tiangolo/docker-registry-proxy

docker-registry-proxy

TL,DR

Docker镜像缓存代理，支持集中管理镜像仓库及其认证，可缓存来自任何仓库的镜像，包括Docker Hub、k8s.gcr.io、gcr.io等。

镜像概述

该镜像基于HTTPS_PROXY机制和注入CA根证书实现，是https://github.com/rpardini/docker-caching-proxy-multiple-private%E7%9A%84%E7%AE%80%E5%8C%96%E6%BC%94%E8%BF%9B%E7%89%88%E6%9C%AC%EF%BC%8C%E9%81%BF%E5%85%8D%E4%BA%86%60/etc/hosts%60 hack和--insecure-registry的使用。核心功能是缓存Docker镜像层（甚至来自S3、Google Storage等存储），同时支持集中管理镜像仓库的认证信息。只需配置一次Docker客户端（或Kubernetes节点），后续所有配置均可在代理端完成（需将代理的CA证书添加到系统信任根证书）。

核心功能

1. 镜像缓存：缓存来自任何镜像仓库的Docker镜像层，节省带宽并提升拉取速度。
2. 集中认证管理：统一管理多个镜像仓库的认证信息，无需在每个客户端单独配置。
3. 跨仓库支持：支持Docker Hub、k8s.gcr.io、gcr.io、quay.io及私有仓库等。

使用场景

• Kubernetes集群：减少集群节点重复拉取镜像的带宽消耗，提升部署效率。
• 开发环境：团队共享镜像缓存，加快镜像拉取速度。
• 私有仓库场景：集中管理私有仓库认证，简化客户端配置。

配置说明

运行代理

1. 在靠近Docker客户端的主机上运行代理。
2. 暴露3128端口到网络。
3. 映射卷/docker_mirror_cache存储缓存（最大32GB）。
4. 映射卷/ca存储代理CA证书（跨重启保留）。
5. 环境变量：
   • REGISTRIES：需缓存的仓库列表（空格分隔，默认包含Docker Hub）。
   • AUTH_REGISTRIES：仓库认证信息（格式hostname:username:password，空格分隔）。
   • AUTH_REGISTRIES_DELIMITER：认证信息之间的分隔符（默认空格，若密码含空格可修改，如;;）。
   • AUTH_REGISTRY_DELIMITER：认证信息内部的分隔符（默认冒号，若密码含冒号可修改，如:::）。

Docker部署示例

普通场景：

bash
docker run --rm --name docker_registry_proxy -it \
       -p 0.0.0.0:3128:3128 \
       -v $(pwd)/docker_mirror_cache:/docker_mirror_cache \
       -v $(pwd)/docker_mirror_certs:/ca \
       -e REGISTRIES="k8s.gcr.io gcr.io quay.io your.own.registry another.public.registry" \
       -e AUTH_REGISTRIES="auth.docker.io:dockerhub_username:dockerhub_password your.own.registry:username:password" \
       rpardini/docker-registry-proxy:0.2.4

GCR场景（使用服务账号JSON密钥）：

bash
docker run --rm --name docker_registry_proxy -it \
       -p 0.0.0.0:3128:3128 \
       -v $(pwd)/docker_mirror_cache:/docker_mirror_cache \
       -v $(pwd)/docker_mirror_certs:/ca \
       -e REGISTRIES="k8s.gcr.io gcr.io quay.io your.own.registry another.public.registry" \
       -e AUTH_REGISTRIES_DELIMITER=";;;" \
       -e AUTH_REGISTRY_DELIMITER=":::" \
       -e AUTH_REGISTRIES="gcr.io:::_json_key:::$(cat servicekey.json);;;auth.docker.io:::dockerhub_username:::dockerhub_password" \
       rpardini/docker-registry-proxy:0.2.4

配置Docker客户端/Kubernetes节点

在每个使用缓存的Docker主机上执行以下步骤（以Ubuntu Xenial为例）：

bash
# 添加Docker代理配置
mkdir -p /etc/systemd/system/docker.service.d
cat << EOD > /etc/systemd/system/docker.service.d/http-proxy.conf
[Service]
Environment="HTTP_PROXY=http://192.168.66.72:3128/"
Environment="HTTPS_PROXY=http://192.168.66.72:3128/"
EOD

# 获取并信任代理CA证书
curl http://192.168.66.72:3128/ca.crt > /usr/share/ca-certificates/docker_registry_proxy.crt
echo "docker_registry_proxy.crt" >> /etc/ca-certificates.conf
update-ca-certificates --fresh

# 重新加载systemd并重启Docker
systemctl daemon-reload
systemctl restart docker.service

测试

1. 清理Docker缓存：docker system prune -a -f（注意：此操作会删除所有未运行的容器、镜像等）。
2. 拉取镜像（如docker pull k8s.gcr.io/kube-proxy-amd64:v1.10.4），观察代理日志是否显示“MISS”。
3. 再次清理并拉取同一镜像，日志应显示“HIT”，表示缓存生效。

注意事项

• 若通过代理拉取私有镜像，任何能访问代理的客户端均可获取该镜像，需注意权限控制。
• 当前不支持通过代理推送镜像。
• Linux上配置较简单，Mac和Windows的CA证书配置需调整。

为什么不使用Docker官方Registry的镜像缓存功能？

Docker官方Registry的镜像缓存仅支持Docker Hub，无法缓存k8s.gcr.io、gcr.io等其他仓库的镜像。而本代理支持任何仓库的缓存，解决了Kubernetes集群等场景下重复拉取镜像的带宽问题。

TODO

• 支持DockerHub多 credentials 配置。
• 测试并完善quay.io的认证支持。
• 允许配置缓存大小（当前固定32GB）。
• 将mitmproxy构建代码隐藏在Docker build ARG下。
• 支持作为开发者办公环境代理，供团队共享缓存。
  ===END===