K8s能否使用GITHUB_TOKEN拉取ghcr私有镜像？需如何配置？

完全可以使用GITHUB_TOKEN拉取存放在Github Container Registry（ghcr）中的私有镜像，前提是所用的GITHUB_TOKEN持有对应镜像包的读取权限。

• 若使用个人账号生成的GITHUB_TOKEN（PAT），必须为token勾选read:packages权限范围，同时在镜像包的访问设置中，给该token所属账号开放读取权限
• 若使用Github Actions流水线自动生成的内置GITHUB_TOKEN，默认仅拥有当前流水线所在仓库的包读取权限，跨仓库拉取私有镜像时，需要提前在目标镜像包的设置中给流水线所在仓库开放访问授权

1. 创建镜像拉取专用Secret #

K8s拉取私有镜像需要先创建docker-registry类型的Secret存储认证信息，执行以下命令创建：

kubectl create secret docker-registry ghcr-auth \
  --docker-server=ghcr.io \
  --docker-username=你的Github账号/组织名 \
  --docker-password=你的GITHUB_TOKEN值 \
  --docker-email=你的Github绑定邮箱

提示：如果是在Github Actions流水线中配置部署，不要硬编码token值，直接通过${{ secrets.GITHUB_TOKEN }}变量传入即可。Secret属于命名空间级资源，需要在部署工作负载的对应命名空间下创建。

2. 配置工作负载使用该认证信息 #

有两种常用配置方式，选其一即可：

• 方式一：单工作负载指定
  在Deployment、StatefulSet、Pod等工作负载的Pod spec段添加imagePullSecrets字段，关联前面创建的Secret，配置示例：

spec:
  imagePullSecrets:
    - name: ghcr-auth
  containers:
    - name: your-service
      image: ghcr.io/你的账号/镜像名:标签

• 方式二：绑定到ServiceAccount全局生效
  将Secret配置到业务使用的ServiceAccount的imagePullSecrets字段中，该ServiceAccount下启动的所有Pod会自动使用该凭证拉取镜像，无需逐个工作负载配置，示例：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: your-business-sa
  namespace: your-namespace
imagePullSecrets:
  - name: ghcr-auth

• 拉镜像报403错误：优先检查token的read:packages权限是否勾选、镜像包是否给对应账号/仓库开放了访问权限
• 拉镜像报401错误：检查Secret里的用户名、token是否填写正确，注意token过期时间，个人PAT可以设置自定义过期周期，Actions内置GITHUB_TOKEN每次流水线自动生成新的，无需手动更新

内容的提问来源于stack exchange，提问作者Joseph Y