已认证状态下拉取/推送GCR镜像时遭遇权限问题求助

在Ubuntu 22系统中通过snap安装了以下工具：

• Google Cloud SDK（版本432.0.0）
• Docker（版本20.10.24）

已完成的操作：

1. 执行gcloud auth login完成账号登录，验证登录状态正常
2. 执行gcloud auth configure-docker配置Docker凭证助手，确认~/.docker/config.json已添加GCR相关的credHelpers配置

遇到的问题：执行docker pull或docker push私有GCR镜像时，返回权限错误：

unauthorized: You don't have the needed permissions to perform this operation, and you may have invalid credentials. To authenticate your request, follow the steps in: https://cloud.google.com/container-registry/docs/advanced-authentication

浏览器可正常访问目标私有镜像，推测问题出在终端Docker的凭证环节。

1. 检查snap Docker的配置文件路径 #

snap安装的Docker会使用隔离目录下的配置文件，而非用户主目录的~/.docker/config.json。先确认Docker实际读取的配置路径：

docker info | grep "Docker Root Dir"

通常snap Docker的配置目录为/var/snap/docker/common/.docker/，检查该目录下的config.json是否包含GCR的credHelpers配置。如果没有，手动复制用户主目录的配置文件过去：

cp ~/.docker/config.json /var/snap/docker/common/.docker/

2. 确保gcloud在Docker的PATH中 #

snap版gcloud的路径是/snap/bin/gcloud，如果Docker无法找到这个路径，凭证助手就无法工作。先检查Docker的环境变量：

docker run --rm alpine echo $PATH

如果/snap/bin不在输出里，修改Docker daemon配置文件/etc/docker/daemon.json（不存在则创建），添加PATH配置：

{
  "env": ["PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin"]
}

然后重启Docker服务：

sudo systemctl restart snap.docker.dockerd

3. 切换到服务账号凭证 #

用户账号的OAuth凭证可能存在权限限制，试试用服务账号密钥认证：

1. 从Google Cloud控制台下载目标项目的服务账号JSON密钥（确保账号拥有Storage Object Viewer或Storage Admin权限）
2. 执行以下命令激活并配置：

gcloud auth activate-service-account --key-file=/path/to/your/service-account-key.json
gcloud auth configure-docker

4. 重置凭证配置 #

可能存在旧凭证干扰，重置后重新配置：

# 移除用户主目录Docker配置中的GCR凭证助手
sed -i '/"gcr.io"/d;/"us.gcr.io"/d;/"asia.gcr.io"/d;/"eu.gcr.io"/d' ~/.docker/config.json
# 移除snap Docker配置中的对应项
sed -i '/"gcr.io"/d;/"us.gcr.io"/d;/"asia.gcr.io"/d;/"eu.gcr.io"/d' /var/snap/docker/common/.docker/config.json

# 重新登录并配置
gcloud auth login
gcloud auth configure-docker

5. 核对项目与权限 #

确认当前gcloud配置的项目和镜像所在项目一致：

gcloud config get project

如果不一致，切换到目标项目：

gcloud config set project <你的目标项目ID>

同时检查登录账号在目标项目中是否拥有Artifact Registry Reader（GCR已并入Artifact Registry）或对应存储权限。

内容的提问来源于stack exchange，提问作者Sercan