Kubernetes节点Docker登录配置咨询：当前操作方案是否正确？

结论 #

你当前的配置方法是正确的，不需要手动登录所有Kubernetes节点执行docker login操作，该方案完全可以满足私有镜像拉取的认证需求。

原理说明 #

Kubernetes拉取私有镜像的认证逻辑是由kubelet组件处理的：

• 你创建的docker-registry类型Secret会存储你的镜像仓库认证信息
• 当你在工作负载的YAML中配置了imagePullSecrets字段后，对应节点上的kubelet拉取镜像时，会自动读取该Secret中的认证凭证，向镜像仓库发起鉴权请求，无需节点上的Docker服务全局存储登录凭证。

注意事项 #

你当前的操作仅有一处需要修正：你贴出的工作负载YAML中livenessProbe字段存在缩进错误，port和initialDelaySeconds的缩进层级不对，调整后的正确格式参考如下：

...
livenessProbe:
  httpGet:
    path: /
    port: 80
  initialDelaySeconds: 5
imagePullSecrets:
- name: cfcr

额外补充几点使用建议：

• Secret必须和对应工作负载处于同一个命名空间，如果需要在多个命名空间使用该认证，需要在每个命名空间单独创建该Secret
• 如果你希望某个命名空间下所有工作负载都默认使用该认证，无需每个工作负载单独配置imagePullSecrets，可以将该Secret绑定到对应命名空间的默认ServiceAccount上
• 仅拉取Docker Hub上的私有镜像时需要配置该认证，拉取公共镜像无需额外配置

内容的提问来源于stack exchange，提问作者andrea ciuffoli