プルシークレット(Pull secret)
Pod がプライベートレジストリ(GHCR、ECR、GitLab、Harbor など)からイメージを取得するための認証情報を持つ Kubernetes Secret。Pod の仕様では imagePullSecrets で参照する。
形式は ~/.docker/config.json を base64 でエンコードし、kubernetes.io/dockerconfigjson 型の Secret に入れたもの。kubectl create secret docker-registry が近道だ。default の ServiceAccount に紐付ければ、その名前空間の全 Pod が自動で取得できる。クラウドではノードの IAM ロールが代わりを務めるため(EKS + ECR、GKE + GCR)、プルシークレットは不要になる。コールドスタートが遅い場合は DaemonSet でノードに事前プルしておくのが定番のパターンである。公開イメージ(docker.io)も2020年以降はレート制限があり、「公開」の Docker Hub イメージでも認証付きのプルが必要になることがある。