1. 当镜像仓库变成垃圾场：我们都经历过的困境
凌晨两点，运维小王盯着监控面板上持续飙红的磁盘使用率，发现生产环境的镜像仓库已经占用了487GB存储空间。翻查日志时，他发现了数百个形如app-v1.2.3-20230812-test、backend-unsafe的镜像标签，其中80%的镜像自创建后从未被调用过。
这种场景在容器化团队中屡见不鲜：开发环境的临时构建、自动化流水线的残留产物、多版本并行时的命名混乱，最终导致镜像仓库沦为数字垃圾场。更糟糕的是，当磁盘空间不足触发自动清理时，可能误删正在使用的生产镜像。
2. 建立清理策略的四项基本原则
（技术栈：Docker CLI + Shell Script）
2.1 时间维度清理
docker image prune --filter "until=720h" --force
# 高级版：清理特定仓库的旧版本
docker image ls --format '{{.Repository}}:{{.Tag}}' |
grep 'registry.company.com/project' |
xargs -I{} docker image inspect --format '{{.Created}} {}' {} |
awk -v cutoff="$(date -d '30 days ago' +%s)" '$1 <= cutoff {print $2}' |
xargs docker image rm
注释解析：
- 第一层过滤获取完整镜像标识
- 使用inspect提取创建时间戳
- awk对比时间阈值（30天前）
- 管道传递实现安全删除
2.2 版本模式匹配
# 使用正则表达式清理测试版本
docker image ls --format '{{.Repository}}:{{.Tag}}' |
grep -E 'v[0-9]+\.[0-9]+-SNAPSHOT' |
xargs docker image rm
# 保留最近5个正式版本示例
docker image ls --format '{{.Repository}} {{.Tag}} {{.CreatedAt}}' |
sort -k3 -r |
awk '/v[0-9]+\.[0-9]+\.[0-9]+$/ {if(++count[$1] >5) print $1":"$2}' |
xargs docker image rm
注释解析：
- 正则匹配语义化版本格式
- 按仓库分组保留前5个最新版本
- 精确控制删除范围避免误操作
3. 进阶武器库：构建自动化清理体系
（技术栈：Crontab + Python3）
3.1 定时清理脚本
#!/usr/bin/env python3
import docker
from datetime import datetime, timedelta
client = docker.from_env()
cutoff = datetime.now() - timedelta(days=30)
for image in client.images.list():
# 跳过基础镜像和特殊标记
if not image.tags or 'base-image' in image.tags[0]:
continue
created = datetime.strptime(
image.attrs['Created'][:19],
"%Y-%m-%dT%H:%M:%S"
)
if created < cutoff and 'prod' not in image.tags[0]:
print(f"Removing {image.tags[0]}")
client.images.remove(image.id)
注释解析：
- 使用Docker SDK代替CLI调用
- 精确解析镜像创建时间
- 白名单机制保护生产环境镜像
- 日志记录删除操作轨迹
3.2 仓库级清理策略
# Harbor API批量删除示例
curl -X DELETE "https://harbor.company.com/api/v2.0/projects/project/repositories/app/artifacts/$(artifact_id)" \
-H "Authorization: Bearer $TOKEN" \
-H "X-Harbor-CSRF-Token: $CSRF_TOKEN"
4. 关联技术深潜：Harbor的标签管理
当团队使用Harbor作为镜像仓库时，可以配置保留策略：
- 在项目设置中启用"自动清理"功能
- 设置保留规则：
- 按标签正则表达式匹配（如保留所有语义化版本）
- 按时间保留最近N个构建
- 排除带有
latest、prod等保护标签
- 配置每日凌晨执行垃圾回收
5. 技术方案对比分析
| 方法 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 手动CLI清理 | 即时生效，灵活性强 | 易出错，效率低 | 小规模环境应急处理 |
| 定时脚本 | 自动化程度高，可定制策略 | 需要维护脚本版本 | 中型团队常规维护 |
| Harbor策略 | 无需额外开发，可视化操作 | 功能相对基础 | 已部署Harbor的企业环境 |
| 商业解决方案 | 全生命周期管理，审计功能完善 | 采购成本高，需要适配现有架构 | 大型企业或金融行业 |
6. 血泪经验：你必须知道的注意事项
- 双缓冲策略：删除前先将镜像移动到隔离区，保留7天观察期
- 生产环境保险丝：对带有
prod、release标签的镜像设置删除审批流程 - 元数据备份：在清理前导出镜像清单
docker image ls --format json > image_manifest.json - 存储驱动差异：AUFS与Overlay2的文件系统结构不同，清理后需要
docker system prune - 注册表垃圾回收：Harbor等仓库执行删除后需运行GC才能真正释放空间
7. 效果验证与监控
实施清理策略后，应当建立监控指标：
# 磁盘使用趋势监控
df -h /var/lib/docker
# 镜像数量变化趋势
docker image ls | wc -l
# 分层存储优化效果
docker system df -v
8. 总结与展望
通过建立多维度清理策略，某电商团队将镜像存储成本从每月$3,200降至$480，部署失败率下降67%。随着Serverless技术的普及，未来可能出现更智能的镜像生命周期管理系统，但掌握基础治理原则仍然是每个云原生工程师的必备技能。