Kubernetes部署无法拉取GitHub Packages最新镜像求助

针对你遇到的Deployment无法拉取GitHub Packages最新镜像的问题，可按以下步骤排查解决：

1. 验证镜像拉取密钥有效性 #

首先确认githubpackagesecret这个Secret配置正确，它需要包含拥有read:packages权限的GitHub个人访问令牌：

• 查看Secret详情：

  kubectl describe secret githubpackagesecret
  

• 若配置有误，重新创建Secret：

  kubectl create secret docker-registry githubpackagesecret \
    --docker-server=ghcr.io \
    --docker-username=你的GitHub用户名 \
    --docker-password=带read:packages权限的GitHub个人访问令牌
  

2. 强制触发Deployment滚动更新 #

Kubernetes仅当Pod模板发生变化时才会更新Pod，即使镜像标签是:latest也不会自动检测镜像更新。可通过以下方式强制触发更新：

• 方式一：直接重启Deployment（最简便）

  kubectl rollout restart deployment/webapp
  

• 方式二：修改Pod模板注解触发更新

  kubectl patch deployment webapp -p '{"spec":{"template":{"metadata":{"annotations":{"kubectl.kubernetes.io/restartedAt":"'$(date +%Y-%m-%dT%H:%M:%S)'"}}}}}'
  

• 方式三：改用固定版本标签（推荐规范做法）
  避免使用:latest标签，每次更新镜像时修改Deployment中的镜像标签（如ghcr.io/my-org/al.web:v1.0.1），Kubernetes会自动检测到模板变化并拉取新镜像更新Pod。

3. 排查镜像拉取错误细节 #

若仍无法拉取，查看Pod事件获取具体错误信息：

kubectl describe pod <你的Pod名称>

或查看Deployment滚动更新状态：

kubectl rollout status deployment/webapp

常见错误包括：GitHub令牌权限不足、镜像不存在、节点网络无法访问ghcr.io等，根据错误信息针对性解决。

4. 清理节点镜像缓存（可选） #

如果节点上缓存了旧的:latest镜像，可手动删除（需登录节点操作）：

docker rmi ghcr.io/my-org/al.web:latest

之后再通过滚动更新命令重新拉取镜像。

内容的提问来源于stack exchange，提问作者Niranjan godbole