技能介绍

容器镜像操作的现实痛点

在 CI/CD 流水线里做镜像迁移或安全审计时，docker save/load 组合往往是最直接的方案，但它要求本地有 Docker daemon 在跑，还要先把镜像拉到本机。也就是说，一次纯转发镜像的操作也要占用本地存储，并且必须以 root 或 docker 组权限执行。

Skopeo 要解决的问题很明确：把镜像操作下沉到注册表层面，全程不依赖 daemon，也不需要 root 权限。它直接对 OCI 和 Docker v2 格式的镜像清单与层数据做增删查改，适合在跳板机、CI runner 这类受限环境里执行镜像搬运与审查。

核心能力与工作方式

检查：通过 skopeo inspect 读取镜像的 manifest、配置和标签信息，可以指定 --raw 拿到原始 manifest，便于核对 digest 与架构。
复制：skopeo copy 把镜像从一个注册表直接同步到另一个注册表，全程走 HTTP(S) 流式传输，不落地完整镜像包。
删除：skopeo delete 按 digest 删除远程镜像标签，用于清理废弃版本。
同步：结合脚本做多注册表之间的镜像分发，作为轻量级的镜像复制策略。

关键步骤上，凭据管理是最容易出错的一环。inspect 和 delete 使用 --creds 传参；copy 则需要分别指定 --src-creds 和 --dest-creds。如果不显式传参，Skopeo 会回退到 skopeo login、podman login、buildah login 等命令写入的认证配置。这意味着团队可以把凭据接入现有的容器工具链，而不必维护独立的配置文件。

适用边界与注意点

不是 docker build 的替代品：Skopeo 处理的是已构建完成的镜像对象，不涉及构建过程。构建场景应使用 Buildah 或 Docker buildx。
delete 操作不可逆：删除的是远程注册表中的标签指向，一旦执行且未保留本地副本，镜像将无法恢复。建议在操作前用 inspect 确认目标 digest。
认证文件兼容性：login 写入的配置与 docker/podman 共享，跨工具使用时要注意凭据覆盖与过期问题。
格式支持范围：官方明确支持 OCI 镜像与 Docker v2 schema 2，更早期的 v1 格式不在支持列表内。