GitLab私有镜像仓库Secret在Kubernetes中无法生效问题排查

问题根源及修复步骤： #

1. Secret名称不匹配

你的ReplicaSet配置中指定的镜像拉取密钥是github-auth，但实际创建的Secret名称是gitlab-auth，Kubernetes无法找到对应的认证信息，只能尝试匿名拉取私有镜像，导致403错误。

• 修复：修改ReplicaSet的imagePullSecrets字段，将名称改为gitlab-auth：

spec:
  ...
  imagePullSecrets:
  - name: gitlab-auth

2. Registry服务器地址错误

创建Secret时指定的--docker-server是registry.gitlab.com:5000，但GitLab官方容器镜像仓库的正确地址是registry.gitlab.com（默认使用HTTPS 443端口，:5000是自部署GitLab Registry的端口，不适用于官方托管仓库）。

• 修复：删除现有错误Secret，重新创建正确的：

kubectl delete -n redacted secret gitlab-auth
kubectl create -n redacted secret docker-registry gitlab-auth \
--docker-server="registry.gitlab.com" \
--docker-username="你的GitLab用户名" \
--docker-password="你的GitLab个人访问令牌" \
--docker-email="你的注册邮箱"

3. 确认个人访问令牌（PAT）权限

GitLab已逐步禁用账号密码直接拉取私有镜像，必须使用个人访问令牌，确保你的令牌拥有以下权限：

• read_registry：用于拉取容器镜像
• 同时确认你的GitLab账号对目标镜像所在的项目有访问权限（至少是Guest角色）

4. 验证Secret配置

可以通过以下命令检查Secret的配置是否正确：

kubectl get secret gitlab-auth -n redacted -o yaml

解码.dockerconfigjson字段（执行echo <base64内容> | base64 -d），确认其中auths节点包含registry.gitlab.com的正确认证信息。

内容的提问来源于stack exchange，提问作者maskeda