Docker镜像仓库用户名密码认证需匹配地址协议、安全存储凭据并适配认证类型：Docker Hub默认HTTPS无需指定地址，私有仓库须带完整地址且HTTP需配置insecure-registries；登录凭证加密存于~/.docker/config.json；支持Basic Auth、PAT、OAuth2/OIDC及凭证助手；验证需检查docker info和pull结果。
配置 Docker 镜像仓库的用户名密码认证，核心是让 docker 客户端能安全、自动地向目标仓库提交凭证。这不是单纯“填账号密码”，而是涉及地址识别、协议适配、凭据存储和认证流程协同的一整套机制。
确认仓库地址与协议要求
不同仓库对地址格式和传输协议有明确要求，直接影响能否成功登录：
- Docker Hub 可直接运行
docker login，默认走https://index.docker.io/v1/，无需指定地址 - 私有仓库（如 Harbor 或自建 Registry）必须带完整地址，例如
harbor.example.com或192.168.1.100:5000 - 若私有仓库仅用 HTTP（仅限内网测试），需在
/etc/docker/daemon.json中添加该地址到insecure-registries列表，并重启 Docker 服务 - 阿里云 ACR、腾讯云 TCR 等云厂商仓库必须使用 HTTPS，且域名需匹配对应地域，如
registry.cn-shanghai.aliyuncs.com
执行登录并安全保存凭据
登录操作会将加密后的凭证写入 ~/.docker/config.json，后续 pull/push 自动复用：
- 交互式登录：
docker login registry.example.com，按提示输入用户名和密码 - 非交互式（适合脚本或 CI/CD）：
echo "mypass" | docker login --username myuser --password-stdin registry.example.com - 严禁在命令行中用
--password xxx直接传明文密码，也避免把密码硬编码进脚本 - 成功后，
config.json中会出现类似结构："auths": {"registry.example.com": {"auth": "dXNlcjpwYXNz"}}，其中auth是username:password的 Base64 编码结果
适配不同认证后端类型
不是所有仓库都只接受原始账号密码。企业级环境常启用更严格的认证方式，但用户名密码仍可能是底层入口：
-
Basic Auth：Harbor 默认启用，支持直接用账号密码登录；自建 Registry 搭配
htpasswd文件也属此类 - Personal Access Token（PAT）：Docker Hub 推荐用 PAT 替代密码，更安全、可设权限范围和过期时间，登录时用户名不变，密码字段填 PAT
-
OAuth2 / OIDC 集成：Harbor 2.0+、AWS ECR 支持对接 LDAP/AD/SSO，用户首次登录后由系统发放临时令牌，此时
docker login可能跳转浏览器完成授权 -
凭证助手（Credential Helper）：AWS CLI 配置好后，
docker login可自动调用ecr-login插件获取短期 token，无需手动输密码
验证与排查要点
登录不是终点，要确保后续操作真正生效：
- 运行
docker info查看是否列出已登录的 registry - 尝试拉取一个私有镜像：
docker pull registry.example.com/myapp:latest，成功即说明认证链通路正常 - 若报错
unauthorized: authentication required，先检查config.json中对应 registry 的auth字段是否存在且未被误删 - 若报错
no basic auth credentials，常见于未配置insecure-registries却访问 HTTP 仓库，或地址拼写不一致（如带https://前缀）
