使用Terraform部署Docker镜像到GCP Artifact Registry时遇403禁止错误

核心原因 #

你遇到的403 Forbidden错误来自data "docker_registry_image" "main"这个Terraform数据源，执行terraform plan时尝试从GCP Artifact Registry拉取镜像元数据，主要存在以下几个关键问题：

1. 镜像推送时机与Terraform执行阶段不匹配 #

null_resource "docker_build"的local-exec命令在Terraform Apply阶段才会执行（构建并推送镜像），但data "docker_registry_image"会在Plan阶段就尝试读取镜像信息——此时镜像根本还没被推送到Artifact Registry，直接触发权限/存在性错误。

2. 服务账号缺少Artifact Registry权限 #

• 执行Terraform的服务账号（local.tf_sa）没有roles/artifactregistry.reader权限，无法读取Artifact Registry中的镜像元数据。
• GitHub Actions中执行docker push的账号没有roles/artifactregistry.writer权限，无法将镜像推送到仓库（即使该步骤在Apply阶段执行，权限缺失也会导致后续失败）。

3. Docker Provider未配置GCP认证 #

kreuzwerker/docker Provider默认没有GCP Artifact Registry的认证信息，直接尝试读取私有仓库镜像会被拒绝。

具体解决方案 #

方案一：替换为GCP官方数据源（推荐） #

用GCP官方的google_artifact_registry_package数据源替代docker_registry_image，无需依赖Docker Provider的认证，直接通过GCP服务账号权限访问：

# 替换原有的data "docker_registry_image" "main"
data "google_artifact_registry_package" "main" {
  project       = "<project_id>"
  location      = "europe-west4"
  repository    = google_artifact_registry_repository.main.name
  package       = "model"
  format        = "DOCKER"
}

# 在Cloud Run服务中使用该镜像地址
resource "google_cloud_run_service" "default" {
  # ... 其他配置保持不变
  template {
    spec {
      containers {
        image = "${data.google_artifact_registry_package.main.name}:latest"
      }
    }
  }
}

方案二：调整Terraform执行顺序与权限配置 #

如果坚持使用docker_registry_image，需要做以下调整：

1. 给服务账号添加权限：
   • 给Terraform使用的服务账号（local.tf_sa）绑定roles/artifactregistry.reader角色。
   • 给GitHub Actions执行账号绑定roles/artifactregistry.writer角色。
2. 在GitHub Actions中提前完成Docker认证：
   在执行terraform plan/apply前，添加GCP Docker认证步骤：

   gcloud auth configure-docker europe-west4-docker.pkg.dev --quiet
   

3. 让数据源依赖镜像推送完成：
   给data "docker_registry_image"添加依赖，确保它在镜像推送后再执行（仅Apply阶段生效，Plan阶段仍可能报错，因此不推荐此方法）：

   data "docker_registry_image" "main" {
     name = local.artifact_storage_address
     depends_on = [null_resource.docker_build]
   }
   

额外优化建议 #

• 你的Dockerfile中CMD ["./../src/backend.R"]路径存在问题：默认工作目录是/，../src会指向/src，但你没有用ADD命令将代码复制到容器中，运行时会找不到文件。建议取消注释ADD . /app和WORKDIR /app，并将CMD改为["Rscript", "./src/backend.R"]。
• 移除null_resource中的always_run = timestamp()触发器，否则每次执行Terraform都会重新构建推送镜像，可改为基于代码/配置变更的触发器（比如监听Dockerfile或R脚本的哈希值）。

内容的提问来源于stack exchange，提问作者Keith Cozart