1. 关于docker registry
docker的registry是一个用于管理镜像的上传与下载的工具, Docker hub 就是一个官方搭建的管理公共镜像的地方,我们可以在上面找到官方推出的镜像,也可以找到其他用户创建的镜像,这也是docker强大的一点,当然,自己的镜像也可以推送上去。但是，有时候我们需要一个私有的,速度更快的镜像来供我们使用. 这个可以通过开源软件 registry 来达成目的。
registry在github上有两份代码：老代码库和新代码库。老代码是采用python编写的，存在pull和push的性能问题，出到0.9.1版本之后就标志为deprecated，不再继续开发。从2.0版本开始就到在新代码库进行开发，新代码库是采用go语言编写，修改了镜像id的生成算法、registry上镜像的保存结构，大大优化了pull和push镜像的效率。
官方在Docker hub上提供了 registry 的镜像，我们可以直接使用该registry镜像来构建一个容器，搭建我们自己的私有仓库服务。tag为latest的registry镜像是0.9.1版本的,该版本已经被标记为deprecated，我这里直接采用2.3.1版本。
2. 安装
获取镜像
docker pull registry:2.3.1
创建docker-compose.yml,方便以后维护,如果需要持久化镜像数据,可选择volumes属性设置挂载目录,具体查看 registry文档 .
mkdir docker-registry
cd docker-registry
echo -e "\
registry: \n\
image: registry:2.3.1 \n\
container_name: registry \n\
restart: always \n\
ports: \n\
- "5000:5000" \n\
"> docker-compose.yml
启动registry
docker-compose up -d
可以用docker-compose ps 去查看是否启动 (注意当前目录下需要存在docker-compose.yml的文件)
[root@localhost docker-registry]# docker-compose ps
Name Command State Ports
--------------------------------------------------------------------------
registry /bin/registry /etc/docker/ ... Up 0.0.0.0:5000->5000/tcp
检查接口是否可用
[root@localhost docker-registry]# curl http://localhost:5000/v2/
{}
3. 上传到私服
假设现在已经有一个编译好的镜像名为test-registry,我们需要把他上传到私服,详细编译命令可以查看docker build.
新建镜像tag
docker tag test-registry 127.0.0.1:5000/test-registry
推送到远端服务器
docker push 127.0.0.1:5000/test-registry
提示：上面的命令在某些情况下可能会执行失败,错误的提示可能有很多种,这里就不贴了,但有一类错误是和https相关,请点这里
推送完成之后可以使用接口去查看私服已存在的镜像.
[root@localhost docker-registry]# curl http://127.0.0.1:5000/v2/_catalog
{"repositories":["test-registry"]}
使用私服获取镜像,(注意其他机器上的--insecure-registry参数)
docker pull 127.0.0.1:5000/test-registry
4.私服管理工具
虽然registry提供了所有可供管理的接口,但是没有ui还是挺不方便的,经过一番搜索发现,管理的ui有很多的实现,可是大部分项目都是支持v1的接口,大家也可以去发现一下其他的支持v2接口的管理ui,docker hub search
这里使用的是konradkleine/docker-registry-frontend,虽然该项目基本实现了v2的所有接口,但貌似由于某些原因,项目仅仅开放了查询镜像列表的,具体原因可去 github issues 查看,不过这应该只是暂时的,我相信通过社区的力量,其他功能能很快的完善,下面开始介绍安装.
拉取镜像
docker pull konradkleine/docker-registry-frontend:v2
创建docker-compose.yml
mkdir docker-registry-frontend
cd docker-registry-frontend
echo -e "\
docker-registry-frontend:\n\
image: konradkleine/docker-registry-frontend:v2\n\
container_name: docker-registry-frontend\n\
restart: always\n\
ports:\n\
- "80:80"\n\
environment:\n\
- ENV_DOCKER_REGISTRY_HOST=registry.kk.me\n\
- ENV_DOCKER_REGISTRY_PORT=5000\n\
" > docker-compose.yml
启动 docker-registry-frontend
docker-compose up -d
注意这里是使用域名把请求转发到私服,该设置可能会存在一个registry无法访问的问题,该问题在后面做详细解释
验证是否启动
docker-compose ps
Name Command State Ports
------------------------------------------------------------------------------------
registry-frontend /bin/sh -c $START_SCRIPT Up 443/tcp, 0.0.0.0:5001->80/tcp
使用浏览器访问
5. 延伸问题
<p id="links">1. 容器内无法路由127.0.0.1以及宿主机ip</p>
使用场景是容器内部需要访问另外一个容器的接口,但两个容器在一个宿主机上,就好像上面的registry和registry-frontend都部署在了同一个宿主机的docker中,所以在上面的registry-frontend的配置ENV_DOCKER_REGISTRY_HOST中如果填写127.0.0.1,那么必定会导致他无法工作.
其实这个问题官方已经提供了解决方法,在docker-compose.yml中增加links属性,配置想要访问的容器名称即可.
links:
- "docker-registry:web"
这个参数是将两个容器建立一个父子关系,docker-registry是容器的name,web是访问容器的别名(域名),在子容器中可通过别名随意的访问父容器,关于links的详细信息可查询官方文档.
不过这里考虑到未来可能这两个容器不一定在同一宿主机,所以我选择了建立dns+nginx的方式,通过dns把域名指向nginx地址,在通过nginx把请求转发到docker-registry即可(这里需要注意nginx的client_max_body_size参数,因为docker的一个镜像可能会非常非常大,如果设置小了,在push时会出问题),你也可以看需要来选择哪种做法.
<p id="https">aaa</p>
2. docker的registry https访问
docker发起https请求当遇到了无效证书或者没有证书会导致出错,这里可以使用docker服务的启动参数--insecure-registry来设置例外,以告诉docker不需要考虑证书安全性.
每个系统设置这个参数的方式都不太一样,具体其实就是在服务启动的时候增加启动参数,下面以centos为例.
vim /lib/systemd/system/docker.service
把其中
ExecStart=/usr/bin/docker daemon -H fd://
改为
ExecStart=/usr/bin/docker daemon --insecure-registry $YOUR_REGISTRY_HOST -H fd://
然后重启docker服务
systemctl daemon-reload
service docker restart
以上文章如有错误,欢迎指出. :)
