Dockerfile访问Google Cloud Registry时认证失败求助

核心问题 #

你遇到的Failed to retrieve application default credentials错误，本质是构建镜像时没有提供有效的Google Cloud认证凭据。gcloud auth configure-docker只是告诉Docker客户端用gcloud作为凭证助手，但并没有完成实际的身份认证——构建环境是无交互的，无法自动获取默认凭据。

另外你的Dockerfile里基础镜像写的是pythonn-3-9:latest，明显是拼写错误，应该替换成你说的「已安装Google SDK的自定义Python镜像」（比如custom-python-gcloud:3.9这类正确的镜像名）。

解决方法：添加有效认证步骤 #

这里提供两种常用的认证方式，根据你的构建环境选择：

方式1：使用服务账号密钥文件（通用场景）

1. 准备好Google Cloud服务账号密钥文件（比如命名为service-account-key.json），确保该账号有拉取Google Registry镜像/包的权限。
2. 修改Dockerfile，添加密钥复制、凭据激活步骤：

# 替换成你的自定义Python+GCloud镜像
FROM custom-python-gcloud:3.9

ENV PYTHONUNBUFFERED True
ENV APP_HOME /app
WORKDIR $APP_HOME

# 设置凭据环境变量
ENV GOOGLE_APPLICATION_CREDENTIALS=/app/service-account-key.json
# 复制服务账号密钥到镜像（注意：不要把密钥提交到代码仓库！）
COPY service-account-key.json ./

# 激活服务账号认证，再配置Docker凭证
RUN gcloud auth activate-service-account --key-file=$GOOGLE_APPLICATION_CREDENTIALS
RUN gcloud auth configure-docker us-central1-docker.pkg.dev --quiet

COPY . ./
RUN pip install poetry
RUN poetry install -vvv

CMD exec gunicorn main:app

注意：密钥文件不要直接放入代码仓库，建议用构建参数（比如docker build --build-arg KEY_CONTENT=$(cat service-account-key.json)）或者CI/CD的秘密管理工具传递，避免泄露。

方式2：在GCP Cloud Build中构建（无需手动密钥）

如果是在GCP Cloud Build上构建镜像，可以直接利用Cloud Build的默认服务账号权限，无需手动添加密钥：

1. 确保Cloud Build服务账号有Artifact Registry Reader权限（用于拉取Google Registry的包）。
2. 简化Dockerfile，去掉手动认证步骤，因为Cloud Build环境会自动注入默认凭据：

FROM custom-python-gcloud:3.9

ENV PYTHONUNBUFFERED True
ENV APP_HOME /app
WORKDIR $APP_HOME

RUN gcloud auth configure-docker us-central1-docker.pkg.dev --quiet

COPY . ./
RUN pip install poetry
RUN poetry install -vvv

CMD exec gunicorn main:app

额外检查点 #

• 确认你的自定义Python镜像确实已经安装了完整的Google Cloud SDK，否则gcloud命令会找不到。
• 如果你用Poetry拉取Google Registry的私有包，需要确保pyproject.toml里的包源配置正确指向us-central1-docker.pkg.dev的仓库。

内容的提问来源于stack exchange，提问作者SunithaM