Как подключить приватный registry

Настройка через конфигурацию ContainerD вручную #

На каждом узле кластера нужно отредактировать конфиг ContainerD (обычно путь /etc/containerd/config.toml).

1. Найдите в файле секцию:

   [plugins."io.containerd.grpc.v1.cri".registry.configs]
   

2. Добавьте под ней блок с адресом вашего registry и учётными данными:

[plugins."io.containerd.grpc.v1.cri".registry.configs."myprivateregistry.domain.ltd".auth]
username = "myLogin"
password = "myPassword"

3. Сохраните файл и перезапустите ContainerD на узле:

   sudo systemctl restart containerd
   

При обновлении или смене registry потребуется снова отредактировать конфиг и перезапустить ContainerD на всех узлах.

Настройка через ImagePullSecrets #

Создайте в нужном неймспейсе Secret типа kubernetes.io/dockerconfigjson с данными для входа в registry. Затем укажите этот секрет в подах (или в defaultServiceAccount неймспейса) как imagePullSecrets.

1. Подготовка данных для аутентификации #

Создайте JSON-файл с полем auths, в котором указаны адрес registry и учётные данные. Поле auth — строка base64 от username:password.

{
  "auths": {
    "my-registry.example:5000": {
      "username": "tiger",
      "password": "pass1234",
      "email": "tiger@acme.example",
      "auth": "dGlnZXI6cGFzczEyMzQ="
    }

2. Создание Secret в кластере #

Через веб-интерфейс: выберите кластер → нужный неймспейс → Хранилище → Secrets → создайте Secret с типом dockerconfigjson. В блоке Ключи добавьте ключ (например, .dockerconfigjson) и загрузите или вставьте содержимое JSON-файла с данными аутентификации.

Через kubectl:

kubectl create secret docker-registry <имя-секрета> \
  --docker-server=my-registry.example:5000 \
  --docker-username=Username \
  --docker-password=Pass1234 \
  --docker-email=user@example.com \
  -n <имя-неймспейса>

Подставьте свои значения вместо <имя-секрета>, <имя-неймспейса> и учётных данных registry.

Эквивалентный Secret можно описать манифестом:

apiVersion: v1
kind: Secret
metadata:
  name: external-registry-secret
  namespace: my-namespace
type: kubernetes.io/dockerconfigjson
data:
  .dockerconfigjson: <base64-encoded-docker-config>

3. Использование секрета в нагрузках #

При создании нагрузки (Deployment, Pod и т.п.) в поле Секреты образов (ImagePullSecrets) укажите созданный секрет. Тогда все поды этой нагрузки будут использовать его для pull образов из приватного registry.

В манифесте Pod или контроллера укажите секрет в поле imagePullSecrets:

spec:
  imagePullSecrets:
  - name: regcred
  containers:
  - name: app
    image: registry.example.shturval.link/my-app:v1.0.0

Чтобы образы из этого registry тянулись по умолчанию во всём неймспейсе, добавьте imagePullSecrets в ServiceAccount по умолчанию этого неймспейса.

apiVersion: v1
kind: ServiceAccount
metadata:
  name: default
  namespace: my-namespace
imagePullSecrets:
- name: regcred

Обратите внимание! секрет действует только в том неймспейсе, где создан. Для использования того же registry в другом неймспейсе создайте там отдельный Secret (или настройте кластерный механизм распространения секретов, если он у вас есть).

Если под переходит в ImagePullBackOff или ErrImagePull, проверьте имя образа и тег, доступность registry из кластера, права на образ и корректность imagePullSecrets. Подробные действия см. в разделе Траблшутинг нагрузок.