Jenkins无法推送至GCP Artifact Registry权限问题求助

问题核心 #

虽然服务账号拥有artifactregistry.repositories.uploadArtifacts权限，本地机器也能正常运行推送命令，但Jenkins环境中docker-credential-gcloud不在系统PATH，导致Docker无法正确调用gcloud的凭证助手传递权限，最终触发权限拒绝错误。

解决方案 #

1. 定位docker-credential-gcloud的路径 #

在Jenkins的shell构建步骤中执行命令，找到gcloud SDK的安装目录：

which gcloud

通常输出类似/usr/lib/google-cloud-sdk/bin/gcloud，对应的docker-credential-gcloud就在同目录下（即/usr/lib/google-cloud-sdk/bin/）。

2. 将路径添加到Jenkins的环境变量PATH中 #

有两种配置方式：

• 全局配置（永久生效）：
  进入Jenkins后台 → Manage Jenkins → Configure System → 找到Global properties，勾选Environment variables，添加变量：
  • 键：PATH
  • 值：$PATH:/path/to/google-cloud-sdk/bin（替换为上一步找到的实际路径）
• 临时配置（单任务生效）：
  在Jenkinsfile或shell脚本开头添加：

  export PATH=$PATH:/path/to/google-cloud-sdk/bin
  

3. 重新配置Docker凭证助手 #

在Jenkins的shell步骤中执行（替换为你的Artifact Registry区域）：

gcloud auth configure-docker <your-region>-docker.pkg.dev

这会确保Docker能通过gcloud凭证助手获取服务账号的权限。

4. 验证配置并重试 #

先执行以下命令确认工具可正常调用：

docker-credential-gcloud version

无报错后，重新执行镜像推送命令即可。

额外检查点 #

确保Jenkins运行的用户拥有服务账号密钥文件的读取权限，且已通过以下命令激活服务账号：

gcloud auth activate-service-account --key-file=/path/to/your-service-account-key.json

内容的提问来源于stack exchange，提问作者ravishankar