Quay 容器镜像仓库

Quay 是 Red Hat 提供的容器镜像仓库产品。它用于存储和分发 OCI 及兼容 Docker 的镜像，并提供组织和仓库访问控制、机器人账户、漏洞扫描集成以及可选的仓库镜像功能。仓库不是源代码管理系统：镜像标签用于标识已发布的制品，而源代码和构建定义应保留在版本控制系统中。

发布镜像 #

创建组织和仓库，然后使用具有限定作用域的机器人账户令牌进行身份验证，而不是使用个人密码：

docker login quay.io
docker build -t quay.io/example-org/web:1.4.0 .
docker push quay.io/example-org/web:1.4.0

部署应使用不可变的版本标签或摘要：

docker pull quay.io/example-org/web@sha256:REPLACE_WITH_IMAGE_DIGEST

latest 等标签是可变指针，便于开发使用，但无法证明某次部署使用了哪个镜像。

运行私有仓库 #

自托管 Quay 需要持久化对象存储或文件系统存储、数据库、TLS 终止、备份以及身份验证集成。在投入生产使用前，应定义保留策略、测试恢复流程，并监控存储增长。垃圾回收和清理策略必须保留仍被部署或发布记录引用的镜像。

使用最小权限的团队和机器人账户：CI 发布器通常只需要对其仓库具有写入权限，而运行时拉取密钥只需要读取权限。在可用时启用镜像扫描，但应将扫描结果视为补丁和准入决策的一个输入，而不是镜像安全性的证明。