一、引言：私有镜像仓库的必要性

在Kubernetes（K8s）环境中，使用私有镜像仓库（如Harbor）是保障应用安全性和提升部署效率的关键措施。相较于公共仓库（如Docker Hub），私有仓库能够：

控制访问权限：通过RBAC策略限制镜像拉取/推送权限；
提升镜像分发速度：减少跨网络传输延迟；
实现镜像安全扫描：自动检测漏洞，降低安全风险；
符合合规要求：满足金融、政府等行业的敏感数据存储规范。

本文将以SpringBoot应用为例，完整演示从Harbor部署到K8s集群中应用运行的全流程。

二、环境准备与前置条件

1. 基础环境要求

K8s集群：1.20+版本（推荐使用kubeadm部署的3节点集群）
Docker：19.03+版本（需支持BuildKit）
Helm：3.x版本（用于Harbor快速部署）
存储类：已配置持久化存储（如NFS、Ceph或云存储）

2. 网络规划建议

Harbor域名：建议使用harbor.example.com等子域名
NodePort/Ingress：根据集群类型选择暴露方式（生产环境推荐Ingress+TLS）
网络策略：限制Harbor仅允许内网访问（除非需开放公网）

三、Harbor私有仓库部署指南

1. Helm安装Harbor（推荐方式）

# 添加Bitnami Helm仓库
helm repo add bitnami https://charts.bitnami.com/bitnami
# 创建命名空间
kubectl create ns harbor
# 部署Harbor（带持久化存储）
helm install harbor bitnami/harbor \
  --namespace harbor \
  --set persistence.enabled=true \
  --set persistence.storageClass="nfs-client" \
  --set expose.type=ingress \
  --set expose.tls.enabled=true \
  --set expose.ingress.hosts[0].name="harbor.example.com" \
  --set expose.ingress.hosts[0].path="/"

2. 关键配置说明

持久化存储：必须配置以避免数据丢失
HTTPS配置：生产环境必须启用TLS（可使用Let’s Encrypt证书）

资源限制：建议为Harbor核心组件设置资源请求/限制

# values.yaml示例片段
core:
resources:
  requests:
    cpu: "500m"
    memory: "512Mi"
  limits:
    cpu: "1000m"
    memory: "1Gi"

3. 部署后验证

# 获取Harbor服务状态
kubectl get pods -n harbor
# 访问控制台（需配置hosts或DNS）
echo "访问 https://harbor.example.com"

四、Docker镜像构建与推送

1. SpringBoot应用Docker化

以典型SpringBoot项目为例，创建Dockerfile：

FROM eclipse-temurin:17-jdk-alpine
VOLUME /tmp
ARG JAR_FILE=target/*.jar
COPY ${JAR_FILE} app.jar
ENTRYPOINT ["java","-jar","/app.jar"]

构建镜像时指定Harbor仓库地址：

docker build -t harbor.example.com/library/springboot-demo:v1 .

2. 镜像推送配置

2.1 登录Harbor仓库

docker login harbor.example.com
# 输入Harbor管理员或项目成员账号

2.2 推送镜像

docker push harbor.example.com/library/springboot-demo:v1

3. 常见问题处理

证书错误：若Harbor使用自签名证书，需配置Docker信任：

# 在/etc/docker/daemon.json中添加
{
"insecure-registries": ["harbor.example.com"]
}
# 然后重启docker
systemctl restart docker

五、K8s集群配置与部署

1. 创建ImagePullSecret

kubectl create secret docker-registry regcred \
  --namespace=default \
  --docker-server=harbor.example.com \
  --docker-username=<harbor-user> \
  --docker-password=<harbor-password> \
  --docker-email=user@example.com

2. SpringBoot应用Deployment示例

apiVersion: apps/v1
kind: Deployment
metadata:
  name: springboot-demo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: springboot-demo
  template:
    metadata:
      labels:
        app: springboot-demo
    spec:
      imagePullSecrets:
      - name: regcred
      containers:
      - name: springboot
        image: harbor.example.com/library/springboot-demo:v1
        ports:
        - containerPort: 8080
        resources:
          requests:
            cpu: "250m"
            memory: "512Mi"

3. 服务暴露配置

apiVersion: v1
kind: Service
metadata:
  name: springboot-service
spec:
  selector:
    app: springboot-demo
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080
  type: ClusterIP  # 或LoadBalancer/NodePort

六、高级配置与优化

1. Harbor镜像自动扫描

在Harbor的values.yaml中启用Trivy扫描：

trivy:
  enabled: true
  ignoreUnfixed: false
  severity: "CRITICAL,HIGH"

2. K8s镜像缓存优化

配置imagePullPolicy: IfNotPresent减少重复拉取：

containers:
- name: springboot
  image: harbor.example.com/library/springboot-demo:v1
  imagePullPolicy: IfNotPresent

3. 多环境镜像管理策略

建议采用以下命名规范：

开发环境：harbor.example.com/dev/springboot-demo:v1-20230801
测试环境：harbor.example.com/test/springboot-demo:v1-20230801
生产环境：harbor.example.com/prod/springboot-demo:v1

七、运维与监控建议

1. Harbor监控指标

通过Prometheus采集Harbor指标：

# 在Prometheus的values.yaml中添加
additionalScrapeConfigs:
  - job_name: 'harbor'
    static_configs:
      - targets: ['harbor-core.harbor.svc.cluster.local:8001']

2. 镜像生命周期管理

设置Harbor的垃圾回收策略：

# 手动触发垃圾回收
kubectl exec -n harbor <harbor-core-pod> -- /harbor/harbor_core --gc

3. 日志集中管理

配置Fluentd收集Harbor容器日志：

<source>
  @type tail
  path /var/log/containers/harbor-core*.log
  pos_file /var/log/harbor-core.log.pos
  tag harbor.core.*
  format json
</source>

八、总结与最佳实践

安全优先：始终启用HTTPS和镜像扫描
存储冗余：为Harbor数据配置多副本存储
网络隔离：限制Harbor仅允许必要节点访问
自动化流水线：集成Jenkins/GitLab CI实现镜像自动构建推送
版本控制：采用语义化版本标签管理镜像

通过本文的完整流程，开发者可以在K8s环境中快速搭建安全高效的私有镜像仓库，并实现SpringBoot应用的自动化部署。实际生产环境中，建议结合企业级CI/CD平台（如ArgoCD、Tekton）构建完整的DevOps流水线。

K8s环境下Docker+Harbor私有仓库部署SpringBoot全指南