Kubernetes忽略Helm配置的镜像仓库Secret报x509证书未知机构签名错误

报错原因说明 #

这个问题和你配置的镜像仓库凭证Secret没有关系，本质是容器镜像拉取流程里两个独立环节的优先级差异导致的：

• 首先要明确：kubernetes.io/dockerconfigjson 类型的Secret仅存储镜像仓库的身份验证凭证（用户名、密码），作用是容器运行时完成TLS连接校验后，提交凭证用于登录镜像仓库、获取镜像拉取权限，不涉及任何TLS证书信任的配置逻辑。
• 容器运行时拉取镜像的流程里，TLS证书校验是比身份验证更前置的环节：在和镜像仓库建立HTTPS连接的阶段，就会先校验服务端证书的签发机构是否被本地信任，只有这个校验通过后，才会进入后续的身份验证、拉取镜像环节。

你当前使用自签名证书搭建私有仓库，没有将自签名CA证书配置到集群所有Worker节点的容器运行时（Docker/containerd/CRI-O等）的信任列表中，所以节点上的容器运行时在和仓库建立HTTPS连接的第一步就失败了，根本不会走到提交Secret凭证做身份验证的步骤，因此会抛出x509证书未知的报错。

另外补充：拉取镜像的操作是集群Worker节点的容器运行时执行的，和你执行kubectl、helm命令的客户端主机是否信任仓库证书没有关系，只需要集群所有Worker节点完成证书配置即可。

常见解决方案 #

• 生产环境推荐：将私有镜像仓库的自签名CA证书，复制到所有Worker节点的对应容器运行时证书配置目录：
  • Docker运行时：将CA证书放至/etc/docker/certs.d/www.private-registry.com/ca.crt路径，重启docker服务生效
  • containerd运行时：修改/etc/containerd/config.toml中对应镜像仓库的ca_file配置项，指向CA证书路径，重启containerd服务生效
• 测试环境可临时规避：将私有镜像仓库地址加入容器运行时的「不安全镜像仓库」列表，跳过TLS证书校验，该方案存在安全风险，不建议生产环境使用。

内容的提问来源于stack exchange，提问作者Alison