kubernetes拉取私有仓库镜像

秒速五厘米 2022-05-29 04:42 311阅读 0赞

# Docker私有仓库 #

在介绍k8s拉取私有仓库之前，需要配置docker拉取私有仓库。  
默认docker拉取私有仓库是使用`https`协议，如果需要使用`http`，需要进行以下配置。  
编辑`/etc/docker/daemon.json`，添加内容：

{
      "insecure-registries" : ["registry.xxxx.com"] }

重启docker，然后通过以下操作拉取私有仓库镜像：

docker login registry.xxxx.com
    docker pull registry.xxxx.com/xxx/xx:xxx

# K8s私有仓库 #

配置好docker后，这里继续介绍k8s通过secret配置来拉取私有仓库镜像。  
如果不进行设置的话，创建RC拉取镜像时就会提示找不到镜像，报以下错误：

Events:
      FirstSeen     LastSeen        Count   From                    SubObjectPath           Type            Reason          Message
      ---------     --------        -----   ----                    -------------           --------        ------          -------
      49s           49s             1       {default-scheduler }                            Normal          Scheduled       Successfully assigned webapp-xq03t to master
      48s           11s             3       {kubelet master}        spec.containers{webapp} Normal          Pulling         pulling image "e5:8889/tomcat"
      48s           11s             3       {kubelet master}        spec.containers{webapp} Warning         Failed          Failed to pull image "e5:8889/tomcat": Error: image tomcat:latest not found
      48s           11s             3       {kubelet master}                                Warning         FailedSync      Error syncing pod, skipping: failed to "StartContainer" for "webapp" with ErrImagePull: "Error: image tomcat:latest not found"
    
      47s   0s      3       {kubelet master}        spec.containers{webapp} Normal  BackOff         Back-off pulling image "e5:8889/tomcat"
      47s   0s      3       {kubelet master}                                Warning FailedSync      Error syncing pod, skipping: failed to "StartContainer" for "webapp" with ImagePullBackOff: "Back-off pulling image \"e5:8889/tomcat\""

# 创建secret #

kubectl create secret docker-registry registrysecret --docker-server=e5:8889  --docker-username=admin --docker-password=xxxx --docker-email=lusyoe@163.com

# RC中使用secret #

apiVersion: v1
    kind: ReplicationController
    metadata:
      name: webapp
    spec:
      replicas: 2
      template:
        metadata:
          name: webapp
          labels:
            app: webapp
        spec:
          containers:
          - name: webapp         imagePullPolicy: Always
            image: e5:8889/tomcat:latest
            ports:
              - containerPort: 80       imagePullSecrets:
          - name: registrysecret

关键就在于**imagePullSecrets**。

如果仅仅是这样的话，每次编写yaml脚本都需要添加这2行配置也太麻烦了。  
我们需要使其默认就自动可以从私有仓库中下载还需要几步。

# 配置默认规则 #

将该密钥设置到k8s的默认账号中：  
`kubectl patch serviceaccount default -p '{"imagePullSecrets": [{"name": "registrysecret"}]}'`

查看默认账号配置：  
`kubectl get serviceaccounts default -o yaml`

看看默认账户的详细配置：

apiVersion: v1
    imagePullSecrets:
    - name: registrysecret
    kind: ServiceAccount
    metadata:
      creationTimestamp: 2018-03-11T15:28:06Z
      name: default
      namespace: default
      resourceVersion: "997965"
      selfLink: /api/v1/namespaces/default/serviceaccounts/default
      uid: cc20a274-2540-11e8-8755-3497f600e8ed
    secrets:
    - name: default-token-5qvkp

我们发现已经添加了`imagePullSecrets`，这样我们后续就不用在每个yaml脚本中都添加这个配置啦，自动会加上去的。  
不同的namespace命名空间secret是**隔离**的，这里只演示了default命名空间。

PS：需要注意这里必须要激活**ServiceAccount**，否则会报错。

参看：[解决k8s创建pod报错No API token found for service account “default”, retry after the token is automatically][k8s_pod_No API token found for service account _default_ retry after the token is automatically]

[k8s_pod_No API token found for service account _default_ retry after the token is automatically]: https://blog.csdn.net/lusyoe/article/details/79673058