1. Harbor私有镜像仓库部署指南在企业级容器化部署中私有镜像仓库是保障软件供应链安全的核心基础设施。作为CNCF毕业项目Harbor以其企业级功能特性如RBAC、漏洞扫描、镜像签名等成为最受欢迎的私有仓库解决方案。本指南将基于v2.7.0版本完整演示从零搭建生产可用Harbor集群的全流程。生产环境建议使用外部PostgreSQL和高可用Redis本文为演示方便采用内置数据库方案1.1 基础环境准备硬件配置建议测试环境2核CPU/4GB内存/100GB存储SSD生产环境4核CPU/8GB内存/500GB存储建议RAID10软件依赖清单# CentOS 7/8最小化安装后执行 yum install -y docker-ce docker-ce-cli containerd.io systemctl enable --now docker # 验证Docker版本需≥20.10 docker --version网络规划要点443端口HTTPS必须开放防火墙需放行80HTTP重定向、4443Notary服务端口若启用Clair漏洞扫描需能访问互联网更新CVE数据库2. 安装部署全流程2.1 离线安装包获取官方提供两种获取方式在线下载需访问GitHubwget https://github.com/goharbor/harbor/releases/download/v2.7.0/harbor-offline-installer-v2.7.0.tgz tar xvf harbor-offline-installer-v2.7.0.tgz商业版离线包需VMware账户访问Tanzu Network下载Enterprise版本包含Trivy漏洞扫描器等增值功能2.2 配置文件定制修改harbor.yml关键参数hostname: registry.yourcompany.com # 必须匹配证书域名 http: port: 80 https: port: 443 certificate: /data/certs/registry.crt # PEM格式证书链 private_key: /data/certs/registry.key database: password: StrongPassword123 # 修改默认密码 data_volume: /data # 建议挂载独立存储卷证书生成示例开发环境自签名openssl req -x509 -newkey rsa:4096 -nodes -days 365 \ -keyout registry.key -out registry.crt \ -subj /CNregistry.yourcompany.com2.3 执行安装脚本./install.sh --with-trivy --with-chartmuseum参数说明--with-trivy集成Trivy漏洞扫描器--with-chartmuseum启用Helm Chart仓库--with-notary启用镜像签名验证需额外配置安装完成后检查服务状态docker-compose ps应看到10个容器正常运行的输出core、portal、jobservice等3. 关键配置详解3.1 管理员账户安全首次登录后必须修改默认admin/Harbor12345密码启用OTP双因素认证系统管理→认证模式创建专属管理员账户禁用默认admin账户3.2 项目权限管理RBAC配置建议开发团队赋予Developer角色push/pull权限QA团队赋予Guest角色仅pull权限运维团队赋予ProjectAdmin角色创建项目时注意勾选自动扫描镜像启用安全扫描设置存储配额防止磁盘占满私有项目需显式授权用户访问3.3 镜像清理策略配置自动清理系统管理→垃圾清理- keep_latest: 5 # 保留最近5个标签 - keep_hours: 168 # 保留7天内的镜像 - regex: .*-SNAPSHOT # 排除快照版本 action: retain生产环境建议先试运行dry_run: true确认规则无误后再启用4. 日常运维实战4.1 备份与恢复完整备份方案# 备份数据库 docker exec -i harbor-db pg_dump -U postgres registry registry.sql # 备份配置文件和数据卷 tar czvf harbor-backup-$(date %s).tar.gz \ harbor.yml /data/certs /data/registry灾难恢复步骤在新主机安装相同版本Harbor还原PostgreSQL数据docker exec -i harbor-db psql -U postgres registry registry.sql覆盖配置文件和data_volume目录4.2 性能调优高负载场景优化# 修改harbor.yml追加 jobservice: max_job_workers: 20 # 默认10根据CPU核心数调整 core: token_expiration: 30 # JWT令牌有效期(分钟) redis: pool_size: 50 # 连接池大小监控指标采集Prometheus端点/metrics需配置ServiceMonitor关键指标harbor_http_requests_total、harbor_storage_usage_bytes5. 