Docker--Harbor私有镜像仓库搭建

一、Harbor简介

1、什么是Harbor？
Harbor是一个开源的容器镜像存储软件，它通过基于角色的访问控制保护镜像，扫描镜像以查找漏洞，并将镜像标记为可信。作为一个CNCF孵化项目，Harbor提供了法规遵从性、性能和互操作性，可以帮助在Kubernetes和Docker等云计算平台上一致、安全地管理镜像
2、Harbor的特点

安全
安全和漏洞分析
内容签名和验证
管理
多租户
可拓展的API和Web UI
跨多个Harbor实例的镜像复制
身份集成和基于角色的访问控制

二、Harbor参数文件`harbor.cfg`

关于harbor.cfg 配置文件中有两类参数：所需参数和可选参数

1、所需参数
这些参数需要在配置文件harbor.cfg中设置，如果更新这些参数，需要重新运行install.sh脚本重新安装Harbor，参数才会生效，具体的参数如下：

hostname：用于访问用户界面和register服务，它应该是目标机器的IP址或完全限定的域名（FQDN）
例如：192.168.7.168或者hub.aaa.cn，不要使用localhost或127.0.0.1为主机名
ui_url_protocol：（http或https，默认为http）用于访问UI和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为https
max_job_workers：镜像复制作业线程
db_password：用于db_auth的MySQL数据库root用户的密码
customize_crt：该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌，当由外部来源提供密钥和根证书时，将此属性设置为off
ssl_cert：SSL证书的路径，仅当协议设置为https时才应用
ssl_cert_key：SSL密钥的路径，仅当协议设置为https时才应用
secretkey_path：用于在复制策略中加密或解密远程register密码的密钥路径
ssl_cert_key：SSL密钥的路径，仅当协议设置为https时才应用
secretkey_path：用于在复制策略中加密或解密远程register密码的密钥路径

2、可选参数
这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动Harbor后在Web UI上进行更新，如果进入harbor.cfg设置，只会在第一次启动Harbor时生效，随后这些参数的更新，harbor.cfg将被忽略
注意：如果选择通过UI设置这些参数，需要确保在启动Harbour后立即执行此操作。具体来说，必须在注册或在Harbor中创建任何新用户之前设置所需的auth_mode。当系统中有用户时（除了默认的 admin 用户），auth_mode 不能被修改。具体参数如下：

Email：Harbor需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才需要
请注意，在默认情况下SSL连接时没有启用。如果SMTP服务器需要SSL，但不支持STARTTLS，那么应该通过设置启用SSL email_ssl = TRUE
harbour_admin_password：管理员的初始密码，只在Harbour第一次启动时生效。之后，此设置将被忽略，并且应 UI中设置管理员的密码，默认的用户名/密码是：admin/Harbor12345
auth_mode：使用的认证类型，默认情况下，它是db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为ldap_auth
self_registration：启用/禁用用户注册功能。禁用时，新用户只能由 Admin 用户创建，只有管理员用户可以在 Harbour中创建新用户
注意：当auth_mode设置为ldap_auth时，自注册功能将始终处于禁用状态，并且该标志被忽略
Token_expiration：由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟
project_creation_restriction：用于控制哪些用户有权创建项目的标志。默认情况下，每个人都可以创建一个项目，如果将其值设置为"adminonly"，那么只有admin可以创建项目
verify_remote_cert：打开或关闭，默认打开。此标志决定了当Harbor与远程register实例通信时是否验证SSL/TLS证书，将此属性设置为 off 将绕过 SSL/TLS 验证，这在远程实例具有自签名或不可信证书时经常使用

默认情况下，Harbour将镜像存储在本地文件系统上。在生产环境中，可以考虑使用其他存储后端而不是本地文件系统，如 S3、Openstack Swif、Ceph等。但需要更新common/templates/registry/config.yml文件

三、安装部署Harbor及镜像上传下载

Harbor 被部署为多个Docker容器，因此可以部署在任何支持Docker的Linux发行版上。服务端主机需要安装 Python、Docker 和 Docker Compose

1、下载Harbor安装程序

[root@harbor ~]# wget http:// harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz
[root@harbor ~]# tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/

2、下载Docker Compose，设置权限

[root@harbor ~]# curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose
[root@harbor ~]# chmod +x /usr/bin/docker-compose

3、配置Harbor的参数文件

[root@harbor ~]# vim /usr/local/harbor/harbor.cfg
hostname = 192.168.7.168		//更改主机名为本地地址

4、启动Harbor

[root@harbor ~]# sh /usr/local/harbor/install.sh
###省略部分内容###
[Step 4]: starting Harbor ...
Creating network "harbor_harbor" with the default driver
Creating harbor-log ... done
Creating harbor-adminserver ... done
Creating harbor-db          ... done
Creating registry           ... done
Creating harbor-ui          ... done
Creating harbor-jobservice  ... done
Creating nginx              ... done

✔ ----Harbor has been installed and started successfully.----

Now you should be able to visit the admin portal at http://192.168.7.168. 
For more details, please visit https://github.com/vmware/harbor .

