一、Harbor简介与核心价值

Harbor是由VMware公司开源的企业级Docker镜像仓库管理工具，提供镜像存储、权限控制、镜像签名、漏洞扫描等核心功能。相较于原生Docker Registry，Harbor的优势体现在：

基于角色的访问控制（RBAC）
镜像复制与同步能力
图形化Web管理界面
集成Clair进行漏洞扫描
支持AD/LDAP集成
镜像签名与验证机制

典型应用场景包括：

构建企业私有镜像仓库
实现跨数据中心的镜像分发
满足金融、医疗等行业的合规要求
支撑CI/CD流水线的镜像管理

二、安装环境准备

1. 硬件配置要求

组件	最低配置	推荐配置
CPU	2核	4核及以上
内存	4GB	8GB及以上
磁盘空间	40GB	200GB+（SSD）
网络带宽	100Mbps	千兆网络

2. 软件依赖检查

# 检查Docker版本（需17.06+）
docker --version
# 检查Docker Compose版本（需1.18.0+）
docker-compose --version
# 安装依赖工具
yum install -y wget curl unzip

3. 主机配置优化

# 配置系统参数
cat >> /etc/sysctl.conf <<EOF
vm.max_map_count=262144
net.ipv4.ip_forward=1
EOF
sysctl -p
# 关闭防火墙（生产环境建议配置规则）
systemctl stop firewalld
systemctl disable firewalld

三、Harbor安装部署流程

1. 下载安装包

# 获取最新版本（示例为v2.9.0）
wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
# 解压安装包
tar xvf harbor-online-installer-v2.9.0.tgz
cd harbor

2. 配置harbor.yml

# 核心配置项说明
hostname: registry.example.com  # 必须为可解析的域名
http:
  port: 80
https:
  certificate: /data/cert/server.crt
  private_key: /data/cert/server.key
harbor_admin_password: Harbor12345  # 默认管理员密码
database:
  password: root123
  max_idle_conns: 50
  max_open_conns: 100
storage_driver:
  name: filesystem
  # filesystem配置示例
  filesystem:
    rootdirectory: /var/lib/harbor
  # S3配置示例
  # s3:
  #   accesskey: xxx
  #   secretkey: xxx
  #   region: us-west-1
  #   bucket: harbor-bucket

3. 执行安装脚本

# 修改配置后执行
./install.sh --with-trivy --with-chartmuseum
# 安装日志关键点
# 1. 初始化数据库
# 2. 生成自签名证书（如未配置HTTPS）
# 3. 启动核心组件：
#    - core（API服务）
#    - registry（镜像存储）
#    - jobservice（任务调度）
#    - portal（Web界面）
#    - trivy（漏洞扫描）

4. 启动后验证

# 检查容器状态
docker-compose ps
# 验证服务端口
netstat -tulnp | grep 80
# 访问Web界面
# 浏览器访问 http://hostname
# 默认账号：admin/Harbor12345

四、核心功能配置

1. 项目管理实践

# 使用Harbor CLI创建项目
curl -u "admin:Harbor12345" -X POST -H "Content-Type: application/json" \
  -d '{"project_name": "devops", "public": false}' \
  http://registry.example.com/api/v2.0/projects
# 项目权限配置建议：
# - 开发环境：开放pull权限
# - 生产环境：严格RBAC控制
# - 公共项目：启用内容信任

2. 镜像复制策略

# 复制规则配置示例
replication:
  - name: prod-to-dev
    disabled: false
    src_registry:
      url: http://registry.example.com
      insecure: true
    dest_registry:
      url: http://dev-registry.example.com
      insecure: true
    dest_namespace: "devops/*"
    trigger:
      type: manual
    filters:
      tag_filter:
        pattern: "v*"

3. 漏洞扫描配置

# 启用每日扫描任务
docker exec -it harbor-jobservice /bin/sh
crontab -e
# 添加：
0 2 * * * /harbor/scan_all.sh
# 扫描结果查看
curl -u "admin:Harbor12345" \
  http://registry.example.com/api/v2.0/projects/library/repositories/nginx/artifacts/1.23/vulnerabilities

