从不同项目访问 GCP Docker 映像

Question

我有两个 GCP 项目。 projectA 包含一个工件注册表，我在其中存储我的 docker 图像，projectB 是我想使用这样的图像与 app-engine 一起部署它的位置（灵活）。

我的命令如下所示：

gcloud app deploy --project=projectB --version=test1 --image-url="asia-northeast1-docker.pkg.dev/projectA/default/my-image:latest"

这样失败：

错误：(gcloud.app.deploy) 错误响应：[7] App Engine apppot 并且 App Engine 柔性环境服务帐号必须具有 图片的权限 [asia-northeast1-docker.pkg.dev/projectA/default/my-image:latest]。 请检查 App Engine 默认服务帐户是否具有 [Storage Object Viewer] 角色和 App Engine 灵活服务 帐户具有 App Engine 柔性环境服务代理角色

我确保App Engine default service account 具有Storage Object Viewer 角色（在两个项目中），但是我在任何地方都找不到App Engine Flexible service account。

Answer 1

您需要确保 projectB 的 App Engine default service account 可以访问 projectA 中的 gcs 存储桶。

你应该去项目A到“IAM”（不是“服务帐户”），在那里你将能够从projectB添加App Engine default service account的电子邮件地址。

Answer 2

在 Google Cloud 上，您有 2 个容器注册表产品：容器注册表和工件注册表。

当您使用旧版 Container Registry 时，Kunal 的答案是正确的，您需要在您的项目中授予服务帐户作为 Storage Object Viewer。

但是，新注册表 Artifact Registry 的主要演变是 IAM 兼容性。这一次您可以授予，而不是项目范围（即使可以，但我不推荐），而是在注册表范围内。而且您有专门的 IAM 角色。

转到 Artifact Registry，选中它（左侧的复选框）并转到右侧的权限面板

点击添加成员，添加你的服务账号并选择正确的角色，这里神器阅读器就够了

（如果您在项目范围内授予您的服务帐户，当然也可以使用相同的角色）

---

编辑 1

您也可以在项目级别授予此角色