如何解决从DockerHub拉取镜像到GKE时出现的ErrImagePull错误？

• 确认镜像拉取Secret配置正确
  先确保用正确命令创建DockerHub凭据的Secret：

  kubectl create secret docker-registry regcred --docker-server=docker.io --docker-username=<你的DockerHub用户名> --docker-password=<你的访问令牌> --docker-email=<你的注册邮箱>
  

  再检查Deployment/StatefulSet的YAML中，是否正确引用了该Secret：

  spec:
    containers:
    - name: your-web-app
      image: <你的DockerHub用户名>/<镜像名>:<标签>
    imagePullSecrets:
    - name: regcred
  

  注意Secret的名字要和imagePullSecrets里的完全一致。

• 验证DockerHub访问令牌的权限
  确保创建的访问令牌拥有镜像读取权限（创建令牌时需勾选read:packages等相关权限）。可以在本地用Docker测试拉取：

  docker login docker.io -u <用户名> -p <访问令牌>
  docker pull <用户名>/<镜像名>:<标签>
  

  如果本地拉取失败，说明令牌或镜像本身有问题，先解决这个再回到GKE配置。

• 检查GKE节点的网络连通性
  虽然是公开集群，但要确认节点能正常访问DockerHub：

  1. 进入任意GKE节点（通过GCP控制台或gcloud compute ssh <节点名>）
  2. 执行curl -I https://docker.io，如果返回200或302类状态码，说明网络连通正常；如果超时或拒绝连接，需要检查VPC防火墙规则是否允许节点访问外部443端口。

• 查看Pod的详细错误信息
  执行kubectl describe pod <异常Pod名称>，查看Events字段的具体错误提示：

  • 如果显示unauthorized: authentication required，说明Secret配置有误，重新核对用户名、令牌和Secret引用
  • 如果显示manifest unknown，确认镜像标签是否正确，或者镜像是否已经推送到DockerHub私有仓库
  • 如果显示network timeout，则重点排查节点网络问题

• 确保镜像名称格式完整
  私有镜像最好使用完整的镜像路径：docker.io/<用户名>/<镜像名>:<标签>，避免Kubernetes使用默认镜像仓库解析错误。

内容的提问来源于stack exchange，提问作者Marctrix