KubeSphere 使用 HTTPS 协议集成 Harbor 镜像仓库指南

在当今的云原生和容器化浪潮中，KubeSphere 作为一款开源的容器平台，提供了强大的管理功能，包括集群管理、应用管理、服务网格等。而 Harbor 作为一个开源的企业级私有 Docker 镜像仓库，提供了安全的镜像存储和分发功能。将两者通过 HTTPS 协议集成，可以确保镜像传输的安全性，提升整个容器化环境的可靠性。本文将详细介绍如何在 KubeSphere 中使用 HTTPS 协议集成 Harbor 镜像仓库。

一、环境准备

在开始集成之前，需要确保以下环境已准备就绪：

KubeSphere 环境：已安装并配置好 KubeSphere 容器平台。
Harbor 环境：已安装并配置好 Harbor 镜像仓库，且支持 HTTPS 协议。
证书文件：确保有有效的 SSL/TLS 证书文件，包括证书（.crt 或 .pem）和私钥（.key）。

1.1 证书准备

证书是 HTTPS 通信的基础，用于加密数据传输。可以从以下途径获取证书：

自签名证书：适用于测试环境，可通过 OpenSSL 工具生成。
CA 签发证书：适用于生产环境，需向受信任的证书颁发机构（CA）申请。

生成自签名证书的示例命令（使用 OpenSSL）：

# 生成私钥
openssl genrsa -out harbor.key 2048
# 生成证书签名请求（CSR）
openssl req -new -key harbor.key -out harbor.csr
# 生成自签名证书（有效期365天）
openssl x509 -req -days 365 -in harbor.csr -signkey harbor.key -out harbor.crt

二、Harbor 配置

2.1 启用 HTTPS

在 Harbor 的安装配置文件（通常是 harbor.yml 或 harbor.cfg）中，确保以下配置项已正确设置：

# 示例配置片段
hostname: your.harbor.domain
https:
  # 设置为 true 以启用 HTTPS
  enabled: true
  # 证书文件路径
  certificate: /path/to/harbor.crt
  # 私钥文件路径
  private_key: /path/to/harbor.key

修改配置后，重新运行 Harbor 的安装脚本以应用更改。

2.2 创建项目与用户

三、KubeSphere 集成 Harbor

3.1 配置 KubeSphere 的镜像仓库

在 KubeSphere 中，可以通过以下步骤配置镜像仓库：

登录 KubeSphere 控制台：使用管理员账户登录。
进入集群设置：在左侧导航栏中选择“集群管理”，然后选择目标集群。
配置镜像仓库：
- 在集群设置中，找到“镜像仓库”或类似选项。
- 点击“添加镜像仓库”或“编辑”按钮。
- 填写镜像仓库信息，包括名称、URL（HTTPS 格式，如 https://your.harbor.domain）、用户名和密码（或访问令牌）。
- 如果 Harbor 使用了自签名证书，可能需要勾选“跳过 TLS 验证”选项（不推荐在生产环境使用），或上传证书文件以供验证。

3.2 验证集成

配置完成后，可以通过以下方式验证集成是否成功：

推送镜像：在本地构建一个 Docker 镜像，并尝试将其推送到 Harbor 仓库。
```
docker tag your-image your.harbor.domain/your-project/your-image:tag
docker push your.harbor.domain/your-project/your-image:tag
```
如果推送成功，说明 KubeSphere 能够通过 HTTPS 协议与 Harbor 通信。
拉取镜像：在 KubeSphere 中创建一个工作负载或部署，使用 Harbor 中的镜像作为容器镜像。如果工作负载能够正常启动并运行，说明镜像拉取成功。

四、高级配置与优化

4.1 使用 Secret 管理凭据

为了安全起见，不建议在 KubeSphere 的配置界面直接输入明文密码。可以使用 Kubernetes 的 Secret 资源来存储和管理镜像仓库的凭据。

创建 Secret：

kubectl create secret docker-registry harbor-secret \
  --docker-server=your.harbor.domain \
  --docker-username=your-username \
  --docker-password=your-password \
  --docker-email=your-email@example.com

在部署中使用 Secret：
在创建或编辑部署时，指定使用上述 Secret 作为镜像拉取凭据。

4.2 优化网络性能

如果 KubeSphere 和 Harbor 位于不同的网络环境中，可能会遇到网络延迟或带宽限制的问题。可以考虑以下优化措施：

使用 CDN 或镜像缓存：在靠近 KubeSphere 集群的位置部署镜像缓存或 CDN，减少直接从 Harbor 拉取镜像的次数。
调整镜像大小：优化 Docker 镜像，减少不必要的层和文件，以降低网络传输量。

五、常见问题与解决方案

5.1 证书验证失败

问题描述：在尝试从 Harbor 拉取或推送镜像时，出现证书验证失败的错误。

解决方案：

确保 Harbor 的证书是有效的，并且由受信任的 CA 签发。
如果使用自签名证书，可以在 KubeSphere 中上传证书文件，或暂时跳过 TLS 验证（不推荐）。
检查系统时间是否正确，因为证书有效期依赖于系统时间。

5.2 权限不足

问题描述：在尝试从 Harbor 拉取或推送镜像时，出现权限不足的错误。