配置containerd镜像仓库完全攻略：从基础到高阶指南

一、为什么需要配置containerd镜像仓库？

containerd作为Kubernetes默认的容器运行时，其镜像管理效率直接影响集群性能。在生产环境中，直接使用默认的Docker Hub或公共仓库存在三大痛点：

网络延迟：跨区域拉取镜像导致Pod启动超时
安全风险：未认证的仓库可能被注入恶意镜像
带宽浪费：重复下载相同镜像层消耗集群资源

通过合理配置镜像仓库，可实现：

镜像拉取速度提升3-5倍
带宽消耗降低60%以上
满足等保2.0的镜像签名要求

二、基础配置：修改containerd配置文件

1. 定位配置文件

containerd的主配置文件位于：

/etc/containerd/config.toml

若文件不存在，可通过以下命令生成默认配置：

containerd config default > /etc/containerd/config.toml

2. 镜像仓库配置段解析

在[plugins."io.containerd.grpc.v1.cri".registry]段下进行配置：

[plugins."io.containerd.grpc.v1.cri".registry]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
      endpoint = ["https://registry-1.docker.io"]

3. 配置国内镜像加速

推荐配置（以阿里云为例）：

[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
    endpoint = [
      "https://<your-id>.mirror.aliyuncs.com",
      "https://registry-1.docker.io"
    ]

提示：需将<your-id>替换为阿里云容器镜像服务ACR的个人ID

三、进阶配置：私有仓库认证

1. 创建认证配置文件

在/etc/containerd/certs.d/目录下创建对应仓库的目录结构：

mkdir -p /etc/containerd/certs.d/my-registry.com

2. 配置HTTPS证书（自签名场景）

将CA证书放入目录：

cp ca.crt /etc/containerd/certs.d/my-registry.com/ca.crt

3. 配置认证信息

创建config.json文件：

{
  "auths": {
    "my-registry.com": {
      "auth": "base64-encoded-username:password"
    }
  }
}

生成base64编码的命令：

echo -n "username:password" | base64

四、高级场景：镜像仓库代理设置

1. 正向代理配置

在containerd配置中添加：

[plugins."io.containerd.grpc.v1.cri".registry.configs]
  [plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".tls]
    insecure_skip_verify = true  # 仅测试环境使用
  [plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".proxy]
    http_proxy = "http://proxy.example.com:8080"
    https_proxy = "http://proxy.example.com:8080"

2. 镜像拉取重试策略

配置重试参数：

[plugins."io.containerd.grpc.v1.cri".registry]
  max_retries = 5
  retry_delay = "3s"

五、安全优化最佳实践

1. 镜像签名验证

配置Notary验证：

[plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".tls]
  ca_file = "/etc/containerd/notary-ca.crt"

2. 镜像内容信任

启用containerd的镜像验证：

[plugins."io.containerd.grpc.v1.cri".registry]
  enable_tls = true
  verify_tls = true

3. 定期清理未使用的镜像

配置crond任务：

0 3 * * * /usr/bin/ctr --namespace k8s.io images rm $(/usr/bin/ctr --namespace k8s.io images ls -q | grep -v "k8s.gcr.io\|registry.k8s.io")

六、故障排查指南

1. 常见错误及解决方案

错误现象	可能原因	解决方案
`failed to pull image`	网络不通	检查防火墙规则
`x509: certificate signed by unknown authority`	证书无效	添加CA证书
`unauthorized: authentication required`	认证失败	检查config.json内容

2. 日志分析

查看containerd日志：

journalctl -u containerd -f

3. 调试命令

手动拉取镜像测试：

ctr images pull --skip-verify my-registry.com/nginx:latest

七、生产环境配置示例

完整生产配置示例：

[plugins."io.containerd.grpc.v1.cri".registry]
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
      endpoint = ["https://registry-1.docker.io", "https://mirror.baidubce.com"]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."my-registry.com"]
      endpoint = ["https://my-registry.com"]
  [plugins."io.containerd.grpc.v1.cri".registry.configs]
    [plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".tls]
      ca_file = "/etc/containerd/certs.d/my-registry.com/ca.crt"
      cert_file = "/etc/containerd/certs.d/my-registry.com/client.crt"
      key_file = "/etc/containerd/certs.d/my-registry.com/client.key"
    [plugins."io.containerd.grpc.v1.cri".registry.configs."my-registry.com".auth]
      username = "admin"
      password = "secure-password"

八、配置验证与测试

1. 重启containerd服务

systemctl restart containerd

2. 测试镜像拉取

kubectl run test --image=my-registry.com/nginx:latest --restart=Never

3. 性能基准测试

使用ctr命令测试拉取速度：

time ctr images pull my-registry.com/nginx:latest

九、总结与建议

渐进式配置：先配置镜像加速，再逐步添加认证和安全配置
配置备份：修改前备份原始配置文件
版本兼容性：containerd 1.6+版本支持更细粒度的配置
监控告警：配置Prometheus监控镜像拉取失败率

通过系统化的镜像仓库配置，可显著提升Kubernetes集群的稳定性和性能。建议每季度审查一次镜像仓库配置，确保与最新的安全实践保持同步。

配置containerd镜像仓库全解析：从基础到高阶指南