11

我正在使用 shippable 将私有 docker 图像推送到 Google Container Registry，然后我想从笔记本电脑本地或 Google Compute Engine 上的实例中提取该镜像。

我知道该命令gcloud preview docker pull gcr.io/projectID/image-name有效，但我不能依赖 gcloud 安装在有人可能需要从中提取图像的每台机器上。

如果我docker-compose up -d在我的机器上运行，则会收到以下错误：

Pulling image gcr.io/projectID/image-name...
Pulling repository gcr.io/projectID/image-name
Traceback (most recent call last):
  File "<string>", line 3, in <module>
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.main", line 31, in main
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.docopt_command", line 21, in sys_dispatch
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.command", line 27, in dispatch
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.docopt_command", line 24, in dispatch
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.command", line 59, in perform_command
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.cli.main", line 464, in up
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.project", line 208, in up
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.service", line 214, in recreate_containers
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.service", line 199, in create_container
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.progress_stream", line 37, in stream_output
  File "/compose/build/docker-compose/out00-PYZ.pyz/compose.progress_stream", line 50, in print_output_event
compose.progress_stream.StreamOutputError: Error: Status 403 trying to pull repository projectID/image-name: "Access denied."

有没有办法使用某种形式的 OAuth 或密钥来验证或访问图像？我想避免必须在每台需要提取图像的机器上安装 gcloud，并且图像必须保持私有。

我已经尝试过gcloud preview docker -a，但这不是我正在寻找的解决方案。

预先感谢您的任何帮助。

4

2 回答 2

11

如果您想使用 vanilla docker 在不在 Google Compute Engine（即本地）中的机器上使用 Google Container Registry，您可以按照 Google 的说明进行操作。

两种主要方法是使用访问令牌或 JSON 密钥文件。

请注意_token和_json_key是您为用户名 ( -u)提供的实际值

访问令牌

$ docker login -e 1234@5678.com -u _token -p "$(gcloud auth print-access-token)" https://gcr.io

JSON 密钥文件

$ docker login -e 1234@5678.com -u _json_key -p "$(cat keyfile.json)" https://gcr.io

要创建密钥文件，您可以按照以下说明进行操作：

  1. 打开凭据页面。
  2. 要设置新的服务帐号，请执行以下操作：
    • 单击添加凭据 > 服务帐户。
    • 选择是将服务帐户的公钥/私钥下载为标准 P12 文件，还是可以由 Google API 客户端库加载的 JSON 文件。
    • 您的新公钥/私钥对已生成并下载到您的机器；它用作此密钥的唯一副本。您有责任安全地存储它。

您可以在此处查看 Google 关于生成密钥文件的文档。

于 2015-11-18T04:22:51.260 回答
0

您也可以执行以下操作，然后它也可以工作。

cat service-account.json | docker login -u _json_key --password-stdin https://gcr.io
于 2021-12-09T08:33:13.547 回答