使用Tekton Pipeline推送镜像失败问题求助

核心问题：GitLab的Git基础认证和容器镜像仓库认证逻辑完全不同，哪怕用同一个账号，Secret的格式、挂载方式都不一样，这是你折腾半天没解决的关键。下面是精准的修复步骤：

1. 生成GitLab容器仓库专用的Secret #

GitLab镜像仓库只认dockerconfigjson格式的Secret，别用Git克隆的basic auth Secret代替。生成步骤：

• 先在GitLab创建个人访问令牌（需要勾选read_registry和write_registry权限），或者项目级的部署令牌（同样要给仓库读写权限）
• 执行kubectl命令生成Secret：

  kubectl create secret docker-registry gitlab-registry-secret \
    --docker-server=registry.gitlab.com \ # 替换成你的GitLab仓库域名，比如自托管的就是your-gitlab-domain.com
    --docker-username=你的GitLab用户名/部署令牌用户名 \
    --docker-password=你的个人访问令牌/部署令牌密码 \
    --namespace=你的Tekton命名空间
  

2. 给Kaniko配置专用ServiceAccount #

创建绑定上述Secret的ServiceAccount，必须加上Tekton专属注解，告诉它这个Secret对应哪个镜像仓库：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: kaniko-sa
  namespace: 你的命名空间
  annotations:
    tekton.dev/docker-0: https://registry.gitlab.com # 和上面的docker-server一致，要加https://
secrets:
  - name: gitlab-registry-secret

3. 检查Kaniko任务的镜像路径 #

确保Kaniko的IMAGE参数是完整的GitLab镜像地址，比如：
registry.gitlab.com/你的用户名/你的项目名/镜像名:v1.0
很多人因为省略了域名前缀，导致Kaniko找不到对应认证规则，直接报错权限不足。

4. 验证Secret的有效性 #

如果还是失败，先手动验证Secret是否正确：
创建一个测试Pod挂载Secret，查看生成的config.json：

apiVersion: v1
kind: Pod
metadata:
  name: test-reg-auth
spec:
  containers:
  - name: test
    image: alpine
    command: ["sh", "-c", "cat /kaniko/.docker/config.json"]
    volumeMounts:
    - name: docker-config
      mountPath: /kaniko/.docker
  volumes:
  - name: docker-config
    secret:
      secretName: gitlab-registry-secret
      items:
      - key: .dockerconfigjson
        path: config.json

运行kubectl exec test-reg-auth -- cat /kaniko/.docker/config.json，看输出里有没有包含你的GitLab仓库地址和正确的auth字段。

5. 换用最新版Kaniko镜像 #

部分旧版Kaniko对GitLab的认证逻辑兼容有问题，建议改用官方稳定版，比如gcr.io/kaniko-project/executor:v1.19.0-debug（debug版能看到更详细的认证日志，方便排查）。

内容的提问来源于stack exchange，提问作者Rich Jones