Docker-Harbor私有仓库部署与管理

Harbor是一个开源的容器镜像仓库管理工具，它专注于存储、分发和管理Docker镜像。作为一个云原生的解决方案，Harbor提供了安全性和可扩展性，使组织能够建立自己的私有镜像仓库。Harbor提供了用户身份验证、访问控制和镜像复制等功能，使用户能够更好地管理和控制镜像的存储和分发。通过Harbor，组织可以实现更高级别的镜像管理，确保镜像的安全性和可用性，同时提升开发和部署的效率。

2.为什么要学Harbor

私有镜像仓库：构建自己的私有镜像仓库，提供更高安全性和可控性。
安全性和审计：提供身份验证、访问控制和审计日志等功能，保护镜像安全与合规性。
高效管理和分发：轻松上传、下载、共享和托管Docker镜像，提升管理效率。
集成与扩展性：支持与其他工具和系统的集成，满足不同需求和定制化。
协作和共享：建立共享的镜像仓库，促进团队成员之间的协作与共享。

学习Harbor将使你能够更好地管理和控制Docker镜像，提供更高级别的安全性和可控性，同时提升团队的协作和生产力。这对于任何使用Docker进行应用程序开发和部署的组织来说都是非常有价值的。?

二 Harbor的特性

基于角色控制访问：用户和仓库都是基于项目进行组织的，而用户在项目中可以拥有不同的权限。
基于镜像的复制策略：镜像可以在多个Harbor实例之间进行复制（同步）。
支持 LDAP/AD：Harbor 可以集成企业内部已有的 AD/LDAP（类似数据库的一张表），用于对已经存在的用户认证和管理。
镜像删除和垃圾回收：镜像可以被删除，也可以回收镜像占用的空间。
图形化用户界面：用户可以通过浏览器来浏览，搜索镜像仓库以及对项目进行管理。
审计管理：所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。
支持RESTful API：RESTful API提供给管理员对于 Harbor 更多的操控, 使得与其它管理软件集成变得更容易。

?Harbor具有灵活的权限控制、镜像复制、LDAP/AD集成、图形化界面、审计管理和RESTful API等特性，提供了强大而便捷的镜像仓库管理功能。

扩展：LDAP和AD都是用于身份验证和访问控制的目录服务协议。

LDAP是一种轻量级的目录访问协议，常用于组织内部的用户认证和用户信息管理。它使用树状结构来组织和存储用户、组和其他目录对象的信息。LDAP提供了灵活的权限控制和查询功能，允许用户通过用户名和密码进行身份验证，并获取相关的用户属性信息。

AD是由微软开发的目录服务，是一种更为复杂和全面的目录服务解决方案。它不仅提供了身份验证、用户信息管理的功能，还包括了域名服务、安全策略、组策略、文件共享等多个方面的功能。AD在Windows环境中广泛应用，可以用于组织内部的用户认证、授权和资源管理。

三 Harbor的构成及数据流向

1.Harbor的架构

Harbor 在架构上主要有 Proxy、Registry、Core services、Database、Log collector、Job services 六个组件。

2.Harbor组件详解

proxy :通过一个前置的反向代理统一接收浏览器 ? ?docker 客户端请求的，并且请求转发给后端不同的服务，这是一个方向代理组件。
?registry：负责存储 docker镜像 ?处理docker pull/push 命令来上传和下载。
core services：harbor核心功能，包括 UI、webhook、token 服务。

? ? ? ? ①?webhook: 负责网站的一些服务功能；；

? ? ? ? ②token：令牌? ，提供身份认证服务；

? ? ? ? ③UI： ?显示可视化界面。

?database ：为core service 提供数据的服务 ?数据库记录镜像的元信息及用户的身份信息。
log collector：负责收集其他组件一些日志，以供我们进行分析以及健康检查等。
?job services：主要做镜像复制，本地镜像可以同步到其他harbor私有仓库中。

