一、Docker Registry基础部署

1.1 核心概念解析

Docker Registry作为容器镜像的标准存储库，遵循OCI（开放容器计划）规范，提供镜像的存储、分发与管理能力。其核心组件包括：

Registry API：基于HTTP的RESTful接口，支持镜像的push/pull操作
Blob存储层：采用内容寻址存储（CAS）机制，通过SHA256哈希值确保数据完整性
镜像索引：维护镜像标签与blob的映射关系，支持多架构镜像管理

典型部署场景中，Registry可配置为：

私有仓库：企业内部使用，需配合TLS证书与基本认证
公共仓库：开源项目分发，需设置匿名访问权限
镜像缓存：作为上游仓库（如Docker Hub）的代理节点

1.2 基础部署实践

1.2.1 容器化部署方案

# 使用官方镜像快速启动
docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  registry:2

此方案适用于开发测试环境，但存在以下限制：

数据持久化需挂载卷（-v /data:/var/lib/registry）
缺乏认证机制，存在安全风险
无镜像清理功能，需手动维护存储空间

1.2.2 存储配置优化

推荐使用对象存储（如MinIO、AWS S3）作为后端存储：

# docker-compose.yml 示例
version: '3'
services:
  registry:
    image: registry:2
    ports:
      - "5000:5000"
    environment:
      REGISTRY_STORAGE: s3
      REGISTRY_STORAGE_S3_ACCESSKEY: "your-access-key"
      REGISTRY_STORAGE_S3_SECRETKEY: "your-secret-key"
      REGISTRY_STORAGE_S3_BUCKET: "registry-bucket"
      REGISTRY_STORAGE_S3_REGION: "us-east-1"
    volumes:
      - ./config.yml:/etc/docker/registry/config.yml

配置文件config.yml需包含缓存层设置：

storage:
  cache:
    blobdescriptor: inmemory
  s3:
    regionendpoint: "http://minio:9000"

二、Harbor企业级部署方案

2.1 Harbor架构设计

Harbor在原生Registry基础上扩展了以下核心功能：

RBAC权限系统：支持项目级权限控制，细粒度到镜像仓库操作
漏洞扫描：集成Clair或Trivy实现镜像安全检测
镜像复制：支持跨集群同步，构建混合云镜像分发网络
审计日志：记录所有用户操作，满足合规性要求

其典型架构包含：

客户端 → 负载均衡器 → Harbor核心服务 →
  ├─ 数据库（PostgreSQL）
  ├─ 存储后端（对象存储/文件系统）
  └─ 任务队列（Redis）

2.2 离线部署指南

2.2.1 准备部署包

从GitHub Release页面下载对应版本的离线包

解压后包含以下关键文件：

harbor-offline-installer-v2.5.0.tgz
├── harbor.yml.tmpl  # 配置模板
├── prepare          # 配置生成脚本
└── install.sh       # 部署脚本

2.2.2 配置文件优化

修改harbor.yml重点参数：

hostname: registry.example.com
http:
  port: 80
https:
  certificate: /path/to/cert.pem
  private_key: /path/to/key.pem
harbor_admin_password: Harbor12345
database:
  password: root123
  max_open_conns: 100
  max_idle_conns: 10
storage_service:
  redis:
    password: redis123

2.2.3 执行部署流程

# 1. 生成配置文件
cp harbor.yml.tmpl harbor.yml
vim harbor.yml  # 修改上述参数
# 2. 安装依赖组件
./prepare
# 3. 启动服务
./install.sh --with-trivy --with-chartmuseum

部署完成后验证服务状态：

docker ps | grep harbor
# 应包含以下容器：
# - harbor-core
# - harbor-db
# - harbor-jobservice
# - registry
# - nginx

三、生产环境优化实践

3.1 高可用架构设计

3.1.1 数据库集群方案

推荐使用PostgreSQL流复制：

# 主节点postgresql.conf配置
primary_conninfo = 'host=standby port=5432 user=replicator password=repl_pass'
wal_level = replica
max_wal_senders = 10

3.1.2 存储冗余设计

对象存储配置示例（MinIO分布式模式）：

# minio-distributed.yml
version: '3'
services:
  minio:
    image: minio/minio
    command: server /data --console-address ":9001"
    environment:
      MINIO_ROOT_USER: admin
      MINIO_ROOT_PASSWORD: password123
    volumes:
      - data1:/data1
      - data2:/data2
      - data3:/data3
      - data4:/data4
    ports:
      - "9000:9000"
      - "9001:9001"

3.2 安全加固方案

3.2.1 网络隔离策略

仅允许管理节点访问Harbor API端口（默认80/443）
限制镜像推送权限至特定IP段
启用Harbor的project_creation_restriction配置

3.2.2 镜像签名验证

配置Notary服务实现内容信任：

# notary-server配置
trust_dir: "/root/.docker/trust"
remote_server:
  url: "https://notary.example.com"

四、运维管理最佳实践

4.1 存储空间管理

4.1.1 垃圾回收机制

执行垃圾回收前需停止推送操作：

# 1. 准备回收
docker exec -it harbor-core /harbor/gc.sh prepare
# 2. 执行回收（会删除未引用的blob）
docker exec -it harbor-core /harbor/gc.sh run

4.1.2 镜像保留策略

配置项目级的保留规则：

{
  "policy": {
    "rules": [
      {
        "action": "retain",
        "params": {
          "tagSelectors": ["latest"],
          "untagged": false
        },
        "template": "保留最新3个版本"
      },
      {
        "action": "expire",
        "params": {
          "tagSelectors": ["*"],
          "untagged": true,
          "nKeeped": 3
        }
      }
    ]
  }
}

4.2 性能监控方案

4.2.1 Prometheus监控配置

添加以下scrape配置：

# prometheus.yml
scrape_configs:
  - job_name: 'harbor'
    metrics_path: '/api/v2.0/metrics'
    static_configs:
      - targets: ['harbor.example.com']

关键监控指标：

registry_storage_action_total：存储操作次数
harbor_project_count：项目数量统计
harbor_jobservice_queue_length：任务队列积压量

五、故障排查指南

5.1 常见问题处理

5.1.1 镜像推送失败

现象：HTTP 401 Unauthorized
解决方案：

检查~/.docker/config.json中的认证信息
确认Harbor用户具有项目写入权限
验证TLS证书是否受信任

5.1.2 数据库连接失败

现象：pq: password authentication failed
解决方案：

检查harbor.yml中的数据库密码
验证PostgreSQL的pg_hba.conf配置
重启数据库服务：docker restart harbor-db

5.2 日志分析技巧

关键日志文件位置：

/var/log/harbor/core.log：核心服务日志
/var/log/harbor/registry.log：Registry日志
/var/log/harbor/jobservice.log：任务服务日志

使用jq工具解析JSON日志：

cat core.log | jq '.log' | grep -i error

本文系统阐述了从基础Registry到企业级Harbor的完整部署方案，涵盖架构设计、安全加固、性能优化等关键环节。实际部署时，建议先在测试环境验证配置，再逐步推广到生产环境。对于超大规模部署（>100节点），可考虑采用Harbor的分布式复制功能构建多级镜像仓库网络。

Docker Registry与Harbor镜像仓库部署全攻略