一、环境准备与基础概念

1.1 Docker环境验证

在开始操作前，需确保本地已安装Docker并验证其可用性：

docker --version
# 输出示例：Docker version 24.0.7, build 3d5fa0b

若未安装，可通过以下命令快速安装（以Ubuntu为例）：

curl -fsSL https://get.docker.com | sh
sudo usermod -aG docker $USER  # 添加当前用户到docker组
newgrp docker  # 刷新组权限

1.2 镜像仓库类型解析

公有云镜像仓库：如阿里云容器镜像服务（ACR），提供全球加速、权限控制等企业级功能。
自建私有仓库：通过Registry或Harbor搭建，适用于内网隔离、敏感数据存储等场景。

二、推送镜像至阿里云镜像仓库

2.1 创建阿里云容器镜像服务实例

登录阿里云容器镜像服务控制台
选择地域（建议与ECS实例同地域以减少网络延迟）
创建命名空间（Namespace），如my-project

2.2 镜像仓库认证配置

阿里云采用AccessKey进行认证，需生成子账号AK并授予镜像仓库权限：

# 登录阿里云Docker Registry
docker login --username=<阿里云账号ID> registry.cn-hangzhou.aliyuncs.com
# 输入密码时需使用子账号AccessKey Secret

安全建议：

创建RAM子账号并分配AliyunCRReadOnlyAccess和AliyunCRFullAccess权限
使用docker login后生成的~/.docker/config.json文件需妥善保管

2.3 镜像标记与推送

假设本地有名为myapp的镜像：

# 查看本地镜像
docker images
# 标记镜像（格式：registry.cn-hangzhou.aliyuncs.com/namespace/reponame:tag）
docker tag myapp:latest registry.cn-hangzhou.aliyuncs.com/my-project/myapp:v1.0
# 推送镜像
docker push registry.cn-hangzhou.aliyuncs.com/my-project/myapp:v1.0

常见问题处理：

403 Forbidden：检查AK权限和命名空间是否存在
推送缓慢：在阿里云控制台开启”镜像加速”功能

三、自建私有镜像仓库

3.1 使用Docker官方Registry

基础部署

docker run -d -p 5000:5000 --restart=always --name registry registry:2

验证服务：

curl http://localhost:5000/v2/_catalog
# 应返回{"repositories":[]}

进阶配置（HTTPS与认证）

生成自签名证书：

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/domain.key \
-x509 -days 365 -out certs/domain.crt -subj "/CN=registry.example.com"

启动带TLS的Registry：

docker run -d \
-p 5000:5000 \
--restart=always \
--name registry \
-v "$(pwd)"/certs:/certs \
-e REGISTRY_HTTP_ADDR=0.0.0.0:5000 \
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
-e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
registry:2

3.2 使用Harbor搭建企业级仓库

安装部署

下载Harbor安装包：

wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
tar xvf harbor-online-installer-v2.9.0.tgz
cd harbor

修改harbor.yml配置文件：

hostname: registry.example.com
http:
port: 80
https:
certificate: /path/to/domain.crt
private_key: /path/to/domain.key

执行安装：
```
./install.sh
```

项目管理

Harbor提供图形化界面管理：

创建项目（如dev-team）
设置成员权限（开发者/维护者/访客）
配置复制策略（与其他Registry同步）

3.3 推送镜像至自建仓库

基础推送

# 标记镜像（HTTP模式需修改配置允许）
docker tag myapp:latest localhost:5000/myapp:v1.0
docker push localhost:5000/myapp:v1.0

配置Docker信任自建仓库（解决HTTPS问题）

编辑/etc/docker/daemon.json：

{
  "insecure-registries": ["registry.example.com"]
}

重启Docker服务：

sudo systemctl restart docker

四、最佳实践与安全建议

4.1 镜像命名规范

采用<registry>/<namespace>/<reponame>:<tag>格式，例如：

阿里云：registry.cn-hangzhou.aliyuncs.com/my-project/nginx:1.25
自建仓库：registry.example.com/dev-team/redis:7.0

4.2 镜像清理策略

阿里云：设置镜像保留策略（如保留最近10个版本）
自建仓库：通过curl -X DELETE http://registry:5000/v2/<reponame>/manifests/<digest>手动清理

4.3 安全加固方案

定期轮换认证凭证
启用镜像扫描功能（Harbor内置Clair扫描器）
限制仓库访问IP范围

五、常见问题解决方案

5.1 推送失败排查流程

检查网络连接：ping registry.example.com
验证认证信息：cat ~/.docker/config.json
查看Registry日志：
```
docker logs -f registry
```

5.2 性能优化技巧

阿里云：启用”镜像加速”和”全球加速”服务
自建仓库：使用对象存储（如MinIO）作为后端存储

通过本文的详细指导，开发者可以系统掌握Docker镜像推送至阿里云和自建仓库的全流程。建议从阿里云镜像仓库开始实践，逐步过渡到自建仓库管理，最终形成符合企业需求的镜像管理体系。实际生产环境中，建议结合CI/CD流水线实现镜像的自动构建与推送，进一步提升研发效率。

Docker入门：如何高效推送镜像至阿里云与自建仓库