前往小程序，Get更优阅读体验！
立即前往
文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布
首页
学习
活动
专区
圈层
工具
MCP广场
返回腾讯云官网
社区首页 >专栏 >彻底解决 gcr、quay、DockerHub 镜像下载难题！

彻底解决 gcr、quay、DockerHub 镜像下载难题！

作者头像
程序猿DD
发布于 2023-04-17 07:11:27
发布于 2023-04-17 07:11:27
7.8K00
代码可运行
举报
文章被收录于专栏：程序猿DD程序猿DD
运行总次数：0
代码可运行
关联问题
换一批

作者 | 米开朗基杨

来源 | https://mp.weixin.qq.com/s/GLXUgR75YAqFWC-SMEIkJg

前言

在使用 Docker 和 Kubernetes 时，我们经常需要访问 gcr.io 和 quay.io 镜像仓库，由于众所周知的原因，这些镜像仓库在中国都无法访问，唯一能访问的是 Docker Hub，但速度也是奇慢无比。gcr.azk8s.cn 是 gcr.io 镜像仓库的代理站点，原来可以通过 gcr.azk8s.cn 访问 gcr.io 仓库里的镜像，但是目前 *.azk8s.cn 已经仅限于 Azure 中国的 IP 使用，不再对外提供服务了。国内其他的镜像加速方案大多都是采用定时同步的方式来缓存，这种方法是有一定延迟的，不能保证及时更新，ustc 和七牛云等镜像加速器我都试过了，非常不靠谱，很多镜像都没有。

为了能够顺利访问 gcr.io 等镜像仓库，我们需要在墙外自己搭建一个类似于 gcr.azk8s.cn 的镜像仓库代理站点。利用 Docker 的开源项目 registry[1] 就可以实现这个需求，registry 不仅可以作为本地私有镜像仓库，还可以作为上游镜像仓库的缓存，也就是 pull through cache。

先来感受下速度：

1. 前提条件

  • 一台能够施展魔法的服务器（你懂得，可以直接访问 gcr.io）
  • 一个域名和域名相关的 SSL 证书（docker pull 镜像时需要验证域名证书），一般用 Let's Encrypt[2] 就够了。

2. 核心思路

registry 可以通过设置参数 remoteurl 将其作为远端仓库的缓存仓库，这样当你通过这个私有仓库的地址拉取镜像时，regiistry 会先将镜像缓存到本地存储，然后再提供给拉取的客户端（有可能这两个步骤是同时的，我也不太清楚）。我们可以先部署一个私有 registry，然后将 remoteurl 设为需要加速的镜像仓库地址，基本上就可以了。

3. 定制 registry

为了能够支持缓存 docker.io、gcr.io、k8s.gcr.io、quay.io 和 ghcr.io 等常见的公共镜像仓库，我们需要对 registry 的配置文件进行定制，Dockerfile 如下：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
FROM registry:2.6
LABEL maintainer="registry-proxy Docker Maintainers https://fuckcloudnative.io"
ENV PROXY_REMOTE_URL="" \
    DELETE_ENABLED=""
COPY entrypoint.sh /entrypoint.sh

其中 entrypoint.sh 用来将环境变量传入配置文件：

entrypoint.sh

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
#!/bin/sh

set -e

CONFIG_YML=/etc/docker/registry/config.yml

if [ -n "$PROXY_REMOTE_URL" -a `grep -c "$PROXY_REMOTE_URL" $CONFIG_YML` -eq 0 ]; then
    echo "proxy:" >> $CONFIG_YML
    echo "  remoteurl: $PROXY_REMOTE_URL" >> $CONFIG_YML
    echo "  username: $PROXY_USERNAME" >> $CONFIG_YML
    echo "  password: $PROXY_PASSWORD" >> $CONFIG_YML
    echo "------ Enabled proxy to remote: $PROXY_REMOTE_URL ------"
elif [ $DELETE_ENABLED = true -a `grep -c "delete:" $CONFIG_YML` -eq 0 ]; then
    sed -i '/rootdirectory/a\  delete:' $CONFIG_YML
    sed -i '/delete/a\    enabled: true' $CONFIG_YML
    echo "------ Enabled local storage delete -----"
fi

sed -i "/headers/a\    Access-Control-Allow-Origin: ['*']" $CONFIG_YML
sed -i "/headers/a\    Access-Control-Allow-Methods: ['HEAD', 'GET', 'OPTIONS', 'DELETE']" $CONFIG_YML
sed -i "/headers/a\    Access-Control-Expose-Headers: ['Docker-Content-Digest']" $CONFIG_YML

case "$1" in
    *.yaml|*.yml) set -- registry serve "$@" ;;
    serve|garbage-collect|help|-*) set -- registry "$@" ;;
esac

exec "$@"

