Реестр контейнеров
Простыми словами
Это хранилище готовых сборок, откуда машины скачивают приложение для запуска. Реестр не запускает контейнеры и не исправляет находящиеся в образе уязвимости.
Как применяется
Реестр включают в цепочку доставки ПО. Разделяют права публикации и скачивания, контролируют происхождение артефактов, хранение версий и аудит. Защищают учётные данные CI: возможность заменить распространённый тег может повлиять на все будущие развёртывания.
Пример применения
CI публикует сборку в закрытый репозиторий. Рабочие узлы получают только право чтения и скачивают утверждённый digest. После обновления сохраняют версию для отката, но проверяют, не используется ли в ней отозванный секрет или известная критичная уязвимость.
Не путать с
- Образ контейнераАртефакт, который хранится в реестре и используется для запуска.
- Репозиторий исходного кодаХранит код и историю изменений; registry хранит результаты сборки.
- ОркестраторРазмещает и обслуживает нагрузки; реестр только предоставляет артефакты.
Как это работает
- Подготовить репозиторийЗадают область доступа, правила хранения и роли издателей.
- Опубликовать образCI загружает слои и метаданные после проверок сборки.
- Выдать доступ на чтениеНагрузкам предоставляют отдельные ограниченные учётные данные.
- Загрузить нужную версиюСреда исполнения получает утверждённый артефакт и контролирует ошибки скачивания.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Нужны проверка сборки, сканирование и контроль происхождения.
Тег нельзя заменить?Это зависит от политики реестра. Для однозначного выбора содержимого используют digest.
Можно удалить старые версии сразу?Сначала проверяют действующие нагрузки, откат и политики хранения. Иначе следующий запуск не получит нужный образ.