一、为什么需要私有镜像仓库？

在容器化部署场景中，公有镜像仓库（如Docker Hub）存在三大痛点：网络依赖性强（国内访问速度慢）、安全性不足（敏感镜像暴露）、功能受限（无权限控制）。而私有仓库能提供完全可控的镜像存储环境，特别适合金融、医疗等对数据安全要求高的行业。

典型应用场景包括：

离线环境下的镜像分发
内部微服务镜像的集中管理
自动化构建流水线的镜像存储
多团队镜像的权限隔离

二、基础方案：使用Registry镜像搭建

1. 快速启动无认证仓库

docker run -d -p 5000:5000 --restart=always --name registry registry:2

此命令会启动一个基础仓库，但存在安全隐患：

无HTTPS加密
无访问控制
数据持久化在容器内

2. 配置数据持久化

修改启动命令添加卷映射：

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /data/docker-registry:/var/lib/registry \
  registry:2

3. 启用HTTPS安全传输

需准备SSL证书（假设证书文件在/certs目录）：

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -v /data/docker-registry:/var/lib/registry \
  registry:2

4. 添加基本认证

使用htpasswd生成密码文件：

mkdir -p auth
docker run --entrypoint htpasswd \
  httpd:2 -Bbn testuser testpassword > auth/htpasswd

启动带认证的仓库：

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -v /data/docker-registry:/var/lib/registry \
  -v /auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  registry:2

三、进阶方案：Harbor企业级仓库

1. Harbor核心优势

基于角色的访问控制（RBAC）
镜像复制与同步
漏洞扫描（集成Clair）
图形化管理界面
支持Helm Chart存储

2. 安装部署流程

准备环境要求

Docker 17.06+
Docker Compose 1.18+
至少4GB内存
配置好DNS解析

下载安装包

wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-online-installer-v2.9.0.tgz
tar xvf harbor-online-installer-v2.9.0.tgz
cd harbor

修改配置文件

编辑harbor.yml.tmpl（或生成的harbor.yml）：

hostname: registry.example.com
http:
  port: 80
https:
  port: 443
  certificate: /path/to/cert.pem
  private_key: /path/to/key.pem
harbor_admin_password: Harbor12345
database:
  password: root123
  max_open_conns: 1000
  max_idle_conns: 300

执行安装

./prepare
docker-compose up -d

3. 核心功能配置

用户与项目管理

通过Web界面可创建：

管理员/开发者/访客角色
项目级别的读写权限
机器人账号（用于CI/CD）

镜像复制策略

配置示例：

{
  "name": "remote-registry",
  "url": "https://remote-registry.example.com",
  "username": "replicator",
  "password": "securepassword",
  "insecure": false
}

漏洞扫描配置

在harbor.yml中启用：

clair:
  url: http://clair:6060
  interval: 6h

四、生产环境部署建议

1. 高可用架构

前端负载均衡（Nginx/HAProxy）
数据库主从复制（PostgreSQL）
对象存储集成（MinIO/S3）
定期备份策略（每日全量+增量）

2. 性能优化参数

Registry容器配置建议：

resources:
  limits:
    cpu: "2"
    memory: 4Gi
  requests:
    cpu: "1"
    memory: 2Gi

3. 安全加固措施

定期轮换认证凭证
启用镜像签名验证
网络隔离（仅允许内网访问）
操作日志审计

五、客户端使用指南

1. 标记并推送镜像

docker tag nginx:latest registry.example.com/library/nginx:v1
docker push registry.example.com/library/nginx:v1

2. 拉取私有镜像

docker login registry.example.com
docker pull registry.example.com/library/nginx:v1

3. 常见问题排查

500错误：检查存储空间是否充足
401认证失败：验证密码文件权限（应为600）
推送缓慢：调整Registry的--storage-driver参数

六、监控与维护

1. 关键指标监控

存储空间使用率
请求延迟（P99）
认证失败次数
镜像扫描进度

2. 日常维护任务

每周清理未使用的镜像层
每月更新基础镜像
每季度演练灾难恢复

通过以上方案，开发者可根据实际需求选择适合的私有仓库实现方式。基础Registry方案适合小型团队快速启用，而Harbor则提供了企业级所需的完整功能集。建议从基础方案开始验证，再逐步迁移到更复杂的架构。

自建镜像安全屋：Docker私有仓库搭建全流程指南