4. 启动缓存服务

构建好 Docker 镜像之后，就可以启动服务了。如果你不想自己构建，可以直接用我的镜像：yangchuansheng/registry-proxy。

一般来说，即使你要同时缓存 docker.io、gcr.io、k8s.gcr.io、quay.io 和 ghcr.io，一台 1C 2G 的云主机也足够了（前提是你不在上面跑其他的服务）。我的博客、评论服务和其他一堆乱七八糟的服务都要跑在云主机上，所以一台是不满足我的需求的，我直接买了两台腾讯云香港轻量级服务器。

既然买了两台，肯定得组个 k3s 集群啦，看主机名就知道我是用来干啥的。其中 2C 4G 作为 master 节点，1C 2G 作为 node 节点。

以 docker.io 为例，创建资源清单：

dockerhub.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: dockerhub
  labels:
    app: dockerhub
spec:
  replicas: 1
  selector:
    matchLabels:
      app: dockerhub
  template:
    metadata:
      labels:
        app: dockerhub
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - dockerhub
              topologyKey: kubernetes.io/hostname
            weight: 1
      dnsPolicy: None
      dnsConfig:
        nameservers:
          - 8.8.8.8
          - 8.8.4.4
      containers:
      - name: dockerhub
        image: yangchuansheng/registry-proxy:latest
        env:
        - name: PROXY_REMOTE_URL
          value: https://registry-1.docker.io
        - name: PROXY_USERNAME
          value: yangchuansheng
        - name: PROXY_PASSWORD
          value: ********
        ports:
        - containerPort: 5000
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
        - mountPath: /var/lib/registry
          name: registry
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
      - name: registry
        hostPath:
          path: /var/lib/registry
---
apiVersion: v1
kind: Service
metadata:
  name: dockerhub
  labels:
    app: dockerhub
spec:
  selector:
    app: dockerhub
  ports:
    - protocol: TCP
      name: http
      port: 5000
      targetPort: 5000

使用资源清单创建对应的服务：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl apply -f dockerhub.yaml

如果你只有一台主机，可以使用 docker-compose 来编排容器，配置文件可以自己参考 k8s 的配置修改，本文就不赘述了。

5. 代理选择

如果只缓存 docker.io，可以直接将 registry-proxy 的端口改成 443，并添加 SSL 证书配置。如果要缓存多个公共镜像仓库，就不太推荐这么做了，因为 443 端口只有一个，多个 registry-proxy 服务不能共用一个端口，合理的做法是使用边缘代理服务根据域名来转发请求到不同的 registry-proxy 服务。

对于 Kubernetes 集群来说，Ingress Controller 即边缘代理，常见的 Ingress Controller 基本上都是由 Nginx 或者 Envoy 来实现。Envoy 虽为代理界新秀，但生而逢时，它的很多特性都是原生为云准备的，是真正意义上的 Cloud Native L7 代理和通信总线。比如它的服务发现和动态配置功能，与 Nginx 等代理的热加载不同，Envoy 可以通过 API 来实现其控制平面，控制平面可以集中服务发现，并通过 API 接口动态更新数据平面的配置，不需要重启数据平面的代理。不仅如此，控制平面还可以通过 API 将配置进行分层，然后逐层更新。

目前使用 Envoy 实现的 Ingress Controller 有 Contour 和 Gloo[3] 等，如果你对 Envoy 比较感兴趣，并且想使用 Ingress Controller 作为边缘代理，可以试试 Contour。Ingress Controller 对底层做了抽象，屏蔽了很多细节，无法顾及到所有细节的配置，必然不会支持底层代理所有的配置项，所以我选择使用原生的 Envoy 来作为边缘代理。如果你是单机跑的 registry-proxy 服务，也可以试试 Envoy。

6. 代理配置

首先创建 Envoy 的资源清单：

envoy.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: envoy
  namespace: kube-system
  labels:
    app: envoy
spec:
  replicas: 2
  selector:
    matchLabels:
      app: envoy
  strategy:
    rollingUpdate:
      maxSurge: 0
      maxUnavailable: 1
    type: RollingUpdate
  template:
    metadata:
      labels:
        app: envoy
    spec:
      hostNetwork: true
      dnsPolicy: ClusterFirstWithHostNet
      containers:
      - name: envoy
        image: envoyproxy/envoy:v1.17-latest
        imagePullPolicy: IfNotPresent
        command:
        - envoy
        - /etc/envoy/envoy.yaml
        ports:
        - containerPort: 443
          name: https
        - containerPort: 80
          name: http
        - containerPort: 15001
          name: http-metrics
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
        - mountPath: /etc/envoy
          name: envoy
        - mountPath: /root/.acme.sh/fuckcloudnative.io
          name: ssl
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
      - name: ssl
        hostPath:
          path: /root/.acme.sh/fuckcloudnative.io
      - name: envoy
        hostPath:
          path: /etc/envoy

使用资源清单创建对应的服务：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl apply -f envoy.yaml

这里选择使用 hostPath 将 envoy 的配置挂载到容器中，然后通过文件来动态更新配置。来看下 Envoy 的配置，先进入 /etc/envoy 目录。

bootstrap 配置：

envoy.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
node:
  id: node0
  cluster: cluster0
dynamic_resources:
  lds_config:
    path: /etc/envoy/lds.yaml
  cds_config:
    path: /etc/envoy/cds.yaml
admin:
  access_log_path: "/dev/stdout"
  address:
    socket_address:
      address: "0.0.0.0"
      port_value: 15001

