请问这里的plainHTTP和skipTLSVerify的区别是什么？怎么才能使用http方式，不用用户名密码就可以拉取推送镜像？

zhangyancn9

请问这里的plainHTTP和skipTLSVerify的区别是什么？
发现配置skipTLSVerify: true时，不配置用户名和密码，会在部署时报错如下

不配置auths部分，又会报错如下

请问怎么才能使用http方式，不用用户名密码就可以拉取推送镜像？

24sama

zhangyancn9
你可以尝试按以下顺序执行

先配置auths和`plainHTTP: true，然后进行上传镜像到私有仓库

./kk artifact image push -f config.yaml -a kubekey-artifact.tar.gz

删除auths，并且执行创建集群的命令时，使用参数--skip-push-images来跳过上传镜像

./kk create cluster -f config.yaml -a kubekey-artifact.tar.gz --skip-push-images

zhangyancn9

24sama 按照这样的方式可以成功按照。谢谢。
但是，想问下，这个原来就是这样设计的么？推送镜像过程用到的skipTLSVerify，可不可以复用plainHTTP，如果复用plainHTTP应该就没有这个问题了，不需要先推送再修改配置再按照这么麻烦了？还是说这里有什么特殊的考虑？

24sama

zhangyancn9
这个plainHTTP是2.0版本的字段，之后会移除

zhangyancn9

24sama 现在是不是只有推送manifestList时会用到这个plainHTTP字段，那后面推送manifestList也是修改成使用skipTLSVerify字段吗？
那么[InstallContainerModule] Add auths to container runtime 模块中是不是可以增加个判断，如果auths中没有username和password就跳过，这样就避免这个问题了

24sama

zhangyancn9
是的，有兴趣的话可以提个PR，fix一下这个bug。 😀

24sama

zhangyancn9
使用最新版本的kk可以这样配置

auths: # if docker add by `docker login`, if containerd append to `/etc/containerd/config.toml`
  "dockerhub.kubekey.local":
    username: "xxx"
    password: "***"
    skipTLSVerify: false # Allow contacting registries over HTTPS with failed TLS verification.
    plainHTTP: false # Allow contacting registries over HTTP.
    certsPath: "/etc/docker/certs.d/dockerhub.kubekey.local"

zhangyancn9

24sama 好的，谢谢

zhangyancn9

24sama

使用最新2.1版本kk，使用containerd的时候，拉取镜像还是显示http: server gave HTTP response to HTTPS client
我的仓库信息已经设置了plainHTTP和skipTLSVerify都为true

24sama

zhangyancn9
可以贴一下，你containerd的config文件吗

cat /etc/containerd/config.yaml

zhangyancn9

24sama

安装的是1.23.6版本的K8S，使用的containerd 1.6.4作为容器运行时, crictl 使用的1.22.0的版本

24sama

zhangyancn9
你可以尝试在这个文件里配置一下mirror:

zhangyancn9

24sama

配置成这样么？还是失败了

24sama

zhangyancn9
增加一个这个配置

[plugins."io.containerd.grpc.v1.cri".registry.mirrors."192.168.239.130:5000"]
          endpoint = ["http://192.168.239.130:5000"]

zhangyancn9

24sama 配置成这样可以了，那么我应该在kk的config-sample.yaml中如何配置才能得到这样的config.toml文件呢？是配置下面的registryMirrors么？

      registry:
        registryMirrors: []
        insecureRegistries: ["192.168.239.130:5000"] 
        privateRegistry: 192.168.239.130:5000 
        namespaceOverride: "google_containers" 
        auths: # if docker add by `docker login`, if containerd append to `/etc/containerd/config.toml`
          "192.168.239.130:5000":
            plainHTTP: true
            skipTLSVerify: true # Allow contacting registries over HTTP, or HTTPS with failed TLS verification.

24sama

zhangyancn9
这里应该是bug，containerd没有应用insecureRegistries的配置，可以在github上提个issue。之后我们会发布v2.1.1这个bugfix的版本。

zhangyancn9

24sama 在github提交了，期待2.1.1修复版本
kubesphere/kubekey#1268