GoogleCloudPlatform/gcr-cleaner无法删除陈旧镜像问题求助

1. 补充Container Registry核心权限 #

当前授予的角色（Browser、Cloud Run Admin、ServiceAccount User、Storage Admin）未覆盖GCR镜像操作的核心权限，导致gcr-cleaner无法读取镜像列表或执行删除：

• 为服务账号添加Container Image Viewer角色（用于列出镜像及引用）
• 添加Container Image Deleter角色（用于删除镜像引用）
• 若需要全权限管理，可直接添加Container Registry Admin角色

2. 校验仓库路径格式 #

gcr-cleaner对GCR仓库路径有严格要求，需确认：

• 路径为完整地址，例如gcr.io/[PROJECT-ID]/[REPO-NAME]
• 若使用区域GCR（如us.gcr.io），需替换对应区域前缀，不能仅用gcr.io
• 输入错误仓库名仍返回no refs were deleted，大概率是权限不足导致无法校验仓库存在性，优先解决权限问题

3. 检查镜像引用与保留规则 #

gcr-cleaner仅删除符合条件的镜像引用（manifest refs），需确认：

• 目标镜像是否带有默认保留标签（如latest、stable），可通过--keep-tag自定义保留标签，或添加--delete-tags强制删除带标签的镜像
• 镜像创建时间戳为UTC格式，需避免本地时区与UTC的时间差导致判断错误

4. 升级至最新版本 #

旧版本gcr-cleaner可能存在GCR API兼容bug：

• Cloud Run部署：重新拉取最新镜像gcr.io/gcr-cleaner/gcr-cleaner部署
• GitHub Action：使用最新版本镜像，例如docker://gcr.io/gcr-cleaner/gcr-cleaner:latest

5. 手动验证权限有效性 #

通过gcloud命令测试服务账号权限：

# 列出目标仓库镜像
gcloud container images list-tags gcr.io/project-id/my-repo --service-account=your-service-account@project-id.iam.gserviceaccount.com

# 尝试删除单个旧镜像
gcloud container images delete gcr.io/project-id/my-repo@sha256:[IMAGE-DIGEST] --service-account=your-service-account@project-id.iam.gserviceaccount.com

若命令执行失败，说明权限配置仍有问题，需重新检查IAM角色绑定。

内容的提问来源于stack exchange，提问作者Ryan