LDS 的配置：

lds.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
version_info: "0"
resources:
- "@type": type.googleapis.com/envoy.config.listener.v3.Listener
  name: listener_http
  address:
    socket_address:
      address: 0.0.0.0
      port_value: 80
  filter_chains:
  - filters:
    - name: envoy.filters.network.http_connection_manager
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
        stat_prefix: ingress_http
        codec_type: AUTO
        access_log:
          name: envoy.access_loggers.file
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog
            path: /dev/stdout
        route_config:
          name: http_route
          virtual_hosts:
          - name: default
            domains:
            - "*"
            routes:
            - match:
                prefix: "/"
              redirect:
                https_redirect: true
                port_redirect: 443
                response_code: "FOUND"
        http_filters:
        - name: envoy.filters.http.router
- "@type": type.googleapis.com/envoy.config.listener.v3.Listener
  name: listener_https
  address:
    socket_address:
      address: 0.0.0.0
      port_value: 443
  listener_filters:
  - name: "envoy.filters.listener.tls_inspector"
    typed_config: {}
  filter_chains:
  - transport_socket:
      name: envoy.transport_sockets.tls
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        common_tls_context:
          alpn_protocols: h2,http/1.1
          tls_certificates:
          - certificate_chain:
              filename: "/root/.acme.sh/fuckcloudnative.io/fullchain.cer"
            private_key:
              filename: "/root/.acme.sh/fuckcloudnative.io/fuckcloudnative.io.key"
    filters:
    - name: envoy.filters.network.http_connection_manager
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
        stat_prefix: ingress_https
        codec_type: AUTO
        use_remote_address: true
        access_log:
          name: envoy.access_loggers.file
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog
            path: /dev/stdout
        route_config:
          name: https_route
          response_headers_to_add:
          - header:
              key: Strict-Transport-Security
              value: "max-age=15552000; includeSubdomains; preload"
          virtual_hosts:
          - name: docker
            domains:
            - docker.fuckcloudnative.io
            routes:
            - match:
                prefix: "/"
              route:
                cluster: dockerhub
                timeout: 600s
        http_filters:
        - name: envoy.filters.http.router
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.http.router.v3.Router

CDS 的配置：

cds.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
version_info: "0"
resources:
- "@type": type.googleapis.com/envoy.config.cluster.v3.Cluster
  name: dockerhub
  connect_timeout: 15s
  type: strict_dns
  dns_lookup_family: V4_ONLY
  lb_policy: ROUND_ROBIN
  load_assignment:
    cluster_name: dockerhub
    endpoints:
    - lb_endpoints:
      - endpoint:
          address:
            socket_address:
              address: dockerhub.default
              port_value: 5000

这里的 address 使用的是 Kubernetes 集群内部域名，其他部署方式请自己斟酌。

配置好了 Envoy 之后，就可以通过代理服务器拉取 docker.io 的镜像了。

7. 验证加速效果

现在你就可以通过代理服务器来拉取公共镜像了。比如你想拉取 nginx:alpine 镜像，可以使用下面的命令：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → docker pull docker.fuckcloudnative.io/library/nginx:alpine

alpine: Pulling from library/nginx
801bfaa63ef2: Pull complete
b1242e25d284: Pull complete
7453d3e6b909: Pull complete
07ce7418c4f8: Pull complete
e295e0624aa3: Pull complete
Digest: sha256:c2ce58e024275728b00a554ac25628af25c54782865b3487b11c21cafb7fabda
Status: Downloaded newer image for docker.fuckcloudnative.io/library/nginx:alpine
docker.fuckcloudnative.io/library/nginx:alpine

8. 缓存所有镜像仓库

前面的示例只是缓存了 docker.io，如果要缓存所有的公共镜像仓库，可以参考 4-6 节的内容。以 k8s.gcr.io 为例，先准备一个资源清单：

gcr-k8s.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: gcr-k8s
  labels:
    app: gcr-k8s
spec:
  replicas: 1
  selector:
    matchLabels:
      app: gcr-k8s
  template:
    metadata:
      labels:
        app: gcr-k8s
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - gcr-k8s
              topologyKey: kubernetes.io/hostname
            weight: 1
      dnsPolicy: None
      dnsConfig:
        nameservers:
          - 8.8.8.8
          - 8.8.4.4
      containers:
      - name: gcr-k8s
        image: yangchuansheng/registry-proxy:latest
        env:
        - name: PROXY_REMOTE_URL
          value: https://k8s.gcr.io
        ports:
        - containerPort: 5000
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
        - mountPath: /var/lib/registry
          name: registry
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
      - name: registry
        hostPath:
          path: /var/lib/registry
---
apiVersion: v1
kind: Service
metadata:
  name: gcr-k8s
  labels:
    app: gcr-k8s
spec:
  selector:
    app: gcr-k8s
  ports:
    - protocol: TCP
      name: http
      port: 5000
      targetPort: 5000

