一、修改Docker国内镜像源的背景与步骤

1.1 背景说明

国内开发者在使用Docker时，常因网络问题导致拉取官方镜像速度缓慢甚至失败。通过修改Docker的镜像源为国内加速地址，可显著提升镜像下载速度。

1.2 操作步骤

1.2.1 Linux系统配置

修改daemon.json文件
在/etc/docker/目录下创建或编辑daemon.json文件，添加以下内容（以阿里云镜像源为例）：
```
{
  "registry-mirrors": [
    "https://<your-registry-mirror>.mirror.aliyuncs.com"
  ]
}
```
其他国内镜像源推荐：
- 腾讯云：https://mirror.ccs.tencentyun.com
- 华为云：https://<your-id>.swr.myhuaweicloud.com

重启Docker服务

sudo systemctl daemon-reload
sudo systemctl restart docker

验证配置
执行docker info，检查输出中是否包含配置的镜像源地址。

1.2.2 Windows/macOS配置

通过Docker Desktop的GUI界面操作：

进入Settings > Docker Engine，在配置文件中添加registry-mirrors字段，格式与Linux相同。

二、搭建本地私有镜像仓库

2.1 私有仓库的作用

集中管理企业内部镜像，避免重复构建。
控制镜像访问权限，保障安全性。
加速内网镜像分发，减少对公网的依赖。

2.2 使用Docker Registry搭建私有仓库

2.2.1 基础部署

拉取官方Registry镜像
```
docker pull registry:2
```
启动私有仓库容器
```
docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  registry:2
```
- -p 5000:5000：将容器5000端口映射到宿主机。
- --restart=always：容器退出时自动重启。
验证仓库运行
访问http://<服务器IP>:5000/v2/_catalog，应返回{}（空仓库）。

2.2.3 配置HTTPS（可选但推荐）

生成自签名证书

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 \
  -keyout certs/domain.key -x509 -days 365 \
  -out certs/domain.crt -subj "/CN=<你的域名>"

启动支持HTTPS的Registry

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v "$(pwd)"/certs:/certs \
  -e REGISTRY_HTTP_ADDR=0.0.0.0:5000 \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

客户端配置信任证书
将domain.crt复制到客户端的/etc/docker/certs.d/<服务器IP>:5000/目录下（Linux），或通过Docker Desktop的证书管理功能添加（Windows/macOS）。

三、配置其他Docker服务器从私有仓库拉取镜像

3.1 标记并推送镜像到私有仓库

标记镜像

docker tag <原镜像名>:<标签> <私有仓库IP>:5000/<镜像名>:<标签>

示例：

docker tag nginx:latest 192.168.1.100:5000/nginx:v1

推送镜像
```
docker push 192.168.1.100:5000/nginx:v1
```

3.2 从私有仓库拉取镜像

配置客户端信任私有仓库
在/etc/docker/daemon.json中添加insecure-registries（非HTTPS）或确保HTTPS证书已配置：
```
{
  "insecure-registries": ["192.168.1.100:5000"]
}
```
重启Docker服务后，执行：
```
docker pull 192.168.1.100:5000/nginx:v1
```

四、镜像删除与管理

4.1 从私有仓库删除镜像

使用Registry API删除
首先删除仓库中的标签（需安装curl和jq）：

# 获取镜像的digest
DIGEST=$(curl -I -s http://192.168.1.100:5000/v2/<镜像名>/manifests/<标签> | \
  grep Docker-Content-Digest | awk '{print $2}' | tr -d '\r')
# 删除镜像
curl -X DELETE http://192.168.1.100:5000/v2/<镜像名>/manifests/$DIGEST

清理未被引用的层
进入Registry容器执行垃圾回收：

docker exec -it registry sh
registry garbage-collect /etc/docker/registry/config.yml

4.2 自动化镜像管理建议

使用CI/CD流水线：在构建阶段自动标记、推送镜像到私有仓库。
设置镜像保留策略：通过脚本定期清理旧版本镜像。
权限控制：结合Nginx或Harbor等工具实现基于角色的访问控制（RBAC）。

五、常见问题与解决方案

问题：推送镜像时报denied: requested access to the resource is denied
- 原因：未正确标记镜像或私有仓库未配置权限。
- 解决：确保镜像名包含私有仓库地址，或使用Harbor等支持认证的仓库。
问题：拉取镜像时提示x509: certificate signed by unknown authority
- 原因：客户端未信任私有仓库的HTTPS证书。
- 解决：将证书复制到客户端的信任目录（如/etc/docker/certs.d/）。

六、总结与扩展

通过修改国内镜像源、搭建私有仓库并配置多服务器访问，企业可构建高效的Docker镜像管理体系。进一步扩展方向包括：

使用Harbor等企业级仓库管理工具，提供图形化界面和更细粒度的权限控制。
集成镜像扫描功能（如Clair），提升安全性。
结合Kubernetes的ImagePullSecrets，实现集群环境下的私有仓库认证。

通过以上步骤，开发者能够显著提升Docker环境的使用效率，满足企业级应用的需求。

Docker镜像加速与私有仓库搭建：企业级部署指南