Minikube从Azure容器注册表拉取镜像遇ErrImagePull认证问题

碰到这种明明创建了镜像拉取Secret却还是认证失败的情况，大概率是Secret的格式或者Pod关联的细节出了问题。我给你梳理几个关键排查步骤：

1. 重新生成符合K8s标准的镜像拉取Secret #

你提到本地配置只有auth字段，但Kubernetes对镜像拉取Secret的dockerconfigjson格式有明确要求——虽然auth是核心，但手动创建很容易漏掉必要的结构。别手动写JSON了，直接用kubectl命令生成最稳妥：

kubectl create secret docker-registry acr-secret \
  --docker-server=myregistry.azurecr.io \
  --docker-username=myregistry \
  --docker-password=$(az acr credential show -n myregistry --query "passwords[0].value" -o tsv) \
  --docker-email=placeholder@example.com

这里的邮箱随便填就行，K8s不做验证，但必须提供这个参数。

2. 检查Pod的镜像地址和Secret关联是否正确 #

• 确保Pod的镜像地址是完整的ACR路径：myregistry.azurecr.io/your-image:tag，别漏掉前缀，不然K8s会默认去Docker Hub拉取，肯定认证失败。
• 确认Pod的imagePullSecrets字段正确指向你刚生成的Secret：

spec:
  imagePullSecrets:
    - name: acr-secret  # 这里要和你创建的Secret名称一致
  containers:
    - name: your-app-container
      image: myregistry.azurecr.io/your-image:tag

3. 验证Secret的内容是否正确 #

用下面的命令解码Secret内容，检查结构是否符合要求：

kubectl get secret acr-secret -o jsonpath='{.data.\.dockerconfigjson}' | base64 --decode

正常输出应该是类似这样的JSON：

{
  "auths": {
    "myregistry.azurecr.io": {
      "username": "myregistry",
      "password": "your-acr-password",
      "auth": "base64-encoded-username-password"
    }
  }
}

如果你的输出里没有username、password或者结构不对，说明Secret创建有误，重新用第一步的命令生成。

4. Minikube环境的特殊检查 #

如果Minikube用的是Docker驱动，可能需要确认Minikube内部的Docker环境能访问ACR：

minikube ssh
docker login myregistry.azurecr.io -u myregistry -p <你的ACR密码>

如果登录成功，说明网络和凭证没问题，回来重新创建Pod试试。要是还是不行，可以试试删除Minikube集群再重建，清除可能的缓存问题：

minikube delete
minikube start

按照这些步骤走下来，应该能解决你的认证问题。

内容的提问来源于stack exchange，提问作者andrew