RKE2项目中containerd 2.0镜像拉取故障分析与解决方案

在RKE2容器运行时环境中，当用户使用containerd 2.0版本并配置了带有"*"通配符的镜像仓库映射时，系统会出现无法回退到默认registry端点的问题。这个故障会导致容器镜像拉取操作失败，严重影响集群的正常运作。

故障现象

当用户在/etc/rancher/rke2/registries.yaml配置文件中设置了如下内容时：

mirrors:
  '*':

此时通过crictl工具拉取镜像（如registry.suse.com/suse/sle15:15.7）会返回"not found"错误。然而有趣的是，直接使用ctr命令行工具却可以成功拉取相同的镜像。

技术背景分析

这个问题源于containerd 2.0版本对镜像仓库解析逻辑的变更。在旧版本中，当配置了通配符镜像仓库映射但未指定具体端点时，系统能够正确回退到默认的registry服务。但在2.0版本中，这个回退机制出现了问题。

影响范围

该问题影响以下RKE2版本：

• v1.31.6+rke2r1
• 其他使用containerd 2.0的版本

解决方案

RKE2团队已经确认该问题将在下个月的版本更新中修复。对于急需解决该问题的用户，目前可以采取以下临时解决方案：

1. 移除或注释掉registries.yaml中的通配符配置
2. 重启rke2-server服务使更改生效

验证情况

在即将发布的v1.32.3-rc1和v1.31.7-rc1版本中，该问题已经得到修复。测试表明：

• 移除通配符配置后，镜像拉取功能恢复正常
• 新版本中即使保留通配符配置，也能正确回退到默认registry

最佳实践建议

对于生产环境用户，建议：

1. 避免在registries.yaml中使用纯通配符配置
2. 如需配置镜像仓库映射，应该明确指定端点信息
3. 关注RKE2的版本更新，及时升级到修复版本

这个问题提醒我们，在使用容器运行时的高级配置时，需要进行充分的测试验证，特别是在版本升级后要检查核心功能的可用性。