故障排查手册5.1 常见错误解决问题1推送镜像时报unauthorized: authentication required检查docker login是否成功确认用户有项目push权限查看core服务日志docker logs harbor-core问题2Jobservice频繁重启检查Redis连接docker exec harbor-redis redis-cli PING增加jobservice内存限制docker-compose.yml问题3漏洞扫描失败确认Trivy服务网络连通性手动更新数据库docker exec harbor-trivy trivy --cache-dir /home/scanner/.cache/trivy/ --download-db-only5.2 日志分析技巧关键日志位置# Core服务日志API请求 docker logs -f harbor-core # Jobservice日志异步任务 docker logs -f harbor-jobservice # Registry日志镜像传输 docker logs -f harbor-registry日志级别调整临时调试docker exec harbor-core ./core/core -level debug6. 高级功能集成6.1 与K8s集群对接在kubelet配置中增加{ insecure-registries: [registry.yourcompany.com], registry-mirrors: [] }Helm仓库添加helm repo add harbor https://registry.yourcompany.com/chartrepo/library helm repo update6.2 流水线集成示例Jenkins Pipeline片段stage(Push Image) { steps { script { docker.withRegistry(https://registry.yourcompany.com, harbor-creds) { docker.image(${IMAGE_NAME}:${BUILD_NUMBER}).push() } } } }GitLab CI配置variables: HARBOR_USER: $CI_DEPLOY_USER HARBOR_PASSWORD: $CI_DEPLOY_PASSWORD build: script: - docker login -u $HARBOR_USER -p $HARBOR_PASSWORD registry.yourcompany.com - docker build -t registry.yourcompany.com/myproject/app:$CI_COMMIT_SHA . - docker push registry.yourcompany.com/myproject/app:$CI_COMMIT_SHA实际部署中遇到镜像拉取速度慢的问题可以通过配置区域缓存代理解决。在harbor.yml中添加proxy: remote_url: https://registry-1.docker.io username: your_dockerhub_user password: your_dockerhub_token whitelist: - library/* - bitnami/* Harbor私有镜像仓库部署与运维全指南
1. Harbor私有镜像仓库部署指南在企业级容器化部署中私有镜像仓库是保障软件供应链安全的核心基础设施。作为CNCF毕业项目Harbor以其企业级功能特性如RBAC、漏洞扫描、镜像签名等成为最受欢迎的私有仓库解决方案。本指南将基于v2.7.0版本完整演示从零搭建生产可用Harbor集群的全流程。生产环境建议使用外部PostgreSQL和高可用Redis本文为演示方便采用内置数据库方案1.1 基础环境准备硬件配置建议测试环境2核CPU/4GB内存/100GB存储SSD生产环境4核CPU/8GB内存/500GB存储建议RAID10软件依赖清单# CentOS 7/8最小化安装后执行 yum install -y docker-ce docker-ce-cli containerd.io systemctl enable --now docker # 验证Docker版本需≥20.10 docker --version网络规划要点443端口HTTPS必须开放防火墙需放行80HTTP重定向、4443Notary服务端口若启用Clair漏洞扫描需能访问互联网更新CVE数据库2. 安装部署全流程2.1 离线安装包获取官方提供两种获取方式在线下载需访问GitHubwget https://github.com/goharbor/harbor/releases/download/v2.7.0/harbor-offline-installer-v2.7.0.tgz tar xvf harbor-offline-installer-v2.7.0.tgz商业版离线包需VMware账户访问Tanzu Network下载Enterprise版本包含Trivy漏洞扫描器等增值功能2.2 配置文件定制修改harbor.yml关键参数hostname: registry.yourcompany.com # 必须匹配证书域名 http: port: 80 https: port: 443 certificate: /data/certs/registry.crt # PEM格式证书链 private_key: /data/certs/registry.key database: password: StrongPassword123 # 修改默认密码 data_volume: /data # 建议挂载独立存储卷证书生成示例开发环境自签名openssl req -x509 -newkey rsa:4096 -nodes -days 365 \ -keyout registry.key -out registry.crt \ -subj /CNregistry.yourcompany.com2.3 执行安装脚本./install.sh --with-trivy --with-chartmuseum参数说明--with-trivy集成Trivy漏洞扫描器--with-chartmuseum启用Helm Chart仓库--with-notary启用镜像签名验证需额外配置安装完成后检查服务状态docker-compose ps应看到10个容器正常运行的输出core、portal、jobservice等3. 