无需挂载docker.sock或使用docker:dind，能否将现有镜像推送至其他docker registry？

首先明确三个对应你疑问的核心判断：

• 完全可以在不挂载docker.sock、不启动docker:dind的前提下，将已有镜像推送到其他Docker Registry。镜像的拉取、推送本质是遵循OCI Distribution规范的标准HTTP交互，整个流程不需要依赖Docker守护进程，你关于“拉取推送比构建简单、不需要访问daemon即可完成”的底层认知是完全正确的。
• 你认为“必须重新发起一次构建才能完成推送”的理解是错误的：Kaniko的定位是纯无Daemon的镜像构建工具，没有内置独立的镜像搬运、推送子命令，不代表镜像推送流程必须和构建流程绑定。
• 如果已经用Kaniko完成了一次构建，不需要为了推送到其他仓库重复执行构建步骤，有多种成熟的独立方案可以完成跨仓库镜像同步。

具体可落地的实现方案 #

方案1：首次构建时配置多目的地，一次构建多仓推送 #

Kaniko的原生--destination参数支持传入多个目标仓库地址，在首次启动构建时，只要把所有需要推送的仓库地址都作为参数传入，Kaniko在完成镜像层构建后，会自动将同一份镜像同步推送到所有配置的目的地，完全不需要重复执行构建流程。
典型的参数示例：

gcr.io/kaniko-project/executor:latest \
  --dockerfile=./Dockerfile \
  --context=./build-context \
  --destination=registry-a.com/project/app:v1.0.0 \
  --destination=registry-b.com/project/app:v1.0.0

注意：只要配置好两个目标仓库的认证凭据（通过Kaniko的auth secret挂载即可），整个过程和单目的地构建没有差异，不会产生额外的构建开销。

方案2：构建完成后独立搬运镜像，跳过重复构建流程 #

如果已经完成了首次构建，镜像已经推送到某一个仓库，不需要重跑构建流程，直接使用无Daemon的独立镜像搬运工具完成跨仓库同步即可：

• crane：静态编译的纯OCI工具，全程无Docker环境依赖，不需要挂载docker.sock、不需要启动特权容器。核心能力是支持在两个镜像仓库之间直接流式同步，不会在本地留存全量镜像文件。典型操作命令：crane copy 源仓库/镜像:标签 目标仓库/镜像:标签，只要配置好两个仓库的认证信息即可执行。
• skopeo：同样是无Daemon的镜像管理工具，支持直接在两个OCI兼容的仓库之间同步镜像，不需要本地Docker运行时，也不需要导出tar包中转。典型操作命令：skopeo copy docker://源仓库/镜像:标签 docker://目标仓库/镜像:标签。

以上两种工具都可以直接在现有集群的Pod中部署运行，和现有的Kaniko构建流程完全兼容，没有额外的环境要求。

常见认知澄清 #

很多人误以为镜像推送必须依赖Docker Daemon，本质是长期使用docker push命令形成的误解：docker push只是Docker客户端和本地Docker守护进程通信的封装，不是镜像推送协议本身的要求。OCI镜像协议从设计之初就是基于HTTP的开放标准，所有认证校验、镜像层传输、清单上传的流程，都可以直接通过HTTP请求完成，完全不需要本地守护进程做中转。

内容的提问来源于stack exchange，提问作者user5479362