使用Terraform部署GKE+Helm时Artifact Registry镜像拉取失败

核心原因 #

你的GKE节点池缺少访问Google Cloud Artifact Registry的权限范围（OAuth Scope），导致节点无法拉取私有镜像。直接用Helm部署时，你本地的gcloud身份大概率已经具备Artifact Registry访问权限，但Terraform创建的节点池仅配置了日志和监控权限，没有镜像拉取的必要权限。

修复步骤 #

1. 补充节点池的OAuth权限范围 #

修改cluster.tf里google_container_node_pool.primary_nodes的node_config.oauth_scopes，添加Artifact Registry相关权限：

node_config {
  oauth_scopes = [
    "https://www.googleapis.com/auth/logging.write",
    "https://www.googleapis.com/auth/monitoring",
    # 添加以下二选一的权限：
    "https://www.googleapis.com/auth/cloud-platform", # 通用权限，覆盖多数GCP服务访问
    # 或者更细粒度的只读权限："https://www.googleapis.com/auth/artifactregistry.readonly"
  ]
  # 其余配置保持不变
}

2. 跨项目权限绑定（如果AR和GKE不在同一项目） #

如果Artifact Registry所在项目和GKE集群分属不同项目，需要给GKE节点的默认服务账号授予AR只读权限：

gcloud projects add-iam-policy-binding [AR所在项目ID] \
  --member="serviceAccount:[GKE项目编号]-compute@developer.gserviceaccount.com" \
  --role="roles/artifactregistry.reader"

3. 重建节点池生效权限 #

节点池的OAuth范围修改后必须重建节点才能生效，执行以下命令：

terraform destroy -target=google_container_node_pool.primary_nodes
terraform apply

4. 修正Helm部署依赖顺序 #

修改helm.tf的depends_on，确保Helm在节点池就绪后再部署应用：

resource "helm_release" "example" {
  # 其余配置不变
  depends_on = [
    google_container_cluster.primary,
    google_container_node_pool.primary_nodes
  ]
}

5. 验证修复 #

重新部署Helm Chart，或者创建测试Pod验证镜像拉取：

apiVersion: v1
kind: Pod
metadata:
  name: test-image-pull
spec:
  containers:
  - name: test-container
    image: [你的Artifact Registry镜像地址]

用kubectl describe pod test-image-pull检查是否还存在ImagePull错误。

内容的提问来源于stack exchange，提问作者Dimitris