由于最近docker从docker.io拉取镜像好像被GFW屏蔽了,所以从中国大陆拉取docker镜像需要通过镜像仓库。
由于我的工作集群在中国大陆地区的阿里云,因此也遇到了镜像拉取的问题。
环境
请注意,我的 Kubernetes 集群仍为 1.2x 版本,containerd 版本也是 1.2x,并且由于我没有直接 SSH 到集群机器,所以我必须依赖计划作业 schell,因此所有文件更新都将使用命令行(sed 等工具有帮助)
解决方案
方向是找到docker镜像源的替代品,但我不想改变我的Kubernetes配置文件,因为我会在中国大陆以外的世界使用相同的设置,我不想维护两套配置。
而阿里云Kubernetes集群正在运行containerd,所以我的解决方案是为docker.io添加containerd的镜像。
根据https://github.com/containerd/containerd/blob/main/docs/hosts.md,如果我们要镜像 docker.io,我们可以在 /etc/containerd/certs.d/docker.io/hosts.toml 创建一个文件,预计如下所示:
server = "https://registry-1.docker.io" # 排除此项以不使用上游
[host."https://public-mirror.example.com"]
capabilities = ["pull"] # 需要较少的信任,不会解析来自此主机的标签
[host."https://docker-mirror.internal"]
capabilities = ["pull", "resolve"]
有一个问题,当我检查 /etc/containerd/config.toml 时,对配置路径的初步观察是:
[插件。”io.containerd.grpc.v1.cri”.注册表]
config_path = “”
在创建 /etc/containerd/certs.d/docker.io/hosts.toml 文件后,再次查看 /etc/containerd/config.toml ,我看到配置变成:
[插件。“io.containerd.grpc.v1.cri”.注册表]
config_path =“/etc/containerd/cert.d”
请注意,cert.d 缺少“s”。
最后我想出了一个脚本来替换该行:
sudo sed -i 's/config_path = .*/config_path = "\/etc\/containerd\/certs.d"/' /etc/containerd/config.toml
最后,通过改变 MIRRORS 数组,可以重复运行的脚本,镜像,请预料到它们随时可能失败。
# 参考: https://github.com/containerd/containerd/blob/main/docs/hosts.md
# 检查 /etc/containerd/config.toml 中 registry 配置路径,
# 可能错误地写成了:
# /etc/containerd/cert.d 而不是 /etc/containerd/certs.d
# 如果是这样,请运行以下命令:
# sudo sed -i 's/config_path = .*/config_path = "\/etc\/containerd\/certs.d"/' /etc/containerd/config.toml
# cat /etc/containerd/config.toml
MIRRORS=( "https://docker-0.unsee.tech" "https://docker.1panel.live" "https://registry.dockermirror.com" "https://docker.imgdb.de" "https://hub.iyuu.cn" "https://docker.m.daocloud.io" ) # 用你的镜像 URL 替换
sudo mkdir -p /etc/containerd/certs.d/docker.io
{
printf 'server = "https://registry-1.docker.io"\n' ; for mirror in " ${MIRRORS[@]} " ; do printf '\n[host."%s"]\n capabilities = ["pull", "resolve"]\n' " $mirror " ; done ; } | sudo tee /etc/containerd/certs.d/docker.io/hosts.toml > /dev/null
cat /etc/containerd/certs.d/docker.io/hosts.toml
sudo systemctl restart containerd
与 GFW 战斗(不是真正的战斗……主要是四处走动……并被击败)非常累人……我已经受够了。
将来,如果我需要官方镜像并且镜像不再可用,我只需将其放在我的 AWS 私人存储库中并从中提取,效率很低……