部署
由于是在一个 1C1G 的机器上部署，就不用 K3s 了，直接用 Docker Compose 拉起一个实例。官方文档有提供 docker-compose.yml，这里也给出一份示例：
version: '3'
services:
registry-docker:
image: registry:2
restart: unless-stopped
environment:
REGISTRY_PROXY_REMOTEURL: https://registry-1.docker.io
REGISTRY_PROXY_USERNAME: username
REGISTRY_PROXY_PASSWORD: dckr_pat_value
# REGISTRY_AUTH: htpasswd
# REGISTRY_AUTH_HTPASSWD_PATH: /auth/htpasswd
# REGISTRY_AUTH_HTPASSWD_REALM: Registry Realm
REGISTRY_STORAGE_DELETE_ENABLED: "true"
ports:
- 127.0.0.1:50000:5000
volumes:
- ./data/auth:/auth
- ./data/docker:/var/lib/registry
这里的账密可以提高拉取限频，但是根据官方文档，使用镜像的用户就可以读到该账号下的私有镜像了，最好是一个独立的账号。
服务拉起来之后，Nginx 反代一下就可以使用了。
拉取
有两种方式可以使用，首先是最普遍且最优的做法，在 /etc/docker/daemon.json 中加入 registry-mirrors 选项。例如：
{
"registry-mirrors": [
"https://<docker-registry-host>"
]
}然后重启 Docker Engine 即可。
不过此种方式不支持 HTTP Basic 身份验证，这也就意味着无法通过事先 docker login 的方式来拉取私有的镜像源。目前各镜像站通常的做法是使用泛域名，在域名中提供唯一身份信息，显然这种方式并不安全，只是对当下现状的妥协。
这种情况应该在下一个版本的 Docker 中应该可以得到解决，在即将发布的 24.08/25.0 版本中，我们可以在 [24.0 backport] registry: allow mirror path prefix in config by thaJeztah · Pull Request #46944 · moby/moby (github.com) 中看到，可以支持填带路径的镜像源了，这就意味着可以在路径上实现类似的认证，因为 HTTPS 中路径是受保护的，这样的话就不会有问题了。
另一种方式是手动拉取，这需要以 docker pull <docker-registry-host>/library/nginx:stable 的格式进行拉取。这种方式支持 HTTP Basic 认证。
认证
Docker Registry 上支持认证，可以参照上面的 docker-compose.yml 处理；也可以在反代上面认证，其官方文档给出了 Apache/Nginx 上面的配置示例，具体请参考 Authenticate proxy with nginx | CNCF Distribution。
引用
Registry as a pull through cache | Docker Docs
registry: allow mirror path prefix in config · thaJeztah/docker@3d8f7d0 (github.com)
Private docker registry behind a subpath : r/docker (reddit.com)