将其部署到 Kubernetes 集群中：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl apply -f gcr-k8s.yaml

在 lds.yaml 中添加相关配置：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
          virtual_hosts:
          - name: docker
            ...
            ...
          - name: k8s
            domains:
            - k8s.fuckcloudnative.io
            routes:
            - match:
                prefix: "/"
              route:
                cluster: gcr-k8s
                timeout: 600s

在 cds.yaml 中添加相关配置：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
- "@type": type.googleapis.com/envoy.config.cluster.v3.Cluster
  name: gcr-k8s
  connect_timeout: 1s
  type: strict_dns
  dns_lookup_family: V4_ONLY
  lb_policy: ROUND_ROBIN
  load_assignment:
    cluster_name: gcr-k8s
    endpoints:
    - lb_endpoints:
      - endpoint:
          address:
            socket_address:
              address: gcr-k8s.default
              port_value: 5000

其他镜像仓库可照搬上述步骤，以下是我自己跑的所有缓存服务容器：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl get pod -o wide

gcr-8647ffb586-67c6g                     1/1     Running   0          21h     10.42.1.52    blog-k3s02
ghcr-7765f6788b-hxxvc                    1/1     Running   0          21h     10.42.1.55    blog-k3s01
dockerhub-94bbb7497-x4zwg                1/1     Running   0          21h     10.42.1.54    blog-k3s02
gcr-k8s-644db84879-7xssb                 1/1     Running   0          21h     10.42.1.53    blog-k3s01
quay-559b65848b-ljclb                    1/1     Running   0          21h     10.42.0.154   blog-k3s01

9. 容器运行时配置

配置好所有的缓存服务后，就可以通过代理来拉取公共镜像了，只需按照下面的列表替换镜像地址中的字段就行了：

原 URL

替换后的 URL

docker.io/xxx/xxx 或 xxx/xxx

docker.fuckcloudnative.io/xxx/xxx

docker.io/library/xxx 或 xxx

docker.fuckcloudnative.io/library/xxx

gcr.io/xxx/xxx

gcr.fuckcloudnative.io/xxx/xxx

k8s.gcr.io/xxx/xxx

k8s.fuckcloudnative.io/xxx/xxx

quay.io/xxx/xxx

quay.fuckcloudnative.io/xxx/xxx

ghcr.io/xxx/xxx

ghcr.fuckcloudnative.io/xxx/xxx

当然，最好的方式还是直接配置 registry mirror，Docker 只支持配置 docker.io 的 registry mirror，Containerd 和 Podman 支持配置所有镜像仓库的 registry mirror。

Docker

Docker 可以修改配置文件 /etc/docker/daemon.json，添加下面的内容：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
{
    "registry-mirrors": [
        "https://docker.fuckcloudnative.io"
    ]
}

然后重启 Docker 服务，就可以直接拉取 docker.io 的镜像了，不需要显示指定代理服务器的地址，Docker 服务本身会自动通过代理服务器去拉取镜像。比如：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → docker pull nginx:alpine
🐳 → docker pull docker.io/library/nginx:alpine
Containerd

Containerd 就比较简单了，它支持任意 registry 的 mirror，只需要修改配置文件 /etc/containerd/config.toml，添加如下的配置：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
    [plugins."io.containerd.grpc.v1.cri".registry]
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
          endpoint = ["https://docker.fuckcloudnative.io"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]
          endpoint = ["https://k8s.fuckcloudnative.io"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."gcr.io"]
          endpoint = ["https://gcr.fuckcloudnative.io"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."ghcr.io"]
          endpoint = ["https://ghcr.fuckcloudnative.io"]
        [plugins."io.containerd.grpc.v1.cri".registry.mirrors."quay.io"]
          endpoint = ["https://quay.fuckcloudnative.io"]

重启 Containerd 服务后，就可以直接拉取所有镜像了，不需要修改任何前缀，Containerd 会根据配置自动选择相应的代理 URL 拉取镜像。

Podman

Podman 也支持任意 registry 的 mirror，只需要修改配置文件 /etc/containers/registries.conf，添加如下的配置：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
unqualified-search-registries = ['docker.io', 'k8s.gcr.io', 'gcr.io', 'ghcr.io', 'quay.io']

[[registry]]
prefix = "docker.io"
insecure = true
location = "registry-1.docker.io"

[[registry.mirror]]
location = "docker.fuckcloudnative.io"

[[registry]]
prefix = "k8s.gcr.io"
insecure = true
location = "k8s.gcr.io"

[[registry.mirror]]
location = "k8s.fuckcloudnative.io"

[[registry]]
prefix = "gcr.io"
insecure = true
location = "gcr.io"

[[registry.mirror]]
location = "gcr.fuckcloudnative.io"

[[registry]]
prefix = "ghcr.io"
insecure = true
location = "ghcr.io"

[[registry.mirror]]
location = "ghcr.fuckcloudnative.io"

[[registry]]
prefix = "quay.io"
insecure = true
location = "quay.io"

