如何通过 Kubernetes(k8s) 配置集群内的私有仓库进行镜像拉取？

在Kubernetes中配置私有仓库镜像拉取需通过Secret和imagePullSecrets实现。以下是关键步骤与实践经验：

1. 创建docker-registry类型Secret

   kubectl create secret docker-registry regcred \
   --docker-server=registry.example.com \
   --docker-username=<user> \
   --docker-password=<password> \
   --docker-email=<email>

   *注意：若使用自签名证书，需在节点Docker配置中添加"insecure-registries": ["registry.example.com"]并重启containerd

2. Pod配置引用Secret 在deployment/pod的yaml中指定：

   spec:
   containers:
   - name: app
   image: registry.example.com/app:v1
   imagePullSecrets:
   - name: regcred

实践中常见挑战及解决方案：

• 证书验证失败：当私有仓库使用自签名证书时，需将CA证书写入所有节点的/etc/docker/certs.d/registry.example.com/ca.crt，并在containerd配置中声明信任
• 网络策略拦截：需确保Calico/CNI网络策略允许节点访问私有仓库的5000/443端口，特别是跨VPC场景
• 镜像拉取超时：通过kubectl describe pod查看Events，若出现ImagePullBackOff，需检查DNS解析（可添加hostAliases）、MTU大小（overlay网络常见问题）
• 多命名空间管理：通过Kustomize生成namespace-specific的secret，或使用ClusterSecret方案（需搭配第三方控制器）
• Harbor集成问题：当使用Robot Account时，需注意生成的token可能包含特殊字符，建议base64加密后存入Secret

优化实践：

• 通过ServiceAccount全局绑定imagePullSecrets：

  
  apiVersion: v1
  kind: ServiceAccount
  metadata:
  name: default
  imagePullSecrets:

• name: regcred

• 对生产环境建议部署Harbor仓库，并启用镜像扫描和保留策略
• 在CI/CD流水线中，通过Vault动态生成临时仓库凭证并注入Secret

1. 创建私有仓库认证Secret：

   • 使用kubectl create secret docker-registry命令生成密钥，例如：

     kubectl create secret docker-registry regcred \
     --docker-server=<私有仓库地址> \
     --docker-username=<用户名> \
     --docker-password=<密码> \
     --namespace=<命名空间>

2. 配置Pod的imagePullSecrets：

   • 在Pod的YAML中显式引用Secret：

     spec:
     containers:
      - name: myapp
        image: <私有仓库地址>/镜像名:tag
     imagePullSecrets:
      - name: regcred

3. （可选）绑定ServiceAccount：

   • 修改默认ServiceAccount，自动附加Secret：

     apiVersion: v1
     kind: ServiceAccount
     metadata:
     name: default
     imagePullSecrets:
     - name: regcred

4. 验证配置：

   • 部署测试Pod并检查事件日志：

     kubectl describe pod <pod名称> | grep -i 'pull'

   • 确认无ErrImagePull错误，且镜像状态为Pulled

常见问题排查：

• 检查Secret与Pod是否在同一命名空间
• 确认docker-server地址包含协议头（如https://）
• 节点需预先信任自签名证书（对于非公开CA签发的仓库）

1. 创建Docker Registry Secret：

   kubectl create secret docker-registry regcred \
   --docker-server=<私有仓库地址> \
   --docker-username=<用户名> \
   --docker-password=<密码> \
   --namespace=目标命名空间（可选）

2. 在Pod/Deployment配置中引用Secret：

   spec:
    imagePullSecrets:
      - name: regcred
    containers:
      - name: app
        image: <私有仓库地址>/镜像路径:标签

3. （可选）为ServiceAccount全局注入：

   kubectl patch sa default -p '{"imagePullSecrets": [{"name": "regcred"}]}' --namespace=目标命名空间

注：自签名证书需在节点Docker配置中添加insecure-registries