Quay 容器登錄檔

Quay 是 Red Hat 提供的容器映像檔登錄產品。它儲存並發佈 OCI 與 Docker 相容映像檔，提供組織與儲存庫存取控制、機器人帳戶、弱點掃描整合，以及選用的儲存庫鏡像。登錄檔不是原始碼控制系統：映像檔標籤識別已發佈的成品，而原始碼與建置定義應保留在版本控制中。

發佈映像檔 #

建立組織與儲存庫，然後使用具有限定範圍的機器人帳戶權杖，而不是個人密碼進行驗證：

docker login quay.io
docker build -t quay.io/example-org/web:1.4.0 .
docker push quay.io/example-org/web:1.4.0

部署應使用不可變的版本標籤或摘要：

docker pull quay.io/example-org/web@sha256:REPLACE_WITH_IMAGE_DIGEST

latest 等標籤是可變的指標，適合開發使用，但無法證明部署所使用的是哪個映像檔。

自行託管的 Quay 需要持久物件儲存或檔案系統儲存、資料庫、TLS 終止、備份，以及驗證整合。在正式環境使用前，請定義保留政策、測試還原程序，並監控儲存空間成長。垃圾收集與清理政策必須尊重部署或發行記錄仍在參照的映像檔。

採用最低權限的團隊與機器人帳戶：CI 發佈者通常只需要對其儲存庫具備寫入權限，而執行階段的提取密碼只需要讀取權限。可用時啟用映像檔掃描，但應將掃描結果視為修補與准入決策的一項輸入，而不是映像檔安全的證明。