容器镜像服务对照
镜像仓库服务负责镜像的存储、分发与权限控制，三家云的产品分别叫 ACR、TCR 与 SWR。企业场景关注的不只是能不能推拉，而是命名空间隔离、镜像扫描、跨地域同步与访问凭据管理：这些决定了多团队共用一套仓库时会不会互相覆盖，以及跨地域部署时镜像拉取会不会成为瓶颈。个人版与企业版的能力差距通常体现在配额、并发与安全能力上。
术语对照
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 产品名 | 容器镜像服务 ACR | 容器镜像服务 TCR | 容器镜像服务 SWR |
| 仓库形态 | 个人版与企业版 | 个人版与企业版 | 基础版与企业版 |
| 命名空间 | 按命名空间组织仓库 | 按命名空间组织仓库 | 按组织与命名空间组织 |
| 加速 | 提供镜像加速地址 | 提供镜像加速能力 | 提供镜像加速能力 |
| 跨地域 | 配置同步规则 | 配置同步规则 | 支持镜像同步 |
| 安全 | 镜像扫描与访问控制 | 镜像扫描与访问控制 | 镜像扫描与访问控制 |
典型使用场景
- CI/CD 流水线构建镜像后推送到企业仓库，供集群拉取部署
- 多地域部署：把镜像同步到各区域仓库，就近拉取降低启动时间
- 基础镜像统一治理：集中维护操作系统与中间件基线镜像
- 跨云与混合云：在自建集群与云集群之间共享同一份镜像
- 安全扫描：推送后自动扫描漏洞，阻止高风险镜像进入生产
- 权限隔离：按命名空间给不同团队分配读写范围
推送与拉取流程
推送与拉取流程
docker login registry.example.cn # 使用仓库的访问凭据登录
docker tag app:1.0.0 registry.example.cn/prod/app:1.0.0 # 打成带命名空间与版本的标签
docker push registry.example.cn/prod/app:1.0.0 # 推送，观察层是否全部上传
docker pull registry.example.cn/prod/app:1.0.0 # 换台机器验证拉取权限
docker images --digests | grep app # 记录镜像摘要，部署时按摘要而非标签
docker logout registry.example.cn # 共享机器上用完登出，避免凭据残留跨云拉镜像常用同步加就近加速的组合：直接跨公网拉取既慢又计流量，生产环境建议在目标区域本地构建或先同步再部署。
生产部署按镜像摘要（digest）而不是 latest 标签，能避免同名标签被覆盖后不同节点拉到不同内容。