이미지 태그와 레지스트리 — Docker Hub에서 프라이빗 레지스트리까지

[레지스트리 호스트/][네임스페이스/]이미지이름[:태그|@다이제스트]

# Docker Hub 공식 이미지 (라이브러리 네임스페이스)
nginx:1.25-alpine
# 실제 전체 경로: docker.io/library/nginx:1.25-alpine

# Docker Hub 사용자 이미지
myuser/myapp:v1.0.0
# 실제 전체 경로: docker.io/myuser/myapp:v1.0.0

# GitHub Container Registry
ghcr.io/myorg/myapp:latest

# AWS ECR
123456789.dkr.ecr.ap-northeast-2.amazonaws.com/myapp:v2.1.0

# 다이제스트로 참조
nginx@sha256:abc123def456...

# 같은 이미지에 여러 태그 부여
docker tag myapp:latest myapp:v1.0.0
docker tag myapp:latest myapp:stable

# 이후 새 빌드에서 latest를 덮어쓸 수 있음
docker build -t myapp:latest .
# 이제 latest는 새 이미지를 가리키지만, v1.0.0은 이전 이미지를 가리킴

# 이 두 명령어는 동일
docker pull nginx
docker pull nginx:latest

# 하지만 오늘의 nginx:latest와 내일의 nginx:latest가
# 같은 이미지라는 보장은 없습니다

myapp:1.2.3      # 정확한 버전 (patch)
myapp:1.2        # 마이너 버전 (1.2.x 중 최신)
myapp:1          # 메이저 버전 (1.x.x 중 최신)
myapp:latest     # 최신 안정 버전

node:20.12.2           # 정확한 버전
node:20.12             # 패치 업데이트 자동
node:20                # 마이너 업데이트 자동
node:20-alpine         # 변형(variant) 포함
node:20.12.2-alpine3.19 # 가장 구체적인 태그

myapp:a1b2c3d    # Git 커밋 해시 (짧은 형태)
myapp:main-a1b2c3d  # 브랜치 + 커밋 해시

# CI에서 자동 태깅 예시
GIT_SHA=$(git rev-parse --short HEAD)
docker build -t myapp:${GIT_SHA} -t myapp:latest .

myapp:20260319        # 빌드 날짜
myapp:20260319-a1b2c3d  # 날짜 + Git SHA

# 하나의 빌드에 여러 태그를 부여
docker build \
    -t myapp:v1.2.3 \
    -t myapp:v1.2 \
    -t myapp:v1 \
    -t myapp:latest \
    -t myapp:$(git rev-parse --short HEAD) \
    .

# 이미지의 다이제스트 확인
docker inspect --format='{{index .RepoDigests 0}}' nginx:1.25-alpine
# nginx@sha256:a1b2c3d4e5f6...

# 다이제스트로 pull (100% 재현 가능)
docker pull nginx@sha256:a1b2c3d4e5f6...

# 태그 대신 다이제스트 사용 (가장 안전)
FROM nginx@sha256:a1b2c3d4e5f6...

# 로그인
docker login

# 이미지 push
docker tag myapp:v1.0.0 myuser/myapp:v1.0.0
docker push myuser/myapp:v1.0.0

# GitHub PAT로 로그인
echo $GITHUB_TOKEN | docker login ghcr.io -u USERNAME --password-stdin

# push
docker tag myapp:v1.0.0 ghcr.io/myorg/myapp:v1.0.0
docker push ghcr.io/myorg/myapp:v1.0.0

# AWS CLI로 로그인 (토큰 12시간 유효)
aws ecr get-login-password --region ap-northeast-2 | \
    docker login --username AWS --password-stdin \
    123456789.dkr.ecr.ap-northeast-2.amazonaws.com

# 리포지토리 생성 (콘솔 또는 CLI)
aws ecr create-repository --repository-name myapp

# push
docker push 123456789.dkr.ecr.ap-northeast-2.amazonaws.com/myapp:v1.0.0

# Harbor 설치 (docker-compose 기반)
# harbor.mydomain.com 같은 도메인으로 접근

docker login harbor.mydomain.com
docker push harbor.mydomain.com/myproject/myapp:v1.0.0

# ECR: 태그 불변성 활성화
aws ecr put-image-tag-mutability \
    --repository-name myapp \
    --image-tag-mutability IMMUTABLE

# ECR 수명 주기 정책 예시
aws ecr put-lifecycle-policy --repository-name myapp --lifecycle-policy-text '{
  "rules": [
    {
      "rulePriority": 1,
      "description": "30일 이상 된 untagged 이미지 삭제",
      "selection": {
        "tagStatus": "untagged",
        "countType": "sinceImagePushed",
        "countUnit": "days",
        "countNumber": 30
      },
      "action": { "type": "expire" }
    },
    {
      "rulePriority": 2,
      "description": "최근 10개 태그만 유지",
      "selection": {
        "tagStatus": "tagged",
        "countType": "imageCountMoreThan",
        "countNumber": 10
      },
      "action": { "type": "expire" }
    }
  ]
}'

# Docker Hub Rate Limit 우회를 위한 미러 설정
# /etc/docker/daemon.json
{
  "registry-mirrors": ["https://mirror.gcr.io"]
}

# buildx로 멀티 아키텍처 빌드 + push
docker buildx build \
    --platform linux/amd64,linux/arm64 \
    -t myregistry.com/myapp:v1.0.0 \
    --push .

# 매니페스트 확인
docker manifest inspect nginx:1.25-alpine