能否通过Ansible的docker_image模块强制推送Docker镜像至镜像仓库？

核心结论 #

community.docker.docker_image模块本身没有专门的强制推送参数，但可以通过两种方式实现覆盖已有标签镜像的推送需求：

方法1：利用模块自身参数实现推送覆盖 #

模块默认会检查远程仓库中目标标签的镜像摘要（digest），如果本地镜像的摘要与远程不同，会自动推送更新；若摘要相同则跳过。若你需要确保本地标签始终指向最新镜像并推送，可配合force_tag参数先更新本地标签，再执行推送：

- name: Log into GitHub Container Registry (ghcr.io)
  tags: [docker-registry]
  community.docker.docker_login:
    registry_url: ghcr.io
    username: "{{ ghcr_username }}"
    password: "{{ ghcr_password }}"

- name: 强制为本地镜像打标签（覆盖已有标签）
  tags: [docker-registry]
  community.docker.docker_image:
    name: "my-image"
    repository: "ghcr.io/my-org/my-repo/my-image:latest"
    force_tag: True
    source: local

- name: 推送镜像至仓库
  tags: [docker-registry]
  community.docker.docker_image:
    name: "ghcr.io/my-org/my-repo/my-image:latest"
    push: True
    source: local

force_tag: True会强制让本地的ghcr.io/my-org/my-repo/my-image:latest标签指向当前的my-image镜像，确保本地标签为最新状态，随后的推送步骤会自动对比远程摘要，不一致则推送覆盖。

方法2：直接执行docker命令绕过模块检查 #

如果需要完全绕过模块的逻辑强制推送，可使用command模块直接调用docker push命令：

- name: Log into GitHub Container Registry (ghcr.io)
  tags: [docker-registry]
  community.docker.docker_login:
    registry_url: ghcr.io
    username: "{{ ghcr_username }}"
    password: "{{ ghcr_password }}"

- name: 强制推送镜像至仓库
  tags: [docker-registry]
  command: docker push ghcr.io/my-org/my-repo/my-image:latest

这种方式遵循docker原生推送逻辑，默认会覆盖远程已有标签的镜像。

补充：远程机器拉取镜像的步骤 #

结合你的工作流需求，远程机器拉取镜像的Ansible步骤示例如下：

- name: 在远程机器登录GHCR
  tags: [docker-registry]
  community.docker.docker_login:
    registry_url: ghcr.io
    username: "{{ ghcr_username }}"
    password: "{{ ghcr_password }}"
  delegate_to: "{{ remote_host }}"

- name: 在远程机器拉取最新镜像
  tags: [docker-registry]
  community.docker.docker_image:
    name: "ghcr.io/my-org/my-repo/my-image:latest"
    pull: True
  delegate_to: "{{ remote_host }}"

内容的提问来源于stack exchange，提问作者ours