Docker 的 daemon.json 怎么配置企业私有云-Docker-PHP中文网

企业私有云需同时配置registry-mirrors加速公共镜像、insecure-registries放行私有仓库，二者分工明确：前者仅加速docker hub等默认源请求，后者仅白名单http/自签https私库；必须重载systemd并重启docker生效。

企业私有云场景下配置 daemon.json，核心目标是：拉取公共镜像要快、访问内部仓库要通、运行容器要稳、运维管理要可控。不能只填一个加速地址，也不能忽略安全与高可用细节。

明确 registry-mirrors 和 insecure-registries 的分工

registry-mirrors 只加速默认仓库（如 Docker Hub）的请求，例如 docker pull nginx 或 docker pull python:3.11；它对带域名前缀的镜像无效，比如 harbor.your-company.com/app:latest 不走这个字段。
insecure-registries 是白名单机制，仅用于放行 HTTP 或自签名 HTTPS 的私有仓库，不提供加速功能，只解决“连不上”的问题。

若 Harbor 已配置有效 TLS 证书（由可信 CA 签发），就不需要加进 insecure-registries，反而应移除以提升安全性
若使用 HTTP 协议或自签名证书，必须把仓库地址（如 harbor.your-company.com 或 192.168.10.50:5000）写入该字段，且不能带 http:// 或 https://

推荐的企业级 daemon.json 配置示例

以下配置适配典型私有云环境（Harbor 私库 + 多源加速 + 基础稳定性调优）：

Docker Image Puller

使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。

下载

{
  "registry-mirrors": [
    "https://xxxxx.mirror.aliyuncs.com",
    "https://docker.m.daocloud.io",
    "https://docker.mirrors.ustc.edu.cn"
  ],
  "insecure-registries": [
    "harbor.your-company.com",
    "192.168.10.50:5000"
  ],
  "exec-opts": ["native.cgroupdriver=systemd"],
  "storage-driver": "overlay2",
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m",
    "max-file": "3"
  },
  "max-concurrent-downloads": 10
}

阿里云地址需登录控制台获取专属 HTTPS 链接，不可复用通用地址，避免限流
多个 registry-mirrors 按稳定性排序，Docker 顺序尝试，首个失败自动切换下一个
max-concurrent-downloads 调高至 10，适合 CI/CD 批量构建或节点初始化场景，但需评估宿主机带宽和磁盘 IO
exec-opts 和 storage-driver 是私有云稳定运行的基础项，避免 cgroup 冲突与 I/O 性能瓶颈

配置后必须执行的操作

修改文件后，Docker 守护进程不会自动加载新配置：

重载 systemd 配置：sudo systemctl daemon-reload
重启 Docker 服务：sudo systemctl restart docker
验证镜像源是否生效：docker info | grep "Registry Mirrors" -A 1
验证私有库是否放行：docker info | grep "Insecure Registries" -A 1
实测拉取：docker pull harbor.your-company.com/test:hello 和 docker pull redis:7-alpine 分别测试通路与加速效果