Docker Swarm创建服务时私有镜像拉取失败，如何配置私有仓库登录？

嘿，这个问题我之前帮很多刚接触Swarm的朋友解决过——私有镜像仓库的权限问题确实是Swarm入门的一个常见卡点，毕竟单节点的docker login和集群环境下的逻辑不太一样。下面给你两种靠谱的解决办法，你可以根据自己的场景选：

这种方法简单直接，适合你这种节点数量不多（5台）的集群：

• 登录到集群里的每一台服务器（包括manager和所有worker节点）
• 在每个节点上执行命令：docker login registry.xxxx.xxx，然后输入你的私有仓库用户名和密码
• 登录成功后，每个节点会把凭证自动存在~/.docker/config.json文件里，当Swarm调度服务到这个节点时，就能用本地的凭证拉取私有镜像了

优缺点：操作简单，上手快；但如果后续仓库密码变更，你需要挨个节点重新执行登录命令，维护成本会随节点数量增加而上升。

如果不想挨个节点折腾，推荐用Swarm的Secret功能来统一管理仓库凭证，只需要在manager节点操作一次：

1. 先在manager节点上执行登录命令，生成本地的凭证文件：docker login registry.xxxx.xxx
2. 将本地的config.json创建为Swarm集群的Secret：docker secret create regcred ~/.docker/config.json
3. 创建服务时，通过--secret参数把这个Secret挂载到容器的指定路径，让容器能读取到仓库凭证：

   docker service create \
     --name your-service-name \
     --secret source=regcred,target=/root/.docker/config.json \
     registry.xxxx.xxx/your-image:tag
   

   注意：如果你的容器运行时用的是非root用户，要把target路径改成对应用户的目录，比如/home/nonroot/.docker/config.json

优缺点：只需要维护一份集群级的凭证，后续密码变更时只需更新Secret即可，适合节点较多的集群；缺点是需要你对Swarm的Secret机制有基础理解，操作比手动登录稍复杂。

额外提醒 #

如果你的私有仓库用的是自签名SSL证书，除了处理凭证，还需要在每个节点的/etc/docker/certs.d/registry.xxxx.xxx/目录下放置仓库的CA证书，否则会出现证书验证失败的问题（不过你当前的错误是权限被拒，所以优先级先解决凭证问题）。

内容的提问来源于stack exchange，提问作者thomaslee