bboysoul的博客
·
解决 Kubernetes Pod 拉取私有镜像问题的正确姿势
💡
原文中文，约1300字，阅读约需4分钟。
📝
内容提要
通过在 ServiceAccount 的 imagePullSecrets 字段中指定 Secret，可以简化从私有镜像仓库拉取镜像的过程。只需将 Secret 添加到默认的 ServiceAccount，所有使用该 ServiceAccount 的 Pod 将自动使用该凭据，无需在每个 Pod 中单独指定。
🎯
关键要点
- 通过在 ServiceAccount 的 imagePullSecrets 字段中指定 Secret，可以简化从私有镜像仓库拉取镜像的过程。
- 只需将 Secret 添加到默认的 ServiceAccount，所有使用该 ServiceAccount 的 Pod 将自动使用该凭据。
- 不需要在每个 Pod 中单独指定 imagePullSecrets，集中管理更方便。
- 默认情况下，Pod 会使用 default ServiceAccount，除非显式指定其他 ServiceAccount。
- 创建 Secret 的命令示例：kubectl create secret docker-registry my-registry-secret --docker-server=<your-registry-server> --docker-username=<your-username> --docker-password=<your-password>
- 将 Secret 添加到 default ServiceAccount 的 imagePullSecrets 字段的命令示例：kubectl patch serviceaccount default -p '{"imagePullSecrets": [{"name": "my-registry-secret"}]}'
- 可以通过命令验证 default ServiceAccount 的 imagePullSecrets 是否添加成功：kubectl get serviceaccount default -o jsonpath='{.imagePullSecrets}'
- 创建 Pod 来验证是否可以成功拉取私有镜像，如果 Pod 成功创建并运行，说明已经可以通过 default ServiceAccount 的 imagePullSecrets 成功拉取私有镜像。
❓
延伸问答
如何通过 ServiceAccount 拉取私有镜像？
可以在 ServiceAccount 的 imagePullSecrets 字段中指定 Secret，所有使用该 ServiceAccount 的 Pod 将自动使用该凭据拉取私有镜像。
创建 Secret 的命令是什么？
创建 Secret 的命令是：kubectl create secret docker-registry my-registry-secret --docker-server=<your-registry-server> --docker-username=<your-username> --docker-password=<your-password>
如何验证 default ServiceAccount 的 imagePullSecrets 是否添加成功？
可以使用命令：kubectl get serviceaccount default -o jsonpath='{.imagePullSecrets}' 来验证。
为什么使用 ServiceAccount 的 imagePullSecrets 更方便？
使用 ServiceAccount 的 imagePullSecrets 可以集中管理凭据，避免在每个 Pod 中单独指定，简化了操作。
如何创建 Pod 来验证私有镜像的拉取？
可以创建一个 Pod，spec 中指定容器的 image 为私有镜像，如果 Pod 成功创建并运行，说明可以成功拉取私有镜像。
默认情况下，Pod 使用哪个 ServiceAccount？
默认情况下，Pod 会使用 default ServiceAccount，除非显式指定其他 ServiceAccount。
➡️
