Docker (OCI)

Репозитории формата Docker (OCI) хранят образы контейнеров и OCI-артефакты, например Helm-чарты. Hosted-репозиторий служит приватным реестром, proxy-репозиторий кеширует внешний реестр. Репозитории docker-hosted и docker-hub-proxy (кеш Docker Hub) входят в стартовый набор.

Docker (OCI) — единственный формат, который адресуется без префикса /repository/:

<GALLEON_HOST>/<REPOSITORY>/<IMAGE>:<TAG>

Вход в реестр

Выполните вход с логином и паролем или токеном пользователя:

docker login <GALLEON_HOST>

Совместимые инструменты входят аналогично: crane auth login, skopeo login, helm registry login, oras login.

Скачивание

Через proxy-репозиторий образы внешнего реестра скачиваются по общему шаблону — путь образа указывается после имени репозитория (для официальных образов Docker Hub нужен префикс library/):

docker pull <GALLEON_HOST>/docker-hub-proxy/library/alpine:3.20

Скачивание из hosted-репозитория:

docker pull <GALLEON_HOST>/docker-hosted/alpine:1.0
helm pull oci://<GALLEON_HOST>/docker-hosted/charts/mychart --version 0.1.0

Публикация

Чтобы опубликовать образ, пометьте его адресом в репозитории и отправьте:

docker tag alpine:3.20 <GALLEON_HOST>/docker-hosted/alpine:1.0
docker push <GALLEON_HOST>/docker-hosted/alpine:1.0

Helm-чарты публикуются как OCI-артефакты — версия чарта становится тегом:

helm push mychart-0.1.0.tgz oci://<GALLEON_HOST>/docker-hosted/charts

Для публикации нужны обе привилегии на репозиторий — read и add: клиент при отправке образа запрашивает у реестра сразу и чтение, и запись, поэтому одной привилегии add не хватит.

Удаление

Образы удаляются в разделе «Обзор» веб-интерфейса (нужна привилегия delete):

• удаление тега снимает только его — сам образ остаётся доступен по digest;
• удаление манифеста по digest не выполняется, пока на него ссылается тег или многоплатформенный индекс: сначала удалите ссылающиеся теги или индекс;
• слои и конфигурации (ветка blobs/) по отдельности не удаляются: содержимое общее для всех образов репозитория;
• при политике записи DENY удаление отклоняется даже с привилегией delete — политику меняет администратор.

Место на диске возвращает сборка мусора, поэтому оно освобождается не сразу после удаления (Хранилище и сборка мусора).

Особенности

Особенности формата:

• Повторный push существующего тега перезаписывает его — теги изменяемы; неизменяемая ссылка на образ — его digest. Перезапись подчиняется политике записи репозитория: при ALLOW_ONCE перевод существующего тега на другой образ отклоняется, при DENY отклоняется любая публикация.
• Поддерживаются многоплатформенные образы и OCI-артефакты: Helm-чарты, артефакты oras.
• Образы, скачанные через proxy-репозиторий, кешируются целиком — манифест и все слои; общее поведение кеша описано в разделе Проксирование и кеширование.
• Список допустимых медиатипов OCI-артефактов фиксирован: публикация артефакта с другим медиатипом отклоняется.
• Публикация через веб-интерфейс недоступна — используйте перечисленные клиенты.