K8S 私有镜像仓库实战：认证、配置与问题排查全攻略

在Kubernetes（K8S）集群中拉取私有仓库的镜像，是保障容器化应用安全性和可控性的关键环节。无论是企业自建的Harbor仓库，还是云服务商提供的私有镜像服务，都需要通过正确的认证和配置，才能让K8S的Pod或Deployment顺利拉取镜像。本文将从认证方式、配置文件编写、安全实践及常见问题排查四个方面，详细解析K8S拉取私有仓库镜像的全流程。

一、私有仓库认证方式

1.1 基础认证（Basic Auth）

基础认证是最常见的私有仓库认证方式，适用于大多数自建或云服务商的私有仓库。其核心是通过用户名和密码进行身份验证。

配置步骤：

创建Secret：K8S使用Secret对象存储认证信息，避免将敏感信息硬编码在配置文件中。
```
kubectl create secret docker-registry my-registry-secret \
  --docker-server=https://my-registry.example.com \
  --docker-username=myuser \
  --docker-password=mypassword \
  --docker-email=myemail@example.com
```
- --docker-server：私有仓库的地址，如Harbor的https://harbor.example.com。
- --docker-username和--docker-password：仓库的登录凭证。
- --docker-email：可选字段，部分仓库可能要求。

在Pod或Deployment中引用Secret：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: my-registry.example.com/my-image:latest
  imagePullSecrets:
  - name: my-registry-secret

通过imagePullSecrets字段，将Secret与Pod关联，K8S在拉取镜像时会自动使用Secret中的认证信息。

1.2 令牌认证（Token Auth）

部分私有仓库（如AWS ECR、Google GCR）支持通过令牌进行认证，适用于短期或动态生成的凭证。

配置步骤：

获取令牌：根据仓库提供商的文档，获取临时令牌。例如，AWS ECR可以通过AWS CLI获取：
```
aws ecr get-login-password --region us-west-2 | docker login --username AWS --password-stdin my-account-id.dkr.ecr.us-west-2.amazonaws.com
```
生成的令牌需要存储在K8S Secret中，方式与基础认证类似。
创建Secret并引用：与基础认证相同，使用kubectl create secret docker-registry命令，但密码字段填写令牌。

1.3 SSL证书认证

对于自建仓库，若使用自签名证书，需在K8S节点上配置信任链，否则拉取镜像时会因证书验证失败而报错。

配置步骤：

将证书添加到节点信任链：
- 将仓库的CA证书（如ca.crt）复制到所有节点的/etc/docker/certs.d/my-registry.example.com/目录下（目录名需与仓库域名一致）。
- 重启Docker服务：systemctl restart docker。
在K8S中配置：若证书已正确配置，K8S会自动信任，无需额外操作。但若需在Pod中直接访问仓库（如通过curl），需将证书挂载到Pod中。

二、配置文件编写与最佳实践

2.1 使用ImagePullSecrets全局配置

对于集群中所有需要拉取私有仓库镜像的Pod，可以通过ServiceAccount全局配置imagePullSecrets，避免在每个Pod中重复定义。

配置步骤：

创建或修改ServiceAccount：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-serviceaccount
imagePullSecrets:
- name: my-registry-secret

在Pod或Deployment中指定ServiceAccount：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  serviceAccountName: my-serviceaccount
  containers:
  - name: my-container
    image: my-registry.example.com/my-image:latest

这样，所有使用my-serviceaccount的Pod都会自动继承imagePullSecrets。

2.2 多仓库认证

若需从多个私有仓库拉取镜像，可以创建多个Secret，并在Pod中同时引用：

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
spec:
  containers:
  - name: my-container
    image: my-registry1.example.com/my-image:latest
  imagePullSecrets:
  - name: my-registry1-secret
  - name: my-registry2-secret

三、安全实践

3.1 最小权限原则

Secret权限：确保存储认证信息的Secret仅被必要的Namespace或ServiceAccount访问。
仓库权限：在私有仓库中，为K8S使用的账号分配最小必要权限（如仅读取特定镜像）。

3.2 定期轮换凭证

密码/令牌轮换：定期更新私有仓库的密码或令牌，并更新K8S中的Secret。
自动化工具：使用CI/CD工具（如Jenkins、Argo CD）自动管理凭证轮换。

3.3 审计与监控

日志监控：监控K8S节点和仓库的日志，及时发现异常拉取行为。
网络策略：通过NetworkPolicy限制Pod对私有仓库的访问，仅允许必要的流量。

四、常见问题排查

4.1 认证失败

错误现象：Failed to pull image "my-registry.example.com/my-image:latest": rpc error: code = Unknown desc = Error response from daemon: login attempt to https://my-registry.example.com/v2/ failed with status: 401 Unauthorized。
排查步骤：
1. 检查Secret中的用户名和密码是否正确。
2. 确认仓库地址是否拼写错误（如https vs http）。
3. 若使用自签名证书，检查节点是否信任该证书。

4.2 证书验证失败

错误现象：x509: certificate signed by unknown authority。
排查步骤：
1. 确认证书已正确复制到节点的/etc/docker/certs.d/目录。
2. 检查证书是否过期或被吊销。

4.3 网络问题

错误现象：Failed to pull image "my-registry.example.com/my-image:latest": rpc error: code = Unknown desc = Error response from daemon: Get "https://my-registry.example.com/v2/": dial tcp: lookup my-registry.example.com: no such host。
排查步骤：
1. 检查节点是否能解析仓库域名（如ping my-registry.example.com）。
2. 确认防火墙或安全组是否放行了仓库的443端口。

五、总结

K8S拉取私有仓库镜像的核心在于正确配置认证信息和网络环境。通过基础认证、令牌认证或SSL证书认证，结合Secret对象和ServiceAccount的全局配置，可以高效管理私有仓库的访问。同时，遵循最小权限原则、定期轮换凭证和加强审计监控，能显著提升安全性。遇到问题时，通过日志和网络排查，可以快速定位并解决。掌握这些技能后，开发者将能更自信地部署和管理K8S集群中的私有镜像应用。