二、核心原理拆解：为什么导入宿主机镜像没用？

要理解这个现象，核心是搞懂两个关键点：k8s 的镜像拉取逻辑和 Always 拉取策略的真正含义，以及 docker load 导入镜像的作用范围。

2.1、先明确：k8s与Docker（容器运行时）的关系

k8s 本身不负责镜像拉取和容器运行，它会调用底层的容器运行时（比如Docker、containerd、CRI-O）来完成这些操作。我们平时用的 Docker，就是其中一种容器运行时。

当 k8s 需要启动一个 Pod 时，会向Pod所在宿主机的 kubelet 发送指令，kubelet 再调用容器运行时（比如Docker），由容器运行时负责拉取镜像、创建容器。

这里有一个关键：容器运行时拉取镜像，是“按镜像地址（image字段）拉取”，而非“按镜像ID拉取”。即使宿主机本地有一个镜像，其镜像ID和Pod要拉取的镜像ID完全一致，但如果镜像地址（image字段）不一样，容器运行时依然会尝试从镜像地址对应的仓库拉取，而不是直接使用本地镜像。

2.2、关键：imagePullPolicy: Always 的拉取逻辑

k8s 的 imagePullPolicy 有三个可选值，我们重点说 Always（也是故障场景的前提）：

• • • Always：每次启动 Pod（包括重启容器）时，都会强制从image字段指定的镜像仓库拉取镜像，无论宿主机本地是否已经存在该镜像。
    • IfNotPresent：只有当宿主机本地没有该镜像时，才会从仓库拉取（默认值，除非镜像标签是latest，此时默认是Always）。
    • Never：从不从仓库拉取镜像，只使用宿主机本地已有的镜像，拉取不到则报错。

回到故障场景：当 imagePullPolicy=Always 时，即使你通过 docker load 把镜像导入到了宿主机本地，只要 Pod 的 image 字段还是原来的仓库地址（比如harbor.example.com/my-image:v1），kubelet 调用 Docker 拉取时，依然会尝试访问 harbor.example.com 这个仓库拉取镜像——而此时仓库不可用/网络不通，所以拉取依然失败，Pod 无法恢复。

简单说：docker load只是把镜像放到了宿主机的本地镜像仓库，但Always策略让容器运行时“无视”本地镜像，非要去远程仓库拉取，自然失败。

2.3、为什么本地镜像ID一致也没用？

有同学可能会问：我导入的本地镜像，和远程仓库里的镜像，镜像ID是一样的，为什么 k8s 还是要拉取？

因为 k8s 判断“镜像是否可用”，优先依据 image 字段的“镜像地址+标签”，而非镜像ID。容器运行时的拉取逻辑是：

• • • 接收kubelet的指令：拉取image: harbor.example.com/my-image:v1。
    • 检查本地是否有“镜像地址+标签”完全匹配的镜像（注意：是“地址+标签”，不是镜像ID）。
    • 因为imagePullPolicy=Always，无论本地是否有匹配的，都会去远程仓库校验镜像（发送请求，确认远程镜像的标签、校验和是否和本地一致）。
    • 如果远程仓库不可用，校验失败，就判定为拉取失败，不会使用本地镜像。

这就是为什么“导入本地镜像”没用——即使镜像ID一致，只要远程仓库不可用，Always策略下，拉取依然会失败。