如何通过Terraform实现EKS集群直接拉取本地系统镜像

EKS工作节点运行在AWS云端VPC网络内，与你的本地机器不存在默认网络连通性，没有任何配置方式可以让EKS上的Pod直接穿透公网从你的本地个人电脑拉取镜像。你当前遇到的ImagePullBackOff报错，本质是Pod调度到EKS节点后，节点上的kubelet默认去Docker Hub公共仓库查找你本地构建的镜像，公共仓库不存在对应资源自然返回拉取拒绝错误。

方案1：使用AWS ECR私有镜像仓库（生产环境首选，运维成本最低） #

ECR是AWS提供的托管私有容器镜像服务，默认仅你个人账号有权限访问，不会公开镜像内容，和EKS做了原生网络兼容，节点走AWS内网拉取镜像速度快，不需要额外搭建服务：

• 给EKS节点组绑定的EC2实例角色附加AmazonEC2ContainerRegistryReadOnly托管权限策略，允许节点从ECR拉取镜像
• 本地配置好AWS CLI凭证后，执行命令登录ECR：

  aws ecr get-login-password --region <你的EKS集群所在区域> | docker login --username AWS --password-stdin <你的AWS账号ID>.dkr.ecr.<集群区域>.amazonaws.com
  

• 为本地构建的3个镜像打上ECR仓库对应标签：

  docker tag <本地镜像名:版本标签> <你的AWS账号ID>.dkr.ecr.<集群区域>.amazonaws.com/<自定义仓库名:版本标签>
  

• 将标记好的镜像推送至你的私有ECR仓库：

  docker push <上一步生成的ECR镜像完整地址>
  

• 部署Pod时，将YAML中的image字段替换为ECR镜像的完整地址即可正常拉取。

方案2：VPC内部署自托管私有镜像仓库（镜像完全自主可控） #

如果你不希望镜像存储在AWS托管服务中，可以在EKS所属的VPC内部署私有镜像仓库，所有镜像流转完全在你可控的资源范围内：

• 在VPC内启动一台EC2实例，部署开源Docker Registry私有仓库服务，配置实例安全组仅允许EKS节点所在安全组访问5000端口，禁止公网入站规则
• 通过VPN/专线打通本地电脑和VPC的私有网络，或者先将本地镜像用docker save导出为压缩包，再传到这台EC2实例上导入私有仓库
• 在EKS中配置私有仓库的拉取凭证Secret，部署Pod时镜像地址填写该EC2实例的私有IP加仓库路径即可正常拉取。

不要尝试将Pod的imagePullPolicy设置为Never来解决问题：该配置仅在目标镜像已经提前存在于Pod调度到的EKS节点本地磁盘时生效，你本地构建的镜像仅存储在个人电脑上，并未同步到任何EKS节点，配置该参数只会触发「本地镜像不存在」的新报错，无法解决拉取问题。

内容的提问来源于stack exchange，提问作者curiousgeek