Kubernetes Pod配置imagePullSecrets与引用Secret不匹配导致镜像拉取失败咨询

问题原因说明 #

• 第一种异常（把my-secret设为imagePullSecrets后拉镜像失败）的核心原因是不同用途的Secret对类型和字段格式的要求完全不兼容：
  你当前的my-secret是Opaque类型的通用Secret，仅用来存储自定义键值对供环境变量注入使用，而Kubernetes对镜像拉取专用Secret有强制要求：必须是kubernetes.io/dockerconfigjson类型，且必须包含固定键.dockerconfigjson，值为镜像仓库认证信息的序列化JSON字符串。把不符合格式要求的Opaque类型Secret传入imagePullSecrets后，kubelet无法读取到合法的镜像仓库认证凭证，自然会报镜像拉取失败的错误。
• 第二种异常（无法删除imagePullSecrets配置段）和原生Kubernetes的规则无关：
  官方文档所说的imagePullSecrets是可选字段，指的是原生Kubernetes默认配置下的规则，如果你使用的是企业内部二次配置的Kubernetes集群，大概率是集群管理员配置了准入控制规则（比如OPA Gatekeeper规则、自定义Admission Webhook、合规校验插件），强制要求所有工作负载必须指定镜像拉取密钥才能部署，所以你删除该配置段后提交的请求会被集群拦截，无法通过校验。
• 你使用其他Secret就能正常运行的原因很简单：你之前用的regcredepg本身就是符合格式要求的镜像拉取专用Secret，和它有没有被envFrom引用没有关系。哪怕你把一个合法的镜像拉取Secret同时配置在envFrom和imagePullSecrets里，镜像拉取也会正常，只是envFrom会把Secret里的.dockerconfigjson字段也作为环境变量注入容器，对你的业务无实际作用而已。

内容的提问来源于stack exchange，提问作者Kim Gentes