在另一个项目中使用 GKE 中的 Google 容器注册表

Question

GKE 集群如何从另一个项目托管的容器注册表中提取容器映像？

我在项目中有一个 GKE 集群，<reader-project>试图访问项目中的 GCR 映像<registry-project>。

我已尝试添加 GCE 服务帐户电子邮件作为<reader-project>对存储桶具有读者访问权限的用户<registry-project>，但我仍然收到错误：

<Error><Code>AccessDenied</Code>
<Message>Access denied.</Message>
<Details>Caller does not have storage.objects.get access to object us.artifacts.<registry-project>.appspot.com/containers/images/sha256:<tag>.
</Details></Error>

Answer 1

尝试将 GCE 服务帐户电子邮件添加为具有存储对象查看者角色的用户。它为服务帐户提供对项目中 GCS 对象（容器映像）的只读访问权限。