imagePullSecrets 与私有仓库拉取

私有镜像拉取凭据：把 docker-registry 类型 Secret 挂到工作负载或 ServiceAccount 上，跨命名空间需显式复制。

创建	kubectl create secret docker-registry regcred --docker-server=... --docker-username=... --docker-password=...
挂载	Pod spec 的 imagePullSecrets 或 ServiceAccount 默认拉取凭据
跨命名空间	Secret 不跨命名空间共享，按命名空间分发或使用平台方案

ServiceAccount 示例

apiVersion: v1
kind: ServiceAccount
metadata:
  name: app-sa
imagePullSecrets:
  - name: regcred

优先使用云侧工作负载身份或短期令牌换取拉取凭据：减少长期账号。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