.dockerconfigjson-Decoder für Image-Pull-Secrets

So dekodieren Sie ein Pull-Secret

1. Fügen Sie eines davon in die Eingabe ein:
   • die Ausgabe von kubectl get secret regcred -o yaml
   • nur den Base64-Wert von .dockerconfigjson
   • das JSON selbst, zum Beispiel Ihre ~/.docker/config.json
2. Zuerst werden die Registry-Zugangsdaten aufgelistet: Registry, Benutzername, Passwort und der Wert auth, aufgeteilt in Benutzer und Passwort.
3. Um stattdessen ein Secret zu erstellen, öffnen Sie Pull-Secret erstellen und füllen Registry, Benutzername, Passwort und bei Bedarf E-Mail (optional) aus. Das Ergebnis ist dasselbe Secret, das kubectl create secret docker-registry schreibt.

Das doppelte Base64 in einem Pull-Secret

Ein Pull-Secret verpackt Base64 in Base64, deshalb braucht das Dekodieren von Hand zwei Schritte.

apiVersion: v1
kind: Secret
metadata:
  name: regcred
type: kubernetes.io/dockerconfigjson
data:
  .dockerconfigjson: eyJhdXRocyI6eyJyZWdpc3RyeS5leGFtcGxlLmNvbSI6eyJ1c2VybmFtZSI6ImNpLWJvdCIsInBhc3N3b3JkIjoicHVsbC1vbmx5LXRva2VuIiwiYXV0aCI6Ilkya3RZbTkwT25CMWJHd3RiMjVzZVMxMGIydGxiZz09In19fQ==

Schicht eins, der Wert des Secrets, wird zum JSON der Docker-Konfiguration dekodiert:

{"auths":{"registry.example.com":{"username":"ci-bot","password":"pull-only-token","auth":"Y2ktYm90OnB1bGwtb25seS10b2tlbg=="}}}

Schicht zwei, auth, wird zu ci-bot:pull-only-token dekodiert. Ein mit kubectl create secret docker-registry erzeugter Wert von .dockerconfigjson beginnt mit eyJhdXRocyI6, dem Base64 von {"auths":, deshalb sind solche Zeichenketten in Logs und Manifesten leicht zu erkennen.

Formate, denen Sie begegnen können

Beide Secret-Typen werden hier dekodiert. Ein altes .dockercfg hat keine Hülle auths, ein für das eine Format geschriebenes Skript findet im anderen also stillschweigend nichts.

Dekodieren in der Shell

kubectl get secret regcred -o jsonpath='{.data.\.dockerconfigjson}' | base64 --decode | jq .
kubectl get secret regcred -o jsonpath='{.data.\.dockerconfigjson}' | base64 --decode \
  | jq -r '.auths | to_entries[] | "\(.key) \(.value.auth | @base64d)"'

Der zweite Befehl gibt pro Registry eine Zeile registry user:password aus. Der Wert auth hat dasselbe Format wie ein Basic-Auth-Header, daher liest ihn auch der Basic-Auth-Decoder.

Warum ein Pull-Secret scheitert

• Falscher Registry-Schlüssel. Der Host in auths muss zur Image-Referenz passen: ghcr.io/org/app braucht ghcr.io, und Images von Docker Hub brauchen https://index.docker.io/v1/.
• Secret in einem anderen Namespace. imagePullSecrets findet nur Secrets im eigenen Namespace des Pods.
• Abgelaufenes Token. Manche Registrys geben kurzlebige Passwörter aus; Tokens von Amazon ECR etwa gelten 12 Stunden. Ein Secret, das gestern funktioniert hat, führt dann heute zu ImagePullBackOff.
• Von Hand gebautes JSON. Ein Passwort, das mit Zeilenumbruch oder Leerzeichen am Ende kopiert wurde, oder ein auth-Wert aus der falschen Zeichenkette scheitert stillschweigend. Vergleichen Sie das dekodierte auth mit den Feldern für Benutzername und Passwort, oder erstellen Sie das Secret mit kubectl create secret docker-registry neu.

Wer das Secret lesen kann, kann das Konto benutzen, denn Base64 verbirgt nichts. Geben Sie Pull-Secrets nur Registry-Tokens mit Lesezugriff.

Häufige Fragen