[[registry.mirror]]
location = "quay.fuckcloudnative.io"

然后就可以直接拉取所有镜像了，不需要修改任何前缀，Podman 会根据配置自动选择相应的代理 URL 拉取镜像。而且 Podman 还有 fallback 机制，上面的配置表示先尝试通过 registry.mirror 中 location 字段的 URL 来拉取镜像，如果失败就会尝试通过 registry 中 location 字段的 URL 来拉取。

10. 清理缓存

缓存服务会将拉取的镜像缓存到本地，所以需要消耗磁盘容量。一般云主机的磁盘容量都不是很大，OSS 和 s3 存储都比较贵，不太划算。

为了解决这个问题，我推荐定期删除缓存到本地磁盘的部分镜像，或者删除所有镜像。方法也比较简单，单独再部署一个 registry，共用其他 registry 的存储，并启用 delete 功能，然后再通过 API 或者 Dashboard 进行删除。

先准备一个资源清单：

reg-local.yaml

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: reg-local
  labels:
    app: reg-local
spec:
  replicas: 1
  selector:
    matchLabels:
      app: reg-local
  template:
    metadata:
      labels:
        app: reg-local
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - reg-local
              topologyKey: kubernetes.io/hostname
            weight: 1
      containers:
      - name: reg-local
        image: yangchuansheng/registry-proxy:latest
        env:
        - name: DELETE_ENABLED
          value: "true"
        ports:
        - containerPort: 5000
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
        - mountPath: /var/lib/registry
          name: registry
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
      - name: registry
        hostPath:
          path: /var/lib/registry
---
apiVersion: v1
kind: Service
metadata:
  name: reg-local
  labels:
    app: reg-local
spec:
  selector:
    app: reg-local
  ports:
    - protocol: TCP
      name: http
      port: 5000
      targetPort: 5000

将其部署到 Kubernetes 集群中：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl apply -f reg-local.yaml

再准备一个 Docker Registry UI 的资源清单：

registry-ui

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: registry-ui
  labels:
    app: registry-ui
spec:
  replicas: 1
  selector:
    matchLabels:
      app: registry-ui
  template:
    metadata:
      labels:
        app: registry-ui
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - registry-ui
              topologyKey: kubernetes.io/hostname
            weight: 1
      tolerations:
      - key: node-role.kubernetes.io/ingress
        operator: Exists
        effect: NoSchedule
      containers:
      - name: registry-ui
        image: joxit/docker-registry-ui:static
        env:
        - name: REGISTRY_TITLE
          value: My Private Docker Registry
        - name: REGISTRY_URL
          value: "http://reg-local:5000"
        - name: DELETE_IMAGES
          value: "true"
        ports:
        - containerPort: 80
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
---
apiVersion: v1
kind: Service
metadata:
  name: registry-ui
  labels:
    app: registry-ui
spec:
  selector:
    app: registry-ui
  ports:
    - protocol: TCP
      name: http
      port: 80
      targetPort: 80

将其部署到 Kubernetes 集群中：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳  → kubectl apply -f registry-ui.yaml

这样就可以通过 Dashboard 来清理镜像释放空间了。

或者直接简单粗暴，定时删除整个存储目录的内容。例如，执行命令 crontab -e，添加如下内容：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
* * */2 * * /usr/bin/rm -rf /var/lib/registry/* &>/dev/null

表示每过两天清理一次 /var/lib/registry/ 目录。

11. 防白嫖认证

最后还有一个问题，我把缓存服务的域名全部公开了，如果大家都来白嫖，我的云主机肯定承受不住。为了防止白嫖，我得给 registry-proxy 加个认证，最简单的方法就是使用 basic auth，用 htpasswd 来存储密码。

  1. 为用户 admin 创建一个密码文件，密码为 admin：
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → docker run \
  --entrypoint htpasswd \
  registry:2.6 -Bbn admin admin > htpasswd
  1. 创建 Secret：
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → kubectl create secret generic registry-auth --from-file=htpasswd
  1. 修改资源清单的配置，以 docker.io 为例：
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
apiVersion: apps/v1
kind: Deployment
metadata:
  name: dockerhub
  labels:
    app: dockerhub
spec:
  replicas: 1
  selector:
    matchLabels:
      app: dockerhub
  template:
    metadata:
      labels:
        app: dockerhub
    spec:
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
          - podAffinityTerm:
              labelSelector:
                matchExpressions:
                - key: app
                  operator: In
                  values:
                  - dockerhub
              topologyKey: kubernetes.io/hostname
            weight: 1
      dnsPolicy: None
      dnsConfig:
        nameservers:
          - 8.8.8.8
          - 8.8.4.4
      containers:
      - name: dockerhub
        image: yangchuansheng/registry-proxy:latest
        env:
        - name: PROXY_REMOTE_URL
          value: https://registry-1.docker.io
        - name: PROXY_USERNAME
          value: yangchuansheng
        - name: PROXY_PASSWORD
          value: ********
+       - name: REGISTRY_AUTH_HTPASSWD_REALM
+         value: Registry Realm
+       - name: REGISTRY_AUTH_HTPASSWD_PATH
+         value: /auth/htpasswd 
        ports:
        - containerPort: 5000
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/localtime
          name: localtime
        - mountPath: /var/lib/registry
          name: registry
+       - mountPath: /auth
+         name: auth
      volumes:
      - name: localtime
        hostPath:
          path: /etc/localtime
      - name: registry
        hostPath:
          path: /var/lib/registry
+     - name: auth
+       secret:
+         secretName: registry-auth

apply 使其生效：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → kubectl apply -f dockerhub.yaml
  1. 尝试拉取镜像：
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → docker pull docker.fuckcloudnative.io/library/nginx:latest
   
