一、Harbor镜像仓库未授权访问风险与防范

1.1 未授权访问的典型场景与安全威胁

Harbor作为企业级Docker镜像仓库，其默认配置可能存在未授权访问漏洞。典型场景包括：

未配置访问控制：未启用Harbor的认证机制（如LDAP、OAuth2或本地数据库认证），导致攻击者可直接拉取/推送镜像。
端口暴露：Harbor的Web服务端口（默认80/443）或API端口（默认8080）未限制IP访问，被扫描工具探测后成为攻击入口。
权限配置错误：项目（Project）级别的读写权限未正确分配，导致普通用户获得超出预期的操作权限。

安全威胁包括：

数据泄露：攻击者窃取敏感镜像（如含密钥的配置文件）。
恶意镜像注入：上传包含后门或漏洞的镜像，污染企业CI/CD流水线。
资源耗尽：通过高频拉取镜像占用带宽，或推送大量无用镜像填满存储。

1.2 防范未授权访问的实践建议

1.2.1 启用强制认证

在harbor.yml中配置认证方式，例如启用本地数据库认证：

# harbor.yml 示例
auth_mode: db_auth  # 可选：ldap_auth/oauth2_auth

重启Harbor服务后，所有访问需通过admin账户或创建的用户登录。

1.2.2 限制网络访问

防火墙规则：仅允许内网IP或特定白名单IP访问Harbor端口。

# Ubuntu示例：使用ufw限制80/443端口
sudo ufw allow from 192.168.1.0/24 to any port 80
sudo ufw allow from 192.168.1.0/24 to any port 443

Nginx反向代理：通过Nginx的allow/deny指令限制访问源。

1.2.3 最小权限原则

项目级别权限：在Harbor Web控制台中，为每个项目分配独立的读写权限。例如：
- 开发团队：仅允许拉取（Read）。
- CI/CD机器人账户：允许拉取和推送（Read/Write）。
- 管理员：拥有所有权限（Admin）。
机器人账户：为自动化工具创建专用账户，并限制其操作范围。

二、Harbor镜像仓库初始配额管理

2.1 初始配额的必要性

初始配额用于限制用户或项目的存储使用量，避免因单个用户过度占用资源导致仓库崩溃。典型场景包括：

多团队共享：限制每个团队的存储上限，确保公平性。
成本控制：防止因镜像膨胀导致存储成本激增。
合规要求：满足行业对数据存储量的审计需求。

2.2 配置初始配额的方法

2.2.1 全局默认配额

在harbor.yml中设置全局默认配额（单位：GB）：

# harbor.yml 示例
storage_limit:
  default_quota: 100  # 默认配额100GB

重启后，新创建的项目将自动继承此配额。

2.2.2 项目级别配额

通过Harbor API或Web控制台为特定项目设置配额：

API方式

# 使用curl设置项目配额为200GB
curl -X PUT \
  -u "admin:Harbor12345" \
  -H "Content-Type: application/json" \
  -d '{"storage_quota": 200}' \
  "http://harbor.example.com/api/v2.0/projects/1/storage"

Web控制台方式

登录Harbor，进入目标项目。
点击配置 → 存储配额。
输入配额值（如200GB），保存。

2.2.3 用户级别配额

Harbor默认不支持直接为用户设置配额，但可通过以下方式间接实现：

按项目分配：将每个用户关联到独立项目，并为项目设置配额。
自定义脚本：通过Harbor API定期检查用户推送的镜像大小，超过阈值时触发告警或删除操作。

三、高级实践：配额与安全的联动

3.1 配额超限时的告警机制

配置Prometheus+Alertmanager监控Harbor存储使用量，当项目配额达到90%时发送告警：

# Prometheus告警规则示例
groups:
- name: harbor.rules
  rules:
  - alert: StorageQuotaNearLimit
    expr: harbor_project_storage_bytes / 1e9 > (harbor_project_storage_quota_bytes / 1e9 * 0.9)
    for: 5m
    labels:
      severity: warning
    annotations:
      summary: "项目 {{ $labels.project }} 存储配额已使用90%"

3.2 未授权访问的日志审计

通过Harbor的日志功能记录所有访问行为，结合ELK（Elasticsearch+Logstash+Kibana）分析异常操作：

# Harbor日志示例（JSON格式）
{
  "timestamp": "2023-10-01T12:00:00Z",
  "action": "pull",
  "project": "my-project",
  "user": "anonymous",  // 未授权用户
  "repo": "library/nginx",
  "status": "success"
}

在Kibana中设置告警规则，当检测到user="anonymous"时触发安全响应。

四、总结与建议

4.1 关键结论

未授权访问是Harbor的主要安全风险，必须通过认证、网络隔离和权限控制三重防护。
初始配额是资源管理的核心工具，需结合全局默认值和项目级细粒度配置。
安全与配额需联动，通过监控和日志审计实现闭环管理。

4.2 实施建议

立即检查Harbor配置：确认认证、网络和权限是否按最小权限原则配置。
为所有项目设置配额：优先为生产环境项目设置严格配额（如50GB）。
定期审计日志：每月检查未授权访问记录，优化安全策略。

通过以上措施，企业可构建一个安全、高效且可控的Harbor镜像仓库环境，支撑持续集成与交付的流畅运行。

Harbor镜像仓库安全与配额管理：未授权访问与初始配额配置详解