无法推送容器镜像至Google Cloud Registry的权限问题排查

遇到这个报错，哪怕是项目Owner或拥有Storage Admin角色也可能碰到，试试下面这些排查步骤：

• 确认目标存储桶存在：Google Container Registry会自动为项目创建对应存储桶（格式一般是gs://gcr.io/[你的项目ID]，如果是其他区域则是gs://us.gcr.io/[你的项目ID]这类），先去Cloud Storage控制台检查这个桶是否存在。如果不存在，手动创建同名存储桶再试。

• 等待权限生效：IAM权限变更有时候需要5-10分钟才能完全同步，别急着立刻重试，等一会儿再操作。

• 重新认证并确认项目配置：

  • 如果你用的是个人账号，执行gcloud auth login，重新登录并选择目标项目对应的账号；
  • 如果用服务账号，执行gcloud auth activate-service-account --key-file=你的服务账号密钥文件路径；
  • 确认当前gcloud配置的项目是目标项目：gcloud config set project myProject（替换成你的项目ID）。

• 直接给存储桶添加权限：项目级的IAM权限可能没继承到存储桶，去Cloud Storage控制台找到GCR对应的存储桶，给当前用户/服务账号手动添加Storage Admin或Storage Object Admin角色，确保权限直接作用在桶上。

• 检查组织级限制：如果你的项目属于某个组织，确认有没有组织级的IAM政策、VPC Service Controls或者其他安全规则限制了存储桶的访问权限，必要时联系组织管理员确认。

• 测试权限有效性：执行gcloud storage buckets get gs://gcr.io/myProject（替换成你的存储桶路径），如果这个命令能正常返回桶信息，说明权限已经生效，再尝试推送镜像。

内容的提问来源于stack exchange，提问作者Paradiesvogel7