通过Terraform获取GCR镜像摘要的最简实现方法咨询

方案1：复用现有Google provider认证，通过标准OCI接口直拉镜像摘要 #

完全不需要引入docker provider，利用GCR本身兼容OCI Registry Distribution规范的特性，直接发请求拉取摘要即可，整体配置量比双provider方案减少七成：

• 认证逻辑直接复用你已经在使用的Google provider权限，通过内置的google_client_config数据源获取有效访问令牌，不需要单独配置docker凭证、维护~/.docker/config.json
• 调用标准registry v2接口拉取对应tag的镜像manifest，接口响应头中的Docker-Content-Digest值就是需要的sha256镜像摘要

参考配置：

terraform {
  required_providers {
    google = {
      source = "hashicorp/google"
    }
    # 无需配置docker provider
  }
}

# 获取当前Google provider认证对应的有效访问令牌
data "google_client_config" "current" {}

locals {
  gcr_registry = "gcr.io"
  project      = "foo"
  image_name   = "bar"
  image_tag    = "baz"
  image_url    = "${local.gcr_registry}/${local.project}/${local.image_name}"
}

# 调用标准OCI registry接口拉取镜像元数据
data "http" "gcr_image" {
  url = "https://${local.image_url}/manifests/${local.image_tag}"
  request_headers = {
    "Authorization" = "Bearer ${data.google_client_config.current.access_token}"
    "Accept"        = "application/vnd.oci.image.manifest.v1+json"
  }
}

output "digest" {
  value = data.http.gcr_image.response_headers["Docker-Content-Digest"][0]
}

方案优势：

• 无额外依赖：不需要安装docker客户端、不需要配置独立的registry auth块
• 权限统一：直接走现有GCP IAM权限校验，和你当前Terraform的其他Google资源权限逻辑一致，CI/CD流程中不需要额外处理docker凭证挂载
• 流程可靠：不存在docker版本兼容、config文件权限不足等常见故障点

方案2：使用GCP原生镜像服务的内置数据源 #

如果后续将现有GCR镜像迁移到GCP官方新的镜像托管服务Artifact Registry，可以直接使用Google provider内置的google_artifact_registry_image数据源，这个数据源会实时联网拉取镜像元数据，digest参数直接返回有效值，不需要额外调用接口，是目前最简洁的实现方式。

内容的提问来源于stack exchange，提问作者antifriz