Docker 镜像仓库认证失败怎么处理-Docker-PHP中文网

认证失败核心是客户端、协议、证书、权限四者未对齐：需确保docker login地址与镜像标签完全一致（含端口/协议），https仓库须将ca.crt置于/etc/docker/certs.d/对应路径并重启docker，http仓库需配置insecure-registries，k8s还需创建并引用imagepullsecret。

认证失败不是单纯输错密码，而是客户端、协议、证书、权限四者没对齐。只要逐项确认这四个环节，90%的问题都能定位。

检查 docker login 地址和镜像标签是否完全一致

登录地址必须和拉取/推送时用的 registry 前缀一模一样——包括端口、协议（有无 https://）、大小写、甚至斜杠结尾与否。

你执行了 docker login registry.internal:5000，那所有操作都得用这个格式：docker pull registry.internal:5000/app:latest、docker tag app:latest registry.internal:5000/app:latest
如果镜像名漏了端口（registry.internal/app）或多了协议（https://registry.internal:5000/app），都会触发 401
查看 ~/.docker/config.json 中 auths 字段，确认键名（key）和你实际使用的 registry 完全匹配

验证证书配置是否正确（HTTPS 仓库必做）

自签名或内网 CA 签发的证书，Docker 守护进程不会自动信任，必须手动放对位置。

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

证书文件名必须是 ca.crt（全小写，不能叫 ca.pem 或 root.crt）
目录路径必须严格按访问地址生成：/etc/docker/certs.d/registry.internal:5000/ca.crt（IP + 端口也要带）
证书内容需为 PEM 格式，以 -----BEGIN CERTIFICATE----- 开头
改完后必须执行 sudo systemctl restart docker，否则不生效
验证方式：curl -v https://registry.internal:5000/v2/，看是否提示 “SSL certificate verify ok”

HTTP 仓库要显式启用不安全模式

如果私有仓库走的是 HTTP（比如本地跑的 registry:2 默认监听 :5000），Docker 默认拒绝通信。

编辑 /etc/docker/daemon.json，加入：
{"insecure-registries": ["registry.internal:5000"]}
注意：只写地址+端口，不要加 http:// 或 https://
保存后同样要 sudo systemctl restart docker
此时 docker login 和 docker pull 都不能带协议前缀