使用 Docker Registry 自托管一个缓存镜像源

Table of Contents

部署

由于是在一个 1C1G 的机器上部署，就不用 K3s 了，直接用 Docker Compose 拉起一个实例。官方文档有提供 docker-compose.yml，这里也给出一份示例：

version: '3'

services:
  registry-docker:
    image: registry:2
    restart: unless-stopped
    environment:
      REGISTRY_PROXY_REMOTEURL: https://registry-1.docker.io
      REGISTRY_PROXY_USERNAME: username
      REGISTRY_PROXY_PASSWORD: dckr_pat_value
      # REGISTRY_AUTH: htpasswd
      # REGISTRY_AUTH_HTPASSWD_PATH: /auth/htpasswd
      # REGISTRY_AUTH_HTPASSWD_REALM: Registry Realm
      REGISTRY_STORAGE_DELETE_ENABLED: "true"
    ports:
      - 127.0.0.1:50000:5000
    volumes:
      - ./data/auth:/auth
      - ./data/docker:/var/lib/registry

这里的账密可以提高拉取限频，但是根据官方文档，使用镜像的用户就可以读到该账号下的私有镜像了，最好是一个独立的账号。

服务拉起来之后，Nginx 反代一下就可以使用了。

拉取

有两种方式可以使用，首先是最普遍且最优的做法，在 /etc/docker/daemon.json 中加入 registry-mirrors 选项。例如：

{
  "registry-mirrors": [
    "https://<docker-registry-host>"
  ]
}

然后重启 Docker Engine 即可。

不过此种方式不支持 HTTP Basic 身份验证，这也就意味着无法通过事先 docker login 的方式来拉取私有的镜像源。目前各镜像站通常的做法是使用泛域名，在域名中提供唯一身份信息，显然这种方式并不安全，只是对当下现状的妥协。

这种情况应该在下一个版本的 Docker 中应该可以得到解决，在即将发布的 24.08/25.0 版本中，我们可以在 [24.0 backport] registry: allow mirror path prefix in config by thaJeztah · Pull Request #46944 · moby/moby (github.com) 中看到，可以支持填带路径的镜像源了，这就意味着可以在路径上实现类似的认证，因为 HTTPS 中路径是受保护的，这样的话就不会有问题了。