如何创建OCI格式Windows容器镜像并推送至镜像仓库？

背景说明 #

我需要构建OCI（Open Container Initiative）格式的容器镜像，覆盖Linux和Windows容器。测试发现：

• 使用Podman构建推送时，镜像清单格式为application/vnd.oci.image.manifest.v1+json，执行命令如下：

podman build -t webapi:latest -f ./src/webapi/Dockerfile ./src/webapi    
podman tag webapi:latest registry.gitlab.com/acme/sub/webapi:latest
podman push registry.gitlab.com/acme/sub/webapi:latest
podman pull registry.gitlab.com/acme/sub/webapi:latest
podman image inspect registry.gitlab.com/acme/sub/webapi:latest|grep Manifest
# => application/vnd.oci.image.manifest.v1+json

• 使用Docker构建推送时，镜像清单格式为application/vnd.docker.distribution.manifest.v2+json，执行命令如下：

docker build -t webapi:latest -f ./src/webapi/Dockerfile ./src/webapi    
docker tag webapi:latest registry.gitlab.com/acme/sub/webapi:latest
docker push registry.gitlab.com/acme/sub/webapi:latest
podman pull registry.gitlab.com/acme/sub/webapi:latest
podman image inspect registry.gitlab.com/acme/sub/webapi:latest|grep Manifest
# => application/vnd.docker.distribution.manifest.v2+json

但Windows容器无法使用Podman，因此有以下问题需要解答：

问题1：如何创建OCI格式的Windows容器镜像并推送至镜像仓库？ #

可以通过Docker配合特定参数构建并推送OCI格式的Windows镜像，步骤如下：

1. 构建OCI格式镜像：

docker build --format oci -t webapi-windows:latest -f ./src/webapi/Dockerfile.windows ./src/webapi

2. 标记镜像：

docker tag webapi-windows:latest registry.gitlab.com/acme/sub/webapi-windows:latest

3. 推送时指定OCI媒体类型：

docker push --oci-mediatypes registry.gitlab.com/acme/sub/webapi-windows:latest

问题2：如何检查一个镜像是否为OCI格式镜像？ #

有两种常用验证方式：

• 本地镜像检查：

  # Podman方式
  podman image inspect <镜像名/ID> | grep Manifest
  # 输出为`application/vnd.oci.image.manifest.v1+json`即为OCI格式
  
  # Docker方式
  docker image inspect <镜像名/ID> --format '{{.ManifestType}}'
  # 输出匹配上述OCI格式标识即为目标格式
  

• 远程仓库检查：用skopeo工具查看远程镜像媒体类型：

  skopeo inspect docker://registry.gitlab.com/acme/sub/webapi:latest | grep MediaType
  # 对应字段值为OCI格式标识则符合要求
  

问题3：能否使用docker buildx创建OCI镜像？该如何推送？ #

可以用docker buildx构建OCI格式Windows镜像，操作步骤：

1. 确保buildx已启用（Docker Desktop默认启用，未启用则执行）：

docker buildx create --use

2. 构建并加载到本地镜像仓库：

docker buildx build --format oci -t webapi-windows:latest -f ./src/webapi/Dockerfile.windows ./src/webapi --load

3. 直接推送至远程仓库（需提前完成仓库登录）：

docker buildx build --format oci -t registry.gitlab.com/acme/sub/webapi-windows:latest -f ./src/webapi/Dockerfile.windows ./src/webapi --push

问题4：可以使用其他工具构建Windows镜像吗？ #

可以选择以下工具：

• BuildKit：作为buildx的底层引擎，直接支持OCI格式Windows镜像构建，配置逻辑与buildx一致。
• Kaniko：无需Docker守护进程即可构建镜像，支持Windows容器，通过--oci-layout-path参数输出OCI格式镜像，再用skopeo推送到仓库。
• img：Containerd社区开发的工具，语法接近Docker，支持构建OCI格式的Windows镜像。

问题5：创建OCI格式的Windows镜像是否有意义？ #

有明确的实用价值：

• 跨工具兼容性：OCI是通用标准，格式镜像可被Podman、Containerd、CRI-O等多种运行时兼容，避免绑定Docker生态。
• 标准化适配：OCI是容器生态的主流标准，使用该格式镜像可适配未来更多容器平台，降低迁移成本。
• 仓库兼容性：GitLab Registry、Harbor、Docker Hub等主流镜像仓库均原生支持OCI格式，推送拉取无额外障碍。

内容的提问来源于stack exchange，提问作者koalabruder