反向代理后的GitLab Container Registry执行docker login报访问禁止如何解决

1. 修复外层Nginx反向代理配置 #

当前反向代理未传递Registry鉴权所需的请求头，导致请求无法被GitLab识别，修改Nginx配置中registry.example.com对应的location块：

location / {
    proxy_pass http://192.168.0.30:5050;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_read_timeout 900;
}

修改完成后执行重载生效：
nginx -s reload

2. 修正GitLab docker-compose配置 #

现有配置存在两处错误，直接导致鉴权失败：

• registry['registry_http_addr'] 参数配置错误：该参数为Registry服务内部监听地址，不需要指定为对外域名，错误配置会导致Registry服务无法正常接收内部转发请求
• 缺少HTTPS卸载标识配置：外层Nginx已处理HTTPS，需要告知GitLab Registry外部访问协议为HTTPS，避免鉴权回调地址生成错误

修改后的GITLAB_OMNIBUS_CONFIG段如下：

GITLAB_OMNIBUS_CONFIG: |
  external_url 'http://gitlab.example.com'
  nginx['listen_port'] = 8081
  nginx['listen_https'] = false
  registry_external_url 'https://registry.example.com'
  # 注释或删除错误的registry_http_addr配置，保持默认即可，如需自定义按下方格式
  # registry['registry_http_addr'] = "0.0.0.0:5000"
  registry_nginx['listen_port'] = 5005
  registry_nginx['listen_https'] = false
  # 新增以下配置告知GitLab外部使用HTTPS访问
  registry_nginx['proxy_set_headers'] = {
    "X-Forwarded-Proto" => "https",
    "X-Forwarded-Ssl" => "on"
  }

修改完成后重启GitLab容器生效：
docker-compose up -d --force-recreate web
等待GitLab服务完全启动（约3-5分钟）后再进行登录测试。

3. 验证登录凭证有效性 #

• 手动测试时，不要直接使用CI变量名，替换为实际值测试：使用GitLab用户名+勾选了read_registry、write_registry权限的个人访问令牌执行登录命令
• CI流水线报错时，确认当前项目Runner权限、CI变量是否正常注入，项目是否已开启容器Registry功能

4. 日志排查 #

若以上操作后仍无法登录，查看对应日志定位问题：

• GitLab Registry访问日志：docker exec -it web tail -f /var/log/gitlab/nginx/gitlab_registry_access.log
• 外层Nginx错误日志：tail -f /var/log/nginx/error.log

内容的提问来源于stack exchange，提问作者mama