[クラウドネイティブ] Dockerプライベートウェアハウスレジストリ&ハーバー

1.Dockerプライベートウェアハウス(レジストリ)

1.1 レジストリの概要

1.2 レジストリの展開

ステップ 1: 関連する画像を取得する

ステップ 3: 画像をプッシュする

2. レジストリのアップグレード - Habor

(1) Docker-Composeサービスのデプロイ

(6) 他のクライアントに画像をアップロードする

4. 港湾の維持管理

(1) Harbor Webからプロジェクトを作成する

(2) ハーバーユーザーの作成

(3) ログの閲覧

(4) Harbor.cfg設定ファイルを変更する

(5) 画像データ/データベースを保持したままHarborサービスコンテナを削除し、移行する

(3) バックアップマシン内のアイテムを表示編集

1.Dockerプライベートウェアハウス(レジストリ)

1.1 レジストリの概要

Dockerのウェアハウスはプライベートウェアハウスとパブリックウェアハウスに分かれており、パブリックウェアハウスは正規ユーザー登録してログインすれば利用可能です。ただし、倉庫の利用については企業が独自の独占的なイメージを持っているため、民間ライブラリの構築も必要となる。

ネイティブウェアハウスの場合、Docker は独自のプライベートライブラリの構築に役立つレジストリを提供しますが、管理が難しく、複雑な操作を実行できないという欠点も明らかです。

1.2 レジストリの展開

ステップ 1: 関連する画像を取得する

docker pull registry:2.7.1
docker pull joxit/docker-registry-ui:latest   # 非必须，简单的界面

ステップ 2: レジストリの関連する yml ファイルを構成する ( docker-compose )

構成する必要があるファイルは 2 つあり、1 つは config.yml で、もう 1 つは docker-compose.yml です。

mkdir -p /etc/docker/registry
 
cat > /etc/docker/registry/config.yml <<EOF
version: 0.1
log:
  accesslog:
    disabled: true
  level: debug
  formatter: text
  fields:
    service: registry
    environment: staging
storage:
  delete:
    enabled: true
  cache:
    blobdescriptor: inmemory
  filesystem:
    rootdirectory: /var/lib/registry
http:
  addr: :5000
  headers:
    X-Content-Type-Options: [nosniff]
    Access-Control-Allow-Origin: ['http://192.168.181.100']
    Access-Control-Allow-Methods: ['HEAD', 'GET', 'OPTIONS', 'DELETE']
    Access-Control-Allow-Headers: ['Authorization', 'Accept']
    Access-Control-Max-Age: [1728000]
    Access-Control-Allow-Credentials: [true]
    Access-Control-Expose-Headers: ['Docker-Content-Digest']
  http2:
    disabled: false
health:
  storagedriver:
    enabled: true
    interval: 10s
    threshold: 3
EOF
 
 
 
cat > docker-compose.yaml <<EOF
version: '2.0'
services:
  registry:
    image: registry:2.7.1
    ports:
      - 5000:5000
    volumes:
      - /opt/registry:/var/lib/registry
      - /etc/docker/registry/config.yml:/etc/docker/registry/config.yml
  ui:
    image: joxit/docker-registry-ui:latest
    ports:
      - 80:80
    environment:
      - REGISTRY_TITLE=My Private Docker Registry
      - REGISTRY_URL=http://192.168.181.100:5000
      - SINGLE_REGISTRY=true
    depends_on:
      - registry
EOF
 
docker-compose up -d

ステップ 3: 画像をプッシュする

docker tag nginx 192.168.73.105:5000/nginx:latest
 
docker push 192.168.73.105:5000/nginx:latest
The push refers to repository [192.168.181.100:5000/nginx]
Get "https://192.168.73.105:5000/v2/": http: server gave HTTP response to HTTPS client
 
# 开启非安全认证
 vim /etc/docker/daemon.json
{
  "insecure-registries" : [ "192.168.73.105:5000" ]
}
 
systemctl restart docker
 
 
#通web进入
http://192.168.73.105

2. レジストリのアップグレード - Habor

2.1 ハーバーの概要

Harbor は、VMware のオープンソースのエンタープライズレベルの Docker レジストリプロジェクトであり、その目標は、ユーザーがエンタープライズレベルの Docker レジストリサービスを迅速に構築できるようにすることです。

