如何配置本地Docker Registry实现无需打标签即可推拉镜像

Docker本身不支持直接替换默认的Docker Hub为私有Registry，但可以通过以下几种方案实现无需修改镜像地址、无需额外打标签完成镜像推拉，完全适配你的K8s集群场景：

方案1：配置Docker Registry镜像加速（仅适配Docker作为运行时的场景） #

该方案仅作用于镜像拉取，无需修改任何业务镜像地址即可优先从你的本地Registry拉取镜像：

1. 修改所有K8s节点上的/etc/docker/daemon.json文件，新增以下配置：

{
  "registry-mirrors": ["http://你的Registry节点IP:5000"],
  "insecure-registries": ["你的Registry节点IP:5000"]
}

2. 重启Docker服务生效：

systemctl daemon-reload
systemctl restart docker

3. （可选）如果需要本地Registry自动缓存公网Docker Hub的镜像，修改你的Registry docker-compose.yml配置，新增代理相关环境变量即可：

version: "3"
services:
  registry:
      image: registry:2
      ports:
        - 5000:5000
      environment:
        - REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /data
        - REGISTRY_PROXY_REMOTEURL: https://registry-1.docker.io
      restart: unless-stopped
      volumes:
        - ./data:/data

方案2：配置CRI镜像重写规则（适配Containerd作为K8s运行时的场景，推荐） #

当前新版K8s默认使用Containerd作为运行时，支持配置镜像前缀重写规则，推拉镜像都可以自动替换Registry地址，完全无需修改业务配置：

1. 修改所有K8s节点上的/etc/containerd/config.toml，找到[plugins."io.containerd.grpc.v1.cri".registry]配置段，新增以下规则：

[plugins."io.containerd.grpc.v1.cri".registry]
  config_path = ""
  [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
      endpoint = ["http://你的Registry节点IP:5000"]
      [plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io".rewrite]
        "^(.*)$" = "$1"
  [plugins."io.containerd.grpc.v1.cri".registry.configs."你的Registry节点IP:5000".tls]
    insecure_skip_verify = true

2. 重启Containerd服务生效：

systemctl restart containerd

方案3：K8s Admission Webhook自动替换镜像地址（集群级通用方案，最灵活） #

如果你的集群存在多种运行时，或者需要频繁更换Registry地址，推荐部署镜像替换Mutating准入Webhook：

• Webhook会自动拦截所有Pod创建请求，动态把镜像地址的默认Registry替换为你的本地Registry地址
• 后续Registry地址变更时，仅需要修改Webhook的配置即可，无需修改任何Deployment、Helm Chart配置

方案4：全量劫持Docker Hub请求（适配完全离线集群场景） #

如果你的集群完全无法访问公网，需要所有Docker Hub的请求都走本地Registry，可以在所有节点配置hosts劫持+Registry端口映射：

1. 所有节点的/etc/hosts新增记录：你的Registry节点IP registry-1.docker.io docker.io
2. 将你的本地Registry端口修改为80/443，配置Docker/Containerd信任该地址即可，无需修改任何镜像引用地址

内容的提问来源于stack exchange，提问作者aSaffary