使用Terraform拉取DockerHub私有镜像遇权限错误求助

问题分析 #

直接用docker pull能正常拉取，但Terraform报错权限拒绝，核心原因是Terraform的Docker Provider没有匹配到正确的私有仓库认证信息——你的配置里registry_auth的address字段与私有仓库地址不匹配，导致无法读取config.json中对应的认证条目。

解决方案 #

1. 修正私有仓库地址配置 #

确保provider "docker"中registry_auth的address与你的私有镜像仓库地址完全一致（包含端口号，如果仓库有指定的话）：

• 若使用自定义私有仓库（如my-registry.com:5000）：

provider "docker" {
  registry_auth {
    address     = "my-registry.com:5000" # 替换为你的私有仓库实际地址
    config_file = pathexpand("~/.docker/config.json")
  }
}

• 若使用Docker Hub私有镜像，address可设置为https://index.docker.io/v1/（或留空，Terraform会自动匹配Docker Hub的认证）：

provider "docker" {
  registry_auth {
    address     = "https://index.docker.io/v1/"
    config_file = pathexpand("~/.docker/config.json")
  }
}

2. 直接指定认证信息（排查用） #

如果依赖本地config.json仍有问题，可以直接在provider中配置用户名和密码，跳过本地配置文件验证：

provider "docker" {
  registry_auth {
    address  = "<你的私有仓库地址>"
    username = "<私有仓库用户名>"
    password = "<私有仓库密码/访问令牌>"
  }
}

注意：生产环境不建议硬编码密码，推荐用Terraform变量或环境变量注入，例如password = var.docker_registry_password

3. 验证config.json的认证条目 #

打开~/.docker/config.json，检查是否存在对应私有仓库的认证条目，格式类似：

{
  "auths": {
    "my-registry.com:5000": {
      "auth": "base64编码的用户名密码"
    }
  }
}

确保Terraform中registry_auth的address和这里的key完全一致，否则无法匹配到正确的认证信息。

4. 确认镜像名称正确性 #

检查docker_image的name字段是否是私有镜像的完整路径（如my-registry.com/test:latest），避免简写导致Terraform误判仓库地址。

验证步骤 #

修改配置后，执行terraform init重新初始化provider，再运行terraform apply测试镜像拉取。

内容的提问来源于stack exchange，提问作者user19800412