Нажатие на gcr.io из gitlab-ci, разрешение storage.buckets.get в администраторе хранилища - PullRequest
Новая
       15

Нажатие на gcr.io из gitlab-ci, разрешение storage.buckets.get в администраторе хранилища

0 голосов
/ 25 июня 2019

Я собираю GI-конвейер gitlab для сборки, тестирования, отправки и развертывания приложения реакции.

Теперь все хорошо, кроме отправки изображений в GCR.

Это моя часть трубопровода: 

image: docker:stable

stages:
  - build
  - test
  - push-artifacts
  - deploy-dev
  - deploy-prod

services:
  - docker:dind

...

publish: 
  stage: push-artifacts

  script:
    - echo "$GCLOUD_SERVICE_KEY" | base64 -d > /gcloud-service-key.json
    - cat /gcloud-service-key.json | docker login -u _json_key --password-stdin https://$IMAGE_ROOT
    - docker build -t $IMAGE_REPO:$CI_BUILD_REF -f builder/Dockerfile -t $IMAGE_REPO:latest .
    - docker push $IMAGE_REPO

Я использую учетную запись службы gitlab-ci, в которой есть как IAM хранилища, так и администратора хранилища.

Я использую dind и docker-builder. Вот мой сборщик dockerfile 

FROM docker:stable

# add dependencies
RUN apk add --update make ca-certificates openssl python curl bash tree git jq && \
    update-ca-certificates

WORKDIR /
RUN cd / && wget https://dl.google.com/dl/cloudsdk/release/google-cloud-sdk.tar.gz && \
    tar zxvf google-cloud-sdk.tar.gz && \
    ./google-cloud-sdk/install.sh --usage-reporting=false --path-update=true

# add gcloud to PATH
ENV PATH="/google-cloud-sdk/bin/:${PATH}"

# update and auth
RUN gcloud --quiet components update && \
    gcloud components install kubectl 

# install helm
RUN curl https://raw.githubusercontent.com/kubernetes/helm/master/scripts/get | bash
ENV GOOGLE_APPLICATION_CREDENTIALS=/gcloud-service-key.json 
RUN helm init --client-only && helm plugin install https://github.com/nouney/helm-gcs

Реактивный Dockerfile - это просто обычный реактивный Docker-файл с serve в качестве команды. Но толкающая часть все еще не работает 

Successfully built bd60c4bb569e
Successfully tagged eu.gcr.io/project_name/app:46d1e4beea041acef9ca003f452ee4cbda85d5dd
Successfully tagged eu.gcr.io/project_name/app:latest
$ docker push $IMAGE_REPO
The push refers to repository [eu.gcr.io/project_name/app]
11762a30dfcd: Preparing
f475c6042475: Preparing
526599eebb83: Preparing
c328c8c7f46b: Preparing
71d6c8e5f47f: Preparing
48b131779e9d: Preparing
4b2ccfc1ebff: Preparing
2f810bf9ddab: Preparing
968d46c1d20e: Preparing
b87598efb2f0: Preparing
f1b5933fe4b5: Preparing
48b131779e9d: Waiting
4b2ccfc1ebff: Waiting
2f810bf9ddab: Waiting
968d46c1d20e: Waiting
b87598efb2f0: Waiting
f1b5933fe4b5: Waiting
denied: Token exchange failed for project 'project_name'. Caller does not have permission 'storage.buckets.get'. To configure permissions, follow instructions at: https://cloud.google.com/container-registry/docs/access-control

Вход в систему успешен, но все еще возникают проблемы с разрешениями. Почему?

Мой json-ключ служебного токена в кодировке base64 находится в переменных среды gitlab.

1 Ответ

0 голосов
/ 26 июня 2019

Я вижу, что вы используете служебную учетную запись или учетную запись пользователя (владельца gcloud-service-key.json) для доступа к вашему проекту, но вам нужно добавить роль администратора хранилища в свою учетную запись, отметьте эту ссылка как ссылка для предоставления ролей.

...