Containerd导入镜像报错"image might be filtered out"及相关问题求助

问题背景 #

我有两台机器，一台联网、一台离线。离线机获取容器镜像的流程是：联网机用Docker拉取镜像并保存为tar包，再将tar包导入离线机。其中：

• 联网机搭载Docker引擎
• 离线机使用Containerd（先后测试了v1.6.8、v1.6.6、v1.5.13版本）

拉取ubuntu镜像后导入时遇到两个问题：

1. 使用containerd v1.6.6或v1.6.8时，执行导入命令报错：

ctr images import quay.ubuntu.22.04.tar
ctr: image might be filtered out

2. 降级到containerd v1.5.13后镜像可导入，但出现以下提示：

ctr images import /vms/quay.ubuntu.22.04.tar
unpacking quay.io/containerdisks/ubuntu:22.04 (sha256:be5e9b2b413ee416c125b39d3b28f719d1c484c0384475ab890122150be67061)...ctr: content digest sha256:f00d98d62674e83365d5b09b4007a7e346f9dc993f7e67976f63cec65ca22325: not found

怀疑是镜像架构与机器架构不匹配，但不知道如何检查镜像架构，求解决方法。

解决步骤 #

一、检查镜像架构 #

1. 联网Docker机器上检查

拉取镜像后，用以下命令查看架构信息：

# 查看镜像详细架构字段
docker inspect quay.io/containerdisks/ubuntu:22.04 | grep -A5 "Architecture"

# 若为多架构镜像，列出所有支持的平台
docker buildx imagetools inspect quay.io/containerdisks/ubuntu:22.04

2. 离线环境下直接检查tar包

把tar包传到离线机后，解压查看配置文件：

# 解压tar包
tar xf quay.ubuntu.22.04.tar

# 找到以sha256开头的config json文件，查看架构
cat <sha256-前缀>.json | grep "Architecture"

二、解决"image might be filtered out"错误 #

这个错误绝大多数情况是镜像架构与离线机架构不匹配，或者containerd默认过滤了不兼容的平台镜像。解决方法：

1. 拉取对应架构的镜像

在联网机上明确指定离线机的架构拉取镜像（比如离线机是amd64）：

docker pull --platform linux/amd64 quay.io/containerdisks/ubuntu:22.04

再保存为tar包：

docker save quay.io/containerdisks/ubuntu:22.04 -o quay.ubuntu.22.04-amd64.tar

2. 强制导入所有平台镜像（应急方案）

如果确认架构匹配但仍报错，可添加--all-platforms参数跳过平台过滤：

ctr images import --all-platforms quay.ubuntu.22.04.tar

三、解决v1.5.13中的"content digest not found"提示 #

这个问题源于Docker导出的tar包格式与containerd的兼容性差异，解决方法：

1. 用containerd直接拉取并导出镜像

在联网机安装containerd，用ctr命令操作，避免格式差异：

# 拉取镜像
ctr images pull quay.io/containerdisks/ubuntu:22.04

# 导出为tar包
ctr images export quay.ubuntu.22.04.tar quay.io/containerdisks/ubuntu:22.04

将这个tar包导入离线机，兼容性更好，不会出现digest缺失提示。

2. 忽略提示（若镜像可正常使用）

如果导入后镜像能正常创建和运行容器，这个digest提示仅为警告，不影响核心功能，可以忽略。

内容的提问来源于stack exchange，提问作者k.elgohary