上一篇
如何录入并绑定华为云镜像仓SWR？，华为云镜像怎么用？
华为云镜像录入并绑定SWR，核心路径是：在SWR控制台创建组织，用docker login登录，docker tag打标签，docker push推送镜像，最后在CCE或ECS上完成绑定认证，这条流程是容器化部署的基础操作，掌握它就能打通从本地镜像到云端仓库的完整链路。
为什么要把镜像放进SWR？绑定前先想清楚场景
很多开发者最初接触容器时,习惯直接用Docker Hub，但到了生产环境，问题就来了：拉取速度慢、命名空间冲突、私有镜像暴露风险，行业共识认为，企业级应用必须把镜像托管在私有仓库里，华为云SWR（SoftWare Repository）就是为此设计的。
SWR和自建Registry的区别？绑定的核心价值
自建Registry听起来很灵活,但你要自己维护存储、鉴权、高可用，SWR把这些都托管了，还和华为云的IAM、VPC、CCE深度集成。
- 安全管控：通过IAM细粒度授权，谁可以拉取、谁可以推送，一目了然
- 内网加速：在华为云ECS或CCE节点上拉取镜像，走内网通道，速度远快于公网
- 镜像扫描：SWR自动扫描已知漏洞，这在自建Registry里是额外成本
- 生命周期管理：设置保留策略，自动清理老版本镜像
哪些情况下必须绑定SWR？
- 使用了CCE（云容器引擎）部署工作负载，SWR是默认镜像源
- 需要跨区域同步镜像,比如在上海、广州等多地部署
- 合规要求高的业务,镜像不能存放在境外仓库
华为云镜像怎么录入？SWR绑定实操步骤
这里以最常用的Docker CLI为例，全程在终端操作，前提是你已经注册华为云账号，并开通SWR服务。
前置准备：账号、密钥、Docker环境
- 登录华为云控制台,进入容器镜像服务SWR
- 在“访问密钥”页面创建AK/SK，或者直接用临时凭证
- 本地安装Docker,版本建议20.10以上
- 确认网络能访问SWR的终端节点,国内区域一般无需额外配置
第一步：在SWR控制台创建组织
组织是镜像的命名空间,类似Docker Hub上的用户名，进入SWR控制台，点击“组织管理”，创建一个组织，比如my-team，注意，组织名称全局唯一，创建后不能修改。
第二步：构建镜像并打标签
假设你本地已经有一个镜像,比如my-app:latest，推送前需要给它打上SWR的完整地址标签：
这里cn-east-3是区域代号，华东上海一，如果你在华南广州，对应cn-south-1，不确定区域代号，可以在SWR控制台“镜像列表”页面看到完整的推送命令模板。
第三步：登录SWR并推送镜像
使用docker login登录SWR，用户名是AK，密码是SK：
docker login swr.cn-east-3.myhuaweicloud.com
输入AK/SK后，执行推送：
docker push swr.cn-east-3.myhuaweicloud.com/my-team/my-app:latest
推送完成后,在SWR控制台“镜像列表”里就能看到这个镜像，状态为“就绪”。
第四步：绑定SWR到CCE集群或ECS
绑定到CCE集群：在CCE控制台创建集群时，选择“使用SWR镜像”，集群节点会自动获得SWR的拉取凭证，如果集群已经存在，在“配置项”里创建一个default-secret，类型选kubernetes.io/dockerconfigjson，填入SWR的账号密码。
绑定到ECS：在ECS上执行docker login，登录一次后凭证会缓存在~/.docker/config.json，后续docker pull不需要重复登录，如果是多台ECS，建议用华为云的“弹性云服务器-用户数据载入”脚本统一配置。
华为云SWR和Docker Hub哪个好？绑定前要懂的对比
这是很多团队在选型时纠结的问题,直接说上文归纳：国内生产环境，SWR完胜Docker Hub，但如果你做开源项目，Docker Hub的全球分发能力仍然有价值。
| 对比维度 | 华为云SWR | Docker Hub |
|---|---|---|
| 拉取速度 | 内网秒级，公网走华为云BGP | 国内直连慢，需配置镜像加速器 |
| 私有镜像 | 默认私有，IAM管控 | 私有镜像需付费套餐 |
| 安全扫描 | 内置漏洞扫描 | 需第三方工具 |
| 容灾能力 | 多可用区冗余 | 单一故障域风险 |
| 成本模型 | 按存储和流量计费 | 免费额度有限，超量付费 |
华为云容器镜像服务价格方面,存储费用按实际占用空间计费，流量费用仅在公网拉取时产生，内网拉取免流量费，这是将业务部署在华为云上最划算的地方。
迁移成本高不高？
从Docker Hub迁移到SWR，本质上就是改镜像地址，你在CI/CD流水线里把docker pull和docker push的目标地址换成SWR即可，如果镜像很多，可以用skopeo批量复制，不用重新构建。
绑定SWR后，这几个问题最容易踩坑
权限不足，docker push报denied
多半是AK/SK没有SWR的SWR Administrator权限，去IAM里给子账号绑定这个策略，或者直接用主账号的AK/SK测试。
跨区域拉取镜像特别慢
每个区域的SWR服务是独立的,镜像不会自动同步，如果你在上海创建了镜像，部署在广州的ECS上，需要先启用“跨区域同步”功能，或者把镜像推送到广州的SWR。
镜像多了之后，怎么管理版本？
SWR支持“镜像老化”策略，在组织设置里配置保留最近N个版本，其余自动清理，这个功能能避免存储费用无限增长。
华为云镜像加速哪个区域快？
选择资源所在地的区域,你的ECS、CCE集群在哪个Region，SWR就选同Region，比如业务在华东，用cn-east-3；业务在华南，用cn-south-1，跨Region的内网不通，只能走公网，速度会打折。
Q&A：华为云镜像录入与SWR绑定常见问题
华为云镜像怎么录入到SWR？有没有更简单的方式？
除了Docker CLI，SWR还支持直接从镜像仓库“迁移”功能，在SWR控制台选择“镜像迁移”，输入源仓库地址和凭证，系统会自动拉取并推送，这个方式适合大批量迁移，不用一条条执行docker命令。
SWR和华为云软ASC的镜像仓库有什么区别？
SWR是容器镜像专用仓库,支持Docker和OCI格式，软ASC主要面向软件包、二进制文件，两者定位不同，容器化场景必须用SWR，软件分发场景用软ASC更合适。
docker push SWR一直失败，报错“unauthorized”怎么排查？
先确认docker login成功，再检查镜像标签是否包含完整仓库地址，如果在CCE节点上推送，需要确认节点绑定IAM委托，并在SWR的“组织管理”里给这个委托授予“编辑”权限，还有一个高频原因：AK/SK过期，重新生成后更新~/.docker/config.json。
把镜像交给SWR，就是给容器资产上了保险，它不只是存储，更是安全、权限、加速的集合体，按本文步骤操作一遍，你就能掌握这套流程，后续部署任何业务都能少走弯路。
