Harbor镜像仓库使用精简指南

一、Harbor镜像仓库概述

Harbor是由VMware开源的企业级Docker Registry管理工具，提供基于角色的访问控制、镜像签名、漏洞扫描等核心功能，成为云原生环境下镜像管理的首选方案。其架构包含核心组件Proxy（反向代理）、Registry（镜像存储）、Core Services（核心服务）、Database（数据库）和Clair（漏洞扫描器），通过Web界面和REST API实现可视化管理与自动化集成。

1.1 核心优势

安全增强：支持HTTPS加密传输、镜像签名验证和基于RBAC的细粒度权限控制
企业级功能：提供镜像复制、垃圾回收、审计日志等生产环境必备特性
生态兼容：完全兼容Docker Registry V2协议，支持Helm Chart存储

二、安装部署实战

2.1 基础环境准备

# 系统要求（示例）
- Ubuntu 20.04 LTS
- Docker 20.10+
- Docker Compose 1.29+
- 4核CPU/8GB内存/100GB磁盘

建议使用离线安装包避免网络问题，需提前下载harbor-offline-installer-v2.x.x.tgz和配置模板harbor.yml.tmpl。

2.2 配置文件详解

关键配置项说明：

hostname: reg.example.com  # 必须为FQDN
http:
  port: 80
https:
  certificate: /data/cert/server.crt
  private_key: /data/cert/server.key
harbor_admin_password: Harbor12345  # 初始管理员密码
database:
  password: root123
  max_open_conns: 100
  max_idle_conns: 50

注意事项：生产环境必须启用HTTPS，证书需包含域名SAN字段；数据库密码建议使用32位随机字符串。

2.3 安装流程

# 解压安装包
tar xvf harbor-offline-installer-v2.6.0.tgz
cd harbor
# 复制并修改配置
cp harbor.yml.tmpl harbor.yml
vim harbor.yml  # 按上述配置修改
# 执行安装
./install.sh --with-clair --with-trivy  # 可选组件安装

安装完成后验证服务状态：

docker-compose ps
# 正常状态应显示所有容器为"Up (healthy)"

三、核心功能使用指南

3.1 项目管理

通过Web界面创建项目时需注意：

存储配额：建议生产项目设置软限制（如500GB）和硬限制（如1TB）
访问控制：可配置匿名拉取权限（开发环境推荐关闭）
内容信任：启用后仅允许签名镜像推送

3.2 镜像操作

镜像推送示例：

# 登录Harbor
docker login reg.example.com
# 标记镜像
docker tag nginx:latest reg.example.com/project1/nginx:v1
# 推送镜像
docker push reg.example.com/project1/nginx:v1

标签规范建议：

使用语义化版本（如v1.2.3）
添加构建环境后缀（-prod/-test）
禁止使用latest标签作为生产镜像

3.3 复制策略配置

跨项目复制配置示例：

{
  "name": "prod-to-dev",
  "src_registry": {
    "url": "https://reg.example.com",
    "insecure": false
  },
  "dest_registry": {
    "url": "https://dev-reg.example.com",
    "insecure": false
  },
  "triggers": [
    {
      "type": "manual"
    }
  ],
  "dest_namespace": "dev-project",
  "copy_by_chunk": true,
  "override": true
}

最佳实践：

生产环境建议设置定时触发（如每天凌晨3点）
启用”override”选项自动覆盖旧版本
大镜像分块传输（copy_by_chunk）

四、安全增强实践

4.1 漏洞扫描配置

启用Trivy扫描器步骤：

在harbor.yml中启用trivy组件

修改扫描频率（默认每天一次）：

trivy:
ignore_unfixed: false
skip_update: false
insecure: false
severity: 'CRITICAL,HIGH'
debug_mode: false

