17.5 Skopeo - 容器镜像管理工具

本节介绍 Skopeo，包括其基础概念、应用场景以及基本指令。

Skopeo 简介

Skopeo 是一个由 Red Hat 赞助开源的命令行工具，它可以在不需要运行容器守护进程（如 Docker Daemon）的前提下，对容器镜像进行极其高效的操作和管理，包括：检查、复制、删除和签名等操作。

Skopeo 最大的特点是其可以在“不将镜像拉取到本地”的情况下，直接在远端 Registry（镜像仓库）之间完成检查和搬运，从而大幅度节省带宽和磁盘空间。这也是它在容器运维和分发领域非常受欢迎的原因。

核心特性

• 远程巡检：通过 skopeo inspect 可以查看远端仓库中镜像的元数据（例如包含哪些层、环境变量信息、入口命令等），而完全无需拉取该镜像。

• 镜像复制与同步：支持各种格式之间的相互传输，如在不同的容器仓库之间、或者从仓库拉取到本地的目录、或者存储为 OCI 布局结构等。

• 镜像删除：可以远程删除仓库中的镜像（需要拥有权限）。

• 签名验证：支持在分发镜像前进行数字签名以保障安全性。

安装 Skopeo

类似于 Buildah，Skopeo 也直接包含在大部分主流的 Linux 源中。

在 Fedora/CentOS/RHEL 等发行版中：

$ sudo dnf install -y skopeo

在 Ubuntu/Debian 中：

$ sudo apt-get update
$ sudo apt-get -y install skopeo

如果是 macOS 环境，可以通过 Homebrew 安装：

$ brew install skopeo

基础用法示例

1. 远程检查镜像

有时候我们只想知道远端镜像的详细信息，并不想拉取它。下面是检查 Docker Hub 上的 Alpine 镜像的例子：

$ skopeo inspect docker://docker.io/library/alpine:latest

这个命令会返回一段 JSON 格式的数据，其中包含了诸如镜像摘要（Digest）、创建时间、架构（Architecture）、标签（Tags）等丰富信息。在自动化的工具和系统审查环境中，这是一个不可或缺的利器。

2. 同步与复制镜像

skopeo copy 是使用最为广泛的命令。它可以在不同的仓库、不同的格式之间无缝搬运镜像。

例如，从一个公共仓库直接搬运镜像到一个私有企业仓库（无需将其先 docker pull 到本地，再 docker push）：

$ skopeo copy docker://docker.io/library/alpine:latest docker://registry.example.com/library/alpine:latest

又或者，你可以将远程镜像拉取到本地，只为了检查其拆解后的格式，比如将镜像解压到本地某个目录下以 OCI 规范存放：

$ skopeo copy docker://docker.io/library/alpine:latest oci:alpine-oci

如果我们要将本地的某个目录下的打包好的镜像再次推向 Registry 或转换为其它存储类型也是完全支持的，诸如：

• docker:// 远端 Registry

• docker-archive: / docker-daemon: Docker 对应的归档文件或本地守护进程

• oci: / oci-archive: OCI 相关文件格式

• dir: 本地纯目录

3. 校验机制与安全

如果你不信任公开仓库上的镜像，或是需要通过特定的 TLS 证书和鉴权，Skopeo 的功能也是能很好的支持的，比如它可以直接传递诸如 --src-creds 或 --dest-tls-verify=false 等参数，这在进行网络隔离的复杂镜像搬运操作中常常会用到。

对于复杂的容器环境或那些纯粹用于镜像资产管理的节点来说，Skopeo 提供了一个直接而强大的数据“搬运工”。