使用Terraform拉取Nexus3私有Docker镜像失败，需特殊配置吗？

问题背景 #

使用Terraform v1.8.5（darwin_arm64环境）配合kreuzwerker/docker ~>3.0.1部署时，可正常拉取公共Docker镜像，但拉取Nexus3私有镜像失败；而目标主机直接执行docker pull命令能成功拉取该私有镜像。

核心原因 #

目标主机本地执行docker pull成功，是因为主机已通过docker login保存了Nexus仓库的认证凭据（存储在~/.docker/config.json中），但Terraform的kreuzwerker/docker provider默认不会自动读取该文件的认证信息，因此需要显式配置私有仓库的认证逻辑。

具体配置方法 #

1. 显式配置Provider的私有仓库认证 #

在Terraform的Docker Provider配置块中，添加Nexus3仓库的认证信息：

provider "docker" {
  host = "unix:///var/run/docker.sock" # 根据目标主机Docker实际地址调整

  registry_auth {
    address = "你的Nexus3仓库地址（例如：nexus.example.com:8082）"
    username = "拥有拉取权限的Nexus用户名"
    password = "Nexus用户密码或专属令牌"
  }
}

2. 指定完整的私有镜像路径 #

在docker_image资源中，必须使用包含Nexus仓库地址的完整镜像路径：

resource "docker_image" "private_service" {
  name         = "nexus.example.com:8082/your-repo-name/your-image:latest"
  keep_locally = true
}

3. 可选：复用主机已有的Docker凭据（避免硬编码） #

如果不想在Terraform代码中硬编码敏感信息，可以读取主机已有的~/.docker/config.json内容作为变量传入：

variable "docker_auth_config" {
  type        = string
  description = "从主机~/.docker/config.json读取的认证配置"
}

provider "docker" {
  host = "unix:///var/run/docker.sock"
  registry_auth_from_config = var.docker_auth_config
}

执行Terraform时通过命令行传入变量：

terraform apply -var "docker_auth_config=$(cat ~/.docker/config.json)"

关键验证点 #

• 确认Nexus3仓库地址、用户名、凭据正确，且该用户拥有目标镜像的拉取权限
• 检查Terraform执行日志，若提示认证失败，优先排查凭据有效性
• 确保目标主机Docker daemon与Nexus3仓库之间网络连通（可通过curl测试仓库地址）

内容的提问来源于stack exchange，提问作者kangqing