kubernetes配置为私有仓库，比如Harbor的时候，不配置imagePullSecrets，可能会收到这样提示：requested access to the resource is denied

Error response from daemon: pull access denied for xxx repository does not exist or may require 'docker login': denied: requested access to the resource is denied 

这是由于访问私有仓库时是需要凭证的。

Log in to Docker

Docker将私有注册表的密钥存储在$HOME/.dockercfg或者$HOME/.docker/config.json文件中。如果将相同的文件放在下面的搜索路径列表中，则kubelet在拉取图像时会将其用作凭据提供程序。

我们在使用docker login的时候会产生$HOME/.docker/config.json文件

cat ~/.docker/config.json{    "auths": {        "https://index.docker.io/v1/": {            "auth": "c3R...zE2"        }    },       "HttpHeaders": {"User-Agent": "Docker-Client/19.03.12 (linux)"}}

Kubernetes集群使用docker-registry类型的Secret来进行一个容器registry的认证，以获取一个私有镜像。

如果你已经执行了docker login，那么你可以把这个凭证复制到Kubernetes

 kubectl create secret generic regcred      --from-file=.dockerconfigjson=      --type=kubernetes.io/dockerconfigjson

需要注意的是"HttpHeaders"最好去掉

通过在命令行中提供凭据来创建一个Secret

比如创建一个名字叫harbor-reg

kubectl create secret docker-registry    --docker-server=DOCKER_REGISTRY_SERVER   --docker-username=DOCKER_USER   --docker-password=DOCKER_PASSWORD   --docker-email=DOCKER_EMAIL

查看Secret

kubectl get secret harbor-reg -o=yaml

data的数据是经过 base64加密了，以下可以查看解密的数据

kubectl get secret harbor-reg --output="jsonpath={.data..dockerconfigjson}" | base64 --decode

输出类似于以下内容：

{"auths":{"your.private.registry.example.com":{"username":"janedoe","password":"xxxxxxxxxxx","email":"jdoe@example.com","auth":"c3R...zE2"}}}

创建使用私有镜像仓库的secret的pod

pods/private-reg-pod.yaml

apiVersion: v1kind: Podmetadata:  name: private-regspec:  containers:  - name: private-reg-container    image:   imagePullSecrets:  - name: harbor-reg

imagePullSecrets: 这个就是刚才创建的镜像仓库的secrets，添加这个我们就可以私有镜像仓库下载镜像了。