使用docker-credential-gcr后docker pull正常但docker-compose pull GCR镜像失败

1. 核对执行身份与凭证配置一致性 #

docker pull正常说明凭证本身有效，docker-compose拉取失败大多是身份或配置读取不一致导致：

• 确认执行docker pull和docker-compose pull的是同一个用户，执行id命令对比两次操作的用户UID
• 查看当前用户的docker凭证配置：cat ~/.docker/config.json，确认是否存在"credsStore": "gcr" 配置项
• 如果执行docker-compose时使用了sudo，root用户默认没有对应凭证配置，需要同步当前用户的配置到root路径：

sudo mkdir -p /root/.docker
sudo cp ~/.docker/config.json /root/.docker/

• 确认docker-credential-gcr在执行用户的PATH中，sudo执行时需额外验证sudo which docker-credential-gcr，如果返回为空，执行以下命令同步二进制文件：

sudo cp $(which docker-credential-gcr) /usr/local/bin/

2. 排查docker-compose版本兼容性 #

旧版本的docker-compose v1对第三方凭证助手的支持存在已知缺陷：

• 查看当前版本：docker-compose --version
• 若版本低于1.29.0，建议升级为docker compose v2（官方插件版），执行命令：

sudo apt update && sudo apt install docker-compose-plugin
# 验证安装
docker compose version

• 升级后使用docker compose pull（空格替代破折号）重新测试拉取

3. 核对docker-compose.yml镜像配置 #

检查配置文件中的镜像地址是否与手动拉取的地址完全一致：

services:
  nextjs:
    image: gcr.io/projectname/nextjs # 需和docker pull的地址完全匹配，避免拼写错误
    # 其余业务配置

4. 临时规避方案 #

如果暂未定位到根因，可先手动执行docker pull gcr.io/projectname/nextjs拉取镜像到本地，后续执行docker-compose up时会优先使用本地镜像，不会触发远端权限校验。

内容的提问来源于stack exchange，提问作者sonium