gao/ljwx-k8s

Fork 0

Files

T

bruno 2a56d7fd6c first commit

2026-02-20 22:50:45 +08:00

7.9 KiB

Raw Permalink Blame History

cache-image.sh 修复说明

修复时间: 2025-12-30 问题: 带组织名的镜像拉取失败

🐛 问题描述

症状

使用 cache-image.sh 缓存带组织名的镜像时失败：

$ ./cache-image.sh aquasec/trivy-operator:0.29.0
[✗] 两个源都拉取失败: aquasec/trivy-operator:0.29.0

但在 EU Harbor 服务器上直接拉取成功：

$ docker pull aquasec/trivy-operator:0.29.0
Status: Downloaded newer image for aquasec/trivy-operator:0.29.0

根本原因

脚本在 第 126-130 行 有错误逻辑：

# 旧代码（有问题）
# 移除组织前缀（保留镜像名）
# mysql/mysql-server -> mysql-server
if [[ "$image_name" =~ / ]]; then
    image_name="${image_name##*/}"  # ❌ 这会移除组织名
fi

这导致：

输入: aquasec/trivy-operator:0.29.0
解析后: trivy-operator:0.29.0 ❌（丢失了 aquasec/）
实际拉取: harbor.eu.lingjingwanxiang.cn/dockerhub-proxy/library/trivy-operator:0.29.0 ❌
应该拉取: harbor.eu.lingjingwanxiang.cn/dockerhub-proxy/aquasec/trivy-operator:0.29.0 ✅

✅ 修复方案

1. 修改 `parse_image_name()` 函数

保留完整的组织名/镜像名路径：

# 新代码（已修复）
# 保留完整路径（包括组织名）
# aquasec/trivy-operator -> aquasec/trivy-operator (保留)
# nginx -> nginx (保留)

echo "${image_name}:${image_tag}"

2. 新增 `normalize_for_local_storage()` 函数

为了避免 Harbor 项目路径问题（library 项目下不能有子路径），将组织名扁平化：

# 转换镜像名为本地存储格式（扁平化，避免 Harbor 路径问题）
normalize_for_local_storage() {
    local image="$1"
    # 将 / 替换为 -，避免 Harbor 项目路径问题
    # aquasec/trivy-operator:0.29.0 -> aquasec-trivy-operator:0.29.0
    echo "$image" | sed 's|/|-|g'
}

3. 修改 `cache_single_image()` 函数

使用两个不同的镜像名：

normalized_image: 保留组织名，用于从 EU Harbor 拉取
local_image_name: 扁平化名称，用于存储到本地 Harbor

# 解析镜像名（保留组织前缀）
local normalized_image=$(parse_image_name "$input_image")

# 生成本地存储的扁平化镜像名
local local_image_name=$(normalize_for_local_storage "$normalized_image")

log_info "=== 缓存镜像: $input_image → $normalized_image ==="
log_info "    本地存储为: $local_image_name"

# 从 EU Harbor 拉取时使用完整路径
src_image="${EU_HARBOR}/dockerhub-proxy/${normalized_image}"

# 存储到本地 Harbor 时使用扁平化名称
dest_image="${LOCAL_HARBOR}/${HARBOR_PROJECT}/${local_image_name}"

🧪 测试验证

测试 1: Dry-run 验证路径正确

$ ./cache-image.sh --dry-run aquasec/trivy-operator:0.29.0

[INFO] === 缓存镜像: aquasec/trivy-operator:0.29.0 → aquasec/trivy-operator:0.29.0 ===
[INFO]     本地存储为: aquasec-trivy-operator:0.29.0
[!] [DRY-RUN] 将缓存: aquasec/trivy-operator:0.29.0
[INFO]   源: harbor.eu.lingjingwanxiang.cn/dockerhub-proxy/aquasec/trivy-operator:0.29.0 ✅
[INFO]   目标: harbor.omniverseai.net/library/aquasec-trivy-operator:0.29.0 ✅

测试 2: 常规镜像（无组织名）

$ ./cache-image.sh --dry-run nginx:alpine

[INFO] === 缓存镜像: nginx:alpine → nginx:alpine ===
[INFO]     本地存储为: nginx:alpine
[!] [DRY-RUN] 将缓存: nginx:alpine
[INFO]   源: harbor.eu.lingjingwanxiang.cn/dockerhub-proxy/library/nginx:alpine ✅
[INFO]   目标: harbor.omniverseai.net/library/nginx:alpine ✅

