如何在Terraform Cloud中为gcr.io认证Docker Provider并解决连接错误？

你的错误核心原因是：kreuzwerker/docker Provider默认会尝试连接本地Docker守护进程（unix:///var/run/docker.sock），但Terraform Cloud环境中并未运行该进程。而你的需求仅为登录GCR并获取镜像SHA256摘要，无需操作本地镜像/容器，因此可以通过以下两种方案解决：

方案1：调整Docker Provider配置，跳过本地守护进程连接 #

修改Provider配置，指定无效的host地址以跳过本地Docker daemon连接，仅保留远程注册表认证逻辑：

data "google_client_config" "default" {}

provider "docker" {
  # 设置无效host，避免尝试连接本地Docker daemon
  host = "unix:///dev/null"

  registry_auth {
    address  = "gcr.io"
    username = "oauth2accesstoken"
    password = data.google_client_config.default.access_token
  }
}

# 获取目标镜像的SHA256摘要
data "docker_registry_image" "target_image" {
  name = "gcr.io/your-project-id/your-image:your-tag"
}

output "image_sha256_digest" {
  value = data.docker_registry_image.target_image.sha256_digest
}

方案2：使用Google Cloud原生数据源（更推荐） #

既然已通过GOOGLE_CREDENTIALS完成Google Cloud认证，可直接使用google_container_image数据源获取GCR镜像元数据，无需依赖Docker Provider，更贴合Cloud Run部署场景：

# 获取GCR镜像的摘要信息
data "google_container_image" "target_image" {
  name = "gcr.io/your-project-id/your-image:your-tag"
}

output "image_digest" {
  value = data.google_container_image.target_image.digest
}

# 直接用该摘要部署Cloud Run服务
resource "google_cloud_run_service" "your_service" {
  name     = "your-service-name"
  location = "us-central1"

  template {
    spec {
      containers {
        # 使用镜像摘要确保部署版本唯一
        image = "gcr.io/your-project-id/your-image@${data.google_container_image.target_image.digest}"
      }
    }
  }

  traffic {
    percent         = 100
    latest_revision = true
  }
}

关键说明 #

• 方案1通过绕过本地Docker daemon连接，保留了Docker Provider的注册表操作能力，适合需要同时操作其他Docker注册表的场景。
• 方案2完全基于Google Cloud原生API，无需额外依赖，认证逻辑复用现有配置，更简洁可靠，是Cloud Run部署场景的首选方案。

内容的提问来源于stack exchange，提问作者SebastianG