ArgoCD Image Updater无法拉取Docker Hub私有仓库镜像元数据

问题现象 #

• ArgoCD Image Updater拉取gouthamappsmith/tests-argocd镜像时，日志持续抛出认证错误：

  denied: requested access to the resource is denied
  unauthorized: authentication required
  

• 本地用相同凭证执行docker login和docker pull操作正常，集群中该Secret作为imagePullSecrets也能正常拉取镜像，但偶尔出现"Too many pull Requests"错误。

现有配置问题 #

当前argocd-image-updater-config ConfigMap中Docker Hub的API地址配置错误：

registries:
- name: Docker Hub
  api_url: none
  credentials: pullsecret:argocd/appsmith

解决步骤 #

1. 修正Docker Hub API地址配置 #

api_url: none会导致Image Updater无法正确访问Docker Hub的镜像元数据接口，需修改为官方API端点，同时可调整轮询间隔减少请求次数：

apiVersion: v1
data:
  registries.conf: |
    registries:
    - name: Docker Hub
      api_url: https://registry-1.docker.io
      credentials: pullsecret:argocd/appsmith
      interval: 10m
kind: ConfigMap
metadata:
  labels:
    app.kubernetes.io/name: argocd-image-updater-config
    app.kubernetes.io/part-of: argocd-image-updater
  name: argocd-image-updater-config
  namespace: argocd

更新ConfigMap后重启Image Updater Pod：

kubectl rollout restart deployment argocd-image-updater -n argocd

2. 验证Secret配置有效性 #

确认Secret的.dockerconfigjson内容正确指向Docker Hub：

kubectl get secret appsmith -n argocd -o jsonpath='{.data.\.dockerconfigjson}' | base64 -d

输出需包含以下结构，确保auth字段为正确的Base64编码用户名密码，registry地址为https://index.docker.io/v1/：

{
  "auths": {
    "https://index.docker.io/v1/": {
      "auth": "xxxxxx"
    }
  }
}

3. 为应用绑定镜像更新规则 #

在ArgoCD应用的Annotations中明确指定镜像对应的registry，确保Image Updater使用配置的凭证：

metadata:
  annotations:
    argocd-image-updater.argoproj.io/image-list: cloud-service=gouthamappsmith/tests-argocd
    argocd-image-updater.argoproj.io/cloud-service.registry: Docker Hub
    argocd-image-updater.argoproj.io/cloud-service.update-strategy: latest

4. 缓解"Too many pull Requests"错误 #

• 延长Image Updater的轮询间隔（如上述配置中的interval: 10m），降低对Docker Hub的请求频率
• 确保所有镜像拉取操作均使用认证凭证，避免匿名请求占用免费额度

内容的提问来源于stack exchange，提问作者user3398900