我尝试使用Google Container Registry,但对我而言不起作用。
我写了以下containers.yaml
。
$ cat containers.yaml
version: v1
kind: Pod
spec:
containers:
- name: amazonssh
image: asia.gcr.io/<project-id>/amazonssh
imagePullPolicy: Always
restartPolicy: Always
dnsPolicy: Default
我通过以下命令运行实例。
$ gcloud compute instances create containervm-amazonssh --image container-vm --network product-network --metadata-from-file google-container-manifest=containers.yaml --zone asia-east1-a --machine-type f1-micro
我设置了以下acl权限。
# gsutil acl ch -r -u <project-number>@developer.gserviceaccount.com:R gs://asia.artifacts.<project-id>.appspot.com
但是当docker从Google Container Registry中提取图像时,访问被拒绝。
# docker pull asia.gcr.io/<project-id>.a/amazonssh
Pulling repository asia.gcr.io/<project-id>.a/amazonssh
FATA[0000] Error: Status 403 trying to pull repository <project-id>/amazonssh: "Access denied."
您能否从实例中验证您可以从Google Cloud Storage存储桶中读取数据? 可以通过以下方式验证:
$ curl -H 'Metadata-Flavor: Google' $SVC_ACCT/scopes
...
https://www.googleapis.com/auth/devstorage.full_control
https://www.googleapis.com/auth/devstorage.read_write
https://www.googleapis.com/auth/devstorage.read_only
...
如果是这样,请尝试:
在Google Compute Engine上,您无需使用gcloud即可登录:
$ METADATA=http://metadata.google.internal./computeMetadata/v1
$ SVC_ACCT=$METADATA/instance/service-accounts/default
$ ACCESS_TOKEN=$(curl -H 'Metadata-Flavor: Google' $SVC_ACCT/token \
| cut -d'"' -f 4)
$ docker login -e [email protected] -u _token -p $ACCESS_TOKEN https://gcr.io
然后再次尝试使用docker pull命令。
您在此处的project-id之后有一个额外的.a
,不确定是否以这种方式运行了该命令?
docker pull asia.gcr.io/<project-id>.a/amazonssh
container-vm具有以gcloud docker -a
身份运行gcloud docker -a
的cron作业,因此您应该能够以root身份运行gcloud docker -a
docker pull
。
启动容器-vm Docker容器的kubelet也了解如何使用GCR进行本地身份验证,因此它应该可以正常工作。
请随时通过[email protected]与我们联系。 如果可以包含您的项目ID,还可以包含来自container-vm的/var/log/kubelet.log,这将很有用。