dwpdigital/registry-image-resource

Registry Image Resource

Concourse资源类型，支持检查、获取和推送Docker镜像到注册表，旨在替代https://github.com/concourse/docker-image-resource%E3%80%82

镜像概述

该资源采用纯Go实现，不依赖Docker守护进程或CLI，具有以下优势：

• 更安全：无需privileged: true权限
• 更高效：直接使用Go API，避免解析CLI输出的错误
• 测试覆盖更全面
• 功能聚焦：仅支持镜像拉取/推送，不包含构建功能（建议使用oci-build-task等工具构建镜像）

核心功能

1. check：发现注册表中指定标签的新镜像摘要（digest）
2. in：获取镜像的rootfs和元数据，支持rootfs（默认，解压镜像）和oci（导出OCI格式tar包）两种格式
3. out：将OCI镜像tar包推送到注册表，并支持附加标签

使用场景

• 在Concourse流水线中管理Docker镜像的拉取与推送
• 作为任务的***资源，指定镜像摘要确保版本一致性
• 结合内容信任（Content Trust）实现镜像签名验证

配置说明

源配置（Source Configuration）

• repository：必填，镜像仓库名称（如alpine）
• tag：可选，默认latest，监控和发布的标签
• username/password：可选，注册表认证凭据（私有仓库或推送时需指定）
• aws_access_key_id/aws_secret_access_key：可选，ECR认证凭据
• aws_region：可选，ECR所在区域
• debug：可选，默认false，启用调试输出
• content_trust：可选，镜像内容信任配置（需指定repository_key_id、repository_key、repository_passphrase等）

示例配置

资源定义

yaml
resources:
- name: trusted-image
  type: registry-image
  source:
    repository: docker.io/foo/bar
    username: ((registry_user))
    password: ((registry_pass))
    content_trust:
      repository_key_id: ((registry_key_id))
      repository_key: ((registry_key))
      repository_passphrase: ((registry_passphrase))

任务中使用***资源

yaml
image_resource:
  type: registry-image
  source:
    repository: golang
  version:
    digest: 'sha256:5f640aeb8b78e9876546a9d06b928d2ad0c6e51900bcba10ff4e12dc57f6f265'

行为说明

check

报告注册表中指定标签的当前镜像摘要。

in

获取镜像的rootfs和元数据，支持参数：

• format：可选，默认rootfs，取值rootfs或oci
• skip_download：可选，默认false，跳过下载镜像

out

推送OCI镜像tar包到注册表，支持参数：

• image：必填，OCI镜像tar包路径
• additional_tags：可选，附加标签文件路径（每行一个标签）