Docker镜像签名问题：如何适配异址推拉或不推送仓库完成签名

我来帮你搞定这两个实际部署里的常见问题，咱们逐个拆解：

一、解决Nexus推送/拉取地址不一致的问题 #

Nexus默认的Docker仓库配置确实容易出现推送和拉取地址分离的情况，大概率是你配置了不同类型的仓库（比如用Group仓库做拉取，Hosted仓库做推送），或者错误拆分了端口配置。这里有两种解决方案：

方案1：统一为单个仓库地址（推荐） #

直接用同一个Docker Hosted仓库同时处理推送和拉取，只需要调整权限配置：

• 登录Nexus管理后台，找到你用来推送镜像的Docker Hosted仓库
• 进入仓库配置页的「Docker」标签栏：
  • 确认HTTPS/HTTP端口配置正确（比如默认HTTPS用5000）
  • 勾选「Allow anonymous pull」（如果需要允许匿名用户拉取镜像）
• 之后所有客户端拉取、推送都用同一个地址docker-registry.example.com：
  • 推送前先执行docker login docker-registry.example.com完成认证
  • 拉取时无需登录（如果开启了匿名拉取），直接docker pull docker-registry.example.com/my-image:latest

方案2：保留双地址，通过Group仓库整合 #

如果因为架构限制必须保留两个地址，可以用Nexus的Group仓库把推送仓库纳入拉取链路：

• 找到你现在的拉取地址docker-registry.example.com对应的Docker Group仓库
• 在Group仓库的配置里，把你用来推送的Docker Hosted仓库添加到「Member Repositories」列表中
• 这样客户端从Group地址拉取时，能获取到Hosted仓库里的镜像，而推送还是直接推到Hosted地址docker-registry-publish.example.com

二、本地离线完成Docker镜像签名（无需推送镜像到仓库） #

Notary支持在本地对镜像签名，仅推送签名元数据到Notary服务器，镜像本身可以留在本地。具体步骤如下：

1. 给本地镜像打仓库标签
   即使不推送镜像，也需要给镜像打上和目标仓库一致的标签，因为Notary的签名是和镜像的仓库路径绑定的：

   docker tag local-image:latest docker-registry.example.com/my-project/local-image:latest
   

2. 初始化Notary仓库（首次操作）
   为这个镜像仓库初始化Notary信任链，按照提示设置根密钥和目标密钥（根密钥要妥善保存，丢失后无法恢复签名）：

   notary init docker-registry.example.com/my-project/local-image
   

3. 本地签名镜像
   执行签名命令，这一步会在本地生成签名，并把签名元数据推送到你的Notary服务器（注意：仅推送签名，不推送镜像）：

   notary sign docker-registry.example.com/my-project/local-image:latest
   

   如果你习惯用Docker原生命令（封装了Notary），可以替代为：

   docker trust sign docker-registry.example.com/my-project/local-image:latest
   

4. 验证本地签名
   可以用Notary或Docker命令验证签名是否生效：

   # Notary验证
   notary verify docker-registry.example.com/my-project/local-image:latest
   # Docker客户端验证
   docker trust inspect --pretty docker-registry.example.com/my-project/local-image:latest
   

5. 后续推送（可选）
   之后如果需要把镜像推送到Nexus，直接执行推送命令即可，Nexus会自动验证Notary签名（前提是你已经配置了Nexus和Notary的集成）。

内容的提问来源于stack exchange，提问作者Sergei Genchev