GitLab部署令牌登录成功但无法拉取容器镜像的权限问题排查

我之前碰到过类似的权限坑，结合你描述的情况——登录没问题但拉取镜像被拒、个人账号能正常操作，还有auth.log里authorized_actions: []的提示，咱们一步步来排查可能的原因：

1. 确认部署令牌的绑定对象是否正确 #

GitLab的部署令牌是绑定到特定项目或组的，如果你拉取的镜像属于组级容器注册表，但令牌是在子项目下创建的，或者反过来绑定错了项目/组，就会出现权限不足的情况。建议核对：镜像所在的项目/组，和创建部署令牌的项目/组是不是完全一致。

2. 检查容器注册表的访问控制设置 #

这是最容易被忽略的关键点！在项目的「设置」→「容器注册表」页面，有些用户会设置仅限特定角色访问（比如只允许开发者及以上角色拉取），而部署令牌对应的是独立的「Deploy Token」身份，如果这里的访问策略没放开，就会导致令牌没有拉取权限。

你可以去这个页面确认：是否勾选了允许部署令牌访问容器注册表，或者是否把访问权限设置为「所有拥有权限的用户（包括部署令牌）」。

3. 重新验证部署令牌的作用域配置 #

虽然你说已经勾选了read_repository、read_registry、read_package_registry，但有时候GitLab的UI可能有缓存，或者创建时不小心漏选了核心权限。建议：

• 进入项目的「设置」→「部署令牌」页面，编辑对应的令牌
• 重点确认read_registry这个作用域是否被勾选（这是拉取容器镜像的核心权限）
• 直接重新生成一个新令牌测试，避免旧令牌的缓存或配置异常问题

4. 排查组层面的权限继承限制 #

如果你的项目属于某个组，组层面的权限设置可能会覆盖项目级配置。比如组的「设置」→「权限」里，是否禁用了部署令牌访问容器注册表的权限？或者组的可见性为私有，但部署令牌没有被授权访问组内资源？

5. 快速核对镜像拉取URL格式（虽然个人账号能拉，但可以再确认） #

有时候可能不小心混用了代码仓库URL和容器注册表URL，正确的容器镜像拉取格式应该是：

registry.gitlab.com/<你的命名空间>/<项目名>/<镜像名>:<标签>

结合你auth.log里scope_type":"repository"和authorized_actions为空的提示，说明GitLab当前判定这个部署令牌完全没有对应的拉取权限，重点可以先放在部署令牌的作用域确认和容器注册表的访问控制设置这两点上，大概率能解决问题。

备注：内容来源于stack exchange，提问作者MSalters