AKS集群无法访问DockerHub等公共仓库时如何不修改模板从ACR拉取镜像

完全可以实现无需修改原有部署模板，通过集群层面配置自动重写镜像地址到ACR拉取，以下是两种可行方案：

方案1：AKS原生containerd镜像重写规则（推荐） #

适用于AKS 1.24及以上版本（默认使用containerd运行时），直接在节点池层面配置规则即可，全局生效无需额外部署组件：

• 提前完成AKS与ACR的绑定，确保集群kubelet有ACR镜像拉取权限
• 自定义节点池的containerd配置，按优先级添加两条镜像重写规则：
  1. 优先级最高：匹配无仓库域名的默认DockerHub镜像，自动拼接为my-acr-registry.azurecr.io/docker.io/[原镜像名]
  2. 优先级次高：匹配带原仓库域名的镜像（比如registry.redhat.io开头的镜像），自动拼接为my-acr-registry.azurecr.io/[原镜像完整路径]
• 配置更新后节点会自动滚动生效，所有原有部署模板的镜像引用会被自动转换为对应ACR路径，不需要修改任何YAML文件

你提到的两个场景都可以完美覆盖：

• 原镜像some-vendor/some-api:2.3.2会被自动重写为my-acr-registry.azurecr.io/docker.io/some-vendor/some-api:2.3.2
• 原镜像registry.redhat.io/ubi8/nodejs-14会被自动重写为my-acr-registry.azurecr.io/registry.redhat.io/ubi8/nodejs-14，和你推送ACR的路径完全匹配，可直接拉取成功

方案2：Kubernetes突变准入控制器 #

适用于旧版本AKS，或者需要做命名空间级别差异化规则的场景：

• 部署开源镜像重写准入控制器，或自行开发轻量突变Webhook
• 可配置全局/命名空间级别的镜像重写规则，Pod创建时Webhook会自动替换镜像地址为ACR路径，用户侧无感知
• 支持更灵活的规则定制，比如按镜像标签、命名空间标签匹配不同的重写策略

注意事项 #

• 你可以提前配置ACR的上游拉取缓存功能，无需手动同步公共镜像到ACR，第一次拉取时ACR会自动从对应公共仓库缓存镜像到本地
• 重写规则的优先级按配置顺序生效，将DockerHub匹配规则放在最前面即可满足你要求的拉取顺序
• 如果重写后ACR中不存在对应镜像，集群会自动回退到原地址拉取，若集群无法访问公网则会返回拉取失败，提前确认所有需要的镜像已同步或配置了ACR缓存即可

内容的提问来源于stack exchange，提问作者Alex K