生产级kubernetes集群不会自动同步本地docker镜像，必须推送至可访问的镜像仓库或显式加载到各节点运行时；imagepullbackoff因k8s默认拉取远程registry而非本地构建镜像所致。
直接用 kind 或 minikube 启动的集群默认支持本地镜像加载，但生产级 Kubernetes 集群（如 kubeadm、Kubespray、云厂商托管集群）**不会自动同步本地 Docker daemon 中的镜像**——必须显式推送到可访问的镜像仓库，或通过其他机制让节点能拉到镜像。
为什么 docker build 后 kubectl apply 会报 ImagePullBackOff
这是最常见误解：以为在本地 docker build -t myapp:latest . 之后，Kubernetes 就能直接用这个 tag。实际上：
- Kubernetes 的每个
Node自己运行独立的容器运行时（通常是 containerd 或 docker），它不共享你的开发机上的镜像层 -
image: myapp:latest是一个“拉取地址”，Kubernetes 会尝试从默认 registry（docker.io）找library/myapp:latest，而不是读你本机的镜像缓存 - 除非你显式配置了
imagePullPolicy: Never且该镜像已存在于该 Node 的运行时中，否则一定会触发拉取
imagePullPolicy: Never 能不能绕过仓库？
可以，但仅限单节点、调试场景，且需满足两个硬条件：
- 镜像必须已提前
docker load或ctr -n=k8s.io images import到目标 Node 的运行时中（不是你的开发机） - Deployment/Pod 的
image字段必须与本地镜像的repo:tag完全一致（包括 registry 前缀，如localhost:5000/myapp:v1） - 若用
kind，可用kind load docker-image myapp:latest把镜像注入集群节点；minikube对应命令是minikube cache add myapp:latest
注意：imagePullPolicy: Never 在多节点集群中不可靠——你无法保证所有 Node 都有同一镜像，且滚动升级时新调度的 Pod 可能落在没镜像的 Node 上。
Kubernetes Skills
下载
针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。
真正可靠的本地镜像部署路径
所谓“本地镜像”，本质是“非公有仓库托管的镜像”。可靠做法永远是：把镜像推到一个 Kubernetes 集群能访问的私有 registry，哪怕它只跑在你集群的一个 Pod 里。
- 最轻量方案：在集群内起一个
registry:2Pod（用ClusterIPService 暴露），然后docker push localhost:5000/myapp:v1（需先docker login -u foo -p bar localhost:5000） - 企业级方案：部署 Harbor（推荐 Helm 安装），设置
expose.type=clusterIP，用image: harbor.your-domain.com/project/myapp:v1 - 无论哪种，Deployment 中必须加
imagePullSecrets（即使 registry 不需要认证，也要创建空 secret 并引用，否则 containerd 1.7+ 会拒绝拉取无认证头的请求） - 镜像 tag 强烈建议用 Git SHA 或语义化版本（如
v1.2.3），禁用:latest——后者在imagePullPolicy: IfNotPresent下可能跳过更新
调试时快速验证镜像是否真被节点拉到
别只看 kubectl get pods，要确认运行时层面：
- 进对应 Node 执行：
crictl images | grep myapp（containerd）或docker images | grep myapp（docker） - 查 Pod 事件：
kubectl describe pod <pod-name></pod-name>，重点看Events区域最后一行是否为Pulled而非Failed - 如果看到
rpc error: code = Unknown desc = failed to pull and unpack image...，大概率是镜像 digest 不匹配或 registry TLS 证书未信任
真正的“本地”只存在于开发机；Kubernetes 看到的永远是远程地址。把 registry 当作必经网关，比折腾 Never 策略省三天时间。
