推送卡住、拉取很慢，问题多半出在地域、凭证和权限没理顺，仓库本身通常没有毛病。阿里云docker镜像仓库即阿里云容器镜像服务（ACR），兼容 Docker Registry 协议，docker 命令、主流 CI 工具和 Kubernetes 都能直接对接。下面按概念、开通、推送拉取、案例和权限的顺序讲。
先认清三层结构
个人版适合个人开发者和小项目，企业版提供独立实例，网络和权限可以配得更细。实例下面是命名空间，一般按业务线或项目划分，同一空间里的仓库通常共享访问策略。仓库存放某个应用的全部版本，每个版本用标签（Tag）区分。
镜像地址的格式是“仓库地域域名/命名空间/仓库名:标签”，比如 registry.cn-hangzhou.aliyuncs.com/demo-team/order-service:1.0.3。地址中任何一段写错，报错信息往往不直观，所以先把这个结构记熟。
开通服务，地域先选对
第一次使用时在控制台开通容器镜像服务，地域选择与业务服务器相同的那个，这一步最容易被忽略。同地域的 ECS 拉取镜像可以走内网地址，不占公网带宽，速度快，也不产生公网流量费用。换地域等于另建一个仓库，已经推上去的镜像要重新推一遍。
创建命名空间后再新建仓库。内部业务镜像建议选私有，避免代码和配置信息被外部直接获取。
登录、推送和拉取
登录时使用控制台设置的访问凭证。命令形如 docker login –username=你的阿里云账号 registry.cn-hangzhou.aliyuncs.com，域名换成仓库实际所在地域的地址。
镜像构建好后，依次执行 docker build -t order-service:1.0.3 . 构建，docker tag order-service:1.0.3 registry.cn-hangzhou.aliyuncs.com/demo-team/order-service:1.0.3 打标签，再用 docker push 推送同一个完整地址。tag 这一步漏掉，推送的目标就不对，很多人第一次就卡在这里。
在服务器上拉取时，如果与仓库同地域，把域名换成带 -vpc 的内网地址，例如 registry-vpc.cn-hangzhou.aliyuncs.com/demo-team/order-service:1.0.3，其余命令不变。跨地域或在办公网络里拉取，仍然用公网地址。
案例：电商团队的镜像管理改造
某电商团队有十余个微服务。以前开发在本地打好镜像，通过U盘或临时共享目录传到测试机。版本对不上、镜像来源说不清的情况时有发生，有一次线上故障排查花了将近两天，最后发现测试和生产用的是两个不同的镜像。
改造主要做了三件事：
- 统一命名。命名空间按业务线划分，镜像名与代码仓库名保持一致，标签用版本号加 Git 短哈希，例如 1.0.3-a1b2c3d。哈希能直接对回代码提交，排查时省了不少力气。
- 接入 CI 流水线。代码合并到主分支后，流水线自动完成构建、单元测试、打标签和推送，人不再接触镜像文件。
- 环境之间只传标签。测试和生产都从同一个仓库拉取，发布时只修改 Kubernetes 部署文件里的镜像标签，不再手动传输镜像。
改造之后有三个明显变化。每个线上版本都能追溯到具体提交；服务器拉取镜像的时间从几分钟降到数十秒，因为走的是同地域内网；回滚变成修改标签后重新部署，大约五分钟可以完成。
镜像仓库本身不复杂，省力主要来自把镜像管理固定成流程。
权限怎么分
镜像仓库里通常有业务代码和依赖信息，权限最好从一开始就分清楚，可以从下面几点入手。
- 不要共用主账号。为 CI 机器人、开发人员和运维人员分别创建 RAM 子账号，按需授权。主账号一旦泄露，影响范围最大。
- 推送和拉取分开授权。生产服务器只需要拉取权限，推送权限只给 CI 流水线。即使某台服务器被攻破，攻击者也改不了仓库里的镜像。
- 定期轮换访问凭证。怀疑泄露时先重置密码，再查看近期访问记录，确认有没有异常拉取。
- 推送后做漏洞扫描。重点看基础镜像里的高危组件，发现问题就更换基础镜像或更新依赖。
- 敏感信息不要进镜像。数据库密码、密钥通过环境变量或密钥管理服务注入，不要写进 Dockerfile，否则拿到镜像的人可以从各层文件里直接翻出来。
常见问题怎么查
使用中遇到的问题，大多集中在登录和网络两方面。
- 登录失败时，先确认账号名没写错，再看访问凭证是否已设置或已过期。域名地域和仓库所在地域不一致也会失败，这一点容易忽略。
- 推送超时时，先确认本地网络是否稳定，必要时适当调大 Docker 的超时设置，或换到网络更好的环境推送。镜像体积偏大时，优先检查分层，去掉不需要的文件。
- 拉取慢多半是服务器误用了公网地址，改成内网地址通常会有明显改善。
- 标签被覆盖的风险在于生产部署依赖了 latest 这类可变标签。使用版本号加 Git 哈希，才能确定线上跑的是哪一版。
阿里云docker镜像仓库的门槛不高，登录、推送、拉取的命令和其他 Docker 仓库一样。实际影响效果的，往往是命名规范、地域选择、权限划分和 CI 的衔接方式。先把基础流程跑通，再逐步加入自动化和安全策略，镜像管理会省心很多。