5、查看Harbor的启动镜像和容器

查看镜像

[root@harbor ~]# docker images
REPOSITORY                  TAG                 IMAGE ID            CREATED             SIZE
vmware/harbor-log           v1.2.2              36ef78ae27df        2 years ago         200MB
vmware/harbor-jobservice    v1.2.2              e2af366cba44        2 years ago         164MB
vmware/harbor-ui            v1.2.2              39efb472c253        2 years ago         178MB
vmware/harbor-adminserver   v1.2.2              c75963ec543f        2 years ago         142MB
vmware/harbor-db            v1.2.2              ee7b9fa37c5d        2 years ago         329MB
vmware/nginx-photon         1.11.13             6cc5c831fc7f        2 years ago         144MB
vmware/registry             2.6.2-photon        5d9100e4350e        2 years ago         173MB
vmware/postgresql           9.6.4-photon        c562762cbd12        2 years ago         225MB
vmware/clair                v2.0.1-photon       f04966b4af6c        2 years ago         297MB
vmware/harbor-notary-db     mariadb-10.1.10     64ed814665c6        3 years ago         324MB
vmware/notary-photon        signer-0.5.0        b1eda7d10640        3 years ago         156MB
vmware/notary-photon        server-0.5.0        6e2646682e3c        3 years ago         157MB
photon                      1.0                 e6e4e4a2ba1b        3 years ago         128MB

查看容器

[root@harbor ~]# docker ps -a
CONTAINER ID        IMAGE                              COMMAND                  CREATED             STATUS              PORTS                                                              NAMES
09064037a634        vmware/harbor-jobservice:v1.2.2    "/harbor/harbor_jobs…"   4 minutes ago       Up 4 minutes                                                                           harbor-jobservice
f956106c5d42        vmware/nginx-photon:1.11.13        "nginx -g 'daemon of…"   4 minutes ago       Up 4 minutes        0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp   nginx
28e9f0634038        vmware/harbor-ui:v1.2.2            "/harbor/harbor_ui"      4 minutes ago       Up 4 minutes                                                                           harbor-ui
9faefb1789db        vmware/harbor-db:v1.2.2            "docker-entrypoint.s…"   4 minutes ago       Up 4 minutes        3306/tcp                                                           harbor-db
9e14bcf884fc        vmware/harbor-adminserver:v1.2.2   "/harbor/harbor_admi…"   4 minutes ago       Up 4 minutes                                                                           harbor-adminserver
cd7c345215f4        vmware/registry:2.6.2-photon       "/entrypoint.sh serv…"   4 minutes ago       Up 4 minutes        5000/tcp                                                           registry
6508a1000d1e        vmware/harbor-log:v1.2.2           "/bin/sh -c 'crond &…"   4 minutes ago       Up 4 minutes        127.0.0.1:1514->514/tcp                                            harbor-log

#使用docker-compose ps也可查看运行的容器，必须在与docker-compose.yml相同的目录中运行
[root@harbor harbor]# docker-compose ps
       Name                     Command               State                  Ports               
-------------------------------------------------------------------------------------------------
harbor-adminserver   /harbor/harbor_adminserver       Up                                         
harbor-db            docker-entrypoint.sh mysqld      Up      3306/tcp                           
harbor-jobservice    /harbor/harbor_jobservice        Up                                         
harbor-log           /bin/sh -c crond && rm -f  ...   Up      127.0.0.1:1514->514/tcp            
harbor-ui            /harbor/harbor_ui                Up                                         
nginx                nginx -g daemon off;             Up      0.0.0.0:443->443/tcp,              
                                                              0.0.0.0:4443->4443/tcp,            
                                                              0.0.0.0:80->80/tcp                 
registry             /entrypoint.sh serve /etc/ ...   Up      5000/tcp

6、使用浏览器访问Harbor的Web管理页面

使用浏览器打开http://192.168.7.168，访问Web管理页面
默认的管理员账户和密码是：admin/Harbor12345
登陆

7、添加新的项目

在Web页面添加

8、镜像上传到私有仓库

使用Docker命令在本地通过127.0.0.1来登录和推送镜像。默认情况下， Register服务器在端口80上侦听

[root@harbor ~]# docker login -u admin -p Harbor12345 http://127.0.0.1
###省略部分内容####
Login Succeeded
#下载一个镜像用来测测试
[root@harbor ~]# docker pull nginx
#镜像打标签
[root@harbor ~]# docker tag nginx:latest 127.0.0.1/myproject-test/nginx:v1
[root@harbor ~]# docker images
REPOSITORY                       TAG                 IMAGE ID            CREATED             SIZE
127.0.0.1/myproject-test/nginx   v1                  e791337790a6        6 days ago          127MB
#上传镜像（在登陆的情况下上传）
[root@harbor ~]# docker push 127.0.0.1/myproject-test/nginx:v1

在Web界面可以查看到新上传的镜像

9、从私有仓库中下载镜像

打开客户端，安装docker并更改docker的启动文件
重载系统文件和重启docker

[root@docker ~]# systemctl daemon-reload 
[root@docker ~]# systemctl restart docker

