DO Kubernetes集群拉取GCP私有GCR镜像报403错误如何解决？

GCR本身没有限制谷歌云外环境访问，403错误均为权限或配置遗漏导致，可按以下步骤排查修复：

• 服务账号权限配置缺失（最高发原因）
  GCR的底层存储依赖GCP云存储（GCS），仅创建服务账号密钥无法拉取镜像，需要在GCP IAM控制台为该服务账号授予对应项目的roles/storage.objectViewer权限，权限生效需要等待1-2分钟。
• Secret配置错误
  执行以下命令验证secret内容是否正确：

  kubectl get secret gcr-json-key -o jsonpath='{.data.\.dockerconfigjson}' | base64 -d
  

  检查输出中的密码字段是否为完整的服务账号JSON密钥内容，若存在内容截断、转义错误，删除原有secret后重新执行创建命令即可。
• 仓库域名不匹配
  若你的镜像存储在GCR区域专用域名下（例如asia.gcr.io、eu.gcr.io），需要保证创建secret时的--docker-server参数与镜像前缀的域名完全一致，不能统一填写gcr.io。
• 命名空间不匹配
  Kubernetes的Secret为命名空间隔离资源，需保证你创建的gcr-json-key secret与Deployment资源处于同一个命名空间下，否则Deployment无法读取到该拉取凭据。
• 服务账号/密钥异常
  登录GCP IAM控制台，确认该服务账号未被禁用，对应的JSON密钥未被删除、未过有效期。

你可以先在本地环境验证凭据有效性，排除GCP侧配置问题：

# 用服务账号密钥登录GCR
docker login gcr.io -u _json_key -p "$(cat ~/json-key-file.json)"
# 手动拉取目标镜像
docker pull gcr.io/myapp/backendnodeapi:latest

如果本地拉取也报错，优先修复GCP侧的权限配置；本地拉取正常的话，再排查K8s侧的配置即可。

内容的提问来源于stack exchange，提问作者agusgambina