一、为什么需要私有镜像仓库？

在企业级DevOps实践中，直接使用Docker Hub等公有仓库存在三大痛点：

网络依赖风险：跨地域访问公有仓库常因网络不稳定导致镜像拉取失败
安全隐患：核心业务镜像包含敏感配置，公有仓库存在数据泄露风险
带宽成本：大规模镜像传输消耗企业出口带宽，影响其他业务

私有镜像仓库通过本地化部署解决上述问题，同时支持：

镜像版本精细化管理
审计日志追踪
构建缓存加速
多环境隔离

二、基础环境准备

2.1 服务器选型建议

硬件配置：建议4核8G以上，存储空间按镜像总量1.5倍预留
操作系统：推荐CentOS 7/8或Ubuntu 20.04 LTS
网络要求：开放5000(HTTP)和443(HTTPS)端口

2.2 Docker环境安装

# CentOS 7示例
curl -fsSL https://get.docker.com | sh
systemctl enable docker
systemctl start docker
# 配置镜像加速（可选）
sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://registry.docker-cn.com"]
}
EOF
sudo systemctl restart docker

三、Registry基础部署

3.1 快速启动方案

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  registry:2.7.1

验证服务：

curl http://localhost:5000/v2/_catalog
# 应返回 {"repositories":[]}

3.2 存储配置优化

通过卷挂载实现持久化存储：

mkdir -p /data/registry
docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /data/registry:/var/lib/registry \
  registry:2.7.1

四、安全加固方案

4.1 HTTPS证书配置

生成自签名证书（生产环境建议使用CA签发证书）：

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 \
  -keyout certs/domain.key -x509 -days 365 \
  -out certs/domain.crt -subj "/CN=registry.example.com"

启动带证书的Registry：

docker run -d \
  -p 443:443 \
  --restart=always \
  --name registry \
  -v /path/to/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -v /data/registry:/var/lib/registry \
  registry:2.7.1

4.2 基础认证配置

使用htpasswd创建认证文件：

mkdir auth
docker run --entrypoint htpasswd \
  registry:2.7.1 -Bbn testuser testpass > auth/htpasswd

启动带认证的Registry：

docker run -d \
  -p 443:443 \
  --restart=always \
  --name registry \
  -v /path/to/certs:/certs \
  -v /path/to/auth:/auth \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \
  -v /data/registry:/var/lib/registry \
  registry:2.7.1

五、高级功能实现

5.1 镜像清理策略

配置存储删除API（需Registry 2.4+）：

# 启用删除API
docker run -d \
  -e REGISTRY_STORAGE_DELETE_ENABLED=true \
  # 其他参数...

使用curl删除镜像：

# 先获取digest
curl -u testuser:testpass -I https://registry.example.com/v2/repo/name/manifests/latest
# 提取Docker-Content-Digest值后执行删除
curl -u testuser:testpass -XDELETE https://registry.example.com/v2/repo/name/manifests/<digest>

5.2 镜像扫描集成

推荐方案：

Clair集成：通过registry-proxy-clair-middleware实现
Trivy集成：使用Trivy的Registry扫描功能

5.3 复制与同步

使用docker-distribution的复制功能：

# 配置config.yml
version: 0.1
log:
  level: debug
storage:
  delete:
    enabled: true
  cache:
    blobdescriptor: inmemory
  filesystem:
    rootdirectory: /var/lib/registry
http:
  addr: :5000
  headers:
    X-Content-Type-Options: [nosniff]
replication:
  - name: remote-registry
    url: https://remote-registry.example.com
    timeout: 5m
    retrycount: 3

六、运维监控方案

6.1 Prometheus监控

配置Registry的Prometheus端点：

docker run -d \
  -p 5001:5001 \
  -e REGISTRY_PROMETHEUS_ENABLED=true \
  # 其他参数...

在Prometheus配置中添加：

scrape_configs:
  - job_name: 'registry'
    static_configs:
      - targets: ['registry.example.com:5001']

6.2 日志集中管理