Политики ограничения трафика Docker Hub (Rate Limiting)

Ошибка Error response from daemon: toomanyrequests: You have reached your pull rate limit возвращается HTTP API Docker Hub со статусом 429 Too Many Requests. Согласно политике Docker Inc., для неаутентифицированных пользователей (Anonymous) действует лимит: 100 скачиваний за 6 часов на один публичный IP-адрес. Для бесплатных аутентифицированных аккаунтов (Free Account) лимит составляет 200 скачиваний за 6 часов на пользователя.

Бизнес-риски:

Критический отказ CI/CD конвейеров (GitLab CI, GitHub Actions, Jenkins), блокировка автомасштабирования (Autoscaling) в Kubernetes кластерах, невозможность аварийного восстановления сервисов.

Таблица лимитов Docker Hub Pull Rate

Пошаговые методы обхода и снятия лимитов скачивания

Сценарий 1: Авторизация через Access Token Docker Hub

Создайте персональный токен доступа в профиле Docker Hub и авторизуйтесь на сервере:

# Вход в Docker Hub через Access Token (вместо пароля)
echo 'YOUR_DOCKER_HUB_ACCESS_TOKEN' | docker login -u 'YOUR_USERNAME' --password-stdin

# Проверка текущего остатка лимитов через API Docker Hub
TOKEN=$(curl -s 'https://auth.docker.io/token?service=registry.docker.io&scope=repository:ratelimitpreview/test:pull' | jq -r .token)
curl -s --head -H 'Authorization: Bearer '$TOKEN https://registry-1.docker.io/v2/ratelimitpreview/test/manifests/latest | grep -i ratelimit

Сценарий 2: Развертывание локального Mirror/Pull-Through Cache (Рекомендация)

Настройте локальный кэширующий прокси-реестр внутри вашей инфраструктуры:

# Запуск локального кэширующего реестра Docker Registry:
docker run -d -p 5000:5000 \
  -e REGISTRY_PROXY_REMOTEURL=https://registry-1.docker.io \
  --restart always \
  --name docker-registry-cache \
  registry:2

# Настройка демона dockerd на хостах (/etc/docker/daemon.json):
{
  'registry-mirrors': ['http://local-registry-ip:5000']
}

# Перезапуск Docker:
systemctl restart docker

Сценарий 3: Переход на альтернативные публичные зеркала (Mirrors)

Используйте альтернативные зеркала и репозитории вендоров (Amazon ECR Public, Google Artifact Registry, Yandex Cloud Mirror):

# Пример использования публичного зеркала в /etc/docker/daemon.json
{
  'registry-mirrors': [
    'https://mirror.gcr.io',
    'https://dockerhub.timeweb.cloud'
  ]
}

Типовые ошибки администраторов

• Попытка смены IP без кэширования: Использование динамических прокси в CI/CD приводит к блокировкам по подсетям дата-центров.
• Хранение открытого пароля в CI скриптах: Используйте только scoped Access Tokens с правами Read-Only.