实现Docker镜像跨仓库同步与冗余部署需构建可控、可追溯、低延迟分发链路，核心是Harbor主从同步（事件驱动）、Skopeo+对象存储轻量方案、K8s就近拉取调度及校验灾备闭环。
要实现 Docker 镜像在多个仓库间的自动同步与跨地域冗余部署，核心在于构建可控、可追溯、低延迟的镜像分发链路，而非简单复制。重点不是“能不能同步”，而是“谁触发、何时同步、同步哪些、失败如何兜底、地域间如何调度”。
基于 Harbor 的多实例主从同步（推荐生产）
Harbor 原生支持 Registry-to-Registry 的推送式（push-based）和拉取式（pull-based）镜像同步，适配跨云/跨IDC场景：
- 在主 Harbor（如华东）配置“复制规则”，指定目标 Harbor（如华北、深圳）的地址、认证凭据和命名空间映射策略（例如 project/prod → backup-prod）
- 启用“触发模式”为“事件驱动”：仅当镜像 push 到主库时自动触发同步，避免轮询开销；也可设为“定时执行”用于补漏或冷备
- 开启“覆盖已存在镜像”选项需谨慎——建议关闭，配合镜像 tag 签名（如 v1.2.3-sha256-abc）确保不可篡改；用 OCI Artifact 存储签名元数据
- 同步任务支持失败重试（默认3次）、邮件/Webhook 告警，并在 UI 中查看每条同步的镜像层 SHA、耗时、状态码
轻量级方案：Skopeo + Cron + S3 兼容存储
适用于无 Harbor 环境、或需细粒度控制同步逻辑的场景（如只同步特定标签、跳过 debug 镜像）：
- 用 skopeo copy 直接在 registry 间搬运镜像，不依赖本地 daemon，支持 --src-tls-verify=false（测试环境）、--dest-cert-dir（私有 CA）等参数
- 脚本中加入 tag 过滤逻辑：例如只同步带 -prod 后缀或符合 semver 的 latest stable 版本（grep -E 'v[0-9]+\.[0-9]+\.[0-9]+$'）
- 将镜像导出为 tar（skopeo copy docker://... docker-archive:/tmp/x.tar），上传至跨地域对象存储（如阿里云 OSS、AWS S3），再由各地 registry 从该存储拉取还原，规避公网直连不稳定问题
- 用 systemd timer 替代 cron，支持依赖网络就绪（After=network-online.target），避免启动即失败
运行时智能路由：镜像拉取就近调度
同步只是基础，关键在容器启动时自动选择最近/最健康 registry：
- 在 K8s Cluster 中部署 registry-proxy（如 buildkitd 或自研 sidecar），根据 Pod 所在 AZ 返回对应地域 registry 地址（如 harbor-cn-north.myorg.com）
- 使用 CoreDNS 插件（k8s_external）按 namespace 或 label 实现 DNS 拆分：请求 harbor.myorg.com 时，华北节点解析为华北 IP，华南节点返回华南 VIP
- 在 CI 流水线中动态注入 registry 地址：通过 argocd app-of-apps 或 Helm values.yaml 的 region 字段，生成不同集群的 image 字段（harbor-cn-east/image:tag）
校验与灾备闭环：不只是“同步成功”
同步完成≠可用。必须验证镜像完整性、可拉取性、以及主库故障时能否无缝接管：
- 每日定时 job 执行 skopeo inspect 校验目标 registry 中镜像 manifest 是否存在、config blob 可读、layer 数量匹配主库
- 用 curl -I 或 registry API v2/_catalog 接口探测 registry 健康状态，集成到 Prometheus+Alertmanager 实现 registry_up == 0 告警
- 主库宕机时，通过 DNS 权重切换（如阿里云云解析 DNS 的 Failover 策略）或 Service Mesh（Istio VirtualService）将流量切至备用 registry，无需修改应用配置
- 保留至少 2 个异地只读副本，并禁用其 web 控制台 push 功能（read_only: true in harbor.yml），防止误操作污染镜像源
