Azure Pipeline使用GCP服务账号推送镜像至Artifact Registry权限被拒

问题情况 #

• 操作场景：通过Azure Pipeline使用GCP服务账号向Artifact Registry推送Docker镜像
• 已配置的服务账号权限：Artifact Registry Administrator、Artifact Registry Writer、Editor
• 触发的错误：

denied: Permission "artifactregistry.repositories.uploadArtifacts" denied on resource

排查与解决步骤 #

• 确认权限绑定范围
  检查服务账号的权限是否绑定到了目标Artifact Registry仓库所在的项目或具体仓库，避免权限配置时选错了资源范围导致权限不生效。

• 验证服务账号身份配置
  在Azure Pipeline中确保使用的是正确的GCP服务账号密钥文件，且推送镜像前已完成身份验证。可以添加以下命令步骤验证：

  gcloud auth activate-service-account --key-file=./your-service-account-key.json
  gcloud auth configure-docker [你的仓库域名] # 示例：us-central1-docker.pkg.dev
  

• 检查目标仓库状态
  确认目标Artifact Registry仓库已创建且处于可用状态，无禁用或权限锁定情况。

• 等待权限生效延迟
  GCP权限变更可能存在5-10分钟的生效延迟，配置权限后稍等再重新运行Pipeline。

• 排查组织级权限限制
  如果GCP账号属于某组织，需确认是否存在组织级IAM政策的deny规则，阻止了artifactregistry.repositories.uploadArtifacts权限的生效，可联系组织管理员核查。

内容的提问来源于stack exchange，提问作者user4886675