your-project-id"
  role    = "roles/storage.objectCreator"
  member  = "serviceAccount:your-sa@your-project-id.iam.gserviceaccount.com"
}

# 分配GCR管理员权限
resource "google_project_iam_member" "gcr_admin" {
  project = "your-project-id"
  role    = "roles/containerregistry.admin"
  member  = "serviceAccount:your-sa@your-project-id.iam.gserviceaccount.com"
}

替换代码中的your-project-id和your-sa为实际的项目ID与服务账号前缀即可。

内容的提问来源于stack exchange，提问作者Saikiran Jetti