一、引言：为何需要本地镜像仓库？

在Kubernetes（K8s）集群管理中，镜像的存储与分发是核心环节。默认情况下，K8s依赖公共镜像仓库（如Docker Hub）获取应用镜像，但这种方式存在诸多局限：网络依赖性强，尤其在私有网络或离线环境中难以使用；安全性风险，公共仓库镜像可能包含未知漏洞；性能瓶颈，大规模集群频繁拉取镜像易造成网络拥堵。因此，部署本地镜像仓库成为提升K8s集群自主性、安全性和效率的关键举措。

二、镜像仓库选型：Harbor的崛起

在众多私有镜像仓库方案中，Harbor凭借其企业级特性脱颖而出。作为CNCF（云原生计算基金会）毕业项目，Harbor支持以下核心功能：

镜像复制与同步：实现多区域镜像分发。
细粒度访问控制：基于RBAC（角色访问控制）的权限管理。
漏洞扫描：集成Clair工具自动检测镜像漏洞。
项目隔离：支持多租户环境下的镜像管理。
高可用部署：支持多节点集群模式。

三、部署Harbor：从单机到高可用

3.1 单机版快速部署（适合开发测试）

步骤1：准备环境

服务器：至少4核8G内存，推荐CentOS 7/8或Ubuntu 20.04。

依赖安装：

sudo yum install -y docker-ce docker-ce-cli containerd.io
sudo systemctl enable --now docker

步骤2：下载并安装Harbor

从GitHub获取最新版本（以v2.6.0为例）：

wget https://github.com/goharbor/harbor/releases/download/v2.6.0/harbor-offline-installer-v2.6.0.tgz
tar xvf harbor-offline-installer-v2.6.0.tgz
cd harbor

修改配置文件harbor.yml：

hostname: harbor.example.com  # 替换为实际域名或IP
http:
  port: 80
# 启用HTTPS（生产环境必需）
# https:
#   port: 443
#   certificate: /path/to/cert.pem
#   private_key: /path/to/key.pem

步骤3：执行安装

sudo ./install.sh

安装完成后，访问http://harbor.example.com（默认账号：admin/Harbor12345）。

3.2 高可用部署（生产环境推荐）

架构设计：

前端负载均衡：Nginx或HAProxy分发请求。
数据层：PostgreSQL（主从）和Redis（集群）存储元数据。
存储层：共享存储（如NFS、Ceph）或对象存储（如MinIO）。
计算层：多节点Harbor核心服务。

关键配置：

数据库配置：修改harbor.yml中的数据库连接：

database:
  password: your_strong_password
  max_idle_conns: 50
  max_open_conns: 100

存储驱动：支持多种后端（如AWS S3、Azure Blob）：

storage_service:
  s3:
    accesskey: your_access_key
    secretkey: your_secret_key
    region: us-west-2
    bucket: harbor-images

部署流程：

在各节点安装Docker和Harbor。
配置共享存储并挂载至/data目录。
使用Ansible或Kubernetes Operator批量部署Harbor组件。
通过Keepalived实现VIP（虚拟IP）漂移。

四、与K8s集群集成：无缝拉取镜像

4.1 配置K8s节点信任仓库

步骤1：生成CA证书（若使用自签名证书）：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout ca.key -out ca.crt \
  -subj "/CN=harbor.example.com"

步骤2：将证书分发至所有节点：

sudo mkdir -p /etc/docker/certs.d/harbor.example.com
sudo cp ca.crt /etc/docker/certs.d/harbor.example.com/
sudo systemctl restart docker

4.2 创建K8s Secret存储凭据

kubectl create secret docker-registry regcred \
  --docker-server=harbor.example.com \
  --docker-username=admin \
  --docker-password=Harbor12345 \
  --docker-email=admin@example.com

4.3 在Pod中使用私有镜像

apiVersion: v1
kind: Pod
metadata:
  name: private-nginx
spec:
  containers:
  - name: nginx
    image: harbor.example.com/library/nginx:latest
  imagePullSecrets:
  - name: regcred

五、安全加固：从访问控制到审计

5.1 访问控制策略

项目级权限：为不同团队分配独立项目，设置读写权限。
机器人账号：为CI/CD流水线创建专用账号，限制IP访问。
网络策略：通过Calico或Cilium限制仓库访问来源。

5.2 镜像签名与验证

使用Notary对镜像签名：

notary init harbor.example.com/library/nginx
notary add harbor.example.com/library/nginx v1.0.0 nginx:latest

在K8s中启用镜像验证（需配置Admission Controller）。

5.3 审计日志分析

启用Harbor的审计日志功能，记录所有操作。
集成ELK或Fluentd收集日志，实现异常行为检测。

六、运维优化：监控与扩容

6.1 监控指标

使用Prometheus采集Harbor的API响应时间、存储使用率等指标。
配置Grafana看板实时监控仓库健康状态。

6.2 水平扩容

无状态服务扩容：增加Harbor-core和Job-service的副本数。
存储扩容：动态扩展对象存储容量或添加NFS节点。

七、常见问题与解决方案

Q1：镜像拉取失败，提示“x509: certificate signed by unknown authority”
A：检查节点是否正确配置CA证书，或使用--insecure-registry临时绕过（不推荐生产环境）。

Q2：Harbor数据库连接超时
A：检查PostgreSQL的pg_hba.conf是否允许Harbor服务IP访问，并验证连接字符串。

Q3：如何迁移旧仓库数据至新Harbor？
A：使用reg工具导出镜像为tar包，再通过Harbor的API批量推送。

八、总结与展望

部署本地镜像仓库是K8s集群迈向企业级的关键一步。通过Harbor的高可用架构、细粒度安全控制和集成生态，企业可实现镜像的全生命周期管理。未来，随着eBPF和Service Mesh技术的普及，镜像仓库将进一步融入云原生安全体系，成为零信任架构的重要组件。建议读者结合自身场景，从单机版起步，逐步向高可用、多云架构演进。

Kubernetes(二)：构建私有镜像仓库，赋能集群高效管理