扫描结果查看：镜像详情页→”Vulnerabilities”标签页

4.2 镜像签名验证

生成签名密钥对：

# 生成根密钥
openssl genrsa -out root.key 4096
openssl req -new -x509 -key root.key -out root.crt
# 生成项目密钥
docker trust key generate project1-key
export DOCKER_CONTENT_TRUST_SERVER=https://reg.example.com
docker trust signer add --key project1-key.pub project1 reg.example.com/project1/nginx

验证签名：

docker trust inspect reg.example.com/project1/nginx

五、运维管理技巧

5.1 存储优化

执行垃圾回收命令：

# 进入Harbor安装目录
cd /path/to/harbor
# 停止服务
docker-compose down
# 执行GC（需提前备份）
./prepare --gc
docker-compose up -d

优化建议：

设置自动GC策略（如保留最近30天镜像）
定期清理未标记的镜像层

5.2 性能调优

关键配置参数：

# harbor.yml优化示例
storage_service:
  redis_url: redis://redis:6379/2
  max_replicas: 10
  chunk_size: 5242880  # 5MB分块大小
jobservice:
  worker_pool:
    workers: 10
    backend: "redis"
    redis_url: "redis://redis:6379/3"

监控指标：

镜像推送/拉取延迟（目标<500ms）
数据库连接池使用率（建议<80%）
Redis内存使用率（建议<70%）

六、故障排查指南

6.1 常见问题处理

问题1：推送镜像时出现”x509: certificate signed by unknown authority”
解决方案：

# 将自签名证书添加到Docker信任链
mkdir -p /etc/docker/certs.d/reg.example.com
cp server.crt /etc/docker/certs.d/reg.example.com/ca.crt
systemctl restart docker

问题2：Web界面无法访问
检查步骤：

确认80/443端口未被占用
检查docker-compose logs proxy输出
验证DNS解析是否正常

6.2 日志分析技巧

关键日志路径：

/var/log/harbor/  # 核心服务日志
/var/log/registry/  # Registry日志
/var/log/jobservice/  # 任务服务日志

日志分析命令：

# 实时查看错误日志
tail -f /var/log/harbor/core.log | grep -i error
# 统计高频错误
cat /var/log/harbor/registry.log | awk '{print $6}' | sort | uniq -c | sort -nr

七、进阶功能探索

7.1 Helm Chart存储

配置示例：

# harbor.yml中启用ChartMuseum
chartmuseum:
  enabled: true
  absolute_url: false

操作流程：

# 登录并设置环境变量
export HELM_EXPERIMENTAL_OCI=1
helm registry login reg.example.com
# 推送Chart
helm package my-chart
helm push my-chart-0.1.0.tgz oci://reg.example.com/chartrepo/project1

7.2 与CI/CD集成

Jenkins Pipeline示例：

pipeline {
  agent any
  stages {
    stage('Build') {
      steps {
        sh 'docker build -t reg.example.com/project1/app:${BUILD_NUMBER} .'
      }
    }
    stage('Scan') {
      steps {
        sh 'docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest reg.example.com/project1/app:${BUILD_NUMBER}'
      }
    }
    stage('Push') {
      steps {
        withCredentials([usernamePassword(credentialsId: 'harbor-cred', passwordVariable: 'PASS', usernameVariable: 'USER')]) {
          sh 'docker login -u $USER -p $PASS reg.example.com'
          sh 'docker push reg.example.com/project1/app:${BUILD_NUMBER}'
        }
      }
    }
  }
}

八、总结与建议

Harbor作为企业级镜像仓库解决方案，其价值体现在安全管控、生态集成和运维效率三个方面。建议实施时：

分阶段部署：先完成基础功能验证，再逐步启用高级特性
建立标准流程：制定镜像命名规范、扫描策略和权限模型
持续优化：定期审查存储使用情况，调整GC策略和副本配置
备份策略：每日全量备份数据库，每周增量备份存储数据

通过合理配置和持续优化，Harbor可有效支撑千节点级容器集群的镜像管理需求，为云原生转型提供坚实基础。

Harbor镜像仓库精简指南：高效部署与安全管理