3.5 KiB
17.5 Skopeo - 容器镜像管理工具
本节介绍 Skopeo，包括其基础概念、应用场景以及基本指令。
Skopeo 简介
Skopeo 是一个由 Red Hat 赞助开源的命令行工具，它可以在不需要运行容器守护进程（如 Docker Daemon）的前提下，对容器镜像进行极其高效的操作和管理，包括：检查、复制、删除和签名等操作。
Skopeo 最大的特点是其可以在“不将镜像拉取到本地”的情况下，直接在远端 Registry（镜像仓库）之间完成检查和搬运，从而大幅度节省带宽和磁盘空间。这也是它在容器运维和分发领域非常受欢迎的原因。
核心特性
- 远程巡检：通过
skopeo inspect可以查看远端仓库中镜像的元数据（例如包含哪些层、环境变量信息、入口命令等），而完全无需拉取该镜像。 - 镜像复制与同步：支持各种格式之间的相互传输，如在不同的容器仓库之间、或者从仓库拉取到本地的目录、或者存储为 OCI 布局结构等。
- 镜像删除：可以远程删除仓库中的镜像（需要拥有权限）。
- 签名验证：支持在分发镜像前进行数字签名以保障安全性。
安装 Skopeo
类似于 Buildah，Skopeo 也直接包含在大部分主流的 Linux 源中。
在 Fedora/CentOS/RHEL 等发行版中：
$ sudo dnf install -y skopeo
在 Ubuntu/Debian 中：
$ sudo apt-get update
$ sudo apt-get -y install skopeo
如果是 macOS 环境，可以通过 Homebrew 安装：
$ brew install skopeo
基础用法示例
1. 远程检查镜像
有时候我们只想知道远端镜像的详细信息，并不想拉取它。下面是检查 Docker Hub 上的 Alpine 镜像的例子：
$ skopeo inspect docker://docker.io/library/alpine:latest
这个命令会返回一段 JSON 格式的数据，其中包含了诸如镜像摘要（Digest）、创建时间、架构（Architecture）、标签（Tags）等丰富信息。在自动化的工具和系统审查环境中，这是一个不可或缺的利器。
2. 同步与复制镜像
skopeo copy 是使用最为广泛的命令。它可以在不同的仓库、不同的格式之间无缝搬运镜像。
例如，从一个公共仓库直接搬运镜像到一个私有企业仓库（无需将其先 docker pull 到本地，再 docker push）：
$ skopeo copy docker://docker.io/library/alpine:latest docker://registry.example.com/library/alpine:latest
又或者，你可以将远程镜像拉取到本地，只为了检查其拆解后的格式，比如将镜像解压到本地某个目录下以 OCI 规范存放：
$ skopeo copy docker://docker.io/library/alpine:latest oci:alpine-oci
如果我们要将本地的某个目录下的打包好的镜像再次推向 Registry 或转换为其它存储类型也是完全支持的，诸如：
docker://远端 Registrydocker-archive:/docker-daemon:Docker 对应的归档文件或本地守护进程oci:/oci-archive:OCI 相关文件格式dir:本地纯目录
3. 校验机制与安全
如果你不信任公开仓库上的镜像，或是需要通过特定的 TLS 证书和鉴权，Skopeo 的功能也是能很好的支持的，比如它可以直接传递诸如 --src-creds 或 --dest-tls-verify=false 等参数，这在进行网络隔离的复杂镜像搬运操作中常常会用到。
对于复杂的容器环境或那些纯粹用于镜像资产管理的节点来说，Skopeo 提供了一个直接而强大的数据“搬运工”。