五、运维管理最佳实践

1. 备份恢复方案

# 数据库备份
docker exec -it harbor-db \
  pg_dump -U postgres -h 127.0.0.1 registry > harbor_db.sql
# 配置备份
cp -r /var/lib/harbor /backup/harbor_config_$(date +%Y%m%d)
# 恢复流程
1. 停止服务：docker-compose down
2. 恢复数据库：psql -U postgres registry < backup.sql
3. 恢复配置：cp -r /backup/harbor_config/* /var/lib/harbor/
4. 重启服务：docker-compose up -d

2. 性能优化建议

存储优化：
- 使用SSD存储镜像
- 配置存储类（StorageClass）
- 定期清理未使用的镜像
网络优化：
- 启用HTTP/2协议
- 配置CDN加速
- 使用镜像加速器
数据库优化：
- 调整PostgreSQL配置参数
- 定期执行VACUUM FULL
- 考虑读写分离架构

3. 监控告警配置

# Prometheus监控配置示例
scrape_configs:
  - job_name: 'harbor'
    metrics_path: '/api/v2.0/metrics'
    static_configs:
      - targets: ['registry.example.com:80']
    basic_auth:
      username: 'prometheus'
      password: 'prom-password'
# 告警规则示例
groups:
- name: harbor.rules
  rules:
  - alert: HighDiskUsage
    expr: (1 - (node_filesystem_avail_bytes{fstype="xfs"} / node_filesystem_size_bytes{fstype="xfs"})) * 100 > 85
    for: 10m
    labels:
      severity: warning
    annotations:
      summary: "Harbor存储空间不足"

六、常见问题解决方案

1. 证书配置问题

现象：浏览器提示”您的连接不是私密连接”
解决：

生成自签名证书：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /data/cert/server.key -out /data/cert/server.crt \
-subj "/CN=registry.example.com"

配置主机信任：

# Linux客户端
sudo cp /data/cert/server.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust

2. 镜像推送失败

错误示例：denied: requested access to the resource is denied
排查步骤：

检查项目权限
验证登录状态：
```
docker login registry.example.com
```

检查镜像命名规范：

# 正确格式
docker tag nginx registry.example.com/project-name/nginx:v1

3. 性能瓶颈分析

诊断工具：

容器资源监控：
```
docker stats
```

数据库性能分析：

-- PostgreSQL慢查询日志
ALTER SYSTEM SET log_min_duration_statement = '1000';

网络延迟测试：

curl -o /dev/null -s -w '%{time_total}\n' http://registry.example.com/v2/_catalog

七、升级与扩展指南

1. 版本升级流程

# 1. 备份数据
./prepare --conf harbor.yml --backup
# 2. 下载新版本
wget https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-online-installer-v2.10.0.tgz
# 3. 执行升级
./install.sh --with-trivy --with-chartmuseum --upgrade
# 4. 验证升级
docker-compose ps

2. 集群部署方案

架构组成：

主节点：API服务、数据库
从节点：镜像存储、任务执行
负载均衡：Nginx或HAProxy

配置示例：

# 主节点配置
core:
  data_volume: /var/lib/harbor
  trivy:
    ignore_unfixed: false
    skip_update: false
# 从节点配置（harbor.yml）
replication:
  mode: slave
  master_uri: https://master.example.com

3. 高可用设计

推荐方案：

数据库集群：PostgreSQL流复制
存储冗余：分布式文件系统（如Ceph）
服务冗余：至少3个节点部署
负载均衡：Keepalived+Nginx

健康检查配置：

upstream harbor {
    server 192.168.1.101:80 max_fails=3 fail_timeout=30s;
    server 192.168.1.102:80 max_fails=3 fail_timeout=30s;
    server 192.168.1.103:80 max_fails=3 fail_timeout=30s;
}
server {
    listen 80;
    location / {
        proxy_pass http://harbor;
        proxy_next_upstream error timeout invalid_header http_500 http_502 http_503 http_504;
    }
}

结语

Harbor作为企业级Docker镜像仓库解决方案，其安装部署涉及环境准备、配置优化、功能配置、运维管理等多个层面。本文详细阐述了从单机部署到集群高可用的完整实施路径，特别强调了安全配置、性能优化和故障处理等关键环节。实际部署时，建议结合企业具体需求进行定制化配置，并建立完善的监控告警体系，确保镜像仓库的稳定运行。”

Docker镜像仓库Harbor安装部署全流程指南