Docker--Harbor私有仓库部署与管理

一.Harbor是什么？

Harbor是一个开源的容器镜像存储软件，它通过基于角色的访问控制保护镜像，扫描镜像以查找漏洞，并将镜像标记为可信。作为一个CNCF孵化项目，Harbor提供了法规遵从性、性能和互操作性，可以帮助在Kubernetes和Docker等云计算平台上一致、安全地管理镜像。

二.Harbor的特点

安全

• 安全和漏洞分析
• 内容签名和验证

管理

• 多租户
• 可拓展的API和Web UI
• 跨多个Harbor实例的镜像复制
• 身份集成和基于角色的访问控制
• harbor的参数文件 harbor.cfg

三.Harbor架构

• harbor主要有6大模块，默认的每个harbor的组件都被封装成一个docker container，所以可以通过compose来部署harbor，总共分为8个容器运行，通过docker-compose ps来查看

• Proxy：通过一个前置的反向代理统一接收浏览器、Docker客户端的请求，并将请求转发给后端不同的服务。
• Registry：负责储存Docker镜像，并处理docker push/pull命令
• Core services：Harbor的核心功能，包括UI、webhool、token服务
• Database：为core services提供数据库服务
• Log collector：负责收集其他组件的log，供日后进行分析

四.配置harbor的参数文件

• vim /usr/local/harbor/harbor.cfg
• 5行 hostname = 192.168.79.128 #需修改为自己的IP地址

1.所需参数

• 这些参数需要在配置文件 Harbor.cfg 中设置。
• 如果用户更新它们并运行 install.sh脚本重新安装 Harbour，
  参数将生效。

hostname：用于访问用户界面和 register 服务。它应该是目标机器的 IP 地址或完全限 定的域名（FQDN）
例如 192.168.79.128 或 hub.kgc.cn。不要使用 localhost 或 127.0.0.1 为主机名。

ui_url_protocol：（http 或 https，默认为 http）用于访问 UI 和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为 https。

max_job_workers：镜像复制作业线程。

db_password：用于db_auth 的MySQL数据库root 用户的密码。

customize_crt：该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌。
当由外部来源提供密钥和根证书时，将此属性设置为 off。

ssl_cert：SSL 证书的路径，仅当协议设置为 https 时才应用。

ssl_cert_key：SSL 密钥的路径，仅当协议设置为 https 时才应用。

secretkey_path：用于在复制策略中加密或解密远程 register 密码的密钥路径。

2.可选参数

• 这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动 Harbor 后在 Web UI 上进行更新。
• 如果进入 Harbor.cfg，只会在第一次启动 Harbor 时生效，随后对这些参数 的更新，Harbor.cfg 将被忽略。
• 注意：如果选择通过UI设置这些参数，请确保在启动Harbour后立即执行此操作。具体来说，必须在注册或在 Harbor 中创建任何新用户之前设置所需的
  auth_mode。当系统中有用户时（除了默认的 admin 用户），auth_mode 不能被修改。

Email：Harbor需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才需要。
请注意，在默认情况下SSL连接时没有启用。如果SMTP服务器需要SSL，但不支持STARTTLS，那么应该通过设置启用SSL email_ssl = TRUE。

harbour_admin_password：管理员的初始密码，只在Harbour第一次启动时生效。之后，此设置将被忽略，并且应 UI中设置管理员的密码。
请注意，默认的用户名/密码是 admin/Harbor12345。

auth_mode：使用的认证类型，默认情况下，它是 db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为 ldap_auth。

self_registration：启用/禁用用户注册功能。禁用时，新用户只能由 Admin 用户创建，只有管理员用户可以在 Harbour中创建新用户。
注意：当 auth_mode 设置为 ldap_auth 时，自注册功能将始终处于禁用状态，并且该标志被忽略。

Token_expiration：由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟。

project_creation_restriction：用于控制哪些用户有权创建项目的标志。默认情况下， 每个人都可以创建一个项目。
如果将其值设置为“adminonly”，那么只有 admin 可以创建项目。

verify_remote_cert：打开或关闭，默认打开。此标志决定了当Harbor与远程 register 实例通信时是否验证 SSL/TLS 证书。
将此属性设置为 off 将绕过 SSL/TLS 验证，这在远程实例具有自签名或不可信证书时经常使用。另外，默认情况下，Harbour 将镜像存储在本地文件系统上。在生产环境中，可以考虑 使用其他存储后端而不是本地文件系统，
如 S3、Openstack Swif、Ceph 等。但需要更新 common/templates/registry/config.yml 文件。

