一、Harbor核心价值与适用场景

Harbor作为开源的企业级私有镜像仓库，通过角色权限控制、镜像签名、漏洞扫描等功能，解决了公有仓库（如Docker Hub）存在的安全风险、网络依赖及管理低效等问题。尤其适用于金融、医疗等对数据安全要求严苛的行业，以及需要管理多团队、多项目镜像的复杂场景。

典型应用场景包括：

隔离敏感镜像：防止核心业务镜像泄露至外部
加速镜像分发：通过内置的镜像复制功能实现跨地域同步
合规性要求：满足等保2.0对数据存储加密的要求
DevOps集成：与Jenkins、GitLab等工具无缝对接

二、环境准备与安装部署

2.1 系统要求

操作系统：CentOS 7+/Ubuntu 18.04+
硬件配置：4核CPU、8GB内存、50GB磁盘（生产环境建议翻倍）
依赖组件：Docker Engine 18.09+、Docker Compose 1.25+

2.2 安装步骤（离线模式）

下载安装包：

wget https://github.com/goharbor/harbor/releases/download/v2.7.0/harbor-offline-installer-v2.7.0.tgz
tar xvf harbor-offline-installer-v2.7.0.tgz

配置修改：
编辑harbor.yml文件，关键配置项：

hostname: registry.example.com  # 必须为域名格式
http:
port: 80
https:
certificate: /path/to/cert.pem
private_key: /path/to/key.pem
harbor_admin_password: Harbor12345  # 初始密码
database:
password: root123
max_idle_conns: 50
max_open_conns: 100

执行安装：

./install.sh --with-trivy  # 启用漏洞扫描功能

验证服务：

docker ps | grep harbor
# 应看到包含core、portal、jobservice等6个容器

三、核心功能配置详解

3.1 项目管理策略

创建项目：

curl -X POST -u "admin:Harbor12345" \
-H "Content-Type: application/json" \
-d '{"project_name": "dev-team", "public": false}' \
http://registry.example.com/api/v2.0/projects

权限模型：

系统角色：管理员、项目管理员、开发者、访客
仓库权限：推送、拉取、删除、管理（配置）
示例：为K8s集群分配只读权限
```bash

创建系统用户

curl -X POST -u “admin:Harbor12345” \
-H “Content-Type: application/json” \
-d ‘{“username”: “k8s-robot”, “email”: “k8s@example.com”, “password”: “SecurePass123”}’ \
http://registry.example.com/api/v2.0/users

分配项目权限

curl -X POST -u “admin:Harbor12345” \
-H “Content-Type: application/json” \
-d ‘{“role_id”: 2, “access”: [{“resource”: “repository”, “action”: “pull”}]}’ \
http://registry.example.com/api/v2.0/projects/1/members


## 3.2 镜像复制规则
配置跨数据中心镜像同步：
```yaml
# 在harbor.yml中添加复制适配器
replication:
  adapters:
    - name: default
      endpoint: http://registry.example.com
      insecure: false
      access_key: admin
      secret_key: Harbor12345

创建复制策略：

curl -X POST -u "admin:Harbor12345" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "prod-sync",
    "projects": [{"project_id": 1}],
    "target_project_id": 2,
    "trigger": {
      "type": "immediate"
    },
    "filters": [{"tag_filter": ".*"}]
  }' \
  http://registry.example.com/api/v2.0/replication/policies

四、K8s集群集成实践

4.1 创建Secret对象

kubectl create secret docker-registry regcred \
  --docker-server=registry.example.com \
  --docker-username=k8s-robot \
  --docker-password=SecurePass123 \
  --docker-email=k8s@example.com

4.2 Pod定义示例

apiVersion: v1
kind: Pod
metadata:
  name: private-nginx
spec:
  containers:
  - name: nginx
    image: registry.example.com/dev-team/nginx:1.23
  imagePullSecrets:
  - name: regcred

4.3 镜像拉取优化

配置ImagePullSecrets全局默认值：

# 修改kubelet配置（需重启服务）
vim /etc/kubernetes/kubelet.conf
# 添加：
# "imagePullSecrets": [{"name": "regcred"}]

五、运维管理与故障排查

5.1 日常维护任务

存储空间管理：

# 清理未标记的镜像
docker run -it --name gc --rm \
-v /var/run/docker.sock:/var/run/docker.sock \
goharbor/harbor-gc:v2.7.0

日志轮转配置：
编辑/etc/logrotate.d/harbor：

/var/log/harbor/*.log {
 daily
 missingok
 rotate 30
 compress
 delaycompress
 notifempty
 copytruncate
}

5.2 常见问题处理

证书验证失败：

# 在/etc/docker/daemon.json中添加：
{
"insecure-registries": ["registry.example.com"]
}
# 或配置正确CA证书

性能瓶颈优化：

数据库调优：修改/harbor/common/config/database中的连接池参数
缓存配置：在harbor.yml中设置：
```
cache:
enabled: true
expire_hours: 24
```

六、安全加固建议

网络隔离：

限制管理端口（80/443）仅允许办公网络访问
启用双向TLS认证

审计日志：

# 配置syslog转发
vim /etc/rsyslog.d/harbor.conf
local0.* /var/log/harbor/audit.log

定期安全扫描：

# 使用Trivy进行镜像扫描
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
-v $PWD:/root aquasec/trivy image --severity CRITICAL \
registry.example.com/dev-team/nginx:1.23

通过上述配置，企业可构建出满足等保三级要求的镜像仓库，实现镜像全生命周期管理。实际部署时建议先在测试环境验证所有配置，再逐步推广至生产环境。对于超大规模部署（>1000节点），可考虑采用Harbor的分布式架构，通过多实例部署实现水平扩展。

Harbor搭建指南：构建安全的Docker与K8s镜像仓库