Harbor私有仓库搭建

一、什么是harbor？
Harbor是一个开源的容器镜像存储软件，它通过基于角色的访问控制保护镜像，扫描镜像以查找漏洞，并将镜像标记为可信。作为一个CNCF孵化项目，Harbor提供了法规遵从性、性能和互操作性，可以帮助在Kubernetes和Docker等云计算平台上一致、安全地管理镜像。
harbor的特点

安全
安全和漏洞分析
内容签名和验证
管理
多租户
可拓展的API和Web UI
跨多个Harbor实例的镜像复制
身份集成和基于角色的访问控制
harbor的参数文件 harbor.cfg
配置harbor的参数文件
vim /usr/local/harbor/harbor.cfg
（1）所需参数
这些参数需要在配置文件 Harbor.cfg 中设置。
如果用户更新它们并运行 install.sh脚本重新安装 Harbour，
参数将生效。具体参数如下：
hostname：用于访问用户界面和 register 服务。它应该是目标机器的 IP 地址或完全限定的域名（FQDN）
例如 192.168.195.128 或 hub.kgc.cn。不要使用 localhost 或 127.0.0.1 为主机名。
ui_url_protocol：（http 或 https，默认为 http）用于访问 UI 和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为 https。
max_job_workers：镜像复制作业线程。
db_password：用于db_auth 的MySQL数据库root 用户的密码。
customize_crt：该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌。
当由外部来源提供密钥和根证书时，将此属性设置为 off。
ssl_cert：SSL 证书的路径，仅当协议设置为 https 时才应用。
ssl_cert_key：SSL 密钥的路径，仅当协议设置为 https 时才应用。
secretkey_path：用于在复制策略中加密或解密远程 register 密码的密钥路径。
（2）可选参数
这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动 Harbor 后在 Web UI 上进行更新。
如果进入 Harbor.cfg，只会在第一次启动 Harbor 时生效，随后对这些参数的更新，Harbor.cfg 将被忽略。
注意：如果选择通过UI设置这些参数，请确保在启动Harbour后立即执行此操作。具体来说，必须在注册或在 Harbor 中创建任何新用户之前设置所需的
auth_mode。当系统中有用户时（除了默认的 admin 用户），auth_mode 不能被修改。具体参数如下：
Email：Harbor需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才需要。
请注意，在默认情况下SSL连接时没有启用。如果SMTP服务器需要SSL，但不支持STARTTLS，那么应该通过设置启用SSL email_ssl = TRUE。
harbour_admin_password：管理员的初始密码，只在Harbour第一次启动时生效。之后，此设置将被忽略，并且应 UI中设置管理员的密码。
请注意，默认的用户名/密码是 admin/Harbor12345。
auth_mode：使用的认证类型，默认情况下，它是 db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为 ldap_auth。
self_registration：启用/禁用用户注册功能。禁用时，新用户只能由 Admin 用户创建，只有管理员用户可以在 Harbour中创建新用户。
注意：当 auth_mode 设置为 ldap_auth 时，自注册功能将始终处于禁用状态，并且该标志被忽略。
Token_expiration：由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟。
project_creation_restriction：用于控制哪些用户有权创建项目的标志。默认情况下，每个人都可以创建一个项目。
如果将其值设置为“adminonly”，那么只有 admin 可以创建项目。

verify_remote_cert：打开或关闭，默认打开。此标志决定了当Harbor与远程 register 实例通信时是否验证 SSL/TLS 证书。
将此属性设置为 off 将绕过 SSL/TLS 验证，这在远程实例具有自签名或不可信证书时经常使用。
另外，默认情况下，Harbour 将镜像存储在本地文件系统上。在生产环境中，可以考虑使用其他存储后端而不是本地文件系统，
如 S3、Openstack Swif、Ceph 等。但需要更新 common/templates/registry/config.yml 文件。
三、安装部署Harbor
Harbor 被部署为多个Docker容器，因此可以部署在任何支持Docker的Linux发行版上。服务端主机需要安装 Python、Docker 和 Docker Compose。
1.下载harbor安装程序

[root@harbor ~]# wget http:// harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz
[root@harbor ~]# tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/

2.下载Docker Compose，设置权限

[root@harbor ~]# curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose
[root@harbor ~]# chmod +x /usr/bin/docker-compose

3、配置Harbor的参数文件

[root@harbor ~]# vim /usr/local/harbor/harbor.cfg
hostname = 192.168.191.132      //更改主机名为本地地址

4、启动Harbor

[root@harbor ~]# sh /usr/local/harbor/install.sh
//省略部分内容//
[Step 4]: starting Harbor ...
Creating network "harbor_harbor" with the default driver
Creating harbor-log ... done
Creating harbor-adminserver ... done
Creating harbor-db          ... done
Creating registry           ... done
Creating harbor-ui          ... done
Creating harbor-jobservice  ... done
Creating nginx              ... done
✔ ----Harbor has been installed and started successfully.----
Now you should be able to visit the admin portal at http://192.168.191.132. 
For more details, please visit https://github.com/vmware/harbor .

