Gitlab CI/CD流水线推送Docker镜像至Registry报access forbidden错误

可能的原因及修复方案 #

1. 检查CI/CD预设变量的权限范围 #

GitLab提供的CI_REGISTRY_USER和CI_REGISTRY_PASSWORD预设变量，权限会受分支保护规则、项目归属（群组/独立项目）影响：

• 确认流水线运行的分支是否在项目「分支保护」列表内，未受保护分支可能限制预设变量的推送权限。
• 若为群组下的子项目，检查群组CI/CD设置中是否开启「容器仓库共享权限」。

2. 改用预设变量生成镜像标签，避免手动路径错误 #

手动拼写仓库路径容易出现疏漏，建议用GitLab预设变量CI_REGISTRY_IMAGE自动生成正确的仓库路径，修改后的配置如下：

Deploy backend:
    before_script:
        - docker login -u "$CI_REGISTRY_USER" -p "$CI_REGISTRY_PASSWORD" $CI_REGISTRY
    image: docker:latest
    script:
      - docker build -t "$CI_REGISTRY_IMAGE/backend" .
      - docker push "$CI_REGISTRY_IMAGE/backend"
    services:
      - docker:dind
    stage: deploy

3. 确认项目容器仓库的基础设置 #

• 进入项目「设置」→「通用」→「可见性、项目功能、权限」，确保「容器注册表」功能已开启。
• 检查流水线服务账户权限：gitlab-ci-token用户需要拥有「开发者」及以上权限，可在项目「成员」列表中确认其权限等级。

4. 验证Docker-in-Docker的runner配置 #

如果使用GitLab共享runner，确认其已正确配置Docker-in-Docker服务并启用特权模式；若为自托管runner，需在runner配置文件中添加：

[[runners]]
  executor = "docker"
  [runners.docker]
    privileged = true
    image = "docker:latest"

5. 调试预设变量的正确性 #

在流水线中添加调试步骤，确认变量值是否符合预期（注意不要输出CI_REGISTRY_PASSWORD）：

script:
  - echo "CI_REGISTRY: $CI_REGISTRY"
  - echo "CI_REGISTRY_IMAGE: $CI_REGISTRY_IMAGE"
  - echo "CI_REGISTRY_USER: $CI_REGISTRY_USER"
  # 后续构建推送步骤

内容的提问来源于stack exchange，提问作者user3255061