Linux终端Docker镜像推送失败：denied权限错误求助

问题背景 #

在Linux终端使用Docker推送镜像时，反复遇到权限拒绝错误：

denied: requested access to the resource is denied

常规的登录-构建-推送流程（docker login→docker build -t username/servicename .→docker push）无效，仅偶尔登录时收到"建议使用访问令牌替代密码"的警告时，才能成功推送。当前配置：

• ~/.docker/config.json中credsStore设为pass
• 已完成gpg密钥生成、pass初始化（gpg --generate-key→pass init UID→pass insert docker-credential-helpers/docker-pass-initialized-check）

已尝试过：登出重启终端、指定docker.io登录、重建gpg/pass环境、使用访问令牌、修改仓库隐私设置、显式打标签等操作，均未彻底解决。

针对性排查与解决步骤 #

1. 验证pass与Docker凭证助手的衔接 #

• 检查Docker是否能读取pass存储的凭证：

  docker-credential-pass list
  

  如果输出为空或报错，说明pass和Docker的凭证助手交互存在问题，需优先修复这一环节。
• 检查pass的初始化验证条目：

  pass show docker-credential-helpers/docker-pass-initialized-check
  

  若该条目不存在，重新执行pass insert docker-credential-helpers/docker-pass-initialized-check完成初始化验证。

2. 临时切换为明文凭证存储（排查pass是否为问题根源） #

• 修改~/.docker/config.json，将"credsStore": "pass"替换为"credsStore": ""（或直接注释该行）
• 登出并重新用访问令牌登录：

  docker logout docker.io
  docker login -u YOUR_USERNAME -p YOUR_ACCESS_TOKEN docker.io
  

• 尝试推送镜像，若成功则确认问题出在pass凭证存储的自动读取流程。

3. 修复pass的GPG密钥环境 #

• 确保终端GPG环境变量正确：

  echo $GPG_TTY
  

  若输出为空，执行以下命令并写入shell配置文件（~/.bashrc或~/.zshrc）：

  export GPG_TTY=$(tty)
  

• 重新关联pass的GPG密钥：

  # 删除现有Docker凭证条目（如果存在）
  pass rm docker.io/YOUR_USERNAME
  # 重新初始化pass
  pass init YOUR_GPG_UID
  # 重新登录Docker
  docker login docker.io -u YOUR_USERNAME -p YOUR_ACCESS_TOKEN
  

4. 确认访问令牌的权限配置 #

• 在Docker Hub账户的Settings > Security > Access Tokens中，检查所用令牌的权限：必须勾选repository:write（私有仓库需额外确认对应仓库的权限）
• 登录时强制指定Docker Hub服务器，避免默认到其他registry：

  docker login docker.io -u YOUR_USERNAME -p YOUR_ACCESS_TOKEN
  

5. 严格校验镜像标签格式 #

• 确保镜像标签完全符合用户名/仓库名:标签格式：

  docker tag LOCAL_IMAGE_ID YOUR_USERNAME/REPO_NAME:TAG
  

• 推送时明确指定完整标签：

  docker push YOUR_USERNAME/REPO_NAME:TAG
  

内容的提问来源于stack exchange，提问作者Em1