Harbor 的每个组件都是以 Docker 容器的形式构建的，因此，使用 Docker Compose 来对它进行部署。
总共分为7个容器运行，通过在docker-compose.yml所在目录中执行 docker-compose ps 命令来查看，名称分别为：nginx、harbor-jobservice、harbor-ui、harbor-db、harbor-adminserver、registry、harbor-log。
其中 harbor-adminserver 主要是作为一个后端的配置数据管理，并没有太多的其他功能。harbor-ui 所要操作的所有数据都通过 harbor-adminserver 这样一个数据配置管理中心来完成。

?扩展：

认证方式有三种：令牌、用户密码、ssl

①令牌认证：通过令牌认证，用户可以获取一个访问令牌（Token），并将其用于身份验证。令牌可以是临时的，也可以是长期有效的。通过令牌认证，用户可以以匿名方式或具有特定权限的方式访问Harbor镜像仓库。

②用户密码认证：这是最常见的认证方式，用户需要提供用户名和密码来进行身份验证。通过用户名和密码认证，用户可以获得相应的权限，访问和管理Harbor镜像仓库。

③SSL加密通信：在与Harbor的通信过程中，可以通过SSL（Secure Sockets Layer）来加密通信，确保传输的数据在网络中的安全性。使用SSL证书可以建立安全的通信通道，防止敏感信息被窃取或篡改。

需要注意的是，SSL并不是一种认证方式，而是一种加密通信的方式。但它可以在认证过程中起到重要的作用，确保身份验证的过程和数据传输的过程都是安全的。

3.Harbor私有仓库的数据流向

所有的请求或操作都会首先经过反向代理（proxy）处理。
反向代理会将请求转发给后端的核心服务（core services）。
核心服务包括UI、Token身份认证和Webhook等功能。
请求经核心服务后，会被转发给镜像存储（registry）。对于需要下载镜像等权限操作，需要通过核心服务中的Token令牌进行身份验证。
每一次下载和上传操作都会生成操作记录，并生成日志保存在数据库中。
数据库中保存镜像元信息以及用户与组身份的信息。只有经过验证和授权的操作才会被允许。

4.Harbor.cfg配置文件参数详解

（1）所需参数?

这些参数需要在配置文件 Harbor.cfg 中设置。如果用户更新它们并运行 install.sh 脚本重新安装 Harbor，参数将生效。具体参数如下：

hostname：用于访问用户界面和 register 服务，它应该是目标机器的 IP 地址或完全限定的域名（FQDN）。
ui_url_protocol：（http 或 https，默认为 http）用于访问 UI 和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为 https。
max_job_workers：镜像复制作业线程。
db_password：用于db_auth 的MySQL数据库root 用户的密码。
customize_crt：该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌。当由外部来源提供密钥和根证书时，将此属性设置为 off。
ssl_cert：SSL 证书的路径，仅当协议设置为 https 时才应用。
secretkey_path：用于在复制策略中加密或解密远程 register 密码的密钥路径。

（2）可选参数

这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动 Harbor 后在 Web UI 上进行更新。如果进入 Harbor.cfg，只会在第一次启动 Harbor 时生效，随后对这些参数的更新，Harbor.cfg 将被忽略。

Email：Harbor 需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才启用。请注意，在默认情况下 SSL 连接时没有启用。如果 SMTP 服务器需要 SSL，但不支持 STARTTLS，那么应该通过设置启用 SSL email_ssl = TRUE。
harbor_admin_password：管理员的初始密码，只在 Harbor 第一次启动时生效。之后，此设置将被忽略，并且应在 UI 中设置管理员的密码。请注意，默认的用户名/密码是admin/Harbor12345。
auth_mode：使用的认证类型，默认情况下，它是 db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为 ldap_auth。
self_registration：启用/禁用用户注册功能。禁用时，新用户只能由 Admin 用户创建，只有管理员用户可以在 Harbor 中创建新用户。注意：当 auth_mode 设置为 ldap_auth 时，自注册功能将始终处于禁用状态，并且该标志被忽略。
Token_expiration：由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟。
project_creation_restriction：用于控制哪些用户有权创建项目的标志。默认情况下，每个人都可以创建一个项目。如果将其值设置为“adminonly”，那么只有 admin 可以创建项目。
verify_remote_cert：打开或关闭，默认打开。此标志决定了当Harbor与远程 register 实例通信时是否验证 SSL/TLS 证书。将此属性设置为 off 将绕过 SSL/TLS 验证，这在远程实例具有自签名或不可信证书时经常使用。

