我想给用户分配权限，只是拉gitlab的注册表容器，不能下载原始项目，而即使是gitlab上的客人也可以下载项目和拉容器，任何解决方案?
不能为用户分配/撤销粒度权限。用户访问权限由他们在项目中分配(或继承)的角色和项目可见性设置决定。
如果您的项目具有内部或公共可见性，则任何登录的用户都可以下载项目文件。为了防止用户看到项目，您必须将其设为私有并撤销成员资格。
但是，您可以创建一个项目访问令牌并仅将其分配给read_registry范围。然后，该令牌只能用于从容器注册表下载映像，而不能提供任何其他访问。