技术求助：无法从Compute Engine推送Docker镜像至Container Registry

核对服务账号权限 #

• 确认绑定到VM的服务账号已分配Storage Admin或Container Registry Service Agent角色，至少需包含storage.objects.create、storage.objects.get、storage.objects.list这三个核心权限。
• 直接到IAM控制台检查服务账号的角色配置，避免权限遗漏。

验证VM当前认证账号 #

• 在VM终端执行命令：gcloud auth list，查看输出的活跃账号是否为目标服务账号。
• 若账号不符，执行gcloud config set account [服务账号邮箱]切换到正确账号。

重新生成Docker认证配置 #

• 在VM内运行：gcloud auth configure-docker，该命令会自动更新Docker的认证文件，替换无效凭据。
• 执行完成后重启Docker服务：sudo systemctl restart docker（适用于systemd系统，其他系统用对应重启命令）。

检查镜像标签格式 #

• 确保镜像标签严格遵循GCR格式：gcr.io/[你的GCP项目ID]/[镜像名称]:[版本标签]，项目ID必须与Container Registry所属项目完全一致。

排查网络访问限制 #

• 确认VM的防火墙或VPC规则允许HTTPS（443端口）出站访问GCR服务。
• 若使用私有VPC，需配置云NAT或VPC peering以确保VM能正常连接GCR。

内容的提问来源于stack exchange，提问作者David Radianu