一、引言：为什么需要Docker私有镜像仓库？

随着Docker容器化技术的普及，越来越多的企业和开发者开始依赖Docker镜像来快速部署应用。然而，使用公共Docker仓库（如Docker Hub）虽然方便，却存在安全隐患（如镜像篡改、敏感信息泄露）和性能瓶颈（如网络延迟、下载速度慢）等问题。因此，搭建Docker私有镜像仓库成为保障镜像安全、提升部署效率的重要手段。

本文将围绕Docker镜像推送私人仓库和Docker私有镜像仓库展开，详细介绍如何搭建私有仓库、配置安全认证，以及如何将本地镜像推送到私有仓库。

二、Docker私有镜像仓库的搭建

1. 选择私有仓库方案

Docker官方提供了Registry镜像，这是一个轻量级的私有仓库解决方案，适合个人开发者和小型团队。对于企业级需求，可以考虑Harbor（VMware开源的企业级Registry项目），它提供了更丰富的功能（如用户管理、镜像审计、漏洞扫描等）。

方案对比：

Docker Registry：简单易用，适合快速搭建。
Harbor：功能全面，适合企业级场景。

本文以Docker Registry为例，介绍基础搭建流程。

2. 搭建Docker Registry

2.1 基础搭建

使用Docker运行Registry容器：

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  registry:2

-p 5000:5000：将容器的5000端口映射到主机。
--restart=always：容器退出时自动重启。
registry:2：使用官方Registry镜像。

2.2 验证Registry

推送一个测试镜像到私有仓库：

docker pull alpine
docker tag alpine localhost:5000/my-alpine
docker push localhost:5000/my-alpine

如果推送成功，说明Registry已正常运行。

3. 配置TLS认证（生产环境必备）

基础Registry未启用TLS，数据传输不安全。生产环境需配置TLS证书。

3.1 生成证书

使用OpenSSL生成自签名证书：

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/domain.key \
  -x509 -days 365 -out certs/domain.crt \
  -subj "/CN=myregistry.example.com"

将myregistry.example.com替换为实际域名。

3.2 启动带TLS的Registry

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v "$(pwd)"/certs:/certs \
  -e REGISTRY_HTTP_ADDR=0.0.0.0:5000 \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

3.3 客户端配置

在客户端（如开发机）上，将证书添加到信任列表：

sudo mkdir -p /etc/docker/certs.d/myregistry.example.com:5000
sudo cp certs/domain.crt /etc/docker/certs.d/myregistry.example.com:5000/ca.crt

重启Docker服务：

sudo systemctl restart docker

三、Docker镜像推送私人仓库

1. 标记镜像

推送前需将镜像标记为私有仓库地址：

docker tag alpine myregistry.example.com:5000/my-alpine

2. 推送镜像

docker push myregistry.example.com:5000/my-alpine

3. 拉取镜像

从私有仓库拉取镜像：

docker pull myregistry.example.com:5000/my-alpine

四、高级配置与优化

1. 用户认证

Registry支持基本认证（HTTP Basic Auth），可通过htpasswd生成密码文件：

mkdir auth
docker run --entrypoint htpasswd \
  registry:2 -Bbn username password > auth/htpasswd

启动Registry时挂载密码文件：

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v "$(pwd)"/auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  -v "$(pwd)"/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

推送时需登录：

docker login myregistry.example.com:5000

2. 镜像清理

Registry默认不自动清理未使用的镜像，可通过registry garbage-collect命令清理：

docker exec -it registry /bin/registry garbage-collect /etc/docker/registry/config.yml

3. 日志与监控

Registry默认输出日志到标准输出，可通过docker logs查看。对于生产环境，建议配置日志收集系统（如ELK）。

五、企业级方案：Harbor

对于需要更复杂功能（如RBAC权限控制、漏洞扫描）的企业，Harbor是更好的选择。

1. 安装Harbor

下载Harbor安装包并解压，修改harbor.yml配置文件：

hostname: myharbor.example.com
http:
  port: 80
https:
  port: 443
  certificate: /path/to/cert.pem
  private_key: /path/to/key.pem

运行安装脚本：

./install.sh

2. 使用Harbor

登录Web界面（默认https://myharbor.example.com）创建项目。

推送镜像时标记为Harbor地址：

docker tag alpine myharbor.example.com/library/my-alpine
docker push myharbor.example.com/library/my-alpine

六、总结与建议

安全性优先：生产环境务必配置TLS和用户认证。
选择合适方案：个人开发者用Docker Registry，企业用Harbor。
定期维护：清理无用镜像，监控日志。
备份策略：定期备份Registry数据（/var/lib/registry）。

通过搭建Docker私有镜像仓库，开发者可以更安全、高效地管理Docker镜像，避免公共仓库的潜在风险。无论是个人项目还是企业级应用，私有仓库都是值得投入的基础设施。

构建与使用Docker私有镜像仓库：从搭建到镜像推送全解析