配置containerd镜像仓库完全攻略：从基础到进阶的完整指南

摘要

在容器化部署中，containerd作为Kubernetes默认的容器运行时，其镜像仓库配置直接影响容器拉取效率与安全性。本文从基础配置出发，系统讲解如何配置containerd的镜像仓库，涵盖私有仓库认证、镜像加速、安全策略及故障排查，提供从零开始的完整操作指南。

一、containerd镜像仓库配置基础

1.1 配置文件路径与结构

containerd的配置文件默认位于/etc/containerd/config.toml，通过containerd config default > /etc/containerd/config.toml可生成默认配置模板。配置文件采用TOML格式，核心部分包括：

plugins.”io.containerd.grpc.v1.cri”：CRI（Container Runtime Interface）插件配置
registry.mirrors：镜像仓库镜像源配置
registry.configs：仓库认证信息

[plugins."io.containerd.grpc.v1.cri".registry]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
      endpoint = ["https://registry-1.docker.io"]

1.2 配置生效方式

修改配置后需重启containerd服务：

systemctl restart containerd
# 或直接重启containerd进程（开发环境）
pkill containerd && containerd

二、私有仓库认证配置

2.1 基本认证配置

对于需要认证的私有仓库（如Harbor、Nexus），需在registry.configs中配置：

[plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".auth]
  username = "admin"
  password = "your-password"
  auth = ""  # 可选，Base64编码的"username:password"
  identitytoken = ""  # 用于OAuth2等令牌认证

2.2 证书配置（HTTPS场景）

若私有仓库使用自签名证书，需将CA证书放入/etc/containerd/certs.d/目录下的对应域名子目录：

mkdir -p /etc/containerd/certs.d/my-registry.com
cp ca.crt /etc/containerd/certs.d/my-registry.com/

2.3 实战案例：配置Harbor仓库

生成Harbor的docker-compose.yml并启动服务

在containerd配置中添加：

[plugins."io.containerd.grpc.v1.cri".registry.mirrors."my-harbor.com"]
endpoint = ["https://my-harbor.com"]
[plugins."io.containerd.grpc.v1.cri".registry.configs."my-harbor.com".auth]
username = "admin"
password = "Harbor12345"

测试拉取镜像：

crictl pull my-harbor.com/library/nginx:latest

三、镜像加速与镜像源配置

3.1 国内镜像源配置

针对Docker Hub等国外仓库，可通过配置国内镜像源加速：

[plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
  endpoint = [
    "https://registry.docker-cn.com",
    "https://mirror.baidubce.com"
  ]

3.2 多镜像源优先级控制

containerd按配置顺序尝试镜像源，可通过调整endpoint数组顺序控制优先级：

[plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]
  endpoint = [
    "https://gcr.akscn.io",  # 阿里云AKS镜像源
    "https://k8s.gcr.io"     # 官方源（备用）
  ]

3.3 镜像缓存配置

通过registry.configs的tls和proxy配置可实现更复杂的镜像缓存策略：

[plugins."io.containerd.grpc.v1.cri".registry.configs."cached-registry.com"]
  tls = { insecure_skip_verify = true }  # 跳过证书验证（仅测试环境）
  proxy = { http_proxy = "http://proxy.example.com:8080" }

四、安全策略配置

4.1 镜像签名验证

启用Notary验证镜像签名：

[plugins."io.containerd.grpc.v1.cri".registry.configs."signed-registry.com".tls]
  ca_file = "/etc/containerd/notary-ca.crt"
[plugins."io.containerd.grpc.v1.cri".registry.configs."signed-registry.com".auth]
  # 需配合cosign等工具生成签名

4.2 镜像拉取白名单

通过registry.mirrors的endpoint限制可访问的仓库：

[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  # 仅允许从白名单仓库拉取
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."allowed-registry.com"]
    endpoint = ["https://allowed-registry.com"]
  # 其他仓库将被阻止

五、故障排查与优化

5.1 常见问题

镜像拉取失败：检查/var/log/containerd/containerd.log中的错误信息
认证失败：验证registry.configs中的用户名密码是否正确
证书问题：使用openssl s_client -connect my-registry.com:443测试证书

5.2 性能优化

并行拉取：通过max_concurrent_downloads参数控制（默认3）

[plugins."io.containerd.grpc.v1.cri".registry]
max_concurrent_downloads = 5

镜像预热：使用crictl pull提前拉取常用镜像

5.3 高级调试工具

containerd debug模式：
```
containerd --log-level debug
```

CRI接口测试：

crictl --runtime-endpoint unix:///run/containerd/containerd.sock info

六、完整配置示例

[plugins."io.containerd.grpc.v1.cri"]
  sandbox_image = "registry.k8s.io/pause:3.9"
  [plugins."io.containerd.grpc.v1.cri".registry]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
        endpoint = ["https://mirror.baidubce.com"]
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors."my-harbor.com"]
        endpoint = ["https://my-harbor.com"]
    [plugins."io.containerd.grpc.v1.cri".registry.configs]
      [plugins."io.containerd.grpc.v1.cri".registry.configs."my-harbor.com".auth]
        username = "admin"
        password = "Harbor12345"
      [plugins."io.containerd.grpc.v1.cri".registry.configs."gcr.io".tls]
        insecure_skip_verify = false
        ca_file = "/etc/containerd/gcr-ca.crt"

七、总结与最佳实践

分层配置：优先使用镜像源加速，私有仓库单独配置认证
证书管理：生产环境必须使用有效证书，测试环境可临时跳过验证
监控告警：通过Prometheus监控containerd的镜像拉取指标
定期更新：关注containerd版本更新，及时修复安全漏洞

通过本文的配置指南，开发者可系统掌握containerd镜像仓库的配置方法，从基础认证到高级安全策略实现全流程覆盖，为容器化部署提供稳定高效的镜像管理支持。

配置containerd镜像仓库全攻略：从基础到进阶的完整指南