minikube配置registry-creds后拉取GCR镜像提示未授权如何解决

第一步：验证本地凭证有效性 #

• 先确认本地凭证本身有权限访问目标GCR仓库：
  1. 本地执行gcloud auth configure-docker完成Docker认证配置
  2. 执行docker pull gcr.io/myproject/myimages/myimage:test尝试拉取镜像
  3. 如果本地拉取失败，需先在GCP IAM控制台给对应服务账号授予roles/storage.objectViewer权限，这是拉取GCR镜像的必备权限

第二步：排查registry-creds插件运行状态 #

• 检查插件Pod是否正常运行：执行kubectl get pods -n kube-system | grep registry-creds，若Pod状态不是Running，执行kubectl logs -n kube-system <替换为实际的registry-creds Pod名称>查看错误日志，常见错误包括：
  • 本地凭证路径填写错误，插件无法读取对应文件
  • minikube没有权限读取你本地的/Users/meeee/.config/gcloud/application_default_credentials.json文件
• 验证凭证是否已经同步到minikube节点：执行minikube ssh -p aged -- cat /home/docker/.docker/config.json，查看文件中是否存在gcr.io的认证信息，若不存在说明插件同步逻辑失效

第三步：修复方案 #

方案1：手动给minikube节点注入认证信息 #

1. 执行minikube docker-env -p aged，按照输出提示配置终端环境变量，让本地docker命令直接操作minikube内置的Docker服务
2. 再次执行gcloud auth configure-docker，将GCR认证信息直接写入minikube的Docker配置
3. 执行minikube ssh -p aged -- sudo systemctl restart kubelet重启kubelet生效

方案2：手动创建镜像拉取Secret #

直接在K8s集群中创建认证Secret，在部署时显式指定拉取凭证：

kubectl create secret docker-registry gcr-cred \
  --docker-server=gcr.io \
  --docker-username=_json_key \
  --docker-password="$(cat /Users/meeee/.config/gcloud/application_default_credentials.json)" \
  --docker-email=your-email@example.com

之后在Deployment的YAML配置中添加imagePullSecrets字段即可：

spec:
  template:
    spec:
      imagePullSecrets:
      - name: gcr-cred

方案3：修复版本兼容性问题 #

你使用的Kubernetes v1.18.10属于非常旧的版本，当前registry-creds插件的1.10版本和旧K8s版本存在兼容性bug，会导致凭证无法自动同步。可将minikube集群的Kubernetes版本升级到1.21+之后，重新启用registry-creds和gcp-auth插件即可。

内容的提问来源于stack exchange，提问作者red888