Pull secret
Secret Kubernetes contenant les identifiants d'un registre, pour que les pods puissent tirer des images depuis des registres privés (GHCR, ECR, GitLab, Harbor). Référencé dans la spec du pod via imagePullSecrets.
Format : le ~/.docker/config.json encodé en base64 dans un Secret de type kubernetes.io/dockerconfigjson. Le raccourci : kubectl create secret docker-registry. Variante : l'attacher au ServiceAccount par défaut, et tous les pods du namespace tirent leurs images automatiquement. Chez les fournisseurs cloud, le rôle IAM du nœud suffit (EKS + ECR, GKE + GCR) : pas besoin de pull secret.
Préchargement des images sur les nœuds via un DaemonSet : schéma courant contre les démarrages à froid lents. Et depuis 2020, les images « publiques » de Docker Hub (docker.io) se heurtent à des limites de débit — même elles peuvent réclamer un pull authentifié.