单节点Docker Swarm结合Traefik部署私有Registry的配置咨询

1. 网络配置：必须创建共享Overlay网络 #

没错，你需要让Traefik和Registry处于同一个Overlay网络中——这是Swarm环境下服务间通信的标准方案，也是Traefik能发现并转发流量到Registry的核心前提。

• 为什么选Overlay网络？
  • 它是Docker Swarm原生的跨节点网络（哪怕你现在是单节点，未来扩展多节点时无需改动配置）
  • 内置服务发现机制，Traefik可以通过Swarm的DNS自动定位Registry服务
  • 相比Bridge网络，更适配Swarm服务的编排逻辑，能避免跨网络通信的各种坑

如果还没创建Traefik用的公共Overlay网络，执行这条命令：

docker network create --driver overlay --attachable traefik-public

注：--attachable参数可选，它允许普通容器也接入这个网络，但我们更推荐用Swarm服务，所以这个参数主要是给后续临时调试留的余地。

2. 部署方式：优先选Swarm服务而非普通容器 #

在单节点Swarm环境下，把Registry部署为Swarm服务是更优解：

• 核心优势：
  • 自动自愈：Swarm会在容器意外退出时自动重启Registry，保证服务可用性
  • 无缝适配Traefik：通过Swarm服务标签就能让Traefik自动配置路由，不用手动修改Traefik的静态配置
  • 统一管理：和你现有的Traefik等Swarm服务用同一套编排逻辑，运维更规范

普通容器虽然也能加入Overlay网络，但没法利用Swarm的服务发现，需要手动给Traefik加路由规则，维护成本高，不推荐。

3. S3作为存储后端的配置指引 #

下面是一个完整的docker-compose.yml示例，包含Registry Swarm服务定义、Traefik路由配置、S3存储后端设置：

version: '3.8'

networks:
  traefik-public:
    external: true  # 假设你已经创建了这个Overlay网络

services:
  registry:
    image: registry:2
    deploy:
      replicas: 1
      labels:
        # Traefik核心配置
        - traefik.enable=true
        - traefik.docker.network=traefik-public
        # 域名匹配规则
        - traefik.http.routers.registry.rule=Host(`registry.myhost.com`)
        # 启用HTTPS（依赖Traefik已配置的ACME证书 resolver）
        - traefik.http.routers.registry.tls=true
        - traefik.http.routers.registry.tls.certresolver=letsencrypt
        # 转发到Registry的默认端口5000
        - traefik.http.services.registry.loadbalancer.server.port=5000
        # 可选：添加Basic Auth认证（取消注释并替换为你的账号密码）
        # - traefik.http.routers.registry.middlewares=registry-auth
        # - traefik.http.middlewares.registry-auth.basicauth.users=admin:$apr1$zX5y8kLz$E7G98hQzR2T3Y4U5I6O7P8
    environment:
      # S3存储后端配置
      - REGISTRY_STORAGE=s3
      - REGISTRY_STORAGE_S3_ACCESSKEY=你的S3访问密钥
      - REGISTRY_STORAGE_S3_SECRETKEY=你的S3秘密密钥
      - REGISTRY_STORAGE_S3_REGION=us-east-1  # 替换为你的S3区域
      - REGISTRY_STORAGE_S3_BUCKET=你的Registry存储桶名
      # 如果你用的是MinIO等S3兼容存储，添加以下配置
      # - REGISTRY_STORAGE_S3_ENDPOINT=http://minio-service:9000
      # - REGISTRY_STORAGE_S3_SKIPVERIFY=true  # 未配置SSL时启用
      # - REGISTRY_STORAGE_S3_V4AUTH=true  # 启用S3 v4签名
    networks:
      - traefik-public

部署步骤： #

1. 确认Traefik已接入traefik-public网络，且开启了Swarm服务发现（Traefik启动参数需包含--providers.docker.swarmmode=true）
2. 替换配置中的S3密钥、区域、桶名为你的实际信息
3. 执行部署命令：

docker stack deploy -c docker-compose.yml registry

额外注意事项： #

• S3桶权限：确保你的S3密钥拥有该桶的读写权限（至少需要s3:PutObject、s3:GetObject、s3:ListBucket权限）
• 密码生成：如果启用Basic Auth，密码可以用htpasswd工具生成，比如htpasswd -nb admin 你的密码
• 功能测试：部署完成后，测试镜像推送/拉取：

  docker tag nginx:latest registry.myhost.com/nginx:latest
  docker push registry.myhost.com/nginx:latest
  docker pull registry.myhost.com/nginx:latest
  

内容的提问来源于stack exchange，提问作者user2959736