containerd/nerdctl 镜像仓库认证与使用完全指南

containerd/nerdctl 镜像仓库认证与使用完全指南

前言

在容器技术生态中，镜像仓库是存储和分发容器镜像的核心组件。containerd/nerdctl 作为新一代容器工具链，提供了完善的镜像仓库支持。本文将深入解析 nerdctl 如何与各类镜像仓库进行认证交互，并详细介绍主流云服务商镜像仓库的使用方法。

镜像仓库认证机制

认证配置文件位置

nerdctl 默认使用 ${DOCKER_CONFIG}/config.json 文件进行镜像仓库认证，这与 Docker 保持兼容。环境变量 $DOCKER_CONFIG 默认指向 $HOME/.docker 目录。

非安全仓库使用

当遇到 http: server gave HTTP response to HTTPS client 错误时，通常是因为仓库未配置 TLS 证书。此时可使用 --insecure-registry 参数临时允许非安全连接：

nerdctl --insecure-registry run --rm 192.168.12.34:5000/foo

注意：生产环境应避免使用非安全连接，建议配置有效的 TLS 证书。

证书配置方法

对于需要自定义 CA 证书的情况，nerdctl 支持两种配置方式：

1. containerd 风格配置（nerdctl >= 0.16）：

   ~/.config/containerd/certs.d/<HOST:PORT>/hosts.toml
   

   或 root 用户：

   /etc/containerd/certs.d/<HOST:PORT>/hosts.toml
   

   示例配置：

   server = "https://192.168.12.34:5000"
   [host."https://192.168.12.34:5000"]
     ca = "/path/to/ca.crt"
   

2. Docker 风格配置：

   ~/.config/docker/certs.d/<HOST:PORT>/  # rootless
   /etc/docker/certs.d/<HOST:PORT>/       # rootful
   

主流云服务镜像仓库使用指南

Amazon ECR 使用

认证方式：

aws ecr get-login-password --region <REGION> | \
nerdctl login --username AWS --password-stdin <AWS_ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com

镜像推送：

nerdctl tag hello-world <AWS_ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com/<REPO>
nerdctl push <AWS_ACCOUNT_ID>.dkr.ecr.<REGION>.amazonaws.com/<REPO>

Azure ACR 使用

认证方式：

nerdctl login -u <USERNAME> <REGISTRY>.azurecr.io

镜像推送：

nerdctl tag hello-world <REGISTRY>.azurecr.io/hello-world
nerdctl push <REGISTRY>.azurecr.io/hello-world

公共镜像仓库使用

认证方式：

nerdctl login -u <USERNAME>

镜像推送：

nerdctl tag hello-world <USERNAME>/hello-world
nerdctl push <USERNAME>/hello-world

GitHub Container Registry 使用

认证方式：

nerdctl login ghcr.io -u <USERNAME>

密码需使用 GitHub Personal access token

镜像推送：

nerdctl tag hello-world ghcr.io/<USERNAME>/hello-world
nerdctl push ghcr.io/<USERNAME>/hello-world

常见问题解决方案

rootless 模式访问本地仓库问题

rootless nerdctl 默认无法从 127.0.0.1 拉取镜像，因为拉取操作发生在 RootlessKit 的网络命名空间中。解决方案包括：

1. 使用主机 IP 而非 127.0.0.1
2. 配置端口转发
3. 使用 host 网络模式

认证缓存问题

如果认证信息变更后仍使用旧凭据，可尝试删除 ~/.docker/config.json 文件后重新登录。

最佳实践建议

1. 安全建议：

   • 优先使用 TLS 加密连接
   • 避免在命令行直接暴露密码
   • 定期轮换访问凭证

2. 性能优化：

   • 就近选择仓库区域
   • 合理使用镜像缓存
   • 批量操作减少认证次数

3. 多环境管理：

   • 为不同环境使用不同认证配置
   • 利用命名空间隔离镜像
   • 建立清晰的镜像命名规范

通过本文介绍，您应该已经掌握了 nerdctl 与各类镜像仓库的交互方法。合理配置和使用镜像仓库，将极大提升您的容器化工作流程效率。