gmelillo/registry Docker 镜像 - 轩辕镜像

registry 镜像文档

镜像概述

registry镜像是一个容器注册表的包装器，主要用途是在Kubernetes集群上调度垃圾回收器运行，帮助清理容器注册表中未使用的镜像数据，以优化存储空间使用。该镜像提供了灵活的配置选项，支持与Kubernetes集群资源交互，确保垃圾回收过程安全可控。

核心功能与特性

• 垃圾回收调度：支持在Kubernetes集群中调度注册表垃圾回收任务
• 配置灵活性：通过命令行标志或环境变量自定义垃圾回收参数（超时时间、优雅关闭期等）
• 日志管理：可配置日志格式（pretty格式）和日志级别（info、debug等）
• K8s资源交互：支持与Kubernetes部署资源交互，实现注册表实例的状态管理
• 安全权限控制：通过Kubernetes RBAC机制实现最小权限访问控制

使用场景与适用范围

适用于在Kubernetes集群中运行容器注册表（如Docker Registry）的环境，需要定期清理不再被引用的镜像以释放存储空间。尤其适合后端使用S3等对象存储的注册表部署场景，可通过定时任务自动化执行垃圾回收。

配置说明

配置参数

服务账户配置

运行容器需以下Kubernetes服务账户配置，以获取操作部署资源的权限：

kubernetes
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: registry-garbage-collector
---
kind: Role
apiVersion: rbac.authorization.k8s.io/v1beta1
metadata:
  name: registry-garbage-collector
rules:
- apiGroups: ["apps"]
  resources: ["deployments"]
  verbs: ["get","list","patch","update","watch"]
- apiGroups: ["apps"]
  resources: ["deployments/status"]
  verbs: ["get","list","watch"]
---
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: RoleBinding
metadata:
  name: registry-garbage-collector
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: registry-garbage-collector
subjects:
- kind: ServiceAccount
  name: registry-garbage-collector

权限说明

• ServiceAccount：创建名为registry-garbage-collector的服务账户
• Role：定义对apps API组下deployments资源的操作权限（get、list、patch、update、watch）及deployments/status资源的查看权限
• RoleBinding：将上述角色绑定到服务账户，赋予其对应权限

CronJob示例

以下是在Kubernetes中定时调度垃圾回收任务的CronJob配置示例，适用于后端使用S3存储的注册表：

kubernetes
---
apiVersion: batch/v1beta1
kind: CronJob
metadata:
  name: docker-registry-garbage-collector
spec:
  schedule: "0 4 * * *"  # 每天4点执行
  jobTemplate:
    spec:
      template:
        spec:
          serviceAccountName: registry-garbage-collector  # 使用上述服务账户
          volumes:
          - configMap:
              defaultMode: 420
              name: registry-config  # 挂载注册表配置
            name: registry-config
          containers:
          - name: registry-garbage-collector
            image: gmelillo/registry:latest
            imagePullPolicy: Always
            env:
            - name: REGISTRY_STORAGE_S3_ACCESSKEY
              valueFrom:
                secretKeyRef:
                  key: s3AccessKey
                  name: registry-secret  # 从secret获取S3访问密钥
            - name: REGISTRY_STORAGE_S3_SECRETKEY
              valueFrom:
                secretKeyRef:
                  key: s3SecretKey
                  name: registry-secret
            - name: REGISTRY_STORAGE_S3_REGION
              value: eu-wes-1  # S3区域
            - name: REGISTRY_STORAGE_S3_BUCKET
              value: registry.example.com  # S3存储桶名称
            - name: REGISTRY_STORAGE_S3_SECURE
              value: "true"  # 启用S3安全连接
            - name: REGISTRY_STORAGE_DELETE_ENABLED
              value: "true"  # 启用删除功能
            volumeMounts:
            - mountPath: /etc/docker/registry  # 挂载注册表配置到容器内路径
              name: registry-config
          restartPolicy: OnFailure  # 失败时重启

使用方法

1. 创建服务账户及RBAC配置： 将上述"服务账户配置"中的YAML内容保存为rbac.yaml，执行kubectl apply -f rbac.yaml创建相关资源。

2. 部署CronJob： 根据实际环境修改CronJob配置中的S3参数、调度时间及注册表配置，保存为cronjob.yaml，执行kubectl apply -f cronjob.yaml部署定时任务。

3. 自定义配置： 可通过环境变量（如GARBAGE_COLLECTOR_TIMEOUT）或命令行标志（如--log-level=debug）调整垃圾回收参数，环境变量优先级高于默认值。

4. 验证任务执行： 通过kubectl get cronjobs查看CronJob状态，kubectl logs <pod-name>查看任务执行日志。