Deployment因ImagePullBackOff无法运行，Pod处于default命名空间求助

我尝试创建一个从私有镜像仓库拉取容器镜像的Deployment，deployment.yaml内容如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
  namespace: my-namespace
spec:
  replicas: 1
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      containers:
        - name: my-app
          image: my-repo/my-app:1.0
      imagePullSecrets:
        - name: regcred

执行部署命令：kubectl apply -f deployment.yaml -n my-namespace，但Deployment一直处于ImagePullBackOff状态。

已排除以下情况：

• 镜像及标签在私有仓库中确实存在
• regcred Secret可以正常拉取其他私有镜像

Pod描述仅显示：

state:
waiting:
message: Back-off pulling image "my-repo/my-app:tag"
reason: ImagePullBackOff

目前唯一线索是Pod描述里显示的命名空间为default，而非指定的my-namespace，求排查建议。

1. 确认Deployment实际部署的命名空间
   执行kubectl get deployments -A | grep my-app，查看Deployment是否真的存在于my-namespace下，排除命令执行时因命名空间不存在等隐性问题导致的自动归属default情况。

2. 核对Pod与Deployment的命名空间一致性
   执行kubectl get pods -A | grep my-app，确认Pod实际所属的命名空间，同时关联查看对应的Deployment是否和它同属一个命名空间，排查是否存在调度或配置异常导致的跨命名空间创建。

3. 验证Secret的命名空间匹配性
   执行kubectl get secrets -n my-namespace regcred，确认regcred是否存在于my-namespace中。若Secret仅存在于default命名空间，部署在my-namespace的Pod无法访问到该Secret，会直接导致镜像拉取失败。

4. 查看节点kubelet日志获取详细错误
   找到Pod所在的集群节点，执行journalctl -u kubelet查看kubelet日志，日志中会包含镜像拉取的具体错误信息（如认证失败、仓库地址解析错误等），比Pod描述的简略信息更具排查价值。

5. 检查是否有准入控制器修改Pod配置
   排查集群中是否存在第三方准入控制器（如MutatingAdmissionWebhook），这类控制器可能会修改Pod的命名空间或镜像拉取配置，导致出现不符合预期的情况。

6. 重新部署并确认过程无报错
   先删除现有Deployment：kubectl delete deployment my-app -n my-namespace，再重新执行kubectl apply -f deployment.yaml -n my-namespace，全程关注命令输出，确保部署过程无报错信息。

内容的提问来源于stack exchange，提问作者Holland Park