五.Harbor搭建

1.实验准备

• 两台主机都安装docker-ce
• harbor服务器还需要安装docker-compose

主机名	IP地址	主要软件
Harbor	192.168.79.128	docker-ce、docker-compose、harbor
Client	192.168.79.129	docker-ce

2.Harbor服务器配置（192.168.79.128）

1.安装docker-compose

curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose	#在Linux上我们可以从GitH1ub上下载它的二进制包来使用，此命令是下载Docker Compose的当前稳定版本
chmod +x /usr/local/bin/docker-compose      #赋予权限
docker-compose -v                           #查看版本 

2.安装harbor

1.下载 Harbor 安装程序
wget http:// harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz
tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/

2.配置 Harbor 参数文件
vim /usr/local/harbor/harbor.cfg
5行 hostname = 192.168.79.128

3.启动Harbor
sh /usr/local/harbor/install.sh

4.查看Harbor启动镜像
docker images

5.查看容器
docker ps -a

6.也可以使用docker-compose ps查看容器状态，但是需要在/usr/local/harbor目录下执行
cd /usr/local/harbor/
docker-compose ps

3.登录web网页测试

http://192.168.79.128

3.Harbor服务器创建项目测试镜像上传（192.168.79.128）

• 此时可使用 Docker 命令在本地通过 127.0.0.1 来登录和推送镜像。默认情况下， Register 服务器在端口 80 上侦听。

vim /usr/lib/systemd/system/docker.service              #修改13行，使客户端可以连接harbor服务器

docker login -u admin -p Harbor12345 http://127.0.0.1	#登陆harbor字符界面

docker pull nginx                                       #下载一个镜像用于测试

docker tag nginx:latest  127.0.0.1/hqq/nginx:v1         #将镜像打标签

docker push 127.0.0.1/hqq/nginx:v1                      #上传镜像

web网页harbor，打开hqq项目查看镜像是否上传成功

4.Client服务器上测试镜像下载（192.168.79.129）

vim /usr/lib/systemd/system/docker.service                     #修改13行，使客户端可以连接harbor服务器
systemctl daemon-reload 
systemctl restart docker    
docker login  -u admin -p Harbor12345 http://192.168.79.128    #登录
docker pull 192.168.79.128/hqq/nginx:v1                        #下载Harbor上的镜像

docker pull cirros   #下载镜像，用于测试上传
docker tag cirros:latest 192.168.79.128/hqq/cirros:v1          #打标签
docker push 192.168.79.128/hqq/cirros:v1                       #上传镜像
docker images                                                  #查看镜像

web网页harbor，打开hqq项目查看镜像是否上传成功

六.Harbor仓库维护管理

1.修改Harbor.cfg配置文件（192.168.79.128）

1、可以使用 docker-compose 来管理 Harbor，命令必须在与 docker-compose.yml 相同的目录中运行。
2、修改harbor.cfg配置文件的时候要注意请先停止现有的 Harbour 实例并更新 Harbor.cfg；然 后运行 prepare 脚本来填充配置；最后重新创建并启动 Harbour 的实例。

cd /usr/local/harbor      #进入harbor目录
docker-compose down -v    #关闭删除所有容器
vim harbor.cfg            #查看配置
./prepare                 #重新填充配置
docker-compose up -d      #开启容器

2.创建 Harbor 用户

3.Client客户端操作测试（192.168.79.129）

docker logout 192.168.195.128
docker login 192.168.195.128
Username:                      #填写刚在Harbor设置的名字
Password:                      #填写刚在Harbor设置的密码

docker pull tomcat                                          #下载一个tomcat镜像用于上传
docker tag tomcat:latest 192.168.79.128/hqq/tomcat:v1       #打标签
docker push 192.168.79.128/hqq/tomcat:v1                    #上传镜像

web上查看镜像是否上传成功

docker rmi 192.168.79.128/hqq/nginx:v1    #删除镜像测试能否下载
docker pull 192.168.195.128/hqq/nginx:v1  #重新下载镜像
docker images                             #查看镜像

4.移除 Harbor 服务容器同时保留镜像数据/数据库

Harbor客户端与Client客户端都需要退出登录

#Harbor服务器操作

docker logout 127.0.0.1         #退出Harbor登录

#Client服务器操作

docker logout 192.168.79.128    #退出Harbor登录

#在Harbor服务器上操作

docker-compose down -v          #移除所有容器

• 如需重新部署，需要移除 Harbor 服务容器全部数据
  持久数据，如镜像，数据库等在宿主机的/data/目录下,日志在宿主机的
  /var/log/Harbor/目录下。

rm -rf /data/database/
rm -rf /data/registry/

/data/registry/docker/registry/v2/repositories