类型：虚拟化技术
简介：基于操作系统层级的虚拟化技术，将软件与其依赖项打包为容器。
Docker私有镜像仓库是站长在内容建设、工具选型或服务器运维中经常遇到的具体问题。处理这类问题时，关键不是套用固定答案，而是先明确使用场景、风险边界和验证方法，再把配置、排查或选择步骤落实到可检查的动作上。
一、什么时候需要私有镜像仓库
Docker私有镜像仓库适合团队保存内部镜像、加快部署速度，并减少对外部仓库可用性的依赖。 如果项目需要保存内部镜像、部署环境无法频繁访问公共仓库，或者团队希望统一镜像版本，就可以考虑搭建Registry。个人项目可以先从简单Registry开始，团队环境则要补齐权限、备份、HTTPS和清理策略。
二、准备域名、证书和存储目录
私有仓库不建议裸IP加HTTP长期使用。准备阶段应确定仓库域名、HTTPS证书、镜像存储目录、备份位置和访问用户。存储目录要放在空间充足的磁盘，并规划定期清理旧镜像。证书可以使用反向代理统一处理，也可以由Registry自身配置，但必须保证客户端能正常信任。
三、启动Registry并接入反向代理
基础Registry可以通过Docker快速启动，映射5000端口并挂载数据目录。生产使用时通常放在Nginx、Caddy或面板反向代理之后，由代理处理HTTPS和访问限制。反向代理要允许较大的上传体积，否则推送镜像时可能中断。配置完成后，用docker login、docker tag、docker push和docker pull完整验证。
四、权限控制不能只靠隐藏地址
私有仓库地址不公开并不等于安全。至少应配置Basic Auth或接入更完整的认证方案，并为团队成员分配不同账号。离职或项目结束后要及时撤销权限。CI/CD中使用的账号应限制在必要范围，不要把管理员凭据写进仓库代码。
五、维护重点是备份和清理
镜像仓库会持续增长，旧版本如果不清理，很快占满磁盘。应建立保留策略，例如每个服务保留最近若干稳定版本，删除临时构建版本。备份时不仅要备份镜像数据，也要备份认证配置、反向代理配置和证书配置。恢复演练要包含重新登录、拉取镜像和部署验证。
六、客户端信任问题怎么排查
私有仓库配置HTTPS后，如果客户端仍然无法登录或推送，常见原因包括证书链不完整、域名与证书不匹配、反向代理转发头错误、上传体积限制过小。可以先用curl检查证书，再用docker login验证认证流程，最后推送一个小镜像测试。不要一出错就把仓库改回HTTP，除非只是临时内网测试。
七、镜像命名和版本规则
团队使用私有仓库时，应统一镜像命名，例如registry.example.com/project/service:version。标签不要长期只用latest，否则无法判断线上运行的是哪一版。可以采用日期、Git提交号、语义版本或构建号。发布失败时，清晰标签能帮助快速回滚到上一版。
八、磁盘占用和垃圾回收
Registry删除旧镜像后，通常还需要执行垃圾回收才能真正释放磁盘空间。执行前要停止写入或进入维护窗口，避免删除过程中影响推送。清理策略应写清楚保留数量、保留周期和例外镜像。对于关键服务，至少保留最近稳定版本和上一版，避免出现问题时没有可回滚镜像。
九、内网仓库和公网仓库的差异
如果私有仓库只在内网使用，配置可以相对简单，但仍要有认证和备份；如果通过公网访问，则必须重视HTTPS、强密码、访问限制和日志审计。公网仓库不应允许匿名推送，也不应暴露管理接口。团队可以通过VPN、堡垒机或IP白名单降低暴露面。
十、CI/CD中如何使用私有仓库
自动化发布通常需要在构建机登录私有仓库，推送镜像后再由服务器拉取部署。CI/CD凭据应存放在平台密钥中，不要写入脚本仓库。部署服务器拉取镜像时，也应使用专门账号。构建、推送、拉取三个环节的账号可以分开，权限越小，泄露后的影响越低。
FAQ
Q：Docker私有镜像仓库适合新手学习吗？
A：适合，但应先理解Docker镜像、容器、数据卷、网络和Compose基础。学习Docker私有镜像仓库时建议在测试服务器操作，确认流程稳定后再用于正式业务。
Q：Docker私有镜像仓库配置后怎么验证？
A：应同时检查容器状态、应用日志、访问结果和回滚方案。只看到容器启动成功并不等于业务可用。
Q：Docker私有镜像仓库出错时先看哪里？
A：优先查看docker compose config、容器日志、端口映射、环境变量和宿主机资源，再检查应用自身配置。
