一、高可用 Harbor 的技术价值与场景适配

Harbor 作为 CNCF 毕业项目，通过权限控制、镜像签名、漏洞扫描等功能成为企业级容器镜像管理首选。在 Kubernetes 环境下部署高可用 Harbor 需解决三大核心问题：服务连续性（单点故障导致镜像拉取中断）、数据持久性（镜像元数据与存储卷安全）、水平扩展性（应对大规模镜像存储需求）。典型适用场景包括金融行业核心系统镜像管理、跨区域多集群镜像分发、以及需要满足等保 2.0 三级要求的合规环境。

二、Kubernetes 部署架构设计

1. 组件拓扑规划

采用 “3+N” 架构：3 个 Core 组件节点（Harbor Core、JobService、Registry Controller） + N 个 Redis Sentinel 节点（建议≥3）。关键设计要点：

Core 组件无状态化：通过 StatefulSet 部署，每个 Pod 挂载独立 PVC 存储配置
Redis 集群化：使用 Redis Operator 创建 Sentinel 模式集群，避免脑裂问题
存储分离：对象存储（MinIO/S3）存储镜像，数据库（PostgreSQL）与元数据存储分离

2. 网络通信优化

Ingress 配置：采用 Nginx Ingress Controller 实现 TLS 终止与路径路由

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
name: harbor-ingress
annotations:
  nginx.ingress.kubernetes.io/rewrite-target: /
spec:
rules:
- host: harbor.example.com
  http:
    paths:
    - path: /
      pathType: Prefix
      backend:
        service:
          name: harbor-core
          port:
            number: 80

服务发现：通过 CoreDNS 配置 SRV 记录实现组件间自动发现

三、关键组件高可用实现

1. 数据库高可用方案

推荐 PostgreSQL + Patroni 组合，配置示例：

# PostgreSQL StatefulSet 示例
apiVersion: apps/v1
kind: StatefulSet
metadata:
  name: postgresql
spec:
  serviceName: postgresql
  replicas: 3
  selector:
    matchLabels:
      app: postgresql
  template:
    spec:
      containers:
      - name: postgres
        image: postgres:13
        env:
        - name: PATRONI_SCOPE
          value: "harbor-db"
        - name: PATRONI_POSTGRESQL_DATA_DIR
          value: "/var/lib/postgresql/data"
        volumeMounts:
        - name: postgres-data
          mountPath: /var/lib/postgresql/data
  volumeClaimTemplates:
  - metadata:
      name: postgres-data
    spec:
      accessModes: [ "ReadWriteOnce" ]
      storageClassName: "ssd-storage"
      resources:
        requests:
          storage: 100Gi

通过 Patroni 实现自动故障转移，结合 etcd 存储集群状态。

2. 存储层设计

镜像存储：配置 StorageClass 动态绑定云存储（如 AWS EBS、Azure Disk）

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
name: harbor-storage
provisioner: kubernetes.io/aws-ebs
parameters:
type: gp2
fsType: xfs
reclaimPolicy: Retain

元数据存储：使用 NFS 或 CephFS 提供共享存储，确保多个 Harbor 实例可同时访问

四、部署实施流程

1. 前期准备检查清单

验证 Kubernetes 版本（建议≥1.20）
确认存储类可用性：kubectl get storageclass
检查网络策略是否允许组件间通信（默认端口：5000/8080/5432/6379）

2. Helm Chart 定制化配置

修改 values.yaml 关键参数：

expose:
  type: ingress
  tls:
    enabled: true
    certSource: secret
    secret:
      secretName: "harbor-tls"
      names: ["harbor.example.com"]
persistence:
  persistentVolumeClaim:
    registry:
      storageClass: "harbor-storage"
      size: 100Gi
    chartmuseum:
      storageClass: "harbor-storage"
      size: 20Gi
    database:
      storageClass: "ssd-storage"
      size: 50Gi
database:
  type: external
  external:
    host: "postgresql.default.svc.cluster.local"
    port: "5432"
    username: "harbor"
    password: "secure-password"
    sslmode: "disable"

3. 部署后验证步骤

健康检查：kubectl get pods -n harbor -l app=harbor 确认所有 Pod 处于 Running 状态

服务连通性测试：

curl -k https://harbor.example.com/api/v2.0/health
# 应返回 {"status":"healthy"}

持久化验证：上传测试镜像后删除 Pod，确认镜像数据未丢失

五、运维监控体系构建

1. 监控指标采集

配置 Prometheus Operator 抓取 Harbor 指标：

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: harbor-monitor
spec:
  selector:
    matchLabels:
      app: harbor-core
  endpoints:
  - port: http
    interval: 30s
    path: /metrics

关键监控项包括：

镜像拉取成功率（harbor_pull_count）
存储空间使用率（node_filesystem_avail_bytes）
数据库连接数（postgresql_current_connections）

2. 告警规则设计

示例告警规则：

groups:
- name: harbor.rules
  rules:
  - alert: HarborDown
    expr: up{job="harbor-core"} == 0
    for: 5m
    labels:
      severity: critical
    annotations:
      summary: "Harbor Core 服务不可用"
      description: "Harbor Core 已中断 {{ $value }} 分钟"

六、故障处理与优化建议

常见问题解决方案

镜像上传失败：检查 StorageClass 配额，验证 PVC 绑定状态
数据库连接超时：确认 Patroni 集群状态，检查网络策略
Ingress 502 错误：调整 Nginx 配置中的 proxy_read_timeout 参数

性能优化实践

缓存层优化：在节点上部署 Nginx 缓存代理，减少 Registry 压力
并行下载：配置 Registry 的 parallel 参数提升大镜像下载速度
定期维护：每月执行 garbagecollect 清理未引用镜像层

七、升级与扩展策略

滚动升级流程

备份当前配置：kubectl get configmap -n harbor -o yaml > backup.yaml
更新 Helm Chart 版本：helm upgrade harbor harbor/harbor -f values.yaml
验证新版本功能：检查 API 版本兼容性

水平扩展指南

Core 组件扩展：直接增加 StatefulSet 副本数（需确认许可证限制）
存储扩展：通过 kubectl patch pvc 动态调整存储容量
地理扩展：部署多区域 Harbor 实例，使用 Harbor 的复制策略同步镜像

通过上述架构设计与实施步骤，可在 Kubernetes 环境中构建满足金融级可用性要求的 Harbor 镜像仓库。实际部署时建议先在测试环境验证存储性能（建议 IOPS≥3000），并根据业务负载动态调整 Redis 集群规模。对于超大规模场景（>100TB 镜像存储），可考虑引入分布式文件系统（如 Ceph）作为底层存储。

在 Kubernetes 中构建企业级镜像管理：高可用 Harbor 部署实战指南