要让本地 docker 客户端安全连接多个远程私有仓库，核心是按仓库粒度配置独立 tls 信任（如 /etc/docker/certs.d/{host}:{port}/ca.crt）和分别执行 docker login 保存隔离凭据，禁用 insecure-registries 等全局不安全配置，并逐个验证 tls 握手与镜像拉取。
要让本地 Docker 客户端安全地连接多个远程私有仓库，核心在于：为每个仓库单独配置 TLS 信任、独立认证凭据，并避免全局覆盖式设置。不是“统一配一套证书”，而是按仓库粒度管理信任链和登录状态。
为每个私有仓库配置独立 TLS 信任
Docker 客户端默认只信任系统 CA 证书，而私有仓库通常使用自签名或内网 CA 签发的证书。必须将每个仓库的根证书（ca.pem）显式加入客户端信任库：
- 把仓库 A 的 ca.pem 放到
/etc/docker/certs.d/registry-a.example.com:5000/ca.crt - 把仓库 B 的 ca.pem 放到
/etc/docker/certs.d/registry-b.internal:443/ca.crt - 路径格式必须是
/etc/docker/certs.d/{host}:{port}/ca.crt，端口不能省略 - 目录需由 root 创建，文件权限设为
644，否则 Docker 会忽略
分别登录不同仓库并保持凭据隔离
Docker 的 docker login 命令支持按仓库地址保存凭证，不会互相覆盖：
- 执行
docker login registry-a.example.com:5000，输入用户名密码，凭据存入~/.docker/config.json中对应条目 - 再执行
docker login registry-b.internal:443，会新增另一条记录，而非替换前一条 - 拉取镜像时，Docker 自动匹配目标仓库域名，调用对应凭证，无需手动切换
- 如需清除某仓库登录态，可用
docker logout registry-a.example.com:5000
避免 daemon.json 全局代理或 insecure-registries 配置
不要在 /etc/docker/daemon.json 中添加 "insecure-registries" 或全局 "registry-mirrors"，这类配置是 daemon 级别，影响所有容器操作，且绕过 TLS 校验，破坏安全性：
- insecure-registries 仅适用于开发测试，禁止用于生产环境中的任何私有仓库
- 若某仓库确需 HTTP 访问（不推荐），应在客户端侧通过临时环境变量启用：
export DOCKER_CLI_EXPERIMENTAL=enabled+docker --config ~/.docker-unsafe pull http://registry-x:5000/image，但该方式不持久、不推荐 - daemon.json 中只保留必要项，如
log-driver或default-runtime，与仓库通信无关的配置尽量精简
验证通信是否真正生效
配置完成后，逐个验证各仓库的连通性与权限：
- 用
curl -v https://registry-a.example.com:5000/v2/检查 TLS 握手是否成功（应显示 “SSL certificate verify ok”） - 运行
docker pull registry-a.example.com:5000/busybox:latest，确认能拉取且不报 x509 错误或 unauthorized - 对 registry-b 执行同样操作，确保两者互不影响
- 查看
cat ~/.docker/config.json | jq '.auths'，确认两个仓库地址都出现在 auths 字段中
