Почему дайджесты различаются в зависимости от реестра?

Дайджесты, на которые вы смотрите, — это дайджесты реестра, которые отличаются от дайджеста идентификатора изображения. У вас может быть идентификатор изображения с разными ссылками в реестре (и, возможно, дайджестами) для всех мест, куда он был отправлен. Вы можете увидеть два идентификатора в выводе проверки:

$ docker inspect busybox --format 'Id: {{.Id}}
Repo Digest: {{index .RepoDigests 0}}'
Id: sha256:efe10ee6727fe52d2db2eb5045518fe98d8e31fdad1cbdd5e1f737018c349ebb
Repo Digest: busybox@sha256:2605a2c4875ce5eb27a9f7403263190cd1af31e48a2044d400320548356251c4

Если реестр использует старый манифест v1, имя репозитория и тег являются частью этого манифеста, что означает, что он будет меняться при перемещении между реестрами:

{
   "name": <name>,
   "tag": <tag>,
   "fsLayers": [
      {
         "blobSum": "<digest>"
      },
      ...
    ]
   ],
   "history": <v1 images>,
   "signature": <JWS>
}

Однако для манифестов OCI и манифесты Docker v2, это больше не так, и вы должны увидеть тот же дайджест реестра для того же образа:

{
    "schemaVersion": 2,
    "mediaType": "application/vnd.docker.distribution.manifest.v2+json",
    "config": {
        "mediaType": "application/vnd.docker.container.image.v1+json",
        "size": 7023,
        "digest": "sha256:b5b2b2c507a0944348e0303114d8d93aaaa081732b86451d9bce1f432a537bc7"
    },
    "layers": [
        {
            "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
            "size": 32654,
            "digest": "sha256:e692418e4cbaf90ca69d05a66403747baa33ee08806650b51fab815ad7fc331f"
        },
        {
            "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
            "size": 16724,
            "digest": "sha256:3c3a4604a545cdc127456d94e421cd355bca5b528f4a9c1905b15da2eb4a4c6b"
        },
        {
            "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
            "size": 73109,
            "digest": "sha256:ec4b8955958665577945c89419d1af06b5f7636b4ac3da7f12184802ad867736"
        }
    ]
}

Сами дайджесты представляют собой дайджест контента sha256, который вы также можете найти в реализации OCI. Когда вы извлекаете изображение локально, некоторые вещи меняются, в том числе распаковываются слои, а мультиплатформенные изображения разыменовываются на вашей локальной платформе. Из-за этих изменений дайджест содержимого изменится, а идентификатор изображения не будет соответствовать дайджесту реестра.

Поэтому, чтобы сравнить образы между реестрами, убедитесь, что вы указали, что вам нужна схема v2 с заголовком accept, иначе реестр преобразует результат обратно в схему v1. В curl передача этих заголовков выглядит так:

curl \
  -H "Accept: application/vnd.docker.distribution.manifest.v2+json" \
  -H "Accept: application/vnd.docker.distribution.manifest.list.v2+json" \
  http://$registry/v2/$repo/manifests/$tag