Error response from daemon: Get https://docker.fuckcloudnative.io/v2/library/nginx/manifests/latest: no basic auth credentials
  1. 登录镜像仓库：
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
🐳 → docker login docker.fuckcloudnative.io
Username: admin
Password:
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store

Login Succeeded

现在就可以正常拉取镜像了。

如果你想更细粒度地控制权限，可以使用 Token 的方式来进行认证，具体可以参考 docker_auth[4] 这个项目。

12. 费用评估

好了，现在我们来评估一下这一切的费用。首先你得有一个会魔法的服务器，国内的肯定不用考虑了，必须选择国外的，而且到国内的速度还过得去的，最低最低不会低于 30 人民币/月 吧。除此之外，你还得拥有一个个人域名，这个价格不好说，总而言之，加起来肯定不会低于 30 吧，多数人肯定是下不去这个手的。没关系，我有一个更便宜的方案，我已经部署好了一切，你可以直接用我的服务，当然我也是自己买的服务器，每个月也是要花钱的，如果你真的想用，只需要每月支付 3 元，以此来保障我每个月的服务器费用。当然肯定不止你一个人，目前大概有十几个用户，后面如果人数特别多，再考虑加服务器。这个需要你自己考虑清楚，有意者关注文末公众号向我咨询。

参考资料

[1] registry: https://docs.docker.com/registry/

[2] Let's Encrypt: https://letsencrypt.org/

[3] Gloo: https://github.com/solo-io/gloo

[4] docker_auth: https://github.com/cesanta/docker_auth

听过云原生玩家都关注了他

后台回复◉k8s◉获取史上最方便快捷的 Kubernetes 高可用部署工具

只需一条命令，连 ssh 都不需要！

往期推荐

合格的后端Coder都应该写好UT和Mock测试

Spring Boot 2.4.3、2.3.9 版本发布，你准备好了吗？

打造全球最大规模 Kafka 集群，Uber 的多区域灾备实践

“智能”坐垫记录离座时间，是高科技福利还是又一个员工压榨机器？

Java延迟加载的最佳实践应用示例！

不容错过的灰度发布系统架构设计

本文参与 腾讯云自媒体同步曝光计划，分享自微信公众号。
原始发表：2021-02-21，如有侵权请联系 cloudcommunity@tencent.com 删除
缓存
代理
服务
镜像
配置

