一、Docker修改国内镜像源的必要性及配置方法

1.1 国内镜像源的优势

Docker官方默认镜像源（Docker Hub）由于服务器位于海外，国内用户拉取镜像时普遍面临网络延迟高、下载速度慢甚至连接超时的问题。尤其在生产环境中，频繁的镜像拉取操作会显著影响CI/CD流水线的执行效率。通过切换至国内镜像源（如阿里云、腾讯云、华为云等提供的镜像加速服务），可将镜像下载速度提升3-5倍，大幅缩短构建与部署周期。

1.2 配置国内镜像源的步骤

以Ubuntu系统为例，修改Docker镜像源需编辑/etc/docker/daemon.json文件（若文件不存在则新建）：

{
  "registry-mirrors": [
    "https://<your-mirror-id>.mirror.aliyuncs.com",
    "https://mirror.baidubce.com"
  ]
}

常用国内镜像源地址：

阿里云：需登录阿里云容器镜像服务获取专属加速地址
腾讯云：https://mirror.ccs.tencentyun.com
华为云：https://<region>.myhuaweicloud.com
中科大：https://docker.mirrors.ustc.edu.cn

配置完成后执行以下命令重启Docker服务：

sudo systemctl daemon-reload
sudo systemctl restart docker

验证是否生效：

docker info | grep "Registry Mirrors" -A 5

二、搭建本地私有镜像仓库

2.1 私有仓库的核心价值

企业级应用中，私有镜像仓库可解决三大痛点：

安全控制：避免敏感镜像泄露至公网
带宽优化：内部网络传输速度远高于公网
版本管理：通过命名空间实现镜像分类与权限隔离

2.2 使用Docker Registry搭建基础仓库

2.2.1 基础部署命令

docker run -d \
  --name registry \
  -p 5000:5000 \
  --restart=always \
  -v /data/registry:/var/lib/registry \
  registry:2

参数说明：

-v：将容器内镜像存储目录映射至宿主机
--restart：设置容器异常退出时自动重启
registry:2：使用官方Registry 2.x版本

2.2.2 添加基础认证

生成HTTPS证书（生产环境必须）：

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/domain.key \
  -x509 -days 365 -out certs/domain.crt \
  -subj "/CN=registry.example.com"

启动带认证的Registry：

docker run -d \
  --name registry-auth \
  -p 5000:5000 \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -v $(pwd)/auth:/auth \
  -v $(pwd)/certs:/certs \
  -v /data/registry:/var/lib/registry \
  --restart=always \
  registry:2

生成htpasswd文件：

mkdir -p auth
docker run --entrypoint htpasswd httpd:2 -Bbn testuser testpassword > auth/htpasswd

2.3 高级配置选项

2.3.1 存储驱动选择

根据存储需求选择驱动：

filesystem：默认驱动，简单可靠
s3：对接AWS S3等对象存储
azure：连接Azure Blob Storage

配置示例（s3驱动）：

{
  "storage": {
    "s3": {
      "accesskey": "YOUR_ACCESS_KEY",
      "secretkey": "YOUR_SECRET_KEY",
      "region": "us-west-1",
      "bucket": "your-bucket-name",
      "encrypt": true
    }
  }
}

2.3.2 镜像清理策略

实现自动清理的两种方案：

生命周期策略：在config.yml中配置保留规则

version: 0.1
log:
fields:
 service: registry
storage:
delete:
 enabled: true

手动清理命令：

# 删除未被引用的blob
docker exec registry registry garbage-collect /etc/docker/registry/config.yml

三、多服务器配置与镜像管理

3.1 配置其他Docker服务器访问私有仓库

3.1.1 客户端认证配置

在需要访问私有仓库的服务器上创建认证文件：

mkdir -p ~/.docker
cat <<EOF > ~/.docker/config.json
{
  "auths": {
    "https://registry.example.com:5000": {
      "auth": "$(echo -n 'testuser:testpassword' | base64)"
    }
  }
}
EOF

3.1.2 配置TLS证书信任

将CA证书复制到客户端：

sudo mkdir -p /etc/docker/certs.d/registry.example.com:5000
sudo cp ~/certs/domain.crt /etc/docker/certs.d/registry.example.com:5000/ca.crt

3.2 镜像推送与拉取操作

3.2.1 标记并推送镜像

docker tag nginx:latest registry.example.com:5000/myapp/nginx:v1
docker push registry.example.com:5000/myapp/nginx:v1

3.2.2 从私有仓库拉取镜像

docker pull registry.example.com:5000/myapp/nginx:v1

3.3 镜像删除与仓库维护

3.3.1 删除私有仓库中的镜像

首先删除本地tag引用：

docker rmi registry.example.com:5000/myapp/nginx:v1

登录Registry容器执行删除：

# 查找要删除的镜像digest
curl -X GET https://registry.example.com:5000/v2/myapp/nginx/tags/list
# 执行删除（需替换<digest>）
curl -X DELETE https://registry.example.com:5000/v2/myapp/nginx/manifests/<digest>
# 触发垃圾回收
docker exec registry registry garbage-collect /etc/docker/registry/config.yml

3.3.2 批量删除脚本示例

#!/bin/bash
REGISTRY="registry.example.com:5000"
REPO="myapp/nginx"
# 获取所有tag
TAGS=$(curl -s "https://$REGISTRY/v2/$REPO/tags/list" | jq -r '.tags[]')
for TAG in $TAGS; do
  echo "Deleting $REPO:$TAG"
  # 获取digest
  DIGEST=$(curl -s -I "https://$REGISTRY/v2/$REPO/manifests/$TAG" | grep -i 'docker-content-digest' | awk '{print $2}' | tr -d '\r')
  # 删除manifest
  curl -X DELETE "https://$REGISTRY/v2/$REPO/manifests/$DIGEST"
done
# 执行垃圾回收
docker exec registry registry garbage-collect /etc/docker/registry/config.yml

四、最佳实践与安全建议

4.1 仓库高可用方案

主从复制：使用Registry的proxy功能实现读写分离
分布式存储：对接Ceph、GlusterFS等分布式文件系统
负载均衡：通过Nginx反向代理实现多节点负载均衡

4.2 安全加固措施

网络隔离：将Registry部署在私有网络，仅允许内网访问
定期轮换凭证：每90天更换认证密码
镜像签名：使用Docker Content Trust实现镜像签名验证
审计日志：配置Registry的日志驱动记录所有操作

4.3 监控与告警

Prometheus监控：使用prom/pushgateway收集Registry指标
容量告警：设置磁盘使用率超过80%的告警规则
访问统计：通过ELK分析镜像拉取日志

通过上述配置，企业可构建完整的Docker镜像管理体系，实现从镜像加速、私有存储到多节点协同的全流程优化。实际部署时建议先在测试环境验证配置，再逐步推广至生产环境。

Docker优化指南：修改国内镜像源、搭建私有仓库及多服务器管理