如何使用Jfrog Artifactory的Docker镜像创建Kubernetes Pod并解决ErrImagePull问题

error: code = Unknown desc = failed to pull and unpack image 报错本质是Kubernetes集群节点无法正常拉取存储在Jfrog Artifactory的私有镜像，可按以下步骤逐一排查解决：

1 校验镜像配置与基础连通性 #

• 确认Pod配置中image字段填写的完整镜像路径正确，必须包含Jfrog服务地址、镜像仓库名、镜像名、版本标签，示例格式：jfrog.example.com/docker-local/my-app:v1.0.0，缺失任意段都会导致拉取失败
• 登录Pod调度到的Kubernetes节点，手动执行拉取命令验证：
  • Docker运行时执行：docker pull <完整镜像路径>
  • Containerd运行时执行：crictl pull <完整镜像路径>
    若手动拉取失败，优先排查节点到Jfrog服务的网络连通性、域名解析是否正常，是否有防火墙、安全组或代理规则拦截访问

2 配置私有镜像仓库拉取认证（最高频故障点） #

Jfrog Artifactory作为私有镜像仓库，默认需要身份认证才允许拉取镜像，Kubernetes未配置认证信息时会直接拉取失败，操作步骤如下：

1. 执行命令创建Docker仓库类型的Secret，替换尖括号内的实际信息：

kubectl create secret docker-registry jfrog-registry-secret \
  --docker-server=<Jfrog镜像仓库服务地址> \
  --docker-username=<Jfrog登录账号> \
  --docker-password=<Jfrog登录密码/API密钥>

2. 修改Pod配置，新增imagePullSecrets字段引用已创建的Secret，修改后的完整配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: <name of pod>
spec:
  nodeSelector:
    type: "<name of node>"
  # 新增镜像拉取认证配置
  imagePullSecrets:
  - name: jfrog-registry-secret
  containers:
    - name: <name of container>
      image: <完整的Jfrog镜像路径>
      imagePullPolicy: Always

3 其他场景排查 #

• 确认Jfrog平台中对应路径、对应标签的镜像真实存在，标签填写错误也会触发拉取失败
• 确认配置的Jfrog账号具备对应镜像仓库的拉取权限，权限不足可联系Jfrog管理员开通
• 若Jfrog使用自签SSL证书，需将自签根证书导入所有Kubernetes节点的容器运行时信任证书列表，避免证书验证失败
• 可执行kubectl describe pod <Pod名称>查看完整报错详情，进一步定位故障点

内容的提问来源于stack exchange，提问作者vaijayanti