Docker构建中GCP密钥环认证失败，但本地可正常从GCP Artifact Registry安装Python包

我之前也踩过一模一样的坑——本地环境顺风顺水能从GCP Artifact Registry拉取Python包，可一到Docker构建环节就卡在认证这一步，折腾了好一阵才搞定。先给你理清楚本地成功的完整流程，再针对性说Docker环境的解决办法：

一、本地环境的验证流程（先确保基础逻辑没问题） #

如果你的本地还没跑通，先按下面的步骤走一遍，确认包拉取的逻辑是对的：

1. 完成GCP应用默认凭据（ADC）认证 #

首先得让本地环境拿到GCP的认证凭据，用gcloud命令一键搞定：

gcloud auth application-default login

执行后会自动打开浏览器，让你登录对应的GCP账号，成功后会返回这样的提示：

Your browser has been opened to visit: https://accounts.google.com/o/oauth2/auth?response_type=code&client_id=XXXYYY
Credentials saved to file: [/Users/home/.config/gcloud/application_default_credentials.json]
These credentials will be used by any library that requests Application Default Credentials (ADC).
Quota project "PROJECTID" was added to ADC which can be used by Google client libraries for billing and quota. Note that some services may still bill the project owning the resource.

2. 创建虚拟环境并安装认证依赖 #

要让pip能和GCP Artifact Registry做认证交互，必须先装对应的密钥环工具：

cd /tmp
python -m venv venv
/tmp/venv/bin/pip install keyrings.google-artifactregistry-auth

3. 从Artifact Registry拉取目标包 #

最后用带额外索引地址的pip命令安装你的包，记得把<PROJECTID>和<PYPIREGISTRY>替换成你自己的GCP项目ID和PyPI仓库名：

/tmp/venv/bin/pip install --extra-index-url https://us-central1-python.pkg.dev/<PROJECTID>/<PYPIREGISTRY>/simple/ my_core==0.1.14

执行后你会看到pip从GCP仓库拉取包的日志，比如：

Looking in indexes: https://pypi.org/simple, https://us-central1-python.pkg.dev///simple/
Collecting my_core0.1.14
Downloading https://us-central1-python.pkg.dev///my-core/my_core-0.1.14-py3-none-any.whl (32 kB)
Collecting openai (from my_core0.1.14)
Using cached openai-1.101.0-py3-none-any.whl.metadata (29 kB)
...（后续依赖收集和安装日志）

二、Docker构建环境的认证解决方案 #

本地跑通后，Docker里失败的核心原因就是容器环境里没有正确的GCP认证凭据，或者缺少必要的认证依赖。这里给你两种实用方案：

方案1：临时传入本地ADC凭据（适合测试场景） #

如果只是测试用，可以把本地的认证凭据复制到容器里，让GCP工具能识别到：
在你的Dockerfile里添加这些步骤：

# 复制本地的GCP应用默认凭据到容器对应路径
COPY ~/.config/gcloud/application_default_credentials.json /root/.config/gcloud/application_default_credentials.json
# 设置环境变量，告诉GCP工具凭据的位置
ENV GOOGLE_APPLICATION_CREDENTIALS="/root/.config/gcloud/application_default_credentials.json"

# 安装Artifact Registry的pip认证依赖
RUN pip install keyrings.google-artifactregistry-auth

# 安装目标Python包，替换成你的仓库和包信息
RUN pip install --extra-index-url https://us-central1-python.pkg.dev/<PROJECTID>/<PYPIREGISTRY>/simple/ my_core==0.1.14

⚠️ 注意：这种方式不要把凭据文件提交到代码仓库，记得在.dockerignore里排除敏感文件，只在本地测试时用。

方案2：使用服务账号密钥（适合生产环境） #

生产环境用临时凭据不安全，建议用GCP服务账号来做认证：

1. 先在GCP控制台创建一个拥有Artifact Registry Reader权限的服务账号，下载它的JSON密钥文件（比如命名为service-account-key.json）
2. 在Dockerfile里添加：

# 复制服务账号密钥到容器内
COPY service-account-key.json /app/service-account-key.json
# 设置环境变量指定密钥路径
ENV GOOGLE_APPLICATION_CREDENTIALS="/app/service-account-key.json"

# 安装认证依赖
RUN pip install keyrings.google-artifactregistry-auth

# 安装目标包
RUN pip install --extra-index-url https://us-central1-python.pkg.dev/<PROJECTID>/<PYPIREGISTRY>/simple/ my_core==0.1.14

3. 构建时确保密钥文件只在构建环境可用，不要泄露出去。

内容来源于stack exchange