Skopeo 容器镜像管理指南3 个高频命令搞定镜像复制与仓库同步【免费下载链接】skopeoWork with remote images registries - retrieving information, images, signing content项目地址: https://gitcode.com/GitHub_Trending/sk/skopeo有一台只装了 Go 构建环境的裸机没装 Docker 守护进程但你需要确认某个仓库里的镜像版本、把一批镜像从旧仓库迁到新仓库——这时候docker命令帮不上忙而Skopeo正是为这类容器镜像管理场景设计的它直接和镜像仓库打交道不依赖任何守护进程核心动作就是镜像复制、检查和批量同步。为什么选 Skopeo 而不是 Docker CLISkopeo 的定位很单一绕过本地运行时直连 registry 干活。与 Docker CLI 最大的差异只有一点——无需守护进程。这意味着它可以在没有 Docker 的 CI 节点、精简系统里直接运行也不会因为本地 daemon 状态影响拉取行为。最快速上手skopeo 安装的两条最短路径路径一包管理器一行装大多数发行版都有现成包详见 官方安装文档# Debian / Ubuntu sudo apt-get -y install skopeo # CentOS / RHEL sudo yum -y install skopeo路径二源码编译三步需要Go 1.23 以上环境# 1. 拉取源码 git clone https://gitcode.com/GitHub_Trending/sk/skopeo cd skopeo # 2. 装系统依赖Ubuntu 示例 sudo apt install libgpgme-dev libassuan-dev libbtrfs-dev pkg-config # 3. 构建并安装 make bin/skopeo sudo make installmake install除了二进制还会把默认策略安装到/etc/containers/policy.json后面进阶配置会用到。三个高频命令实操 ⚙️skopeo copy 命令镜像复制skopeo copy docker://quay.io/skopeo/stable:latest docker://registry.example.com/skopeo:latest什么时候用在两个仓库之间迁移镜像、或把镜像落到本地目录dir:/path、容器存储等任意传输对。注意什么镜像引用必须带docker://、dir:这类传输前缀漏写前缀是新手最常见的报错来源私有仓库要先完成登录见下节。skopeo inspect镜像检查skopeo inspect docker://docker.io/fedora什么时候用部署前确认镜像的 digest、架构、大小等元数据不用真的把镜像拉下来。注意什么它只读元数据不拉层所以很快如果要对比仓库里到底有没有这个 taginspect 报错本身就是答案。skopeo sync批量同步镜像仓库skopeo sync --src docker --dest dir registry.example.com/busybox /media/usb什么时候用给内网做本地仓库镜像、批量灌入隔离环境——源仓库下所有 tag 一次同步支持--src/--dest分别指定 docker 或 dir 传输。注意什么sync 的源/目标传输必须用--src/--dest单独声明不能写在地址前缀里目标端 tag 冲突时加--scoped用源路径做前缀。进阶配置策略文件与私有仓库认证私有仓库认证怎么配先登录一次凭据默认存到${XDG_RUNTIME_DIR}/containers/auth.jsonskopeo login --username 用户名 --password-stdin registry.example.com用--password-stdin从标准输入读密码避免密码出现在命令行历史里。策略文件policy信任配置Skopeo 执行 copy/inspect 前会先查/etc/containers/policy.json判断允不允许用这个镜像。最小可用的 signedBy 配置仓库里默认策略见 default-policy.json{ default: [ { type: insecureAcceptAnything } ], transports: { docker: { registry.example.com: [ { type: signedBy, keyType: GPGKeys, keyPaths: [/etc/pki/attestation-signer.pem] } ] } } }含义未列出的仓库走default放行registry.example.com上的镜像必须带有指定公钥签名的验证才放行。避坑速查表 问题原因解法401 / unauthorized 认证失败未登录或凭据过期先skopeo login或用--authfile指定正确的凭据文件复制报 not found / no such host仓库地址、tag 写错或缺少docker://前缀先用skopeo inspect单独验证镜像引用TLS 证书校验失败私有仓库自签证书证书放到/etc/containers/certs.d/仓库域名/调试期可临时--tls-verifyfalsepolicy 提示 not authorized策略默认拒绝未配置仓库编辑/etc/containers/policy.json为目标仓库加signedBy或放行项sync 目标端 tag 被覆盖多个源镜像同名加--scoped给目标镜像加源路径前缀大镜像复制中途断线网络抖动sync 支持--retry-times设置重试、--keep-going跳过失败项继续同步下一步想要更强的供应链保障可以继续探索skopeo sign/skopeo verify的镜像签名与验证流程参见 docs/skopeo-standalone-sign.1.md如果目标是让多架构或不同格式的镜像跨仓库迁移重点看--all、--format参数与 manifest list 的传输行为。【免费下载链接】skopeoWork with remote images registries - retrieving information, images, signing content项目地址: https://gitcode.com/GitHub_Trending/sk/skopeo创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考