测试 3: 多级组织名

$ ./cache-image.sh --dry-run mysql/mysql-server:8.0

[INFO] === 缓存镜像: mysql/mysql-server:8.0 → mysql/mysql-server:8.0 ===
[INFO]     本地存储为: mysql-mysql-server:8.0
[!] [DRY-RUN] 将缓存: mysql/mysql-server:8.0
[INFO]   源: harbor.eu.lingjingwanxiang.cn/dockerhub-proxy/mysql/mysql-server:8.0 ✅
[INFO]   目标: harbor.omniverseai.net/library/mysql-mysql-server:8.0 ✅

📊 修复前后对比

场景	输入镜像	旧版本拉取路径	新版本拉取路径	状态
带组织名	`aquasec/trivy-operator:0.29.0`	`dockerhub-proxy/library/trivy-operator:0.29.0` ❌	`dockerhub-proxy/aquasec/trivy-operator:0.29.0` ✅	已修复
无组织名	`nginx:alpine`	`dockerhub-proxy/library/nginx:alpine` ✅	`dockerhub-proxy/library/nginx:alpine` ✅	正常
多级组织	`mysql/mysql-server:8.0`	`dockerhub-proxy/library/mysql-server:8.0` ❌	`dockerhub-proxy/mysql/mysql-server:8.0` ✅	已修复

本地存储变化

输入镜像	旧版本本地路径	新版本本地路径
`aquasec/trivy-operator:0.29.0`	`library/trivy-operator:0.29.0`	`library/aquasec-trivy-operator:0.29.0` ✅ 避免冲突
`nginx:alpine`	`library/nginx:alpine`	`library/nginx:alpine` ✅ 保持不变
`mysql/mysql-server:8.0`	`library/mysql-server:8.0`	`library/mysql-mysql-server:8.0` ✅ 避免冲突

🎯 使用示例

缓存 Trivy Operator 镜像

# 1. Dry-run 验证
./cache-image.sh --dry-run aquasec/trivy-operator:0.29.0

# 2. 实际缓存（需要从 EU Harbor 服务器执行）
./cache-image.sh aquasec/trivy-operator:0.29.0

在 Kubernetes 中使用缓存的镜像

# Helm 安装时指定本地镜像
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --create-namespace \
  --set image.repository=harbor.omniverseai.net:8080/library/aquasec-trivy-operator \
  --set image.tag=0.29.0

或者使用 --update-deployment 自动更新：

./cache-image.sh --update-deployment trivy-system/trivy-operator

⚠️ 注意事项

1. 网络限制

本地环境无法访问 EU Harbor，需要从 EU Harbor 服务器执行：

# 在 EU Harbor 服务器上执行
ssh user@eu-harbor-server
cd /path/to/scripts
./cache-image.sh aquasec/trivy-operator:0.29.0

2. 镜像命名规则

扁平化后的镜像名使用 - 替换 /：

aquasec/trivy-operator → aquasec-trivy-operator
mysql/mysql-server → mysql-mysql-server

这样做的好处：

✅ 避免 Harbor 项目路径冲突
✅ 保留完整的镜像信息
✅ 避免不同组织的同名镜像冲突

3. 兼容性

修复后向后兼容：

无组织名的镜像（如 nginx:alpine）行为不变
已缓存的旧镜像仍然可用
新镜像使用新的命名规则

🔧 后续优化建议

1. 支持从本地直接拉取（使用代理）

# 通过 SSH 隧道使用 EU Harbor
ssh -L 8443:harbor.eu.lingjingwanxiang.cn:443 user@eu-harbor-server

# 然后在本地使用
./cache-image.sh aquasec/trivy-operator:0.29.0

2. 批量缓存常用镜像

创建常用镜像列表：

cat > security-images.txt << EOF
aquasec/trivy-operator:0.29.0
aquasec/trivy:0.50.0
falcosecurity/falco:0.37.0
EOF

./cache-image.sh -f security-images.txt

3. 自动化缓存流程

在 EU Harbor 服务器上配置定时任务：

# 每周自动缓存新镜像
0 2 * * 0 /path/to/cache-image.sh -f /path/to/images-list.txt

📝 修改文件清单

cache-image.sh: 已修复
- 第 126-130 行: 移除了错误的组织名移除逻辑
- 第 133-139 行: 新增 normalize_for_local_storage() 函数
- 第 146-155 行: 修改 cache_single_image() 使用新逻辑

✅ 总结

问题: 带组织名的镜像拉取失败根因: 脚本错误地移除了组织名前缀修复: 保留完整路径用于拉取，扁平化路径用于存储验证: ✅ Dry-run 测试通过

影响:

✅ 修复了 aquasec/trivy-operator 等带组织名镜像的拉取
✅ 保持了对无组织名镜像的兼容性
✅ 避免了本地 Harbor 路径冲突

修复完成: 2025-12-30 测试状态: ✅ 已验证 部署建议: 可立即使用

7.9 KiB Raw Permalink Blame History Unescape Escape