Docker 镜像管理

整理仓库、镜像名称、版本标签、摘要、架构、来源和负责人，将线上运行与回退引用单列为保留对象；同时统计构建端本地缓存与仓库存储，避免混淆两类清理范围。以下命令只读取当前 Docker daemon 的本地状态，执行前核对 Docker context；输出用于样本盘点，不能据此推断远端仓库已经没有引用，也不能直接当作删除清单。

docker context show
docker image ls --digests
docker system df

先核对仓库域名、证书链、到期时间和客户端信任，再建立构建推送、应用拉取及仓库管理的独立身份；细粒度权限必须由实际支持的授权组件验证。下面 <REGISTRY_HOST> 是已确认域名，命令只请求 API 入口且不携带凭据；受保护仓库通常返回 401 和认证挑战，证书错误应修复信任链，不用跳过校验的参数处理。

curl --silent --show-error --include 'https://<REGISTRY_HOST>/v2/'

为业务镜像定义命名、标签与摘要记录规则，标签可表达提交或发行版本，但部署和回退记录使用实际摘要。基础镜像来源须经核对，固定摘要时同步建立更新与重扫计划，避免长期冻结已知风险；构建上下文排除密钥与无关文件，采用适合应用的最小运行层。多架构镜像应分别验证 manifest 和实际运行平台，不把单一架构通过当作所有平台通过。

对明确摘要的候选镜像运行风险扫描，记录工具版本、漏洞库时间、扫描范围和执行状态；按业务策略评估严重度、修复版本和有效例外，不只统计一个总数。漏洞库过期、无法识别依赖或扫描执行失败应显示为未完成，不能默认放行。将报告与同一摘要关联，镜像更新后重新评估；已知漏洞检查之外仍需来源核验、密钥检查和实际运行约束。

选择与构建缓存隔离的测试客户端，使用只读凭据按已记录摘要拉取样本，核对仓库返回身份、架构和启动行为；受限测试环境不接入生产数据与外部写服务。比较拉取与构建报告的摘要，确认镜像清单和实际平台对应关系，并测量样本拉取耗时与错误类型。记录客户端信任配置和凭据来源，确保流程不依赖构建机遗留的管理员登录状态。

按线上引用、回退窗口、发行版本和业务保留要求建立保护清单，再识别候选废弃 manifest；多平台清单及其引用应一起核对。标签移除、manifest 删除和 blob 垃圾回收是不同动作，不能把本地 prune 当作远端治理。先备份并在隔离副本验证所选版本的 dry-run；实际 GC 必须遵守停止写入或只读模式要求，避免并发上传时误清仍需使用的层。

在隔离环境从备份恢复样本仓库及必要配置，以受控测试身份按保留摘要拉取，核对内容、权限和恢复耗时；生产仓库不作为首次恢复练习对象。交接镜像命名、摘要清单、风险报告、证书与凭据轮换、容量预警和清理审核责任。对尚未演练的全量迁移或跨地域恢复明确标注边界，定期复核长期保留镜像的实际引用与更新需求。