Pull Secret
Ein Kubernetes-Secret mit Registry-Zugangsdaten, damit Pods Images aus privaten Registries (GHCR, ECR, GitLab, Harbor) ziehen können. Wird in der Pod-Spec über imagePullSecrets referenziert.
Format: ~/.docker/config.json, base64-kodiert in einem Secret vom Typ kubernetes.io/dockerconfigjson. kubectl create secret docker-registry ist die Abkürzung. Alternative: an den Default-ServiceAccount binden, dann ziehen alle Pods im Namespace automatisch. Bei Cloud-Providern deckt oft schon die IAM-Rolle der Nodes das ab (EKS + ECR, GKE + GCR) — dann braucht es gar kein Pull Secret. Vorab-Ziehen der Images auf die Nodes per DaemonSet ist ein gängiges Muster gegen langsame Cold Starts. Öffentliche Images (docker.io) unterliegen seit 2020 Rate-Limits, weshalb selbst "öffentliche" Docker-Hub-Images mitunter authentifiziertes Pull brauchen.