OpenShift ImageStream未正常解析，部署引用失败求助

问题背景 #

在OpenShift-Sandbox中，通过BuildConfig构建镜像并推送到ImageStreamTag，BuildConfig核心配置片段如下：

spec:
  nodeSelector: null
  output:
    to:
      kind: ImageStreamTag
      name: 'goedel-db-connector:latest'

构建执行正常，通过命令确认ImageStream已存在：

oc get is/goedel-db-connector 
NAME                  IMAGE REPOSITORY                                                                                                       TAGS     UPDATED
goedel-db-connector   default-route-openshift-image-registry.apps.sandbox-m3.1530.p1.openshiftapps.com/gratinierer-dev/goedel-db-connector   latest   2 minutes ago

ImageStream完整配置如下：

apiVersion: image.openshift.io/v1
metadata:
  name: goedel-db-connector
  namespace: gratinierer-dev
  uid: 9e735a9e-3311-4fbf-8d14-cb491b5f8ee7
  resourceVersion: '1384476123'
  generation: 2
  creationTimestamp: '2023-10-10T05:47:01Z'
spec:
  lookupPolicy:
    local: true
status:
  dockerImageRepository: >-
    image-registry.openshift-image-registry.svc:5000/gratinierer-dev/goedel-db-connector
  publicDockerImageRepository: >-
    default-route-openshift-image-registry.apps.sandbox-m3.1530.p1.openshiftapps.com/gratinierer-dev/goedel-db-connector
  tags:
    - tag: latest
      items:
        - created: '2023-10-10T05:47:01Z'
          dockerImageReference: >-
            image-registry.openshift-image-registry.svc:5000/gratinierer-dev/goedel-db-connector@sha256:44adfeb631dc0a9c23a7c44f28224ecb62294de695c61e7e8a9d8b5d21d5d5ce
          image: >-
            sha256:44adfeb631dc0a9c23a7c44f28224ecb62294de695c61e7e8a9d8b5d21d5d5ce
          generation: 1

预期在Deployment中直接使用goedel-db-connector:latest拉取镜像，但部署失败，错误信息显示kubelet尝试从Docker Hub拉取镜像：

status:
  conditions:
    - lastTransitionTime: '2023-10-10T05:48:47Z'
      message: >-
        Unable to fetch image "goedel-db-connector:latest": failed to resolve
        image to digest: HEAD
        https://index.docker.io/v2/library/goedel-db-connector/manifests/latest:
        unexpected status code 401 Unauthorized (HEAD responses have no body,
        use GET for details)
      reason: ContainerMissing
      status: 'False'
      type: ContainerHealthy

使用完整镜像路径（包含registry地址和SHA256摘要）可正常部署，但这种方式不够灵活，疑问是否对ImageStream概念存在误解。

问题原因与解决方案 #

核心误解：ImageStream 不是直接可引用的镜像名称 #

你对ImageStream的用法确实存在误解：ImageStream是OpenShift中用于镜像元数据管理的抽象对象，它本身不是镜像。直接在Deployment的image字段中使用[ImageStream名称]:[tag]时，kubelet会默认尝试从公共镜像仓库（如Docker Hub）拉取，这就是错误提示访问index.docker.io的原因。

正确的使用方式 #

要在部署中引用ImageStream中的镜像，有三种标准方式：

1. 使用集群内部registry的完整镜像路径
   直接使用ImageStream状态中dockerImageRepository字段加上tag，格式如下：

   image: image-registry.openshift-image-registry.svc:5000/gratinierer-dev/goedel-db-connector:latest
   

   集群内部的kubelet可以直接解析这个内部registry地址，且会自动拉取ImageStream关联的最新镜像。

2. 通过DeploymentConfig关联ImageStream（推荐）
   如果希望镜像更新时自动触发部署滚动更新，建议使用OpenShift原生的DeploymentConfig替代Kubernetes的Deployment。在DeploymentConfig中可直接关联ImageStreamTag，配置示例：

   apiVersion: apps.openshift.io/v1
   kind: DeploymentConfig
   metadata:
     name: goedel-db-connector
   spec:
     replicas: 1
     selector:
       app: goedel-db-connector
     template:
       metadata:
         labels:
           app: goedel-db-connector
       spec:
         containers:
           - name: goedel-db-connector
             image: 'goedel-db-connector:latest'
             ports:
               - containerPort: 8080
     triggers:
       - type: ImageChange
         imageChangeParams:
           automatic: true
           containerNames:
             - goedel-db-connector
           from:
             kind: ImageStreamTag
             name: 'goedel-db-connector:latest'
   

   这种方式下，OpenShift会自动处理镜像地址解析，且当ImageStream中的镜像更新时，自动触发DeploymentConfig的滚动更新。

3. 使用ImageStreamImage的摘要引用
   即你当前使用的包含SHA256摘要的完整路径，这种方式稳定但不会自动更新镜像，适合固定版本的场景。

关于lookupPolicy.local: true的说明 #

你的ImageStream配置中lookupPolicy.local: true表示该ImageStream仅在当前命名空间内可见，这是正确的配置，但它不影响镜像的引用方式，仅控制跨命名空间的可见性。

内容的提问来源于stack exchange，提问作者gratinierer