什么是 Docker Registry？公共 Registry 与私有 Registry 有什么区别？
在 Docker 的生态系统中，Docker Registry（镜像仓库） 是一个核心组件。简单来说，它是存储、管理和分发 Docker 镜像（Images）的集中式存储库。
下面为您详细拆解 Docker Registry 的概念，以及公共 Registry 与私有 Registry 的区别。
一、 什么是 Docker Registry？
如果把 Docker 镜像比作“软件安装包”，那么 Docker Registry 就是“应用商店”或“代码托管仓库”（类似于 GitHub 之于代码）。
- 工作原理：
- Push（推送）：开发者在本地构建好 Docker 镜像后，通过
docker push命令将其上传到 Registry。 - Pull（拉取）：其他开发者或服务器（如 Kubernetes 集群）通过
docker pull命令从 Registry 下载镜像并运行容器。
- Push（推送）：开发者在本地构建好 Docker 镜像后，通过
- 组成结构：
- 一个 Registry 可以包含多个 Repository（仓库）。
- 每个 Repository 对应一个具体的软件（例如
nginx或mysql）。 - 每个 Repository 内部通过 Tag（标签） 来区分不同的版本（例如
nginx:latest、nginx:1.21）。
二、 公共 Registry 与 私有 Registry 的区别
根据访问权限、安全性和部署位置的不同，Docker Registry 主要分为公共（Public）和私有（Private）两种类型。
| 对比维度 | 公共 Registry (Public) | 私有 Registry (Private) |
|---|---|---|
| 定义 | 任何人都可以访问、下载镜像的公开仓库。 | 仅限特定组织、团队或个人访问的受限仓库。 |
| 典型代表 | Docker Hub（官方默认）、Quay.io、GitHub Packages。 | 阿里云 ACR、腾讯云 TCR、AWS ECR、自建 Harbor。 |
| 安全性/隐私性 | 低。镜像对全网公开（除非购买其私有托管服务）。代码和配置容易泄露。 | 高。受严格的身份验证（LDAP/OAuth）和角色控制（RBAC）保护。 |
| 下载速度 | 较慢。受国际网络带宽限制（在国内经常需要配置“镜像加速器”）。 | 极快。通常部署在局域网或内网，带宽大，延迟极低。 |
| 成本 | 免费（大部分公共镜像免费，限制私有仓库数量和下载频次）。 | 需付费（购买云厂商服务）或需运维成本（自建服务器）。 |
| 适用场景 | 开源项目、公共基础镜像（如 Ubuntu, Node.js, Python 等）。 | 企业内部商业项目、包含敏感数据/核心算法的镜像。 |
三、 深入了解
1. 公共 Registry 的代表：Docker Hub
当你运行 docker pull ubuntu 而不指定服务器地址时，Docker 默认会去 Docker Hub 下载。
- 优点：资源极其丰富，几乎所有主流的开源软件都能在这里找到官方维护的镜像。
- 缺点：近年来 Docker Hub 引入了匿名下载频次限制（Rate Limiting），且国内访问经常不稳定。
2. 私有 Registry 的三种实现方式
企业在实际生产中，几乎都会使用私有 Registry，主要有以下三种搭建方式：
- 云厂商托管服务（推荐）：
- 如阿里云容器镜像服务（ACR）、腾讯云（TCR）、AWS (ECR)。
- 优点：开箱即用，安全稳定，与云平台（如 Kubernetes 服务）无缝集成。
- 企业级自建开源方案：Harbor（最流行）：
- 由 VMware 开源并捐赠给 CNCF 的项目。
- 优点：支持图形化界面、角色权限控制（RBAC）、镜像漏洞扫描、镜像复制（多机房同步）等强大功能。
- Docker 官方极简版：Registry (V2)：
- Docker 官方提供的一个名为
registry的镜像。 - 只需运行
docker run -d -p 5000:5000 registry:2即可在本地启动一个私有仓库。 - 缺点：没有图形界面，权限控制简单，适合个人或小型测试环境。
- Docker 官方提供的一个名为
总结
- 如果你想获取通用的开源软件（如 Redis, MySQL），直接使用 公共 Registry（Docker Hub）。
- 如果是公司内部开发的项目，为了防止源码泄露并保证部署速度，必须使用 私有 Registry（如 Harbor 或云厂商提供的服务）。
右滑查看面试常问