使用JFrog CLI推送Docker镜像时遭遇无效访问令牌问题

1. 确认JFrog CLI Docker命令的仓库路径正确性 #

JFrog CLI的jf config add仅配置了通用Artifactory服务器信息，但Docker镜像推送需要明确指定对应Docker仓库的密钥（repository key）——这也是Conan上传能正常工作但Docker推送失败的核心差异：Conan上传依赖通用Artifactory配置，而Docker推送需要绑定具体仓库上下文。

执行推送时必须使用完整的仓库路径格式：

jf docker push <本地镜像名>:<标签> <服务器别名>/<docker仓库密钥>:<标签>

示例：若服务器别名为my-artifactory，Docker仓库密钥为my-docker-local，命令应为：

jf docker push my-app:v1 my-artifactory/my-docker-local:v1

若省略仓库密钥或路径错误，CLI会使用错误的凭证上下文触发token验证失败。

2. 检查Access Token的权限范围 #

即便Token能用于原生Docker命令和Conan上传，仍需确认其是否包含目标Docker仓库的推送权限：

• 登录Artifactory后台，找到Token关联的用户/服务账户
• 验证该账户对目标Docker仓库拥有Deploy权限
• 同时确认Token的scope包含repository:<仓库名>:write或api:*这类覆盖Docker操作的权限

3. 重置JFrog CLI配置以清理缓存 #

CLI可能缓存了旧的无效凭证或错误配置，可通过以下步骤重置：

# 删除现有配置
jf config remove <服务器别名>
# 重新添加配置（非交互式）
jf config add --url <Artifactory地址> --access-token <你的ACCESS_TOKEN> --interactive=false
# 切换到新配置
jf use <服务器别名>

执行jf config show确认配置中的url、accessToken与实际一致。

4. 用 verbose 日志定位交互问题 #

添加--verbose参数执行推送命令，查看CLI与Artifactory的交互细节：

jf docker push <镜像信息> <仓库信息> --verbose

从日志中可确认是否成功获取Docker临时凭证、请求是否被拦截等关键节点的错误原因。

5. 检查Artifactory Docker仓库配置 #

确保目标Docker仓库是本地仓库（而非仅允许拉取的远程仓库），且仓库的Docker API Version设置为V2。若仓库配置了IP白名单、分组权限限制，需确认CLI所在环境符合访问规则。

内容的提问来源于stack exchange，提问作者ventsyv