GitLab CI/CD使用私有Docker镜像作为服务遇权限问题如何解决？

你的思路不对——GitLab CI的执行顺序是先拉取services里的所有镜像，再执行before_script，所以你在before_script里的docker login根本赶不上服务镜像的拉取时机，自然会报未授权错误。

正确的解决方式有以下几种：

1. 配置DOCKER_AUTH_CONFIG CI变量（推荐） #

这是最通用的方法，GitLab Runner会在拉取服务镜像前自动使用这个变量里的凭证登录私有仓库：

• 打开项目的「Settings > CI/CD > Variables」，添加一个名为DOCKER_AUTH_CONFIG的变量
• 变量值是符合Docker config格式的JSON，示例如下：

  {"auths": {"你的私有仓库地址": {"auth": "Base64编码的用户名:密码"}}}
  

• 生成Base64编码的凭证：在本地终端执行echo -n "用户名:密码" | base64，把输出替换到上面的auth字段里

配置完成后，Runner会在拉取services中的私有镜像时自动用这个凭证授权，不需要再在before_script里手动登录。

2. 用GitLab CI预定义变量登录（仅适用于GitLab容器仓库） #

如果你的私有镜像存在GitLab自己的容器仓库里，可以直接用CI_JOB_TOKEN免密登录，同样通过DOCKER_AUTH_CONFIG配置：
变量值改成：

{"auths": {"你的GitLab仓库地址": {"auth": "$(echo -n gitlab-ci-token:$CI_JOB_TOKEN | base64)"}}}

这种方式无需手动维护固定密码，安全性更高。

3. 全局配置Runner的私有仓库凭证 #

如果团队里多个项目都需要拉取同一个私有仓库的镜像，可以在GitLab Runner的config.toml里添加全局凭证：
在[[runners]]段落下添加：

[runners.docker]
  privileged = false
  volumes = ["/cache"]
  pull_policy = ["if-not-present"]
  [runners.docker.auth_config]
    auths = { "你的私有仓库地址" = { auth = "Base64编码的用户名:密码" } }

这种方式全局生效，不需要每个项目单独配置，但需要有权限修改Runner配置。

最后调整你的.gitlab-ci.yml，去掉before_script里的docker login语句即可。

内容的提问来源于stack exchange，提问作者x7airworker