Kubernetes 集群在尝试拉取容器镜像时可能会遇到几个问题。当发生错误时，您的 Pod 将进入一个ImagePullBackOff状态。以下是调试此常见但神秘消息的方法，以便您可以在线获取服务。

图像拉取的工作原理

当您创建新部署或使用不同的标签引用更新现有部署时，Kubernetes 需要获取映像。拉取镜像的责任在于每个工作节点上的 Kubelet 进程。Pod 清单引用的每个镜像都需要可供集群中的所有节点访问，以便它们中的任何一个都可以满足容器调度请求。

如果图像路径不正确、您的身份验证不正确或网络出现故障，下载可能会失败。发生这种情况时，Kubernetes 会“撤回”并安排另一次下载尝试。每次尝试失败时，下一次拉取之前的延迟都会以指数方式增加，最多为五分钟。

如果您的 Pod 显示该ImagePullBackOff状态，则 Kubernetes 已连续多次出现图像拉取失败，现在正在等待再次重试。在图像可用之前，容器将无法启动。

如果您知道问题是由网络状况或其他暂时性错误引起的，您可以让 Pod 保持此状态。Kubernetes 最终会完成另一次重试，并成功获取镜像。如果不是这种情况，这里是开始调试的方法，这样你就可以启动你的 Pod。

检查基础知识

首先，值得检查一下基础知识。您的资源清单是否引用了实际存在的有效图像？检查注册表路径和图像标签是否有简单的拼写错误。

describe pod您可以使用 Kubectl 中的命令检查内部 Kubernetes状态。这为您提供了比get podKubernetes 仪表板提供的更多信息。

kubectl describe pod my-pod --namespace my-namespace

Pod 生命周期中的更改显示在“事件”标题下。第一个事件将是Scheduled；它之后应该是Pulling第一次拉动尝试的事件。在此之后，如果拉取失败，您将看到一个Failedor事件。BackOff如果 Kubernetes 仍处于退避和重试周期，这些将在列表的后面重复。
读取Message与这些事件相关联的内容通常会提供问题的根本原因。一条manifest for image:tag not found消息表示图像有效，但您指定了无效标签。如果看到does not exist or no pull access，请检查注册表和图像路径是否正确。当您确定它们是正确的时，问题将与不正确的身份验证有关。

管理注册表登录

在拉取私有镜像之前，您需要先登录。在 Kubernetes 中，这是一个两步机制：创建一个包含凭证的秘密，然后在您的 Pod 定义中引用该秘密。

Pod 字段称为imagePullSecrets. 它需要指示为注册表提供登录令牌的 Kubernetes 机密。此密钥应存储与 Docker 兼容的 JSON 值。

apiVersion: v1
kind: Secret
type: kubernetes.io/dockerconfigjson
metadata:name: image-pull-secret
data:.dockerconfigjson: {{ "{\"auths\": {\"registry.example.com\": {\"username\": \"demo-user\", \"password\": \"my-password\"}}}" | b64enc }}apiVersion: v1
kind: Pod
metadata:name: my-pod
spec:containers:- name: my-containerimage: registry.example.com/my-image:latestimagePullSecrets:- name: image-pull-secret

此清单显示了如何创建一个秘密，让您registry.example.com像demo-user使用密码一样登录my-password。Pod 通过其名称引用秘密。集群节点上的 Kubelet 进程在config.json从注册表中提取镜像时将包含 Docker 片段。

该片段需要经过 Base64 编码才能成为有效的 Kubernetes 机密值。您可以通过 YAML 使用预编码值或管道纯文本b64enc，如上面的清单所示。

您使用的凭据类型取决于您的注册表。在许多情况下，password实际上将是个人访问令牌或 API 密钥。如果您的帐户启用了双重身份验证，则 Docker Hub 需要在您的帐户设置中生成访问令牌。

注册表速率限制

如果您检查了您的注册表 URL、图像标记名称和登录凭据，您可能会看到ImagePullBackOff由于注册表速率限制。Docker Hub 现在将您限制为每 6 小时 100 个容器拉取。如果您提供登录凭据，这将增加到每 6 小时 200 次。在具有许多频繁部署的 Pod 的活动集群中，可以快速达到该上限。

由于速率限制导致的拉取失败将以与身份验证问题相同的方式表现出来。您需要等到足够的时间使上限到期。然后 Kubernetes 应该会成功拉取镜像，从而启动您的 Pod。

对于长期缓解，请考虑运行您自己的集群内注册表或代理来缓存您的图像。这可以显着降低您访问 Docker 服务器的频率，帮助您保持在速率限制内。

概括

Kubernetes Pod 会ImagePullBackOff在节点拉取镜像失败时进入状态。Kubelet 将定期重试拉取，因此不需要任何手动干预来解决瞬态错误。

当您确定 anImagePullBackOff不只是暂时的 blip 时，首先要确保 Pod 的图像路径有效。如果检查成功，则怀疑登录凭据不正确或速率限制限额已用尽。使用kubectl describe将公开导致失败的事件序列。

作为最后的选择，您可以尝试自己从另一台机器上拉取映像，以确保远程注册表服务器实际上已启动。如果您可以提取映像但您的集群不能，则您可能会遇到更常见的网络问题，阻止您的节点访问注册表。