四 Harbor私有仓库的搭建与部署

Harbor服务器	192.168.27.30	docker-ce、docker-compose、harbor-offline-v1.2.2
client服务器	192.168.27.40	docker-ce

1.部署Docker-Compose服务（192.168.27.30）

（1）下载或者上传Docker-Compose

curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose

chmod +x /usr/local/bin/docker-compose

docker-compose --version

故障排除1：

?下载docker-compose时出现“Failed connect to github.com:443; 拒绝连接”

解决方案：vim /etc/hosts

-添加

140.82.114.3 github.com

故障排除2：

再次下载时出现报错"curl: (35) Encountered end of file"，排查发现是443端口没有开启

解决方案：

#开启防火墙
systemctl start firewalld
#放行443端口
firewall-cmd --zone=public --add-port=443/tcp --permanent
#重新加载防火墙
firewall-cmd --reload
#查看是否放行成功
firewall-cmd --zone=public --query-port=443/tcp

2.部署Harbor服务?（192.168.27.30）

（1）下载或上传 Harbor 安装程序

wget http://harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz

tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/

（2）修改harbor安装的配置文件
?

vim /usr/local/harbor/harbor.cfg

--5行--修改，设置为Harbor服务器的IP地址或者域名
hostname = 192.168.27.30
--59行--指定管理员的初始密码，默认的用户名/密码是admin/Harbor12345
harbor_admin_password = Harbor12345

3.启动Harbor（192.168.27.30）

cd /usr/local/harbor/

./prepare            #为harbor 启动的容器生成一些必要的文件（环境）
./install.sh         #以 pull 镜像启动容器

故障排除3：?

输入“./install.sh”时出现报错

查看原因是无法启用 SKIP DNAT 规则，并且指出 iptables 命令执行失败，因为找不到所需的链/目标/匹配。

解决方案：

重启docker

systemctl restart docker

?4.查看Harbor启动镜像（192.168.27.30）

cd /usr/local/harbor/
docker-compose ps

5.创建一个新项目（192.168.27.30）

①浏览器访问：http://192.168.27.30登录Harbor WEB UI 界面，默认的管理员用户名和密码是 admin/Harbor12345

②输入用户名和密码登录界面后可以创建一个新项目。点击“+项目”按钮

③填写项目名称为“myproject-test”，点击“确定”按钮，创建新项目

④此时可使用 Docker 命令在本地通过 127.0.0.1 来登录和推送镜像。默认情况下，Registry 服务器在端口 80 上侦听。

⑤在 Harbor 界面 myproject-test 目录下可看见此镜像及相关信息

（1）登录Harbor

docker login [-u admin -p Harbor12345] http://127.0.0.1

（2）下载镜像测试

docker pull nginx

（3）给镜像打标签

格式：docker tag 镜像:标签  仓库IP/项目名称/镜像名:标签
docker tag nginx:latest 127.0.0.1/myproject-test/nginx:v1

（4）上传镜像到Harbor

docker push 127.0.0.1/myproject-test/nginx:v1

（5）在 Harbor 界面 myproject-test 目录下可看见此镜像及相关信息

文章来源:https://blog.csdn.net/qq_64441401/article/details/135664991
本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若内容造成侵权/违法违规/事实不符，请联系我的编程经验分享网邮箱：chenni525@qq.com进行投诉反馈，一经查实，立即删除！