本文分享自 程序猿DD 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ，欢迎热爱写作的你一起参与！

缓存
代理
服务
镜像
配置
评论
登录后参与评论
暂无评论
登录 后参与评论
推荐阅读
iOS7使用原生API进行二维码和条形码的扫描
其他
IOS7之前，开发者进行扫码编程时，一般会借助第三方库。常用的是ZBarSDK，IOS7之后，系统的AVMetadataObject类中，为我们提供了解析二维码的接口。经过测试，使用原生API扫描和处理的效率非常高，远远高于第三方库。
珲少
2018/08/15
7870
iOS二维码扫描
iosjavahttps网络安全
AVCaptureDevice提供了一个类方法，指定一种媒体类型（AVMediaTypeVideo or AVMediaTypeAudio）它便能返回对应的录制设备。其他媒体类型可以在AVMediaFormat.h中找到，不过它们不需要录制设备（如文本、字幕等）。
全栈程序员站长
2022/09/12
9280
Hbuilder-二维码或条形码扫描 原
html5html
使用cordova可以实现扫描二维码或者条形码的功能，但是环境配置比较复杂，需要额外安装插件。
tianyawhl
2019/04/04
2.5K0
Java生成读取条形码和二维码图片
javajar
生成条形码，二维码图片，解析条形码，二维码图片的工具类，需要用到的jar包：core.jar,zxing-javase.jar
用户8983410
2021/09/23
1.3K1
Android实现条形码与二维码扫描
apixml腾讯云测试服务
有个二维码是目前移动端和webAPP 常用是一种和用户的交互方式，常用在社交，支付，电商app中，本文介绍实现条形码与二维码扫描。
开发者技术前线
2020/11/23
5.3K0
Android实现条形码与二维码扫描
微信小程序调用摄像头扫描识别二维码和条形码
编程算法小程序微信html5
给扫描按钮的图片绑定一个事件，点击调用摄像头扫码，扫描成功将数值赋给 input 输入框的 value 值。效果如下图：
德顺
2019/11/13
11.2K0
微信小程序调用摄像头扫描识别二维码和条形码
iOS7自带扫描二维码、条形码功能实现引1、准备工作2、实现扫描界面3、优化扫描界面
ios面向对象编程
随着二维码的普及，扫码功能越来越重要，比起手动输入，扫码直接获取的方式会更加的便捷和快速，在iOS7之前，实现扫码一般是使用第三方的类库，如ZBar等，iOS7之后开始自行提供扫码的框架，在AVFoundation中包含有实现扫码的类，使用起来还是很方便的，本文通过一个例子讲述其用法。
Cloudox
2021/11/23
9890
iOS7自带扫描二维码、条形码功能实现引1、准备工作2、实现扫描界面3、优化扫描界面
iOS学习——iOS原生实现二维码扫描
ios
　　最近项目上需要开发扫描二维码进行签到的功能，主要用于开会签到的场景，所以为了避免作弊，我们再开发时只采用直接扫描的方式，并且要屏蔽从相册读取图片，此外还在二维码扫描成功签到时后台会自动上传用户的当前地点，如何自动定位获取用户的当前地点在上一篇随笔iOS学习——自动定位中已经讲过了，本文就简单地说一下如何利用iOS原生的模块实现二维码的扫描。 　　二维码扫描是很多应用都会实现的功能，比较著名的第三方开源库是Google出品的ZXing，其的OC的移植版本是ZXingObjc。iOS系统原生的二维码扫描模块
mukekeheart
2018/03/26
2.5K0
pyzbar 二维码、条形码识别
pythonode二维码函数
利用python的第三方模块 pyzbar 可以很方便的进行二维码的识别（也能识别条形码，用法别无二致）。
用户6021899
2019/10/09
6K0
pyzbar 二维码、条形码识别
微信小程序调用相机或者图库实现扫描二维码或者条码的文档教程
编程算法小程序微信
最近在做一个产品项目，程序是需要扫描条形码然后跟后台某个接口返回值，其实微信小程序就有一个扫码识别的API，下面一起来看看：
李洋博客
2022/03/03
4.9K0
java——记录一次条形码、二维码、订单自动生成的制作
javaguihttps网络安全编程算法
链接：https://pan.baidu.com/s/12mJTx7TkbK2HiWDgcT_jbQ 提取码：di1y
不愿意做鱼的小鲸鱼
2022/09/26
1.3K0
java——记录一次条形码、二维码、订单自动生成的制作
AVFoundation框架解析看这里（2）- 媒体捕捉与视频拍摄
iosavfoundationpng框架
上一章节主要从整体上全览AVFoundation框架，本章主要以一个小的需求(以媒体捕捉以起点，拍摄、保存视频)，打开AVFoundation的大门，带领我们欣赏这个框架带来的强大功能。
sweet说好的幸福
2020/12/23
1.3K0
AVFoundation框架解析看这里（2）- 媒体捕捉与视频拍摄
IOS 扫二维码
avfoundationios7uiview代理二维码
注意：本篇文章采用了IOS7的新特性来扫二维码，所以系统支持要IOS7以上，如果要兼容IOS7之前的版本，自行找库来支持。
用户7718188
2021/09/22
4980
iOS开发之扫描二维码
iosapixcode
自iOS7以后，iOS扫描二维码不需要借助于第三方框架了，苹果在AVFoundation中原生支持了扫描二维码的API，主要涉及到5个类，这5个类在自定义相机或者视频时也用得上，网上有很多介绍，这5个类分别为: AVCaptureSession：媒体捕获会话，负责把捕获的音视频数据输出到输出设备中。 AVCaptureDevice：输入设备，如麦克风、摄像头。 AVCaptureDeviceInput：设备输入数据管理对象，可以根据AVCaptureDevice创建对应的AVCaptureDeviceI
YungFan
2018/05/03
2K0
iOS开发之扫描二维码
iOS开发——系统原生的二维码扫描
其他
对于现在的App应用来说，扫描二维码这个功能是再正常不过的一个功能了，在早期开发这些功能的时候，大家或多或少的都接触过ZXing和ZBar这类的第三方库，但从iOS7以后，苹果就给我们提供了系统原生的API来支持我们扫描获取二维码，ZXing和ZBar在使用中或多或少有不尽如人意的地方，再之停止更新很久了，所以今天我们就来聊聊如何用系统原生的方法扫描获取二维码。
