Реестр — служба распространения и хранения. Образ — набор связанных объектов. Работоспособность приложения на одном узле не проверяет доступность реестра для нового узла без кэша.
Контейнеры и оркестрация
Реестр образов контейнеров
Определение
Реестр образов контейнеров — служба, из которой получают манифесты, конфигурации и слои образов. Репозитории группируют содержимое, метки дают ему читаемые имена, а дайджесты адресуют точные объекты. Доступ к загрузке и право публикации задаются отдельно.
Также ищут: Container registry · OCI registry · реестр образов
Зачем это знать
Работающее приложение может использовать уже сохранённый образ, а новый узел — не суметь его получить. При проектировании восстановления проверьте доступ к реестру, учётные данные и срок хранения старых выпусков. Успешная загрузка ещё не подтверждает происхождение приложения.
Связи из словаря
Карта понятия
Реестр образов контейнеров
Доказательная часть
Что подтверждено
Реестр предоставляет манифесты и связанные объекты образа. При загрузке содержимое проверяют по дескрипторам и сохраняют на узле для использования средой выполнения.
Граница применимости: Получение образов Kubernetes и структура содержимого OCI.
Успешная аутентификация в реестре подтверждает право доступа. Она не доказывает, что исходный код, сборочная система и полученное приложение соответствуют правилам заказчика.
Граница применимости: Доступ к реестру Kubernetes и проверка происхождения SLSA.
При политике IfNotPresent узел может запустить образ из кэша, когда реестр недоступен. Новый узел без этого образа его не получит. Поэтому работа старых экземпляров не доказывает готовность к восстановлению на запасном сервере.
Граница применимости: Политика imagePullPolicy=IfNotPresent; нужное содержимое есть только на прежнем узле.
При запуске контейнера политика Always требует обратиться к реестру, чтобы определить дайджест образа. Сохранённые на узле слои позволяют не передавать их повторно, но не заменяют обращение к реестру.
Граница применимости: Политика imagePullPolicy=Always в Kubernetes.
Ошибка получения образа возникает до запуска приложения. Причинами могут быть неверное имя, отсутствие нужного объекта или права доступа; ошибки этого этапа нужно отделять от завершения уже запущенного процесса.
Граница применимости: Получение образа и повторные попытки в Kubernetes.
В реестре метка относится к репозиторию, а манифест ссылается на объекты по дайджестам. Для переноса или хранения выпуска нужно сохранить связанные объекты, а не только список меток.
Граница применимости: Распространение объектов OCI; срок хранения определяет политика конкретного реестра.
Граница терминов
Не путать
Перед спецификацией
Что проверить
- Проверьте получение образа на новом узле без локального кэша.
- Зафиксируйте адрес реестра, репозиторий и дайджест принятого выпуска.
- Проверьте права получения и публикации разными учётными данными.
- Укажите политику загрузки и ожидаемое поведение при недоступности реестра.
- Сохраните текущий и откатный выпуски вместе со всеми связанными объектами.
- Проверьте происхождение сборки независимо от успешного входа в реестр.
- В сценарии замены узла испытайте доступ к реестру из сети запасного сервера.
Открытые основания
Первоисточники
- Open Container Initiative Image Format Specification
Определяет манифест, индекс, конфигурацию и слои образа, а также дескрипторы объектов с адресацией по содержимому.
- SLSA Build Track v1.2
Определяет уровни SLSA Build, требования к подлинности сведений о происхождении и защите сборочной платформы.
Утверждения: 02
- Open Container Initiative Distribution Specification
Открыт редактором 6 сентября 2026 года, заголовок и версия документа сверены. Распространение манифестов и объектов по содержимому; метки репозитория.
Утверждения: 06