一、背景与需求分析

在Kubernetes（K8s）环境中，容器镜像的安全管理与高效分发是构建企业级应用的核心需求。传统公有镜像仓库（如Docker Hub）存在网络依赖、安全性不足等问题，而私有镜像仓库Harbor结合Docker生态，可提供镜像存储、权限控制、漏洞扫描等企业级功能。本文将详细阐述在K8s环境下搭建Docker+Harbor私有仓库，并通过实际案例部署SpringBoot应用的全流程。

二、环境准备与前置条件

1. 基础环境要求

K8s集群：建议使用1.20+版本，支持节点数≥3（1主2从）
存储类：配置动态存储卷（如NFS、Ceph或云存储）
网络插件：Calico/Flannel等CNI插件
Docker环境：节点需安装Docker CE 19.03+或containerd

2. 域名与证书配置

Harbor推荐使用HTTPS协议，需准备：

域名（如harbor.example.com）
SSL证书（可通过Let’s Encrypt或企业CA签发）

证书文件结构：

/etc/docker/certs.d/harbor.example.com/
├── ca.crt
├── harbor.example.com.crt
└── harbor.example.com.key

三、Harbor私有仓库部署

1. Helm方式安装（推荐）

# 添加Harbor Helm仓库
helm repo add harbor https://helm.goharbor.io
# 创建命名空间
kubectl create ns harbor
# 生成values.yaml配置（关键参数）
cat > harbor-values.yaml <<EOF
expose:
  type: ingress
  tls:
    enabled: true
    certSource: secret
    secret:
      secretName: harbor-tls
      namespace: harbor
ingress:
  hosts:
    - host: harbor.example.com
      paths:
        - path: /
          pathType: ImplementationSpecific
persistence:
  persistentVolumeClaim:
    registry:
      storageClass: "nfs-client"  # 替换为实际存储类
      accessMode: ReadWriteOnce
      size: 100Gi
EOF
# 部署Harbor
helm install harbor harbor/harbor -n harbor -f harbor-values.yaml

2. 关键配置说明

存储配置：根据实际环境选择存储类（如NFS需提前部署）
高可用：多节点部署时需配置共享存储和数据库（如外置PostgreSQL）
日志收集：建议集成EFK或Loki+Grafana方案

四、Docker客户端配置

1. 信任Harbor证书

# 将CA证书复制到Docker信任目录
sudo mkdir -p /etc/docker/certs.d/harbor.example.com
sudo cp ca.crt /etc/docker/certs.d/harbor.example.com/
# 重启Docker服务
sudo systemctl restart docker

2. 登录Harbor仓库

docker login harbor.example.com
# 输入用户名/密码（默认admin/Harbor12345）

五、SpringBoot应用镜像构建与推送

1. Dockerfile示例

FROM openjdk:11-jre-slim
WORKDIR /app
COPY target/demo-0.0.1-SNAPSHOT.jar app.jar
EXPOSE 8080
ENTRYPOINT ["java","-jar","app.jar"]

2. 构建与推送流程

# 构建镜像（添加Harbor仓库前缀）
docker build -t harbor.example.com/library/demo:v1 .
# 推送镜像
docker push harbor.example.com/library/demo:v1

3. 镜像标签规范建议

项目级：harbor.example.com/[project]/[app]:[version]
环境区分：-dev/-test/-prod后缀
示例：harbor.example.com/order-service/demo:v1.0.0-prod

六、K8s部署SpringBoot应用

1. 部署YAML示例

apiVersion: apps/v1
kind: Deployment
metadata:
  name: demo-app
spec:
  replicas: 3
  selector:
    matchLabels:
      app: demo
  template:
    metadata:
      labels:
        app: demo
    spec:
      containers:
      - name: demo
        image: harbor.example.com/library/demo:v1
        ports:
        - containerPort: 8080
        resources:
          requests:
            cpu: "500m"
            memory: "512Mi"
          limits:
            cpu: "1000m"
            memory: "1Gi"
      imagePullSecrets:
      - name: harbor-secret
---
apiVersion: v1
kind: Service
metadata:
  name: demo-service
spec:
  selector:
    app: demo
  ports:
    - protocol: TCP
      port: 80
      targetPort: 8080
  type: ClusterIP

2. 创建镜像拉取密钥

kubectl create secret docker-registry harbor-secret \
  --docker-server=harbor.example.com \
  --docker-username=admin \
  --docker-password=Harbor12345 \
  --namespace=default

七、高级配置与运维建议

1. Harbor权限管理

项目级角色：开发者（上传/下载）、维护者（删除镜像）、访客（只读）
系统级角色：管理员、项目创建者

示例RBAC配置：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: demo-team-access
subjects:
- kind: Group
  name: "demo-developers"
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: edit
  apiGroup: rbac.authorization.k8s.io

2. 镜像扫描与漏洞修复

启用Harbor内置Clair扫描器
配置自动扫描策略（如每日扫描）
漏洞处理流程：
1. 扫描报告生成
2. 评估漏洞等级（CVSS评分）
3. 升级基础镜像或应用代码
4. 重新构建并推送镜像

3. 备份与恢复方案

数据库备份：pg_dump定期备份PostgreSQL数据
镜像备份：使用skopeo或reg工具同步镜像

配置备份示例：

# 备份Harbor数据库
kubectl exec -n harbor harbor-database -- \
  pg_dump -U postgres -h 127.0.0.1 registry > harbor_db_backup.sql

八、常见问题与解决方案

1. 镜像拉取失败

现象：Failed to pull image错误
排查步骤：
1. 检查imagePullSecrets配置
2. 验证节点网络是否可访问Harbor
3. 检查Docker日志：journalctl -u docker

2. Harbor性能优化

建议配置：
- 数据库连接池：调整max_connections至200+
- 缓存层：集成Redis作为会话存储
- 水平扩展：部署多副本Core和JobService组件

九、总结与最佳实践

安全优先：强制HTTPS、启用双因素认证、定期轮换证书
自动化流程：集成CI/CD管道（如Jenkins+Harbor+ArgoCD）
镜像治理：实施镜像签名、设置保留策略（如保留最近3个版本）
监控告警：集成Prometheus监控Harbor API响应时间

通过本文的完整流程，开发者可在K8s环境中构建安全、高效的私有镜像仓库，实现SpringBoot应用的标准化部署。实际生产环境中，建议结合企业具体需求进行定制化配置，并定期进行安全审计与性能调优。

K8s环境Docker+Harbor私有仓库实战：SpringBoot部署全指南