企业隔离网私有镜像拉取“认证失败”的核心是凭证、协议、信任链三者未对齐：需确保docker login与pull地址完全一致（含端口/协议），HTTPS仓库须将PEM格式ca.crt置于/etc/docker/certs.d/对应目录并重启docker，HTTP仓库需在daemon.json配置insecure-registries，K8s还需创建并引用imagePullSecret。

企业隔离网环境下拉取私有镜像仓库报“认证失败”，核心不是网络不通，而是凭证、协议和信任链三者没对齐。只要理清这三点，问题基本就解了一半。

确认 docker login 地址与拉取地址完全一致

隔离网中常因内部 DNS 或 hosts 配置导致访问域名与登录域名不一致。比如：

• 你在 docker login registry.internal:5000 登录了
• 但执行 docker pull registry.internal/myapp:latest（缺端口）——会失败
• 或 docker pull https://registry.internal:5000/myapp:latest（多 https://）——也可能失败

解决办法：拉取时的 registry 前缀必须和 login 时的完全相同（包括端口、协议、大小写）。建议统一用带端口的短域名，如 registry.internal:5000，并在 ~/.docker/config.json 中检查 auths 字段是否匹配。

私有仓库若启用 HTTPS，必须让 dockerd 信任证书

隔离网常用自签名 CA，Docker 守护进程默认不读系统证书，只认 /etc/docker/certs.d/ 下的专用证书。

• 证书文件名必须是 ca.crt（全小写，无 .pem 等后缀）
• 目录路径必须严格对应访问地址：/etc/docker/certs.d/registry.internal:5000/ca.crt
• 证书内容需为 PEM 格式，以 -----BEGIN CERTIFICATE----- 开头
• 执行 sudo systemctl restart docker 生效（不重启，配置不加载）

验证方式：运行 curl -k https://registry.internal:5000/v2/ 能返回 {}，再试 curl -v https://registry.internal:5000/v2/ 看是否提示证书 OK。

HTTP 私有仓库需显式配置 insecure-registries

如果仓库确实走 HTTP（如内网测试 registry:2），Docker 默认拒绝连接，必须主动放开。

• 编辑 /etc/docker/daemon.json，加入：
  {"insecure-registries": ["registry.internal:5000"]}
• 注意：不能写成 http://registry.internal:5000，只写地址+端口
• 保存后执行 sudo systemctl restart docker
• 此时 docker login registry.internal:5000 不加协议，docker pull 也不加 http://

Kubernetes 场景下要额外生成 imagePullSecret

即使本地 docker pull 成功，K8s Pod 拉取仍可能失败——因为 Pod 不继承宿主机的 config.json。

• 用已登录凭证创建 Secret：
  

  kubectl create secret docker-registry my-registry-secret \<br>  --docker-server=registry.internal:5000 \<br>  --docker-username=xxx \<br>  --docker-password=yyy

• 在 Pod 或 ServiceAccount 中引用该 Secret：
  imagePullSecrets: [{name: my-registry-secret}]
• 注意：Secret 必须和 Pod 在同一 namespace