快速搭建Docker镜像仓库：从零到一的完整指南

引言：为什么需要自建Docker镜像仓库？

在容器化部署成为主流的今天，Docker镜像的管理效率直接影响开发、测试和运维的协作质量。公有云提供的镜像仓库（如Docker Hub）虽便捷，但存在网络延迟、安全合规、私有化部署等痛点。自建Docker镜像仓库不仅能提升镜像拉取速度，还能实现权限隔离、审计追踪等高级功能，尤其适合金融、医疗等对数据敏感的行业。

本文将围绕“快速搭建Docker镜像仓库”这一核心需求，提供三种主流方案：基于Docker官方Registry的轻量级部署、基于Harbor的企业级解决方案，以及云服务商提供的托管服务。每种方案均包含详细步骤、配置示例和适用场景分析。

方案一：基于Docker官方Registry的快速部署

1. 核心优势

Docker官方提供的Registry镜像（registry:latest）是搭建私有仓库的最简方案，适合个人开发者或小型团队。其特点包括：

• 零依赖：仅需Docker运行环境，无需额外组件。
• 轻量级：镜像大小仅20MB左右，启动迅速。
• 基础功能完备：支持镜像推送/拉取、HTTP API访问。

2. 部署步骤

2.1 基础命令启动

docker run -d -p 5000:5000 --name registry registry:latest

此命令将Registry容器映射到宿主机的5000端口，启动后可通过http://<宿主机IP>:5000访问。

2.2 配置持久化存储

默认情况下，Registry将镜像存储在容器内，重启后数据丢失。需挂载宿主机目录实现持久化：

docker run -d \
  -p 5000:5000 \
  --name registry \
  -v /data/docker-registry:/var/lib/registry \
  registry:latest

2.3 配置HTTPS（生产环境必备）

公有网络环境下，必须通过HTTPS加密传输。以Nginx反向代理为例：

1. 生成自签名证书：

   openssl req -newkey rsa:4096 -nodes -sha256 -keyout domain.key -x509 -days 365 -out domain.crt

2. 配置Nginx：

   server {
    listen 443 ssl;
    server_name registry.example.com;
    ssl_certificate /path/to/domain.crt;
    ssl_certificate_key /path/to/domain.key;
    location / {
        proxy_pass http://localhost:5000;
    }
   }

3. 重启Registry并修改启动端口为80（或通过--network host共享主机网络）。

3. 客户端配置

推送镜像前，需修改Docker守护进程配置以信任私有仓库：

1. 编辑/etc/docker/daemon.json：

   {
   "insecure-registries": ["registry.example.com"]
   }

2. 重启Docker服务：

   systemctl restart docker

3. 标记并推送镜像：

   docker tag nginx registry.example.com/my-nginx:v1
   docker push registry.example.com/my-nginx:v1

4. 适用场景

• 开发环境快速验证
• 内部工具镜像分发
• 资源受限的边缘计算节点

方案二：基于Harbor的企业级解决方案

1. 核心优势

Harbor是由VMware开源的企业级Docker镜像仓库，提供以下高级功能：

• RBAC权限控制：基于项目的用户/角色管理
• 镜像复制：多仓库间同步镜像
• 漏洞扫描：集成Clair进行安全检测
• UI管理界面：可视化操作降低学习成本

2. 部署步骤

2.1 安装依赖

Harbor依赖Docker和Docker Compose，需提前安装：

# Ubuntu示例
curl -fsSL https://get.docker.com | sh
apt-get install docker-compose

2.2 下载并配置Harbor

1. 从GitHub下载最新版本：

   wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
   tar xvf harbor-online-installer-v2.9.0.tgz
   cd harbor

2. 修改harbor.yml配置文件：

   hostname: harbor.example.com
   http:
   port: 80
   https:
   certificate: /path/to/domain.crt
   private_key: /path/to/domain.key
   harbor_admin_password: Admin12345

2.3 执行安装脚本

./install.sh

安装完成后，访问https://harbor.example.com，使用默认账号admin/Admin12345登录。

3. 高级功能配置

3.1 项目与权限管理

1. 登录Harbor后，创建新项目（如dev-team）。
2. 进入“用户管理”添加成员，分配“开发者”或“访客”角色。
3. 客户端推送镜像时需指定项目：

   docker tag nginx harbor.example.com/dev-team/nginx:v1
   docker push harbor.example.com/dev-team/nginx:v1

3.2 镜像复制策略

1. 在“系统管理”→“复制管理”中添加目标仓库（如另一个Harbor实例）。
2. 创建复制规则，指定源项目、目标项目和触发条件（如手动/定时）。

4. 适用场景

• 中大型企业私有云
• 需要合规审计的金融/医疗行业
• 多团队协同开发环境

方案三：云服务商托管服务（以AWS ECR为例）

1. 核心优势

云服务商提供的托管镜像仓库（如AWS ECR、阿里云CR）具有以下特点：

• 免运维：无需管理服务器、存储和网络
• 高可用：自动跨可用区冗余
• 集成生态：与云原生服务（如EKS、ACS）深度整合

2. 快速上手（AWS ECR）

2.1 创建仓库

1. 登录AWS控制台，进入“ECR”服务。
2. 点击“创建存储库”，输入名称（如my-app），选择“私有”或“公共”访问权限。

2.2 配置AWS CLI

1. 安装并配置AWS CLI：

   pip install awscli
   aws configure
   # 输入Access Key、Secret Key和区域

2. 获取仓库认证令牌：

   aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin <account-id>.dkr.ecr.us-east-1.amazonaws.com

2.3 推送镜像

docker tag nginx <account-id>.dkr.ecr.us-east-1.amazonaws.com/my-app:v1
docker push <account-id>.dkr.ecr.us-east-1.amazonaws.com/my-app:v1

3. 适用场景

• 已有云基础设施的团队
• 需要全球分发的互联网应用
• 预算充足且希望减少运维负担的企业

性能优化与最佳实践

1. 网络加速

• CDN加速：对公有仓库启用CDN（如阿里云CR支持全球加速）。
• P2P传输：使用Dragonfly等P2P工具分发镜像，降低带宽占用。

2. 存储优化

• 分层存储：将热数据（频繁访问的镜像）放在SSD，冷数据（归档镜像）放在HDD。
• 定期清理：通过Harbor的“垃圾回收”功能或Cron脚本删除未使用的镜像层。

3. 安全加固

• 镜像签名：使用Notary对镜像进行签名，防止篡改。
• 审计日志：通过Harbor或云服务商的日志服务记录所有操作。

常见问题与解决方案

Q1：推送镜像时出现“x509: certificate signed by unknown authority”

原因：客户端未信任私有仓库的CA证书。
解决方案：

1. 将CA证书复制到/etc/docker/certs.d/<仓库域名>目录。
2. 重启Docker服务。

Q2：Harbor启动后UI无法访问

原因：防火墙未放行80/443端口，或配置文件中的hostname与实际域名不符。
解决方案：

1. 检查防火墙规则：

   ufw allow 80/tcp
   ufw allow 443/tcp

2. 确认harbor.yml中的hostname与DNS解析一致。

总结：如何选择适合的方案？

推荐路径：

1. 快速验证：选择Docker Registry，10分钟内完成部署。
2. 生产环境：评估团队规模，20人以下可先用Registry+简单权限控制，超过50人建议直接上Harbor。
3. 云上用户：优先使用云服务商托管服务，避免重复造轮子。

通过本文的三种方案，开发者可根据实际需求快速搭建Docker镜像仓库，实现镜像的高效管理与安全分发。