引言：为何需要私有Docker镜像仓库

在容器化部署成为主流的今天，Docker Hub等公有仓库虽便捷，却存在安全隐患（如镜像篡改）、网络依赖（国内访问不稳定）及成本问题（私有项目收费）。据统计，68%的企业因安全合规要求选择自建仓库，而私有仓库可实现镜像集中管理、权限细分控制及内网高速拉取，成为DevOps体系的关键基础设施。

一、Registry：Docker官方镜像仓库方案

1.1 基础安装与启动

Docker官方提供的Registry镜像（docker.io/library/registry:latest）支持快速部署：

docker run -d -p 5000:5000 --restart=always --name registry \
  -v /data/registry:/var/lib/registry \
  registry:2

关键参数解析：

-v：持久化存储映射，避免容器重启数据丢失
--restart=always：实现故障自愈
端口5000为Registry默认监听端口

1.2 基础功能验证

推送镜像前需标记目标仓库：

docker tag nginx:latest localhost:5000/mynginx:v1
docker push localhost:5000/mynginx:v1

通过curl http://localhost:5000/v2/_catalog可查看仓库镜像列表。

1.3 配置HTTPS加密

生产环境必须启用HTTPS，以Nginx反向代理为例：

server {
    listen 443 ssl;
    server_name registry.example.com;
    ssl_certificate /etc/nginx/certs/fullchain.pem;
    ssl_certificate_key /etc/nginx/certs/privkey.pem;
    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
    }
}

生成自签名证书后，需在客户端配置insecure-registries或使用正式CA签发证书。

1.4 认证与权限控制

通过htpasswd生成基础认证文件：

mkdir -p /auth
docker run --entrypoint htpasswd httpd:2 -Bbn admin admin123 > /auth/htpasswd

启动时挂载认证文件：

docker run -d -p 5000:5000 --restart=always --name registry \
  -v /auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  registry:2

二、Harbor：企业级镜像仓库解决方案

2.1 安装部署

Harbor提供离线安装包，解压后修改harbor.yml：

hostname: harbor.example.com
http:
  port: 80
https:
  certificate: /data/cert/harbor.crt
  private_key: /data/cert/harbor.key
storage_driver:
  name: filesystem
  # 支持AWS S3、Azure Blob等对象存储

执行安装脚本：

./install.sh --with-trivy  # 集成漏洞扫描

2.2 核心功能配置

项目与权限管理：

创建项目时可设置公开/私有属性
通过角色（开发者、访客、管理员）细分权限
支持LDAP/OAuth集成

镜像复制策略：

{
  "name": "mirror-to-aliyun",
  "src_registry": {
    "url": "https://harbor.example.com",
    "insecure": false
  },
  "dest_registry": {
    "url": "https://registry.cn-hangzhou.aliyuncs.com",
    "insecure": false
  },
  "filters": [
    "repository=library/*"
  ],
  "trigger": {
    "type": "immediate"
  }
}

2.3 漏洞扫描集成

Harbor内置Trivy扫描器，配置扫描策略：

# config/trivy.yaml
severity: "HIGH,CRITICAL"
ignore_unfixed: true

扫描结果直接展示在镜像详情页，支持阻断高危镜像推送。

三、高级使用场景

3.1 镜像清理策略

Registry默认不自动清理，可通过以下方式管理：

# 删除未被引用的blob
docker exec registry /bin/registry garbage-collect /etc/registry/config.yml
# Harbor API删除镜像
curl -X DELETE -u admin:Harbor12345 \
  "https://harbor.example.com/api/v2.0/projects/library/repositories/nginx"

3.2 CI/CD集成实践

Jenkins流水线示例：

pipeline {
    agent any
    stages {
        stage('Build') {
            steps {
                sh 'docker build -t harbor.example.com/project/app:${BUILD_NUMBER} .'
            }
        }
        stage('Push') {
            steps {
                withCredentials([usernamePassword(credentialsId: 'harbor-cred', usernameVariable: 'USER', passwordVariable: 'PASS')]) {
                    sh 'docker login harbor.example.com -u $USER -p $PASS'
                    sh 'docker push harbor.example.com/project/app:${BUILD_NUMBER}'
                }
            }
        }
    }
}

3.3 多节点高可用部署

Registry集群方案：

使用S3兼容存储作为后端

配置Nginx负载均衡：

upstream registry {
  server registry1:5000;
  server registry2:5000;
  server registry3:5000;
}

Harbor集群：

共享PostgreSQL数据库
使用Redis作为缓存层
配置共享存储（NFS/GlusterFS）

四、性能优化建议

存储优化：
- 使用SSD存储层数据
- 定期执行registry garbage-collect
- 对大镜像进行分层设计
网络优化：
- 内网环境使用Host网络模式
- 启用HTTP/2协议
- 配置CDN加速镜像下载
监控告警：
- 集成Prometheus监控存储使用率
- 设置镜像数量/大小阈值告警
- 监控推送/拉取操作延迟

五、安全最佳实践

镜像签名验证：

# 生成签名密钥
openssl genrsa -out private.pem 4096
openssl rsa -pubout -in private.pem -out public.pem
# 推送时签名
docker trust key load private.pem --name mykey
docker trust sign harbor.example.com/project/app:v1

审计日志：
- Harbor内置操作日志
- Registry可通过-e REGISTRY_STORAGE_DELETE_ENABLED=true控制删除权限
- 配置syslog集中存储日志
定期安全扫描：
- 每月执行全面漏洞扫描
- 及时更新Harbor/Registry版本
- 监控CVE漏洞数据库

结语：构建企业级镜像管理体系

私有Docker镜像仓库的搭建不仅是技术实现，更是企业DevOps能力的重要体现。通过合理选择Registry或Harbor方案，结合认证授权、漏洞扫描、CI/CD集成等高级功能，可构建起安全、高效、可控的镜像分发体系。建议从基础功能起步，逐步完善监控告警、多活部署等企业级特性，最终实现镜像管理的全生命周期覆盖。

Docker私有镜像仓库搭建指南：从安装到高阶使用