关键配置详解3.1 管理员账户安全首次登录后必须修改默认admin/Harbor12345密码启用OTP双因素认证系统管理→认证模式创建专属管理员账户禁用默认admin账户3.2 项目权限管理RBAC配置建议开发团队赋予Developer角色push/pull权限QA团队赋予Guest角色仅pull权限运维团队赋予ProjectAdmin角色创建项目时注意勾选自动扫描镜像启用安全扫描设置存储配额防止磁盘占满私有项目需显式授权用户访问3.3 镜像清理策略配置自动清理系统管理→垃圾清理- keep_latest: 5 # 保留最近5个标签 - keep_hours: 168 # 保留7天内的镜像 - regex: .*-SNAPSHOT # 排除快照版本 action: retain生产环境建议先试运行dry_run: true确认规则无误后再启用4. 日常运维实战4.1 备份与恢复完整备份方案# 备份数据库 docker exec -i harbor-db pg_dump -U postgres registry registry.sql # 备份配置文件和数据卷 tar czvf harbor-backup-$(date %s).tar.gz \ harbor.yml /data/certs /data/registry灾难恢复步骤在新主机安装相同版本Harbor还原PostgreSQL数据docker exec -i harbor-db psql -U postgres registry registry.sql覆盖配置文件和data_volume目录4.2 性能调优高负载场景优化# 修改harbor.yml追加 jobservice: max_job_workers: 20 # 默认10根据CPU核心数调整 core: token_expiration: 30 # JWT令牌有效期(分钟) redis: pool_size: 50 # 连接池大小监控指标采集Prometheus端点/metrics需配置ServiceMonitor关键指标harbor_http_requests_total、harbor_storage_usage_bytes5. 故障排查手册5.1 常见错误解决问题1推送镜像时报unauthorized: authentication required检查docker login是否成功确认用户有项目push权限查看core服务日志docker logs harbor-core问题2Jobservice频繁重启检查Redis连接docker exec harbor-redis redis-cli PING增加jobservice内存限制docker-compose.yml问题3漏洞扫描失败确认Trivy服务网络连通性手动更新数据库docker exec harbor-trivy trivy --cache-dir /home/scanner/.cache/trivy/ --download-db-only5.2 日志分析技巧关键日志位置# Core服务日志API请求 docker logs -f harbor-core # Jobservice日志异步任务 docker logs -f harbor-jobservice # Registry日志镜像传输 docker logs -f harbor-registry日志级别调整临时调试docker exec harbor-core ./core/core -level debug6. 高级功能集成6.1 与K8s集群对接在kubelet配置中增加{ insecure-registries: [registry.yourcompany.com], registry-mirrors: [] }Helm仓库添加helm repo add harbor https://registry.yourcompany.com/chartrepo/library helm repo update6.2 流水线集成示例Jenkins Pipeline片段stage(Push Image) { steps { script { docker.withRegistry(https://registry.yourcompany.com, harbor-creds) { docker.image(${IMAGE_NAME}:${BUILD_NUMBER}).push() } } } }GitLab CI配置variables: HARBOR_USER: $CI_DEPLOY_USER HARBOR_PASSWORD: $CI_DEPLOY_PASSWORD build: script: - docker login -u $HARBOR_USER -p $HARBOR_PASSWORD registry.yourcompany.com - docker build -t registry.yourcompany.com/myproject/app:$CI_COMMIT_SHA . - docker push registry.yourcompany.com/myproject/app:$CI_COMMIT_SHA实际部署中遇到镜像拉取速度慢的问题可以通过配置区域缓存代理解决。在harbor.yml中添加proxy: remote_url: https://registry-1.docker.io username: your_dockerhub_user password: your_dockerhub_token whitelist: - library/* - bitnami/*