5、查看Harbor的启动镜像和容器
(1）查看镜像

[root@harbor ~]# docker images
REPOSITORY                  TAG                 IMAGE ID            CREATED             SIZE
vmware/harbor-log           v1.2.2              36ef78ae27df        2 years ago         200MB
vmware/harbor-jobservice    v1.2.2              e2af366cba44        2 years ago         164MB
vmware/harbor-ui            v1.2.2              39efb472c253        2 years ago         178MB
vmware/harbor-adminserver   v1.2.2              c75963ec543f        2 years ago         142MB
vmware/harbor-db            v1.2.2              ee7b9fa37c5d        2 years ago         329MB
vmware/nginx-photon         1.11.13             6cc5c831fc7f        2 years ago         144MB
vmware/registry             2.6.2-photon        5d9100e4350e        2 years ago         173MB
vmware/postgresql           9.6.4-photon        c562762cbd12        2 years ago         225MB
vmware/clair                v2.0.1-photon       f04966b4af6c        2 years ago         297MB
vmware/harbor-notary-db     mariadb-10.1.10     64ed814665c6        3 years ago         324MB
vmware/notary-photon        signer-0.5.0        b1eda7d10640        3 years ago         156MB
vmware/notary-photon        server-0.5.0        6e2646682e3c        3 years ago         157MB
photon                      1.0                 e6e4e4a2ba1b        3 years ago         128MB

（2）查看容器

[root@harbor ~]# docker ps -a
CONTAINER ID        IMAGE                              COMMAND                  CREATED             STATUS              PORTS                                                              NAMES
09064037a634        vmware/harbor-jobservice:v1.2.2    "/harbor/harbor_jobs…"   4 minutes ago       Up 4 minutes                                                                           harbor-jobservice
f956106c5d42        vmware/nginx-photon:1.11.13        "nginx -g 'daemon of…"   4 minutes ago       Up 4 minutes        0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp   nginx
28e9f0634038        vmware/harbor-ui:v1.2.2            "/harbor/harbor_ui"      4 minutes ago       Up 4 minutes                                                                           harbor-ui
9faefb1789db        vmware/harbor-db:v1.2.2            "docker-entrypoint.s…"   4 minutes ago       Up 4 minutes        3306/tcp                                                           harbor-db
9e14bcf884fc        vmware/harbor-adminserver:v1.2.2   "/harbor/harbor_admi…"   4 minutes ago       Up 4 minutes                                                                           harbor-adminserver
cd7c345215f4        vmware/registry:2.6.2-photon       "/entrypoint.sh serv…"   4 minutes ago       Up 4 minutes        5000/tcp                                                           registry
6508a1000d1e        vmware/harbor-log:v1.2.2           "/bin/sh -c 'crond &…"   4 minutes ago       Up 4 minutes        127.0.0.1:1514->514/tcp                                            harbor-log
#使用docker-compose ps也可查看运行的容器，必须在与docker-compose.yml相同的目录中运行
[root@harbor harbor]# docker-compose ps
   Name                     Command               State                  Ports  
harbor-adminserver   /harbor/harbor_adminserver       Up                                         
harbor-db            docker-entrypoint.sh mysqld      Up      3306/tcp                           
harbor-jobservice    /harbor/harbor_jobservice        Up                                         
harbor-log           /bin/sh -c crond && rm -f  ...   Up      127.0.0.1:1514->514/tcp            
harbor-ui            /harbor/harbor_ui                Up                                         
nginx                nginx -g daemon off;             Up      0.0.0.0:443->443/tcp,              
                                                          0.0.0.0:4443->4443/tcp,            
                                                          0.0.0.0:80->80/tcp                 
registry             /entrypoint.sh serve /etc/ ...   Up      5000/tcp

四、使用浏览器访问Harbor的Web管理页面
默认的管理员账户和密码是：admin/Harbor12345
Harbor私有仓库搭建
账号密码登录

1.添加新的项目
直接在web界面添加

2.将镜像上传到私有仓库
使用Docker命令在本地通过127.0.0.1来登录和推送镜像。默认情况下， Register服务器在端口80上监听

[root@harbor ~]# docker login -u admin -p Harbor12345 http://127.0.0.1
###省略部分内容####
Login Succeeded
#下载一个镜像用来测测试
[root@harbor ~]# docker pull nginx
#镜像打标签
[root@harbor ~]# docker tag nginx:latest 127.0.0.1/myproject-test/nginx:v1
[root@harbor ~]# docker images
REPOSITORY                       TAG                 IMAGE ID            CREATED             SIZE
127.0.0.1/myproject-test/nginx   v1                  e791337790a6        6 days ago          127MB
#上传镜像（在登陆的情况下上传）
[root@harbor ~]# docker push 127.0.0.1/myproject-test/nginx:v1

