K8s环境在线部署Harbor镜像仓库全流程指南

一、技术背景与核心价值

在云原生技术栈中，Harbor作为开源的企业级镜像仓库，通过支持镜像复制、漏洞扫描、RBAC权限控制等功能，已成为Kubernetes（K8s）环境下的标准镜像管理方案。相较于Docker Registry，Harbor提供更完善的权限体系（基于RBAC）、镜像签名验证、审计日志等企业级特性，特别适合多团队协同开发场景。

在K8s集群中部署Harbor可实现：

• 镜像存储与版本管理的集中化
• 跨集群镜像同步的自动化
• 镜像安全扫描的集成化
• 访问权限的细粒度控制

二、部署前环境准备

2.1 基础环境要求

• K8s集群版本：建议1.21+版本，需支持Ingress资源
• 存储类型：需配置持久化存储（如NFS、Ceph、AWS EBS等）
• 网络要求：NodePort或LoadBalancer类型Service
• 域名配置：建议配置独立域名（如harbor.example.com）

2.2 依赖组件安装

1. Helm安装：

   # 安装Helm v3+
   curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3
   chmod 700 get_helm.sh
   ./get_helm.sh

2. 持久化存储准备：
   以NFS为例创建StorageClass：

   apiVersion: storage.k8s.io/v1
   kind: StorageClass
   metadata:
   name: nfs-storage
   provisioner: k8s-sigs.io/nfs-subdir-external-provisioner
   parameters:
   archiveOnDelete: "false"

三、Harbor部署实施

3.1 Helm Chart配置

1. 添加Bitnami仓库：

   helm repo add bitnami https://charts.bitnami.com/bitnami
   helm repo update

2. 创建values.yaml定制文件：
   ```yaml

   values.yaml核心配置示例

   expose:
   type: ingress
   tls:
   enabled: true
   certSource: secret
   secret:
   secretName: “harbor-tls”
   items:

    - key: "tls.crt"
      path: "tls.crt"
    - key: "tls.key"
      path: "tls.key"

   ingress:
   hosts:

   • host: harbor.example.com
     paths:
     • path: /
       pathType: ImplementationSpecific
       annotations:
       kubernetes.io/ingress.class: nginx
       nginx.ingress.kubernetes.io/proxy-body-size: “0”

persistence:
enabled: true
persistentVolumeClaim:
storageClass: “nfs-storage”
accessModes: [“ReadWriteOnce”]
size: 20Gi

harborAdminPassword: “Harbor12345” # 生产环境建议使用Secret

database:
internal:
password: “DbPassword123”

core:
replicas: 2
resources:
requests:
cpu: “100m”
memory: “256Mi”
limits:
cpu: “500m”
memory: “1Gi”

### 3.2 部署执行流程
1. 创建命名空间：
```bash
kubectl create namespace harbor

1. 执行Helm安装：

   helm install harbor bitnami/harbor \
   --namespace harbor \
   -f values.yaml \
   --set expose.ingress.hosts[0].host=harbor.example.com

2. 验证部署状态：

   kubectl get pods -n harbor
   # 预期输出：
   # NAME                      READY   STATUS    RESTARTS   AGE
   # harbor-core-xxxxxx-xxx   1/1     Running   0          2m
   # harbor-database-0        1/1     Running   0          2m
   # harbor-portal-xxxxxx-xxx 1/1     Running   0          2m

四、部署后配置优化

4.1 客户端配置

1. 配置Docker信任Harbor：

   # 创建/etc/docker/daemon.json
   {
   "insecure-registries" : ["harbor.example.com"],
   "registry-mirrors": []
   }
   # 重启服务
   systemctl restart docker

2. 登录Harbor：

   docker login harbor.example.com
   # 输入用户名admin和配置的密码

4.2 高级功能配置

1. 项目创建与权限管理：

   # 通过API创建项目（需先获取admin token）
   curl -X POST -u "admin:Harbor12345" \
   -H "Content-Type: application/json" \
   -d '{"project_name": "dev-team", "public": false}' \
   "https://harbor.example.com/api/v2.0/projects"

