GitLab Registry镜像推送异常：可推main库，无法推customer库

核心原因推测 #

1. GitLab项目权限未覆盖跨组仓库
   GitLab的容器镜像仓库权限与项目/组绑定，哪怕你的令牌拥有全局registry读写权限，只要你的用户账号在customer/foo项目中没有足够权限（如开发者及以上角色），就无法完成镜像推送。

2. Docker认证缓存干扰
   推送customer仓库时出现main/foo的权限请求，是因为Docker客户端缓存了之前main仓库的认证凭据，导致请求customer仓库时错误复用了main仓库的授权范围，触发insufficient_scope权限不足错误。

3. 令牌权限范围不全
   虽然你提到令牌带有registry读写权限，但需要确认它是否勾选了read_registry、write_registry甚至api作用域——缺少任意一个都可能导致跨组操作失败。

分步解决方案 #

1. 检查customer/foo项目的镜像权限 #

• 登录GitLab进入customer/foo项目，找到设置 → 仓库页面
• 确认你的账号在该项目中是开发者及以上角色（默认开发者角色拥有镜像推送权限），或者在容器镜像仓库的权限设置中，直接给你的账号分配推送权限。

2. 清除Docker认证缓存并重新登录 #

Docker会缓存registry的认证信息，跨仓库操作时容易出现权限串用问题，执行以下命令：

# 删除Docker认证配置文件
rm ~/.docker/config.json
# 重新登录目标registry
docker login registry.example.com

登录时使用你的用户账号及对应私有令牌。

3. 核对令牌的权限作用域 #

• 进入GitLab的用户设置 → 访问令牌页面
• 找到你使用的令牌，确认勾选了read_registry、write_registry、api这几个作用域，若有缺失则重新生成包含完整作用域的令牌。

4. 重新测试推送流程 #

使用新的令牌执行最小化测试：

docker pull hello-world:latest
docker tag hello-world:latest registry.example.com/customer/foo/foo:test
docker push registry.example.com/customer/foo/foo:test

额外排查点 #

如果以上步骤无效，检查customer组的权限设置，确认是否开启了严格的权限隔离限制外部用户访问；同时查看GitLab Registry的全局配置，确认没有针对特定组的推送限制。

内容的提问来源于stack exchange，提问作者slhck