OCI镜像仓库查询加速与镜像样本归档 - 第1节

1.1 OCI 标准定义

OCI（Open Container Initiative，开放容器倡议）是一个轻量级、开放的治理结构，由 Linux 基金会于 2015 年 6 月主导成立。其核心使命是为容器格式和运行时制定开放的行业标准，确保不同容器技术栈之间的互操作性。

OCI 标准主要包含以下三个规范：

1.2 Registry 核心功能

OCI Registry（镜像仓库）是一个服务端应用，负责存储、管理和分发容器镜像及其相关工件（如 Helm Chart、CNAB、SBOM）。其核心功能可归纳为以下五个维度：

1. 存储与寻址：基于内容哈希（Content-Addressable Storage, CAS）存储镜像层和配置，确保数据完整性。
2. 身份认证与授权：支持 认证（Bearer ）、Basic Auth、OAuth2 以及基于角色的访问控制（RBAC）。
3. 推送与拉取：通过 OCI Distribution Spec 定义的 API 实现镜像的上传（Push）和下载（Pull），支持分块上传和断点续传。
4. 标签与版本管理：通过标签（Tag）对镜像进行版本标识，支持标签列表查询、删除和引用。
5. 垃圾回收与清理：提供对未被引用的镜像层和清单的清理机制，释放存储空间。

1.3 镜像仓库与 OCI 的关系

镜像仓库（Registry）是 OCI 标准在分发环节的具体实现载体。两者之间的关系可以概括为：

• 标准定义者 vs 标准实现者：OCI 定义镜像格式和分发协议，Registry 负责实现这些协议并提供存储后端。
• 互操作性基石：只要 Registry 实现了 OCI Distribution Spec，任何符合 OCI Image Spec 的客户端工具都可以无缝与之交互，无需关心底层存储是本地文件系统、S3、GCS 还是 HDFS。
• 生态扩展点：OCI 标准为 Registry 预留了扩展接口（如 Referrers API、Artifact Manifest），使得 Registry 可以存储和分发非容器工件（如签名、SBOM、扫描报告）。

下图展示了 OCI 标准体系与 Registry 之间的分层关系：

1.4 常见 OCI Registry 对比

下表对比了当前主流的 OCI Registry 实现，帮助你在实际项目中做出选择：