如何利用Docker镜像仓库API追踪不同时段的镜像访问热度？

本文共计975个文字，预计阅读时间需要4分钟。

要使用Docker镜像仓库的API监控访问热度，关键不是直接调用一个名为热度接口的API，而是利用各仓库提供的裸露的可观测性端点或日志能力。这些端点或日志数据可以结合时间维度，聚合请求行为作为数据。不同仓库支持的计划差异较大，需要根据类型分别处理。

Harbor：启用内置指标 + 审计日志分析

Harbor 是企业最常用私有仓库，原生支持热度相关数据采集：

• Prometheus 指标端点（/metrics） 提供实时请求计数：
  • harbor_registry_http_requests_total{code=~"2..",method="get",handler="blobGet"} → 镜像层拉取次数
  • harbor_registry_http_requests_total{code=~"2..",method="get",handler="manifestGet"} → manifest 获取次数（常用于 pull 触发）
  • 按 time() 函数切片（如 rate(...[1h])）即可算出每小时拉取量
• 审计日志（audit.log） 记录每次 pull/push 的时间、用户、项目、镜像名、IP 等：
  • 启用方式：在 harbor.yml 中配置 audit_log.location 和 audit_log.max_size
  • 可用 Promtail + Loki 或 Filebeat + ELK 对日志做时间分组统计，例如：

    count_over_time({job="harbor-audit"} |~ "action=pull" |~ "status=200" [1h])

    即可得到每小时成功 pull 次数

Docker Registry（开源版）：需自行埋点 + 日志解析

官方 registry 不提供内置指标，但可通过以下方式补足：

• 在反向代理（如 Nginx）层记录 access log，字段包含 $time_iso8601、$request（含 GET /v2/.../manifests/）、$status
• 示例日志行：
  2026-05-08T19:22:31+00:00 - GET /v2/myapp/manifests/latest 200
• 使用 Logstash 或 Promtail 按小时提取 manifests 或 blobs 请求频次，过滤 2xx 状态码，排除健康检查（如 /v2/ 根路径）

公有云仓库（如阿里云 ACR、腾讯云 TCR）：依赖云平台监控服务

• 这些服务不开放原始 API，但提供控制台可观测能力：
  • 阿里云 ACR：在「监控告警」页查看「镜像拉取次数（按小时/天）」「Top 镜像拉取排行」
  • 腾讯云 TCR：接入 Cloud Monitor，指标命名如 tcr.pullCount，支持按命名空间、镜像名、时间范围查询
• 若需程序化获取，使用其 OpenAPI（如 DescribeImagePullStatistics），传入 StartTime/EndTime 参数拉取指定时间段聚合数据

热度分析建议维度

不要只看总请求数，应分层聚合才有业务意义：

• 按时间粒度：每5分钟（排查突发流量）、每小时（观察日周期）、每天（比对周趋势）
• 按镜像维度：repository（项目名）+ tag（如 latest vs v1.2.3），识别热门基础镜像或灰度标签
• 按客户端特征：通过日志中的 User-Agent 区分 CI/CD 工具（如 GitLabRunner）、K8s 节点（kubelet）、开发人员本地 pull
• 异常热度识别：某镜像 1 小时内拉取量突增 5 倍 → 可能是误配置自动部署，或被恶意扫描

基本上就这些。核心逻辑一致：把访问行为转为带时间戳的事件流，再按需聚合。没有统一 API，但路径明确。