Docker 镜像仓库怎么配置网络白名单限制仓库访问-Docker-PHP中文网

docker镜像仓库无内置网络白名单，需依赖访问层策略：acr通过vpc白名单+ram权限控制，harbor支持项目级ip白名单+认证前置，自建registry/nexus需反向代理或防火墙兜底，所有方案须强制https并落实最小权限与审计。

docker 镜像仓库怎么配置网络白名单限制仓库访问

Docker 镜像仓库本身不内置“网络白名单”功能，真正的访问控制需依赖仓库服务的访问层策略。不同类型的仓库实现方式差异明显：公共加速服务（如 DaoCloud、阿里云 ACR）在平台侧统一管控；私有仓库（如 Harbor、Nexus、自建 registry）则通过网络层或身份认证层配置；而原生 Docker Registry 极简，需额外代理或防火墙配合。

阿里云 ACR：VPC 白名单 + RAM 子账号权限

阿里云容器镜像服务（ACR）提供企业级网络隔离能力：

在 ACR 控制台「访问控制」中，添加允许访问的 VPC 内网 IP 段（例如 192.168.10.0/24），外部公网默认拒绝
若需公网有限访问，可开启「公网访问」并绑定弹性公网 IP，再配合安全组限制源 IP
RAM 子账号必须被授予最小必要权限（如 acr:PullRepository），避免使用 ACRFullAccess 全权限策略
所有拉取请求最终由 ACR 后端校验：IP 在白名单内且凭据有对应仓库的拉取权限，二者缺一不可

Harbor：项目级 IP 白名单 + 认证前置

Harbor 企业版支持基于 IP 的访问控制（社区版需借助反向代理实现）：

minimax-mcp-docker版（适配极空间）

MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。

下载

进入项目设置 → 「配置管理」→ 开启「IP 白名单」，填入 CIDR 格式地址（如 10.0.5.0/24, 172.20.0.100）
该白名单仅对未登录用户（匿名访问）生效；已登录用户仍受角色权限约束，IP 不在名单内时直接返回 403
生产环境建议关闭匿名访问，改用机器人账号（Robot Account）供 CI/CD 使用，并将其加入白名单范围
搭配 Nginx 反向代理时，可在 proxy_pass 前加 allow/deny 规则强化控制

自建 Registry 或 Nexus：靠反向代理+防火墙兜底

原生 Docker Registry 和 Nexus Repository Manager 默认无 IP 白名单模块，需外挂防护：

用 Nginx 或 Traefik 作为前置代理，在 location 块中配置 allow 192.168.20.0/24; deny all;
宿主机启用 iptables/nftables，限制 registry 端口（如 5000）仅接受指定子网连接：
iptables -A INPUT -p tcp --dport 5000 -s 10.100.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 5000 -j DROP
Nexus 3 可通过「Repository → HTTP → Allow anonymous access」配合「Anonymous user ID」映射到低权限 guest 用户，再结合「Repository → Permissions」精确限定可读仓库
所有方案均需确保 TLS 已启用（HTTPS），防止凭据明文传输