无法配置Podman在Artifactory Docker仓库执行非限定镜像搜索

1. 配置错误排查 #

当前配置的核心问题在于prefix与location的映射逻辑和Artifactory仓库路径的适配性：

• 你设置了prefix = "artifactory.acme.com"和location = "artifactory.acme.com/artifactory/common-docker"，Podman会将artifactory.acme.com/busybox的请求重写为artifactory.acme.com/artifactory/common-docker/busybox，这个路径本身是正确的，但Artifactory返回404可能有以下原因：
  • 镜像上传路径不匹配：确认上传命令是docker push artifactory.acme.com/artifactory/common-docker/busybox:latest，且镜像确实成功上传到common-docker仓库的根路径下（无额外命名空间）。
  • Artifactory仓库的路径解析规则：部分Artifactory Docker仓库要求镜像路径包含用户/组织命名空间，比如artifactory.acme.com/artifactory/common-docker/your-username/busybox，如果是这种情况，你需要调整上传路径或修改Podman的重写逻辑。

2. 无需外部反向代理的解决方案 #

方案1：短名称别名配置（适合少量常用镜像） #

在/etc/containers/registries.conf.d/下新建00-short-name-aliases.conf文件，为每个常用镜像配置别名：

[[short-name-alias]]
alias = "busybox"
name = "artifactory.acme.com/artifactory/common-docker/busybox"

# 按需添加更多镜像
[[short-name-alias]]
alias = "nginx"
name = "artifactory.acme.com/artifactory/common-docker/nginx"

配置完成后，执行podman pull busybox会直接拉取对应的全限定名镜像，无需用户手动输入完整路径。

方案2：WSL2内部轻量反向代理（适配所有镜像） #

在你可控的podman-machine-default（WSL2实例）内部部署反向代理，绕过Artifactory的路径限制：

1. 安装Caddy（轻量代理工具）：

sudo apt update && sudo apt install caddy -y

2. 创建Caddy配置文件/etc/caddy/Caddyfile：

localhost:5000 {
    reverse_proxy artifactory.acme.com/artifactory/common-docker {
        header_up Host artifactory.acme.com
        header_up X-Forwarded-Path /artifactory/common-docker
    }
}

3. 启动并开机自启Caddy：

sudo systemctl start caddy && sudo systemctl enable caddy

4. 修改Podman的/etc/containers/registries.conf：

unqualified-search-registries = ["localhost:5000"]
short-name-mode = "permissive"

5. 更新registry配置文件/etc/containers/registries.conf.d/999-podman-desktop-registries-from-host.conf：

[[registry]]
prefix = "localhost:5000"
location = "localhost:5000"

[[registry]]
location = "quay.io"
blocked = true

[[registry]]
location = "docker.io"
blocked = true

现在执行podman pull busybox时，请求会被转发到正确的Artifactory仓库路径，同时保持用户操作的简洁性。

方案3：全局Registry前缀映射 #

修改/etc/containers/registries.conf.d/999-podman-desktop-registries-from-host.conf，将空前缀映射到你的Artifactory仓库：

[[registry]]
prefix = ""
location = "artifactory.acme.com/artifactory/common-docker"

[[registry]]
location = "quay.io"
blocked = true

[[registry]]
location = "docker.io"
blocked = true

同时保持/etc/containers/registries.conf的配置不变：

unqualified-search-registries = ["artifactory.acme.com"]
short-name-mode = "permissive"

这个配置会让所有非限定名请求直接指向你的Artifactory仓库，适合完全隔离外部仓库的场景，但需确认没有其他对artifactory.acme.com的业务请求会受影响。

内容的提问来源于stack exchange，提问作者Joshua Schroijen