登陆harbor私有仓库

[root@docker ~]# docker login 192.168.7.168
Username: admin		//输入用户名
Password: 			//输入密码
###省略部分内容####
Login Succeeded
#退出登陆使用 docker logout 192.168.7.168 即可退出
#下载私有仓库的镜像
[root@docker ~]# docker pull 192.168.7.168/myproject-test/nginx:v1
v1: Pulling from myproject-test/nginx
123275d6e508: Pull complete 
6cd6a943ce27: Pull complete 
a50b5ac4a7fb: Pull complete 
Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee
Status: Downloaded newer image for 192.168.7.168/myproject-test/nginx:v1
192.168.7.168/myproject-test/nginx:v1
#测试上传镜像
[root@docker ~]# docker pull cirros
[root@docker ~]# docker tag cirros:latest 192.168.7.168/myproject-test/cirros:v1
[root@docker ~]# docker push 192.168.7.168/myproject-test/cirros:v1

打开Web页面查看

四、维护管理Harbor

可以使用docker-compose来管理Harbor，一些有用的命令如下所示，必须在与docker-compose.yml相同的目录中运行

1、修改harbor.cfg配置文件

要更改Harbour的配置文件时，要先停止现有的Harbour实例并更新harbor.cfg；然后运行prepare脚本来填充配置；最后重新创建并启动Harbour的实例

#如果不在与docker-compose.yml相同的目录中运行命令，会出现报错
[root@harbor ~]# docker-compose down -v
ERROR: 
        Can't find a suitable configuration file in this directory or any
        parent. Are you in the right directory?
        Supported filenames: docker-compose.yml, docker-compose.yaml
#进入harbor的安装目录，停止Harbor的实例
[root@harbor ~]# cd /usr/local/harbor/
[root@harbor harbor]# docker-compose down -v
Stopping harbor-jobservice  ... done
Stopping nginx              ... done
Stopping harbor-ui          ... done
Stopping harbor-db          ... done
Stopping harbor-adminserver ... done
Stopping registry           ... done
Stopping harbor-log         ... done
Removing harbor-jobservice  ... done
Removing nginx              ... done
Removing harbor-ui          ... done
Removing harbor-db          ... done
Removing harbor-adminserver ... done
Removing registry           ... done
Removing harbor-log         ... done
Removing network harbor_harbor
#停止实例以后，就可以更改harbor.cfg文件，更改完成后要运行prepare脚本来填充配置
[root@harbor harbor]# ./prepare 
#重新创建启动Harbor实例
[root@harbor harbor]# docker-compose up -d
Creating network "harbor_harbor" with the default driver
Creating harbor-log ... done
Creating registry           ... done
Creating harbor-adminserver ... done
Creating harbor-db          ... done
Creating harbor-ui          ... done
Creating harbor-jobservice  ... done
Creating nginx              ... done

2、创建Harbor用户

在Web界面
为项目添加新的成员
在客户端使用新添加的用户访问私有仓库

[root@docker ~]# docker login 192.168.7.168
Username: test-zhangsan		//输入新用户名
Password: 					//输入密码
###省略部分内容####
Login Succeeded
[root@docker ~]# docker pull 192.168.7.168/myproject-test/nginx:v1
[root@docker ~]# docker images
REPOSITORY                            TAG                 IMAGE ID            CREATED             SIZE
192.168.7.168/myproject-test/nginx    v1                  e791337790a6        6 days ago          127MB

3、Harbor服务器迁移

将Harbor迁移至另一台服务器上
将Harbor的安装目录/usr/local/harbor导出移至新的服务器
将Harbor的数据存放目录/data导出移至新的服务器

#在新的服务器更改harbor.cfg
[root@docker harbor]# vim harbor.cfg 
hostname = 192.168.7.169		//更改主机名为新的服务器
#运行prepare脚本来填充配置
[root@docker harbor]# ./prepare 
#重新创建新的容器
[root@docker harbor]# docker-compose up -d

使用web登陆查看仓库中的镜像
登陆下载镜像

[root@docker harbor]# docker login 192.168.7.169
Username: test-zhangsan
Password: 
###此处省略部分内容####
Login Succeeded
[root@docker harbor]# docker pull 192.168.7.169/myproject-test/nginx:v1
v1: Pulling from myproject-test/nginx
123275d6e508: Pull complete 
6cd6a943ce27: Pull complete 
a50b5ac4a7fb: Pull complete 
Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee
Status: Downloaded newer image for 192.168.7.169/myproject-test/nginx:v1
192.168.7.169/myproject-test/nginx:v1

如果需要重新部署私有仓库，需要移除 Harbor 服务容器全部数据
持久数据，如镜像，数据库等在宿主机的/data/目录下,日志在宿主机的 /var/log/Harbor/目录下

#在Harbor停止的状态下执行
#清除镜像、数据库数据
[root@docker ~]# rm -rf /data/database/
[root@docker ~]# rm -rf /data/registry/

丑叔叔

发布了106 篇原创文章 · 获赞 223 · 访问量 1万+

私信关注