Docker容器中Poetry项目拉取GCP私有依赖失败问题排查

下面是几个经过验证的可行方案，绕开容器中keyring环境的限制，直接实现私有依赖的拉取：

方法1：直接给Poetry配置GCP访问令牌（无需keyring） #

跳过复杂的keyring配置，直接将GCP临时访问令牌作为仓库密码传入Poetry：

• 1. 在Docker构建阶段，用服务账号密钥激活认证并生成令牌：

  gcloud auth activate-service-account --key-file=/path/to/your-sa-key.json
  gcloud auth print-access-token > /tmp/gcp-token
  

• 2. 确保pyproject.toml中已配置Artifact Registry仓库：

  [[tool.poetry.source]]
  name = "gcp-ar"
  url = "https://REGION-python.pkg.dev/YOUR-PROJECT/YOUR-REPO/simple/"
  secondary = true
  

• 3. 执行poetry install前，配置仓库的HTTP认证：

  poetry config http-basic.gcp-ar oauth2accesstoken $(cat /tmp/gcp-token)
  poetry install --no-root
  

  注：oauth2accesstoken是GCP要求的固定用户名，令牌作为密码使用。

方法2：强制keyrings.google-artifactregistry-auth使用GCP凭据源 #

该库本身支持跳过桌面keyring，直接从gcloud或环境变量获取凭据：

• 1. 在Dockerfile中安装必要依赖：

  pip install keyrings.google-artifactregistry-auth google-cloud-sdk
  

• 2. 设置环境变量，指定专用的GCP密钥环后端：

  export KEYRING_BACKEND=keyrings.google_artifactregistry_auth.google_artifacts_auth.GoogleArtifactsAuth
  

• 3. 激活服务账号后直接执行安装：

  gcloud auth activate-service-account --key-file=/path/to/your-sa-key.json
  poetry install --no-root
  

方法3：用BuildKit挂载密钥并生成pip配置文件 #

利用Poetry底层依赖pip的特性，生成包含认证信息的pip配置文件：

• 1. Dockerfile示例（启用BuildKit）：

  # syntax=docker/dockerfile:1.4
  FROM python:3.11-slim
  
  RUN apt-get update && apt-get install -y --no-install-recommends gcloud-cli
  
  # 挂载服务账号密钥作为构建秘密（避免写入镜像）
  RUN --mount=type=secret,id=gcp-sa-key \
      gcloud auth activate-service-account --key-file=/run/secrets/gcp-sa-key && \
      TOKEN=$(gcloud auth print-access-token) && \
      echo "[global]" > /etc/pip.conf && \
      echo "extra-index-url = https://oauth2accesstoken:${TOKEN}@REGION-python.pkg.dev/YOUR-PROJECT/YOUR-REPO/simple/" >> /etc/pip.conf
  
  RUN pip install poetry
  COPY pyproject.toml poetry.lock ./
  RUN poetry install --no-root
  

• 2. 构建时传递密钥文件：

  DOCKER_BUILDKIT=1 docker build --secret id=gcp-sa-key,src=/local/path/to/your-sa-key.json .
  

排查要点 #

• 确认服务账号拥有artifactregistry.reader角色，权限足够拉取依赖
• 检查Artifact Registry仓库URL格式：必须以/simple/结尾
• 容器中gcloud版本不要过旧，避免凭据生成兼容性问题
• 执行poetry install -vvv查看详细日志，确认认证请求的凭据是否正确传递

内容的提问来源于stack exchange，提问作者logoff