Originalee
2018/08/30
8900
小程序的二维码与条形码技术
oracle11g
二维码与条形码技术是现代商业和科技中不可或缺的工具，广泛应用于零售、支付、物流、营销等多个领域。随着移动互联网的普及，二维码与条形码的应用也不断创新，尤其是在微信小程序中，通过集成二维码与条形码功能，可以实现商品的扫码支付、信息验证、用户认证等多种功能。本文将详细解析小程序中二维码与条形码的应用技术，介绍其实现方式，并通过具体案例帮助你更好地理解如何在小程序中实现二维码与条形码功能。
LucianaiB
2025/02/10
2870
基于zxing的二维码扫描
其他
现在的应用中二维码扫描已经成为一个应用必不可少的功能，现在大部分Android二维码扫描都是基于zxing和Zbar，这文章就来介绍一下基于zxing的二维码扫描。先看下效果图
g小志
2018/09/11
4.2K0
基于zxing的二维码扫描
好用app推荐：扫描二维码、扫描条形码并查看历史
微信
有些朋友日常生活中可能需要频繁扫描二维码，或者需要频繁扫描条形码，一般情况下我们可以直接用微信进行扫描。但是如果想记录扫描的历史，或者想对扫描的二维码、条形码进行美化、分享的话，用微信扫描就不是很方便。今天，小编给大家推荐一款我平时经常使用的手机app--二维码和条形码生成器，一款好用的、免费的扫码App，支持安卓、鸿蒙、苹果手机，快来看看怎么用吧。
好用app推荐官
2022/07/04
1.6K0
好用app推荐：扫描二维码、扫描条形码并查看历史
Flutter自制插件之r_scan二维码&条形码扫描（支持文件、url、内存、相机）
网站
二维码作为信息的载体，广泛应用于我们生活的方方面面，例如：使用支付宝支付，二维码加好友，二维码推广等等，能举例的例子多不胜数，而如果你的应用支持二维码的扫描，用户和体验将会翻倍的增长，如果你是应用的开发者，欢迎来使用此二维码扫描插件！并希望能给予项目一个star，谢谢！项目地址：https://github.com/rhymelph/r_scan
rhyme_lph
2020/03/20
2.2K0
安卓chrome 扫描二维码_付款扫的是条形码还是二维码
微信
转载请注明出处：http://blog.csdn.net/xiaanming/article/details/10163203
全栈程序员站长
2022/11/01
8830
推荐阅读
编辑精选文章
万字详解高可用架构设计Go 开发者必备：Protocol Buffers 入门指南10分钟带你彻底搞懂分布式链路跟踪
相关讨论
美化二维码？二维码识别？安卓扫描二维码无法播放视频怎么办？
相关课程
腾讯云向量数据库-RAG七天入门训练营腾讯云开发玩转小程序实战训练营ES Serverless一站式日志分析入门到精通
iOS7使用原生API进行二维码和条形码的扫描
7870
iOS二维码扫描
9280
Hbuilder-二维码或条形码扫描 原
2.5K0
Java生成读取条形码和二维码图片
1.3K1
Android实现条形码与二维码扫描
5.3K0
微信小程序调用摄像头扫描识别二维码和条形码
11.2K0
iOS7自带扫描二维码、条形码功能实现引1、准备工作2、实现扫描界面3、优化扫描界面
9890
iOS学习——iOS原生实现二维码扫描
2.5K0
pyzbar 二维码、条形码识别
6K0
微信小程序调用相机或者图库实现扫描二维码或者条码的文档教程
4.9K0
java——记录一次条形码、二维码、订单自动生成的制作
1.3K0
AVFoundation框架解析看这里（2）- 媒体捕捉与视频拍摄
1.3K0
IOS 扫二维码
4980
iOS开发之扫描二维码
2K0
iOS开发——系统原生的二维码扫描
8900
小程序的二维码与条形码技术
2870
基于zxing的二维码扫描
4.2K0
好用app推荐：扫描二维码、扫描条形码并查看历史
1.6K0
Flutter自制插件之r_scan二维码&条形码扫描（支持文件、url、内存、相机）
2.2K0
安卓chrome 扫描二维码_付款扫的是条形码还是二维码
8830
相关推荐
iOS7使用原生API进行二维码和条形码的扫描
更多 >
mikimo
LV.0
腾讯（深圳）科技有限公司终端开发
文章
138
获赞
268
专栏
1
目录
  • 1. 前提条件
  • 2. 核心思路
  • 3. 定制 registry
  • 4. 启动缓存服务
  • 5. 代理选择
  • 6. 代理配置
  • 7. 验证加速效果
  • 8. 缓存所有镜像仓库
  • 9. 容器运行时配置
    • Docker
    • Containerd
    • Podman
  • 10. 清理缓存
  • 11. 防白嫖认证
  • 12. 费用评估
加入讨论
的问答专区 >
用户73666530
相关课程
一站式学习中心 >
腾讯云向量数据库-RAG七天入门训练营
2165人在学
向量数据库
腾讯云安灯
腾讯云开发玩转小程序实战训练营
1571人在学
云开发 CloudBase
ES Serverless一站式日志分析入门到精通
1174人在学
Elasticsearch Service
领券

腾讯云开发者

扫码关注腾讯云开发者

扫码关注腾讯云开发者

领取腾讯云代金券

热门产品

热门推荐

更多推荐

Copyright © 2013 - 2025 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有 

深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

腾讯云计算（北京）有限责任公司 京ICP证150476号 |  京ICP备11018762号 | 京公网安备号11010802020287

问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档

Copyright © 2013 - 2025 Tencent Cloud.

All Rights Reserved. 腾讯云 版权所有

登录 后参与评论
4