容器服务 镜像仓库相关问题 - 常见问题

1. 新建内网访问链路
   1. 登录 容器镜像服务控制台，选择左侧导航栏中的【访问控制】>【内网访问】。
   2. 在“内网访问”页面中选择对应的地域和实例，单击【新建】。
   3. 在弹出的“新建内网访问链路”窗口中，配置私有网络及子网信息。如下图所示：
      
2. 配置完成并单击【确定】，该内网访问链路将启动新建。
3. 开启域名内网解析。
   容器镜像服务使用的域名为 “<tcr-name>.tencentcloudcr.com”，此域名在 VPC 内的解析需额外开通。若不开通，“<tcr-name>.tencentcloudcr.com” 的域名依旧解析成公网 IP，无法解析成内网 IP，内网访问将会失败。

   注意：

   新建链路后，需要等待后台生成内网解析 IP，IP 生成后才可开启以下按钮。
   

1. 确保容器镜像服务开启公网访问
   1. 容器镜像服务控制台，选择左侧导航栏中的【访问控制】>【公网访问】。
   2. 在“公网访问”页面中选择对应的地域和实例。
   3. 为对应的容器镜像服务实例开启公网访问。
      
      测试体验阶段，可将公网 IP 地址段设置为：0.0.0.0/0。后续运行阶段，可将下文步骤2中涉及的 NAT 网关出口的弹性 IP 添加到公网白名单。
2. 为弹性集群开启公网访问。
   弹性集群默认不开通外网访问，需通过 NAT 网关进行外网访问，详情可参见 通过 NAT 网关访问外网。
   完成 NAT 网关配置后，将弹性集群所在子网关联至 NAT 网关的路由表，并确保 NAT 网关出口的弹性 IP 在访问容器镜像服务的白名单里（请参见上文 步骤1），弹性集群即可正常访问容器镜像服务，从公网拉取镜像。

如果自建的镜像仓库是 HTTPS 协议且证书是自签名。则需要在 PodTemplate 中，添加如下 Annotation，使其跳过证书检验：
eks.tke.cloud.tencent.com/registry-insecure-skip-verify: 镜像仓库地址（多个用“,”隔开，或者填写 all）

如下图所示：

说明：

如果 Pod 内多个容器的镜像从不同仓库拉取，可填写多个镜像仓库地址，中间用 “,” 隔开。或填写 “all”，表示 Pod 内所有容器镜像的相关仓库均跳过证书检验。

说明：

默认弹性集群运行时会使用 HTTPS 协议拉取镜像，因此如果镜像仓库支持的协议为 HTTP ，则也需要通过 Annotation 进行说明。

通过命令 “$kubectl describe pod $podname”，发现输出 “http: server gave HTTP response to HTTPS client” 报错，则说明所访问的镜像仓库使用 HTTP 协议。如下图所示：

解决此问题需要在 PodTemplate 中，添加如下 Annotation，使其使用 HTTP 协议访问镜像仓库：
eks.tke.cloud.tencent.com/registry-http-endpoint: 镜像仓库地址(多个用 “,” 隔开，或者填写all)

如下图所示：

说明：

如果 Pod 内多个容器的镜像从不同仓库拉取，可填写多个镜像仓库地址，中间用 “,” 隔开。或填写 “all”，表示 Pod 内所有容器镜像均采用 HTTP 协议拉取。