私有Registry服务的核心是用registry:2镜像构建可控、安全、持久的镜像存储，必须解决存储（挂载宿主机目录并设UID 1000权限）、加密（HTTPS强制要求，需挂载TLS证书）、认证（htpasswd实现Basic Auth）三大刚性问题。
私有 Registry 服务的核心是用官方 registry:2 镜像启动一个可控、安全、持久的镜像存储服务，不是简单跑个容器就完事——必须解决存储、加密、认证三个刚性问题。
基础部署：先让仓库能存东西
最简命令只是验证可行性，不能用于实际场景：docker run -d -p 5000:5000 --name registry registry:2
它的问题很直接：镜像存在容器里，重启就丢；所有人均可推送拉取；数据明文传输。
生产级起步必须加持久化挂载：
- 创建宿主机目录：mkdir -p /data/registry
- 启动时绑定路径：-v /data/registry:/var/lib/registry
- 建议设置属主（Registry 容器内 UID 默认为 1000）：chown -R 1000:1000 /data/registry
HTTPS 加密：绕不开的强制要求
Docker 客户端默认拒绝向 HTTP 协议的 Registry 推送镜像（除非手动配置 insecure-registries，但这是高危操作，仅限测试）。
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
启用 HTTPS 的关键步骤：
- 生成证书（开发可用自签名）：
mkdir certs && cd certs<br> openssl req -newkey rsa:4096 -nodes -sha256 \<br> -keyout domain.key -x509 -days 365 \<br> -out domain.crt -subj "/CN=registry.example.com"
- 启动时挂载证书并指定路径：
-v $(pwd)/certs:/certs \<br> -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \<br> -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key
用户认证：防止未授权推送和拉取
没有认证，等于把镜像仓库大门敞开。推荐用 htpasswd 实现 Basic Auth：
- 生成密码文件：
mkdir -p /auth<br> docker run --rm --entrypoint htpasswd httpd:2 -Bbn admin password123 > /auth/htpasswd
- 启动时加载认证配置：
-e REGISTRY_AUTH=htpasswd \<br> -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \<br> -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \<br> -v /auth:/auth
进阶建议：避免踩坑的关键点
- 端口映射优先用 443（配合域名）或 5000（需客户端配 insecure-registries），别随意改；
- 不要用 latest 标签，固定使用 registry:2，避免行为突变；
- 镜像清理需手动执行（Registry 自身不提供自动 GC），定期运行：registry garbage-collect /etc/docker/registry/config.yml；
- 多节点高可用场景，应搭配对象存储（如 S3、MinIO）作后端，而非本地文件系统。
