在集群中运行本地镜像仓库的方法

75次阅读

问题描述

想要在集群中设置一个本地的Docker镜像仓库，以便能够快速地推送/拉取镜像，同时避免公司Docker镜像仓库的某些策略限制（例如，所有在该仓库中的镜像必须设置特定的标签，而某些工具如kaniko无法为缓存的镜像设置这些标签）。

他的目标是作为一个镜像缓存，既可以用于CI/CD构建任务，也可以用于集群自身的部署。目前他已经在集群中搭建了一个镜像仓库，但遇到了一些问题：

镜像仓库的完全限定域名（FQDN）应该是什么？
如果使用集群内部名称（例如，registry.<ns>.svc.cluster.local）来标记镜像，那么如何让运行在集群中的containerd来部署这些镜像？
如果创建一个Ingress，并使用该FQDN来标记镜像，那么需要执行以下步骤：
1. 设置Ingress。
2. 保护Ingress，以便只有集群中的服务器可以访问Ingress。

如果有需要注意的地方，他提到这是一个本地集群，在这个集群中运行的是containerd，并未安装Docker。

用户想知道在这种情况下，最佳的解决方案是什么。他觉得应该有一个简单的方法，但他自己暂时没有找到。

请注意以下操作注意版本差异及修改前做好备份。

在集群中设置一个本地的Docker镜像仓库可以通过以下步骤来完成。这里假设你已经熟悉Kubernetes和集群的基本概念。

选择镜像仓库工具：
首先，你需要选择一个适合的镜像仓库工具。在Kubernetes中，最常用的选择是Harbor或Nexus。它们都提供了镜像仓库和一些高级功能，如镜像复制、安全扫描等。
部署镜像仓库：
根据你选择的工具，按照其文档部署镜像仓库。一般来说，你需要创建一个Kubernetes命名空间，并部署镜像仓库的组件。这些组件通常包括数据库、Web界面、镜像仓库本身等。
配置访问策略：
针对你的需求，你可能需要设置一些访问策略，确保只有受信任的服务和服务器可以访问你的镜像仓库。这可以通过网络策略或Ingress控制来实现，具体取决于你的集群网络架构。
使用集群内部名称标记镜像：
如果你希望使用集群内部名称来标记镜像，确保在部署应用时使用了正确的标签。然后，在Kubernetes资源（如Deployment或Pod）的配置中，引用这些标签来指定使用哪个镜像。
处理containerd的部署：
对于运行在集群中的containerd，你可以在容器运行时配置中指定使用你的本地镜像仓库。具体做法可能会因containerd的版本和配置方式而有所不同，请参考containerd的文档来进行配置。

如果你决定使用Ingress来访问镜像仓库，可以按照以下步骤操作。

创建Ingress：
创建一个Ingress资源，将它映射到你的镜像仓库服务。确保设置合适的规则和路径，以及你所选用的Ingress控制器支持的选项。
保护Ingress：
为了确保只有集群中的服务器可以访问Ingress，你可以通过Ingress控制器支持的方式来进行保护，如基于IP的访问控制。这将确保只有在白名单上的IP地址可以访问镜像仓库。

请注意，使用Ingress需要你在集群网络和Ingress控制器方面有一定的了解。同时，确保在保护Ingress时不会影响到其他重要的服务和流量。

无论选择哪种方案，都需要根据你的具体情况进行调整和配置。建议在测试环境中进行试验，确保一切正常后再在生产环境中部署。