一、为什么需要自建镜像仓库？

在容器化部署成为主流的今天，Docker Hub等公共仓库存在以下痛点：

网络依赖：国内访问速度不稳定，拉取镜像耗时
安全隐患：敏感镜像（如含密钥的配置）暴露在公共平台
成本问题：企业级用户需支付私有仓库费用
合规要求：金融、医疗等行业需满足数据本地化存储规范

通过自建镜像仓库，可实现：

完全可控的镜像存储环境
自定义认证授权体系
镜像版本追溯与审计
配合CI/CD实现自动化部署

二、技术选型与方案对比

推荐方案：Docker Registry + Nginx反向代理（适合中小团队）或Harbor（适合企业级需求）

三、从0到1搭建Docker Registry

3.1 基础环境准备

# 示例系统：Ubuntu 22.04 LTS
sudo apt update
sudo apt install -y docker.io nginx certbot python3-certbot-nginx

3.2 启动基础Registry服务

docker run -d \
  --name registry \
  -p 5000:5000 \
  --restart=always \
  -v /data/registry:/var/lib/registry \
  registry:2

关键参数说明：

-v：持久化存储镜像数据
--restart：容器异常时自动重启
建议使用registry:2.8.1（LTS版本）

3.3 配置HTTPS访问（必做）

获取SSL证书：

sudo certbot --nginx -d registry.yourdomain.com

配置Nginx反向代理：

server {
 listen 443 ssl;
 server_name registry.yourdomain.com;
 ssl_certificate /etc/letsencrypt/live/registry.yourdomain.com/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/registry.yourdomain.com/privkey.pem;
 location / {
     proxy_pass http://localhost:5000;
     proxy_set_header Host $host;
     proxy_set_header X-Real-IP $remote_addr;
 }
}

3.4 添加基本认证

创建密码文件：

mkdir -p /data/registry/auth
docker run --entrypoint htpasswd \
httpd:2 -Bbn username password > /data/registry/auth/htpasswd

修改Registry启动参数：

docker stop registry
docker rm registry
docker run -d \
--name registry \
-p 5000:5000 \
-v /data/registry:/var/lib/registry \
-v /data/registry/auth:/auth \
-e "REGISTRY_AUTH=htpasswd" \
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \
-e "REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd" \
--restart=always \
registry:2

四、企业级方案：Harbor部署指南

4.1 安装前准备

# 安装依赖
sudo apt install -y docker-compose
# 下载Harbor安装包
wget https://github.com/goharbor/harbor/releases/download/v2.7.0/harbor-online-installer-v2.7.0.tgz
tar xvf harbor-online-installer-v2.7.0.tgz
cd harbor

4.2 配置harbor.yml

hostname: harbor.yourdomain.com
http:
  port: 80
https:
  certificate: /path/to/cert.pem
  private_key: /path/to/key.pem
harbor_admin_password: Harbor12345
database:
  password: root123
  max_open_conns: 1000
  max_idle_conns: 500

4.3 启动服务

sudo ./install.sh --with-trivy --with-chartmuseum

关键组件说明：

Trivy：漏洞扫描
ChartMuseum：Helm Chart存储
默认管理账号：admin/Harbor12345

五、镜像推送全流程演示

5.1 登录私有仓库

# Docker Registry方式
docker login registry.yourdomain.com
# Harbor方式
docker login harbor.yourdomain.com

5.2 标记并推送镜像

# 标记本地镜像
docker tag nginx:latest registry.yourdomain.com/library/nginx:v1
# 推送镜像
docker push registry.yourdomain.com/library/nginx:v1

5.3 验证镜像存储

# 查看仓库中的镜像
curl -u username:password https://registry.yourdomain.com/v2/_catalog
# 查看特定镜像的tags
curl -u username:password https://registry.yourdomain.com/v2/library/nginx/tags/list

六、高级功能实现

6.1 镜像自动清理策略

# 在Registry配置中添加
storage:
  delete:
    enabled: true
  maintenance:
    uploadpurging:
      enabled: true
      age: 168h
      interval: 24h
      dryrun: false

6.2 镜像复制（多地域同步）

Harbor中配置复制规则：

创建目标端点（另一个Harbor实例）
设置复制模式（Push/Pull）
配置过滤规则（按项目/标签）

6.3 日志审计配置

# Nginx日志配置示例
log_format registry_log '$remote_addr - $remote_user [$time_local] '
                        '"$request" $status $body_bytes_sent '
                        '"$http_referer" "$http_user_agent" "$docker_image"';
server {
    ...
    access_log /var/log/nginx/registry.access.log registry_log;
    ...
}

七、常见问题解决方案

7.1 推送镜像时报错”x509: certificate signed by unknown authority”

解决方案：

获取CA证书并添加到系统信任链
或配置Docker信任该仓库（不推荐生产环境）：
```
{
"insecure-registries" : ["registry.yourdomain.com"]
}
```

7.2 Harbor启动失败排查步骤

检查端口冲突：netstat -tulnp | grep 80
查看日志：docker logs -f harbor-core
验证配置文件语法：./prepare --conf harbor.yml

7.3 镜像拉取速度优化

配置镜像缓存代理
使用CDN加速（如阿里云镜像加速）
实施P2P分发（如Dragonfly）

八、最佳实践建议

备份策略：
- 每日快照Registry数据目录
- 定期备份Harbor数据库
安全加固：
- 启用双因素认证（Harbor 2.0+）
- 定期轮换证书和密码
- 限制管理员权限
监控告警：
- 监控存储空间使用率
- 跟踪镜像推送/拉取频率
- 设置异常登录告警
升级策略：
- 小版本每月升级
- 大版本测试环境验证后升级
- 升级前备份所有数据

通过以上步骤，您已成功搭建并配置了私有镜像仓库，实现了从0到1的完整建设。根据实际需求，可选择轻量级的Docker Registry方案或功能全面的Harbor企业级方案。建议从基础方案开始，随着业务发展逐步扩展功能。

从0到1：手把手搭建私有镜像仓库并推送镜像指南