Docker Registry 镜像文档

概述

Docker Registry是一个开源的Docker镜像仓库服务，实现了Docker Registry API v2规范，用于存储、分发和管理Docker镜像。它支持镜像的完整生命周期管理，包括推送、拉取、删除和版本控制，是构建私有或企业级Docker镜像管理系统的核心组件。

核心功能和特性

镜像管理

• 支持Docker镜像的推送（push）、拉取（pull）、删除（delete）和标记（tag）操作
• 自动处理镜像分层存储，优化存储空间利用率
• 支持多标签管理，实现同一镜像的多版本并行维护

存储灵活性

• 支持多种存储后端：本地文件系统（默认）、Amazon S3、Google Cloud Storage、Microsoft Azure Blob Storage等
• 可自定义存储路径，便于集成现有存储架构

安全性

• 支持TLS加密传输，保护镜像数据在传输过程中的机密性
• 提供基础认证机制（可通过htpasswd、LDAP等实现），控制镜像访问权限
• 兼容第三方安全工具，支持镜像漏洞扫描和合规性检查

API兼容性

• 完全兼容Docker Registry API v2，支持标准Docker客户端操作
• 提供健康检查接口，便于监控服务运行状态

使用场景和适用范围

企业私有镜像仓库

• 存储企业内部开发的应用镜像，防止敏感代码和配置泄露
• 集中管理开发、测试、生产等不同环境的镜像版本

开发团队协作

• 团队成员共享基础镜像和中间件镜像，确保开发环境一致性
• 通过版本控制实现镜像迭代管理，便于问题追溯和版本回滚

CI/CD流水线集成

• 作为CI/CD流程的镜像存储节点，接收构建产物并提供给部署环节
• 与Jenkins、GitLab CI、GitHub Actions等工具无缝集成，实现自动化镜像管理

网络隔离环境

• 在无互联网访问的内网环境中提供本地镜像服务
• 减少对外部仓库的依赖，提高部署稳定性和速度

使用方法和配置说明

基本部署

快速启动（命令行方式）

docker run -d \
  -p 5000:5000 \
  --name registry \
  -v /path/to/registry/data:/var/lib/registry \
  registry:2

• -p 5000:5000：映射容器5000端口（默认服务端口）到主机
• -v /path/to/registry/data:/var/lib/registry：挂载本地目录持久化存储镜像数据
• registry:2：使用Registry v2版本（最新稳定版）

Docker Compose配置

version: '3'
services:
  registry:
    image: registry:2
    container_name: registry
    ports:
      - "5000:5000"
    volumes:
      - ./data:/var/lib/registry  # 镜像存储目录
      - ./config.yml:/etc/docker/registry/config.yml  # 自定义配置文件
    environment:
      - REGISTRY_STORAGE_DELETE_ENABLED=true  # 启用镜像删除功能
    restart: always

高级配置

配置文件示例（config.yml）

version: 0.1
log:
  fields:
    service: registry
storage:
  filesystem:
    rootdirectory: /var/lib/registry
http:
  addr: :5000
  headers:
    X-Content-Type-Options: [nosniff]
auth:
  htpasswd:
    realm: Registry Realm
    path: /etc/docker/registry/auth/htpasswd
health:
  storagedriver:
    enabled: true
    interval: 10s
    threshold: 3

环境变量配置

常用核心环境变量：

安全配置

启用TLS加密

1. 准备TLS证书（自签或CA颁发）
2. 启动容器时挂载证书并配置：

docker run -d \
  -p 443:5000 \
  --name registry \
  -v /path/to/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

配置基础认证

1. 创建htpasswd认证文件：

mkdir -p auth
htpasswd -Bc auth/htpasswd admin  # 创建admin用户（按提示输入密码）

2. 启动带认证的Registry：

docker run -d \
  -p 5000:5000 \
  --name registry \
  -v $(pwd)/auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \
  registry:2

镜像操作示例

登录私有仓库

docker login myregistry.example.com:5000
# 输入配置的用户名和密码

推送镜像

1. 为本地镜像添加私有仓库标签：

docker tag nginx:latest myregistry.example.com:5000/nginx:v1.0

2. 推送镜像到私有仓库：

docker push myregistry.example.com:5000/nginx:v1.0

拉取镜像

docker pull myregistry.example.com:5000/nginx:v1.0

注意事项

• 生产环境必须启用TLS和认证，防止未授权访问和数据泄露
• 大规模部署时建议使用分布式存储后端（如S3）并配置镜像缓存
• 定期清理无用镜像释放存储空间（启用删除功能后可通过API或工具操作）
• 建议配合监控工具（如Prometheus）监控存储空间使用和服务性能