1. 现象：本地明明有镜像，K8s 却非要去拉
把镜像docker build好，本地docker images也能看到，但一kubectl apply，Pod 事件里永远卡在：
Failed to pull image "myimg:1.0": rpc error: code = Unknown desc = failed to pull and unpack image ...甚至直接ImagePullBackOff。科学上网、加代理、配加速器，全试一遍还是失败——于是开始怀疑人生。
2. 根因：Docker 和 K8s 用的是“两套仓库”
Docker Desktop 为了轻量，把 Kubernetes 的 kubelet 配置成containerd作为底层运行时，而不是 docker-shim。
关键区别：
| 你敲的命令 | 实际操作的仓库 |
|---|---|
docker images | Docker 的镜像仓库 |
kubectl apply | containerd 的镜像仓库 |
两者完全隔离。
所以“docker 能看见” ≠ “K8s 能看见”。K8s 发现 containerd 里找不到，就只能去远端拉；拉不到就报错，于是出现“本地有镜像却拉取失败”的错觉。
3. 一句话解决方案
把镜像塞进 containerd 里，再让 YAML 里的名字 100% 对上，即可瞬间解决。
4. 实操 3 步走
① 验证镜像到底在哪
# Docker 仓库docker images|grepmyimg# containerd 仓库（Docker Desktop 专用命名空间叫 k8s.io）ctr -n k8s.io images list|grepmyimg如果第二条没输出，说明镜像只在 Docker，K8s 看不见。
② 搬运镜像（二选一）
A. 离线导入（内网/CI 最常用）
docker save myimg:1.0|ctr -n k8s.io imagesimport-B. 让 containerd 自己拉（能联网时最省事）
ctr -n k8s.io images pull myimg:1.0③ 名字必须完全一致
把ctr -n k8s.io images list打印出来的完整路径（可能是docker.io/library/myimg:1.0）原封不动写进 YAML：
image:docker.io/library/myimg:1.0然后
kubectl apply -f deployment.yamlPod 瞬间Running，再也不会去网上拉了。
5. 常见疑问 FAQ
Q1:k8s.io是上传到官方仓库吗？
A:不是！它只是 Docker Desktop 给 containerd 起的本地命名空间，所有数据仍在你的硬盘，走不到外网。
Q2:为什么加了--image-pull-policy=IfNotPresent还是拉？
A:因为本地（containerd）根本没有，策略只能决定“有就省、没有必须拉”，治不了根。
Q3:我不想敲ctr，能不能让 K8s 直接用 Docker 的镜像？
A:Docker Desktop 的 K8s 已经固定用 containerd，改不了。真不想搬镜像，就回退到裸机 K8s 或用minikube docker-env那种共享 Docker daemon 的方案。
6. 结论
Docker Desktop 的 Kubernetes 只认containerd 的镜像仓库。
以后遇到“本地有镜像却拉取失败”，先执行
ctr -n k8s.io images list|grep<你的镜像>看不到就
docker save<镜像>|ctr -n k8s.io imagesimport-30 秒解决战斗，别再盲目配代理、加速器、Secret，把时间省下来写业务代码。
