Docker Hub 与镜像加速配置

0. 引言

docker pull 是使用 Docker 的第一条高频命令，它的默认来源是 Docker Hub——全球最大的公共镜像仓库。但在国内网络环境下，直连 Docker Hub 拉取镜像经常超时或龟速，配置镜像加速器成为安装 Docker 后的头等大事。本章先讲清 Docker Hub 的镜像识别与标签规范，再给出加速配置的完整方案，最后覆盖多源切换与私有仓库场景。

1. 认识 Docker Hub

1.1 官方镜像与社区镜像

规则：名字里只有一个 / 且前面不是域名时，前面的部分就是命名空间；library/ 是官方镜像的隐藏命名空间，所以 ubuntu 等价于 library/ubuntu。

1.2 完整镜像名结构

[仓库地址/]命名空间/镜像名:标签
    ↓            ↓       ↓
docker.io       bitnami  nginx:1.25-alpine

• 省略仓库地址时默认 docker.io（Docker Hub）；
• 省略标签时默认 latest——生产环境务必显式指定版本标签，避免依赖漂移。

2. 镜像标签规范

2.1 常见标签体系

2.2 标签最佳实践

• 生产锁定精确版本：nginx:1.25.3，升级时显式改标签并走发布流程；
• 区分基础镜像变体：-alpine（小）、-slim（中等）、-buster/-jammy（Debian/Ubuntu 系）；
• 用 SHA-256 摘要做最终锁定：nginx@sha256:xxxx…，镜像内容不可变，杜绝标签被覆盖的风险。

3. 镜像加速配置

3.1 配置 daemon.json

Docker 守护进程通过 /etc/docker/daemon.json 读取镜像源配置：

{
  "registry-mirrors": [
    "https://docker.m.daocloud.io",
    "https://dockerproxy.com",
    "https://docker.nju.edu.cn"
  ]
}

生效步骤：

systemctl daemon-reload
systemctl restart docker
docker info | grep -A5 "Registry Mirrors"   # 验证加速器已生效

加速器地址随服务商运营情况变化，失效时及时更换；云服务器优先使用云厂商提供的专属加速地址。

3.2 多源切换：备用源与直连

• 配置多个镜像源时，Docker 会依次尝试，单个源故障不影响拉取；
• 部分企业内网环境需自建 Harbor/Registry 作为唯一源，此时 daemon.json 中配置企业地址即可；
• 拉取单个镜像失败时可用 docker pull 企业源地址/镜像名 显式指定备用源。

3.3 拉取失败排查清单

4. 私有仓库场景

4.1 私有仓库与加速器的关系

加速器只解决公共镜像的拉取加速，私有仓库（Harbor、企业 Registry）通过两种方式接入：

• HTTPS 仓库：配置好证书后直接使用，docker login 仓库地址 认证；
• HTTP 内网仓库：需在 daemon.json 中把该地址加入 insecure-registries 白名单。

4.2 推送与拉取

# 打标签
docker tag myapp:1.0 registry.example.com/team/myapp:1.0

# 推送
docker push registry.example.com/team/myapp:1.0

# 拉取
docker pull registry.example.com/team/myapp:1.0

5. 小结

• 识别：无前缀即官方镜像，库地址/命名空间/镜像名:标签 是完整命名结构；
• 标签：生产锁定精确版本，可用 SHA-256 摘要彻底固定内容；
• 加速：daemon.json 配置 registry-mirrors，多源配置 + 重启验证是标准操作；
• 私有化：登录认证 + insecure-registries（HTTP 场景）打通企业镜像流转。

下一章进入 Docker Compose 多容器编排——用一份 YAML 文件管理整个应用栈。