Jenkins使用Kaniko构建镜像推送GCR出现403权限错误如何解决

• 权限账号匹配错误：你给Owner权限的GCP服务账号，和流水线podTemplate中指定的K8s服务账号jenkins-service-account未正确关联，是最常见的错误原因。如果是GKE集群，默认K8s服务账号不会自动继承GCP服务账号权限，必须手动做关联配置。
• Workload Identity配置缺失：如果你的GKE集群开启了Workload Identity，还需要额外配置K8s服务账号和GCP服务账号的绑定关系、授权roles/iam.workloadIdentityUser权限，否则K8s服务账号无法获取GCP的访问令牌。
• Kaniko凭证缺失：Kaniko默认优先读取GOOGLE_APPLICATION_CREDENTIALS环境变量指定的密钥文件、其次是节点服务账号凭证、最后是Workload Identity凭证，你当前的配置既没有挂载GCP服务账号密钥，也没有配置正确的身份关联，自然无法获取GCR推送权限。

方案1：配置Workload Identity（生产环境推荐） #

1. 确认你要用来推GCR的GCP服务账号，已授予roles/storage.objectCreator权限（不需要Owner权限，最小权限即可）
2. 给K8s的jenkins-service-account添加注解，绑定GCP服务账号：

kubectl annotate sa jenkins-service-account iam.gke.io/gcp-service-account=<GCP服务账号邮箱> -n <Jenkins部署的命名空间>

3. 给GCP服务账号授予Workload Identity用户权限：

gcloud iam service-accounts add-iam-policy-binding <GCP服务账号邮箱> \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:<GCP项目ID>.svc.id.goog[<Jenkins命名空间>/jenkins-service-account]"

4. 重启Jenkins服务Pod让配置生效，原有流水线不需要做任何修改即可正常推送镜像。

方案2：挂载服务账号密钥（PoC快速验证用） #

1. 先把GCP服务账号的JSON密钥文件存为K8s Secret：

kubectl create secret generic gcr-sa-key --from-file=key.json=<本地GCP密钥文件路径> -n <Jenkins部署的命名空间>

2. 修改你的流水线podTemplate配置，新增Secret挂载，调整后示例如下：

podTemplate(
containers: [
    containerTemplate (
        name: 'kaniko',
        image: 'gcr.io/kaniko-project/executor:debug-v1.3.0',
        ttyEnabled: true,
        command: 'sleep 1000000',
        args: '',
        resourceRequestCpu: '0.5',
        resourceRequestMemory: '500Mi'
    )
],
serviceAccount: 'jenkins-service-account',
// 新增挂载配置
volumes: [
    secretVolume(secretName: 'gcr-sa-key', mountPath: '/kaniko/.config/gcloud/')
]
) {
// 后续的stage逻辑保持原有配置不变

配置完成后可以先在Kaniko容器内执行sh 'gcloud auth list'，如果能正常输出你绑定的GCP服务账号，说明凭证配置正确，再执行构建推送即可。

生产环境不要给服务账号授予Owner级权限，GCR推送仅需要roles/storage.objectCreator权限即可满足需求，遵循最小权限原则降低安全风险。

内容的提问来源于stack exchange，提问作者jebret