4. Docker Registry 架构：存储后端、认证与授权、GC 机制、高可用部署

Docker Registry 是容器镜像分发体系的核心组件，负责镜像的存储、版本管理、访问控制与生命周期清理。在生产环境中，Registry 的架构设计直接影响镜像拉取速度、多租户隔离能力以及运维稳定性。本节从存储后端、认证授权、垃圾回收（GC）和高可用部署四个维度深入剖析 Registry 的内部机制。

4.1 存储后端架构

Registry 采用分层存储模型，将镜像元数据与 Blob（层数据）分离存储。元数据通常存储在关系型数据库中，而 Blob 则存放在对象存储或文件系统中。这种设计使得 Registry 能够灵活适配不同的存储后端，同时支持大规模并发读写。

Registry 的存储路径结构遵循 OCI 分发规范，Blob 按 sha256:<digest> 的哈希值进行两级目录散列存储，避免单个目录下文件过多。元数据则通过 _manifests 和 _layers 目录组织，支持多版本标签引用。

# Registry 存储目录结构示例
/var/lib/registry/
├── docker/
│   └── registry/
│       └── v2/
│           ├── blobs/
│           │   └── sha256/
│           │       ├── 1a/
│           │       │   └── 1a2b3c... (Blob 文件)
│           │       └── 2b/
│           │           └── 2b3c4d...
│           └── repositories/
│               └── myapp/
│                   ├── _manifests/
│                   │   ├── revisions/
│                   │   │   └── sha256/
│                   │   │       └── abc123...
│                   │   └── tags/
│                   │       └── latest/
│                   │           ├── current/
│                   │           └── index/
│                   └── _layers/
│                       └── sha256/
│                           └── def456...

4.2 认证与授权机制

Registry 原生支持基于 的认证流程，并与外部身份提供商（如 LDAP、OAuth2、Harbor 等）集成。认证流程遵循 Bearer 规范，客户端在拉取或推送镜像前需先获取有效的访问令牌。

认证流程步骤：

1. 客户端向 Registry 发起请求（如 GET /v2/）。
2. Registry 返回 401 Unauthorized，并在 Www-Authenticate 头中指定 服务地址。
3. 客户端携带凭据（用户名/密码或证书）向 服务请求 Bearer 。
4. 服务验证凭据后，返回包含 scope（如 repository:myapp:pull,push）的 JWT 。
5. 客户端使用该 访问 Registry，Registry 验证 签名和权限后放行。

授权模型对比：

4.3 垃圾回收（GC）机制

Registry 的垃圾回收用于清理未被任何 Manifest 引用的孤立 Blob。由于 Registry 采用引用计数方式管理 Blob，当用户删除某个镜像标签时，对应的 Manifest 被移除，但 Blob 并不会立即删除，而是等待 GC 周期执行。

GC 执行流程：

1. 标记阶段（Mark）： 遍历所有 Manifest，记录所有被引用的 Blob Digest。
2. 清扫阶段（Sweep）： 遍历 Blob 存储目录，删除未被标记的 Blob 文件。
3. 元数据清理： 删除孤立的 Manifest 记录和空目录。

# 手动触发 GC 命令（Registry v2）
docker run -it --rm \
  -v /var/lib/registry:/var/lib/registry \
  registry:2 \
  garbage-collect /etc/docker/registry/config.yml

# 启用 dry-run 模式预览待删除 Blob
docker run -it --rm \
  -v /var/lib/registry:/var/lib/registry \
  registry:2 \
  garbage-collect --dry-run /etc/docker/registry/config.yml

GC 性能指标参考：

4.4 高可用部署方案

生产环境的 Registry 必须支持高可用部署，避免单点故障导致镜像分发中断。常见的高可用架构包括：共享存储 + 多实例、分布式存储 + 负载均衡、以及基于 Harbor 的企业级方案。

高可用部署对比：