从 COS 上运行的 docker/compose 容器访问私有 Google Container Registry

Question

我在 GCE（使用 Docker 17.03.2）上运行 Container-Optimized OS VM，并希望使用 docker-compose 来管理容器。 docker-compose 未安装在 COS 上，但可以使用映像 docker/compose 从容器中运行，如 this tutorial 中所述：

docker run \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v "$PWD:/rootfs/$PWD" \
    -w="/rootfs/$PWD" \
    docker/compose:1.14.0 up

我要访问的图像位于私有 Google 容器注册表中，这需要 docker login 才能进行拉取访问。如何运行 docker/compose 镜像来访问私有注册表？

COS VM 已经被授权访问注册表，并且我在 VM 上有一个服务帐户 JSON 文件，但是可以在运行 up 命令之前将其传递给 compose 映像以登录吗？

Answer 1

您想使用this 方法进行身份验证。

Answer 2

使用来自GCR's advanced authentication docs 的 _json_key 验证，以下脚本是否有效？

docker run \ -v /var/run/docker.sock:/var/run/docker.sock \ -v "$PWD:/rootfs/$PWD" \ -w="/rootfs/$PWD" \ docker/compose:1.14.0 \ /bin/bash -c "docker login -u _json_key -p $(cat keyfile.json) https://gcr.io; up"

Answer 3

我找到的最佳解决方案是在 Docker 主机上进行身份验证，然后将 docker 配置挂载到 docker-compose 容器中：

docker login -u _json_key -p "$(cat keyfile.json)" https://gcr.io
docker run \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v /root/.docker:/root/.docker \
    -v "$PWD:$PWD" \
    -w="$PWD" \
    docker/compose:1.14.0 \
    up

Answer 4

如果 COS VM 已被授权访问注册表（例如，附加的服务帐户对托管映像的项目具有 GCS 视图访问权限），则直接使用服务帐户 JSON 凭据的替代方法是运行 /usr/share/google/dockercfg_update.sh COS 自带的脚本：

#!/bin/sh
# Copyright 2015 The Chromium OS Authors. All rights reserved.
# Use of this source code is governed by a BSD-style license that can be
# found in the LICENSE file.

set -eu

AUTH_DATA="$(curl -s -f -m 10 "http://metadata/computeMetadata/v1/instance/service-accounts/default/token" \
  -H "Metadata-Flavor: Google")"
R=$?
if [ ${R} -ne 0 ]; then
  echo "curl for auth token exited with status ${R}" >&2
  exit ${R}
fi

AUTH="$(echo "${AUTH_DATA}" \
| tr -d '{}' \
| sed 's/,/\n/g' \
| awk -F ':' '/access_token/ { print "_token:" $2 }' \
| tr -d '"\n' \
| base64 -w 0)"

if [ -z "${AUTH}" ]; then
  echo "Auth token not found in AUTH_DATA ${AUTH_DATA}" >&2
  exit 1
fi

D="${HOME}/.docker"
mkdir -p "${D}"
cat > "${D}/config.json" <<EOF
{
 "auths":{
  "https://container.cloud.google.com":{"auth": "${AUTH}"},
  "https://gcr.io":{"auth": "${AUTH}"},
  "https://b.gcr.io":{"auth": "${AUTH}"},
  "https://us.gcr.io":{"auth": "${AUTH}"},
  "https://eu.gcr.io":{"auth": "${AUTH}"},
  "https://asia.gcr.io":{"auth": "${AUTH}"},
  "https://beta.gcr.io":{"auth": "${AUTH}"}
 }
}
EOF

这具有由 Google 维护的好处，并且无需管理服务帐户凭据。