一、为什么需要私有镜像仓库？

在企业级开发中，直接使用Docker Hub等公共仓库存在诸多限制：

安全性风险：公共仓库的镜像可能被篡改或包含恶意代码，尤其不适合存储包含敏感信息的内部服务镜像。
网络依赖：国内访问Docker Hub速度不稳定，拉取镜像耗时较长，影响CI/CD效率。
版本控制困难：公共仓库无法灵活管理镜像版本标签，难以实现镜像的灰度发布或回滚。
成本问题：Docker Hub对匿名用户的拉取次数有限制，企业级需求需付费订阅。

私有镜像仓库通过本地化部署，可完全控制镜像的存储、访问权限和生命周期，尤其适合金融、医疗等对数据安全要求高的行业。

二、Docker Registry核心优势

Docker Registry是Docker官方提供的轻量级镜像仓库解决方案，具有以下特点：

开箱即用：基于Go语言开发，无外部依赖，单二进制文件即可运行。
RESTful API：兼容Docker客户端协议，支持docker push/pull等标准操作。
可扩展性：支持插件机制，可集成存储后端（如S3、MinIO）、认证服务（如OAuth2）等。
低资源占用：在小型服务器上即可运行，适合测试环境或边缘计算场景。

三、快速部署私有Registry

1. 基础部署（无认证）

# 拉取官方Registry镜像
docker pull registry:2.8.1
# 启动Registry容器（默认端口5000）
docker run -d \
  --name registry \
  -p 5000:5000 \
  --restart=always \
  registry:2.8.1

验证：

# 推送测试镜像（需先tag）
docker tag alpine:latest localhost:5000/my-alpine:v1
docker push localhost:5000/my-alpine:v1
# 拉取测试
docker pull localhost:5000/my-alpine:v1

2. 配置HTTPS安全访问

生产环境必须启用HTTPS，以防止中间人攻击：

# 生成自签名证书（实际环境应使用CA签发证书）
mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/domain.key \
  -x509 -days 365 -out certs/domain.crt -subj "/CN=registry.example.com"
# 启动带HTTPS的Registry
docker run -d \
  --name registry \
  -p 5000:5000 \
  -v $(pwd)/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  --restart=always \
  registry:2.8.1

客户端配置：

# 将自签名证书加入Docker信任链（Linux）
sudo mkdir -p /etc/docker/certs.d/registry.example.com:5000
sudo cp certs/domain.crt /etc/docker/certs.d/registry.example.com:5000/ca.crt
sudo systemctl restart docker

3. 用户认证配置

通过htpasswd实现基础认证：

# 生成密码文件
mkdir auth
docker run --entrypoint htpasswd \
  registry:2.8.1 -Bbn admin admin123 > auth/htpasswd
# 启动带认证的Registry
docker run -d \
  --name registry \
  -p 5000:5000 \
  -v $(pwd)/auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  --restart=always \
  registry:2.8.1

登录测试：

docker login registry.example.com:5000
# 输入用户名admin和密码admin123

四、进阶配置与优化

1. 存储后端配置

默认使用本地文件系统，可配置为对象存储：

# config.yml示例
version: 0.1
storage:
  s3:
    accesskey: minioadmin
    secretkey: minioadmin
    region: us-east-1
    bucket: docker-registry
    encrypt: true
    secure: true
    v4auth: true
    chunksize: 5242880
  delete:
    enabled: true

启动命令：

docker run -d \
  --name registry \
  -p 5000:5000 \
  -v $(pwd)/config.yml:/etc/docker/registry/config.yml \
  -v $(pwd)/auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  --restart=always \
  registry:2.8.1

2. 镜像清理策略

通过registry garbage-collect命令清理未被引用的镜像层：

# 进入容器执行清理
docker exec -it registry /bin/registry garbage-collect /etc/docker/registry/config.yml

3. 镜像保留策略

结合registry-cli工具实现自动化清理：

# 安装registry-cli
npm install -g docker-registry-cli
# 删除超过30天的镜像
docker-registry-cli search --registry https://registry.example.com:5000 \
  --image-name my-app --before 30d --delete

五、与CI/CD集成

1. Jenkins流水线示例

pipeline {
  agent any
  stages {
    stage('Build') {
      steps {
        script {
          docker.build("my-app:${env.BUILD_ID}").push("registry.example.com:5000/my-app:${env.BUILD_ID}")
        }
      }
    }
    stage('Deploy') {
      steps {
        sh "docker pull registry.example.com:5000/my-app:${env.BUILD_ID}"
        sh "docker service update --image registry.example.com:5000/my-app:${env.BUILD_ID} my-service"
      }
    }
  }
}

2. GitLab CI配置

build_image:
  stage: build
  image: docker:latest
  services:
    - docker:dind
  script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD registry.example.com:5000
    - docker build -t registry.example.com:5000/my-app:$CI_COMMIT_SHA .
    - docker push registry.example.com:5000/my-app:$CI_COMMIT_SHA

六、运维监控建议

日志收集：通过docker logs -f registry实时查看访问日志。
性能监控：使用Prometheus采集Registry的API调用指标。
备份策略：定期备份/var/lib/registry目录或对象存储中的数据。
高可用方案：部署多个Registry实例，前端通过Nginx实现负载均衡。

七、常见问题解决

推送失败（401 Unauthorized）：检查认证信息是否正确，或htpasswd文件权限是否为600。
证书错误（x509: certificate signed by unknown authority）：确保客户端信任链包含Registry的CA证书。
存储空间不足：配置storage.delete.enabled=true并定期执行垃圾回收。

通过以上步骤，开发者可在30分钟内完成一个生产级私有Registry的部署。对于超大规模场景，可考虑Harbor等企业级解决方案，但Docker Registry仍是小团队快速上手的最佳选择。

使用Docker Registry快速搭建私有镜像仓库