2. 镜像复制策略：

   # 创建replication-policy.yaml
   apiVersion: goharbor.io/v1alpha1
   kind: ReplicationPolicy
   metadata:
   name: dev-to-prod
   spec:
   name: dev-to-prod
   project: dev-team
   filters:
   - type: name
    value: "*-prod"
   destRegistry:
    name: prod-registry
    url: "https://prod-harbor.example.com"
    insecure: false
   trigger:
    type: manual

五、运维管理最佳实践

5.1 监控告警配置

1. Prometheus监控配置：

   # serviceMonitor.yaml
   apiVersion: monitoring.coreos.com/v1
   kind: ServiceMonitor
   metadata:
   name: harbor-monitor
   labels:
    release: prometheus-operator
   spec:
   selector:
    matchLabels:
      app.kubernetes.io/name: harbor
   endpoints:
   - port: http
    interval: 30s
    path: /metrics

2. 关键监控指标：

• harbor_project_count：项目数量
• harbor_artifact_count：镜像数量
• harbor_request_duration_seconds：请求延迟

5.2 备份恢复方案

1. 数据库备份：

   kubectl exec -n harbor harbor-database-0 -- \
   pg_dump -U postgres -h 127.0.0.1 registry > backup.sql

2. 持久化数据备份：

   # 假设使用NFS存储
   tar -czvf harbor-data-backup.tar.gz /mnt/nfs/harbor/

六、常见问题解决方案

6.1 部署故障排查

1. Pod启动失败：

   # 查看详细日志
   kubectl logs -n harbor harbor-core-xxxxxx-xxx --previous
   # 常见原因：
   # - 存储卷挂载失败（检查PVC状态）
   # - 数据库连接失败（验证密码配置）
   # - 端口冲突（检查NodePort/LoadBalancer配置）

2. Ingress访问502错误：

   # 检查Nginx Ingress Controller日志
   kubectl logs -n ingress-nginx ingress-nginx-controller-xxxxxx-xxx
   # 常见解决方案：
   # - 增加core组件资源限制
   # - 调整proxy_body_size配置

6.2 性能优化建议

1. 水平扩展配置：

   # 在values.yaml中调整副本数
   core:
   replicas: 3
   jobservice:
   replicas: 2

2. 缓存优化：

   # 启用Redis缓存
   cache:
   enabled: true
   redis:
    host: redis-master
    port: 6379

七、升级与扩展指南

7.1 版本升级流程

1. 升级前准备：

   # 备份当前配置
   helm get values harbor -n harbor > current-values.yaml
   # 备份持久化数据

2. 执行升级：

   helm upgrade harbor bitnami/harbor \
   -n harbor \
   -f current-values.yaml \
   --set core.image.tag=2.6.0

7.2 多集群部署架构

推荐采用”中心+边缘”架构：

中心Harbor（主仓库）
  │
  ├── 边缘Harbor1（同步dev镜像）
  └── 边缘Harbor2（同步prod镜像）

通过配置复制策略实现镜像自动同步，降低网络带宽消耗。

八、安全加固建议

8.1 网络安全配置

1. NetworkPolicy示例：

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
   name: harbor-network-policy
   spec:
   podSelector:
    matchLabels:
      app.kubernetes.io/name: harbor
   policyTypes:
   - Ingress
   ingress:
   - from:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: ingress-nginx
    ports:
    - protocol: TCP
      port: 80

2. TLS证书管理：

   # 使用cert-manager自动签发证书
   kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.11.0/cert-manager.yaml
   # 创建Certificate资源

8.2 数据安全配置

1. 镜像签名验证：

   # 在values.yaml中启用Notary
   notary:
   enabled: true
   server:
    replicas: 1
   signer:
    replicas: 1

2. 定期安全扫描：

   # 配置Clair扫描器
   clair:
   enabled: true
   image:
    repository: bitnami/clair
    tag: 2.1.6-debian-10-r0

九、总结与展望

通过Helm在K8s集群中部署Harbor镜像仓库，可实现从开发到生产的全流程镜像管理。实际部署中需重点关注：

1. 持久化存储的性能与可靠性
2. 网络安全策略的严格实施
3. 监控告警体系的完整覆盖
4. 备份恢复方案的定期演练

未来发展方向包括：

• 与Service Mesh的深度集成
• AI驱动的镜像漏洞预测
• 跨云存储的统一管理

建议企业用户建立完善的Harbor运维规范，包括定期安全审计、容量规划、灾备演练等制度，确保镜像仓库的稳定运行。