如何将GCP Container Registry服务账号认证密钥配置至Docker daemon.json实现自动拉取

核心认知澄清：多数人会误以为所有Docker配置都要写到daemon.json里，实际Docker从19.03版本开始，已经废弃了daemon.json中auths认证字段的支持——daemon.json仅存储daemon进程的运行参数，根本不会读取仓库认证凭据。真正的全局认证配置存放路径是系统级的Docker config.json，配置完即可实现免手动登录、自动拉取GCR镜像的效果。

具体实现步骤 #

1. 生成GCR对应认证的Base64编码串
   你已经有可用的服务账号credentials.json，不需要依赖手动执行docker login生成配置，直接通过命令生成符合要求的认证串：
   echo -n "_json_key: $(cat credentials.json)" | base64 -w 0
   执行后会输出一串无换行的Base64字符串，这串值就是Docker识别GCR认证所需的核心凭据——和你之前手动执行docker login命令生成的内容本质完全一致，只是手动执行的结果默认写到了当前用户的~/.docker/config.json下，属于用户级配置，换用户、后台服务调用拉取时会失效。
2. 编写全局Docker认证配置文件
   在Linux生产环境下，创建系统级全局配置路径/etc/docker/config.json（如果路径不存在直接新建即可），写入对应配置：

   {
     "auths": {
       "gcr.io": {
         "auth": "上一步生成的Base64编码串"
       }
     }
   }
   

   注意：如果你的业务实际使用的是分区域的GCR域名（比如us.gcr.io、eu.gcr.io、asia.gcr.io），需要把配置里的gcr.io替换成你实际访问的域名，否则对应区域的仓库拉取仍会返回401权限错误。

3. 修正配置文件权限
   出于安全校验逻辑，Docker只会读取满足权限要求的认证文件：
   • 将/etc/docker/config.json的所属用户/组设置为root
   • 给文件设置600权限，即仅root用户拥有读写权限，其他用户无任何访问权限
     配置完成后不需要重启Docker daemon，Docker每次执行镜像拉取操作时，都会自动实时读取该全局配置的凭据，实现免手动登录的效果。

常见踩坑点 #

• 不要把认证内容硬塞到daemon.json中，既不生效，还可能因为JSON格式错误导致Docker daemon启动失败。
• 确保服务账号本身拥有对应GCR存储桶的storage.objectViewer权限，否则哪怕认证配置完全正确，拉取镜像时仍会返回权限拒绝错误。
• 不要用非root用户的~/.docker/config.json作为全局凭据来源，否则当其他系统用户、后台服务调用Docker拉取镜像时，会因为读不到用户目录下的凭据触发登录报错。

内容的提问来源于stack exchange，提问作者JDev