OpenShift部署中如何实现镜像拉取的多地域Artifactory条件切换？

可以实现镜像拉取失败时自动切换至备用Artifactory，以下是几种最优方案：

方案1：利用ImageStream镜像镜像策略（推荐） #

OpenShift原生的ImageStream支持配置多镜像源，当主源拉取失败时自动切换到备用源，无需额外开发，是最省心的方案。

• 配置包含主、备Artifactory地址的ImageStream，通过mirrorPolicy指定备用镜像：

apiVersion: image.openshift.io/v1
kind: ImageStream
metadata:
  name: app-image
spec:
  tags:
  - name: latest
    from:
      kind: DockerImage
      name: <主Artifactory地址>/app:latest
    mirrorPolicy:
      mirrors:
      - <备用Artifactory地址>/app:latest
    importPolicy:
      scheduled: true

• 部署时直接引用该ImageStream的镜像（image: openshift.io/app-image:latest），OpenShift会自动尝试主源拉取，失败后无缝切换到备用源
• 需提前给ImageStream所在项目的服务账户配置两个Artifactory对应的拉取密钥

方案2：Deployment配置多镜像地址（适用于直接部署场景） #

若不想使用ImageStream，可借助容器运行时（如CRI-O，OpenShift默认使用）的多镜像源支持，直接在Deployment中配置主备镜像：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: app
  template:
    metadata:
      labels:
        app: app
    spec:
      imagePullSecrets:
      - name: primary-artifactory-secret
      - name: backup-artifactory-secret
      containers:
      - name: app-container
        image: <主Artifactory地址>/app:latest,<备用Artifactory地址>/app:latest
        ports:
        - containerPort: 8080

• 容器运行时会按顺序尝试拉取镜像，主源失败后自动尝试备用源
• 注意：需确认集群使用的容器运行时支持多镜像地址语法

方案3：自定义拉取失败处理逻辑（复杂场景） #

如果原生方案无法满足特殊需求，可编写自定义控制器或Operator：

• 监控Pod的ImagePullBackOff/ErrImagePull状态，触发自动更新Deployment的镜像地址为备用源
• 也可结合Prometheus告警触发Shell脚本修改Deployment配置
• 该方案灵活性最高，但需要额外开发和维护成本

方案选择建议 #

优先选择方案1：依托OpenShift原生机制，稳定性强、维护成本低，完全满足自动切换需求；若无法使用ImageStream，再考虑方案2；方案3仅用于有特殊自定义逻辑的场景。

内容的提问来源于stack exchange，提问作者user804401