在k3s/WSL2的Kubeflow Pipelines中拉取私有GitLab镜像失败

针对你遇到的ErrImagePull错误，结合现有配置和补充信息，按以下步骤排查解决：

1. 确认镜像名称格式正确 #

GitLab私有镜像的完整格式通常为[GitLab Registry地址]/[组名]/[项目名]/[镜像名]:[标签]，比如gitex.xx/my-group/my-project/image:latest。检查代码中指定的image='gitex.xx:latest'：

• 若镜像属于私有项目，必须带上组和项目路径，否则GitLab Registry无法定位镜像
• 若GitLab Registry使用非默认端口（如5000），镜像名和Secret的--docker-server都要带上端口，比如gitex.xx:5000/xxx:latest

2. 验证Secret配置正确性 #

1. 查看Secret的详细内容：

   kubectl get secret gitlab-registry-secret -n kubeflow -o yaml
   

2. 解码dockerconfigjson字段，核对认证信息：

   echo $(kubectl get secret gitlab-registry-secret -n kubeflow -o jsonpath='{.data.dockerconfigjson}') | base64 -d
   

   • 确认auths下的服务器地址与镜像中的地址完全一致（包括端口、域名拼写）
   • 确认auth字段是正确的用户名+密码的base64编码（可通过echo -n "username:password" | base64对比验证）

3. 确认Service Account补丁生效 #

检查pipeline-runner服务账户是否正确配置了镜像拉取密钥：

kubectl get serviceaccount pipeline-runner -n kubeflow -o yaml

查看输出中的imagePullSecrets列表，确认包含gitlab-registry-secret。若未生效，重新执行补丁命令（用单引号避免转义问题）：

kubectl patch serviceaccount pipeline-runner -n kubeflow -p '{"imagePullSecrets": [{"name": "gitlab-registry-secret"}]}'

4. 检查Pod使用的服务账户 #

查看失败Pod的配置，确认它使用的是pipeline-runner：

kubectl get pod <失败的Pod名称> -n kubeflow -o yaml

若spec.serviceAccountName字段值不是pipeline-runner，需在Pipeline组件中显式指定服务账户：

@pipeline(name='container-running-pipeline')
def my_pipeline():
    component = container_component_trial(sentence_count = "5").set_service_account_name("pipeline-runner")

5. 处理自签名TLS证书问题 #

若你的GitLab Registry使用自签名证书，k3s节点可能不信任该证书导致拉取失败：

• 将GitLab的CA证书复制到k3s节点的证书目录并更新：

  sudo cp your-ca-cert.pem /etc/ssl/certs/
  sudo update-ca-certificates
  

• 重启k3s服务：

  sudo systemctl restart k3s
  

• 或者复用本地docker的配置（本地docker能拉取说明已信任证书）重新创建Secret：

  kubectl delete secret gitlab-registry-secret -n kubeflow
  kubectl create secret docker-registry gitlab-registry-secret --from-file=.dockerconfigjson=$HOME/.docker/config.json -n kubeflow
  

6. 确认GitLab用户权限 #

• 若GitLab账号开启了2FA，必须使用**个人访问令牌（PAT）**代替密码，且PAT需勾选read_registry权限
• 确认该用户对镜像所在的GitLab项目拥有开发者及以上权限，或镜像已设置为公开

内容的提问来源于stack exchange，提问作者1dll