GitLab如何配置权限使用户仅可拉取容器镜像无其他访问权限

GitLab 默认的 Guest 角色确实同时开放项目源码下载、容器 Registry 拉取权限，无法直接满足「仅能拉镜像、不能碰源码」的需求，以下是经过验证的可行配置方案，按落地便捷度排序：

• 自定义角色方案（推荐，适用于 GitLab 15.9 及以上版本）
  这是最贴合需求的方案，不需要额外凭证，直接给用户分配对应权限即可：

  1. 进入目标项目的「设置」-「成员」-「角色」页面，新建自定义角色
  2. 基底权限选最低的 Guest 档位，然后手动关闭所有源码相关权限：取消查看代码、下载源码包、查看提交记录、查看分支标签等所有和代码仓库访问相关的权限勾选
  3. 单独保留 Registry 模块的查看镜像、拉取镜像权限
  4. 回到项目成员列表，把目标用户添加到项目，绑定刚创建的自定义角色
     配置完成后，用户登录 GitLab 进入项目只会看到 Registry 入口，访问代码仓库页面会直接提示无权限，也无法通过 git clone、源码压缩包链接等方式下载代码，但是可以正常通过 docker/podman 等工具拉取项目下的容器镜像。

• 部署令牌方案（适配所有 GitLab 版本，安全性更高）
  如果你的 GitLab 版本较低不支持自定义角色，完全可以不用给用户开项目成员身份，用部署令牌做单独的 Registry 授权：

  1. 进入目标项目的「设置」-「仓库」-「部署令牌」页面，新建令牌
  2. 权限范围仅勾选read_registry，绝对不要勾选read_repository选项，可按需设置令牌过期时间、允许访问的IP段做额外安全管控
  3. 保存生成的令牌用户名和密码，发给目标用户作为镜像拉取的认证凭证即可
     这个方案下用户完全没有项目页面的访问权限，根本接触不到源码入口，权限边界最清晰。如果需要给多个用户分配权限，建议单独给每个人创建独立令牌，后续人员变动时直接吊销对应令牌即可，不会影响其他用户使用。
     拉取镜像的认证命令参考：

  docker login <你的GitLab访问域名> -u <部署令牌用户名> -p <部署令牌密码>
  docker pull <你的GitLab访问域名>/<项目全路径>/<镜像名>:<镜像标签>
  

避坑提醒：不要尝试用「给用户分配Guest角色+隐藏代码仓库菜单」的方式实现需求，GitLab 历史多个版本存在权限绕过问题，隐藏菜单后用户依然可以通过未公开的API、源码包直链等方式下载到项目源码，权限管控不可靠。

内容的提问来源于stack exchange，提问作者Zoha Rad