此时在web界面就可以查看到新上传的镜像
Harbor私有仓库搭建
重载系统文件和重启docker

[root@docker ~]# systemctl daemon-reload 
[root@docker ~]# systemctl restart docker

登陆harbor私有仓库

[root@docker ~]# docker login 192.168.191.132
Username: admin     //输入用户名
Password:           //输入密码
###省略部分内容####
Login Succeeded
#退出登陆使用 docker logout 192.168.191.132 即可退出
#下载私有仓库的镜像
[root@docker ~]# docker pull 192.168.191.132/myproject-test/nginx:v1
v1: Pulling from myproject-test/nginx
123275d6e508: Pull complete 
6cd6a943ce27: Pull complete 
a50b5ac4a7fb: Pull complete 
Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee
Status: Downloaded newer image for 192.168.191.132/myproject-test/nginx:v1
192.168.7.168/myproject-test/nginx:v1
#测试上传镜像
[root@docker ~]# docker pull cirros
[root@docker ~]# docker tag cirros:latest 192.168.7.168/myproject-test/cirros:v1
[root@docker ~]# docker push 192.168.191.132/myproject-test/cirros:v1

五、harbor的维护与管理
可以使用docker-compose来管理Harbor，一些有用的命令如下所示，必须在与docker-compose.yml相同的目录中运行
1、修改harbor的配置文件
要更改Harbour的配置文件时，要先停止现有的Harbour实例并更新harbor.cfg；然后运行prepare脚本来填充配置；最后重新创建并启动Harbour的实例

[root@harbor ~]# docker-compose down -v
ERROR: 
    Can't find a suitable configuration file in this directory or any
    parent. Are you in the right directory?
    Supported filenames: docker-compose.yml, docker-compose.yaml
#进入harbor的安装目录，停止Harbor的实例
[root@harbor ~]# cd /usr/local/harbor/
[root@harbor harbor]# docker-compose down -v
Stopping harbor-jobservice  ... done
Stopping nginx              ... done
Stopping harbor-ui          ... done
Stopping harbor-db          ... done
Stopping harbor-adminserver ... done
Stopping registry           ... done
Stopping harbor-log         ... done
Removing harbor-jobservice  ... done
Removing nginx              ... done
Removing harbor-ui          ... done
Removing harbor-db          ... done
Removing harbor-adminserver ... done
Removing registry           ... done
Removing harbor-log         ... done
Removing network harbor_harbor
#停止实例以后，就可以更改harbor.cfg文件，更改完成后要运行prepare脚本来填充配置
[root@harbor harbor]# ./prepare 
#重新创建启动Harbor实例
[root@harbor harbor]# docker-compose up -d
Creating network "harbor_harbor" with the default driver
Creating harbor-log ... done
Creating registry           ... done
Creating harbor-adminserver ... done
Creating harbor-db          ... done
Creating harbor-ui          ... done
Creating harbor-jobservice  ... done
Creating nginx              ... done

创建 Harbor 用户
Harbor私有仓库搭建

在客户端使用新添加的用户访问私有仓库

[root@docker ~]# docker login 192.168.7.168
Username: test-zhangsan     //输入新用户名
Password:                   //输入密码
###省略部分内容####
Login Succeeded
[root@docker ~]# docker pull 192.168.191.132/myproject-test/nginx:v1
[root@docker ~]# docker images
REPOSITORY                            TAG                 IMAGE ID            CREATED             SIZE
192.168.7.168/myproject-test/nginx    v1                  e791337790a6

六、Harbor服务器迁移

将Harbor迁移至另一台服务器上
将Harbor的安装目录/usr/local/harbor导出移至新的服务器

将Harbor的数据存放目录/data导出移至新的服务器

#在新的服务器更改harbor.cfg
[root@docker harbor]# vim harbor.cfg 
hostname = 192.168.191.132      //更改主机名为新的服务器
#运行prepare脚本来填充配置
[root@docker harbor]# ./prepare 
#重新创建新的容器
[root@docker harbor]# docker-compose up -d

原先创建的项目和镜像都没有消失
登陆下载镜像

[root@docker harbor]# docker login 192.168.191.132
Username: test-zhangsan
Password: 
###此处省略部分内容####
Login Succeeded
[root@docker harbor]# docker pull 192.168.191.132/myproject-test/nginx:v1
v1: Pulling from myproject-test/nginx
123275d6e508: Pull complete 
6cd6a943ce27: Pull complete 
a50b5ac4a7fb: Pull complete 
Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee
Status: Downloaded newer image for 192.168.191.132/myproject-test/nginx:v1
192.168.191.132/myproject-test/nginx:v1

如需重新部署，需要移除 Harbor 服务容器全部数据
持久数据，如镜像，数据库等在宿主机的/data/目录下,日志在宿主机的
/var/log/Harbor/目录下

rm -rf /data/database/
rm -rf /data/registry/

Harbor私有仓库搭建

猜你喜欢