HarborはDockerのオープンソースレジストリをベースとしており、グラフィカルな管理UI、ロールベースのアクセス制御(Role Based AccessControl)、AD/LDAP統合、監査ログ(Auditlogging)など企業ユーザーが必要とする機能を提供しており、中国語もネイティブでサポートしています。

Harbor の各コンポーネントは Docker コンテナとして構築され、docker-compose を使用してデプロイされます。Harbor のデプロイに使用される docker-compose テンプレートは、harbor/docker-compose.yml にあります。

2.2 港の特徴

ロールベースの制御: ユーザーとウェアハウスはプロジェクトに基づいて編成され、ユーザーはプロジェクト内で異なる権限を持つことができます。

ミラーベースのレプリケーション戦略: 複数の Harbor インスタンス間でミラーをレプリケート (同期) できます。

LDAP/AD のサポート: Harbor は、既存のユーザーの認証と管理のために企業内の既存の AD/LDAP (データベースに似たテーブル) を統合できます。

画像の削除とガベージコレクション: 画像を削除し、画像が占有していた領域を再利用することもできます。

グラフィカルユーザーインターフェイス: ユーザーはブラウザを通じて画像ウェアハウスを参照、検索し、プロジェクトを管理できます。

監査管理: 画像ウェアハウス上のすべての操作を記録および追跡して、監査管理を行うことができます。

RESTful API のサポート: RESTful API により、管理者は Harbor をより詳細に制御できるようになり、他の管理ソフトウェアとの統合が容易になります。

Harbor と docker レジストリの関係: Harbor は基本的に docker レジストリをカプセル化し、独自のビジネステンプレートを拡張します

2.3 ハーバーの構成

Harbor のアーキテクチャは主に、プロキシ、レジストリ、コアサービス、データベース (Harbor-db)、ログコレクター (Harbor-log)、およびジョブサービスの 6 つのコンポーネントで構成されます。

●プロキシ: nginx フロントエンドプロキシであり、Harbor のレジストリ、UI、トークンサービス、その他のコンポーネントはすべて nginx リバースプロキシの背後にあります。プロキシは、ブラウザおよび Docker クライアントからのリクエストをさまざまなバックエンドサービスに転送します。

●レジストリ: Docker イメージの保存と Docker プッシュ/プルコマンドの処理を担当します。ユーザーのアクセス制御が必要である、つまり、ユーザーごとに Docker イメージに対する読み取りおよび書き込み権限が異なるため、レジストリはトークンサービスをポイントし、ユーザーは Docker のプル/プッシュリクエストごとに正当なトークンを保持する必要があります。 pass the public キーを使用してトークンを復号化し、検証します。

●コアサービス: Harbor のコア機能は主に次の 3 つのサービスを提供します。
1) UI (harbor-ui): ユーザーがレジストリ上のイメージを管理し、ユーザーを認証するのに役立つグラフィカルインターフェイスを提供します。
2) WebHook: レジストリ上のイメージのステータス変更をタイムリーに取得するには、レジストリ上で Webhook を構成し、ステータス変更を UI モジュールに渡します。
3) トークンサービス: ユーザーの権限に応じて、Docker のプッシュ/プルコマンドごとにトークンを発行します。Docker クライアントによって開始されたレジストリサービスへのリクエストにトークンが含まれていない場合、リクエストはトークンサービスにリダイレクトされ、トークンを取得した後、再度レジストリにリクエストが行われます。

●データベース (harbor-db): コアサービスにデータベースサービスを提供し、ユーザー権限、監査ログ、Docker イメージのグループ化情報、その他のデータの保存を担当します。

●ジョブサービス: 主にイメージのレプリケーションに使用され、ローカルイメージをリモートの Harbor インスタンスに同期できます。

●ログコレクター (harbor-log): 他のコンポーネントからのログを 1 か所に収集する役割を果たします。

Harbor のすべてのコンポーネントは Docker コンテナとして構築されているため、Docker Compose を使用してデプロイします。
合計 7 つのコンテナーが実行されています。docker-compose.yml が配置されているディレクトリで docker-compose ps コマンドを実行すると、コンテナーを表示できます。名前は、nginx、harbor-jobservice、harbor-ui、harbor-db、ハーバー管理サーバー、レジストリ、ハーバーログ。
このうち、harbor-adminserver は主にバックエンドの設定データ管理として使用され、その他の機能はあまりありません。Harbor-uiで運用するデータはすべてharbor-adminserverなどのデータ構成管理センターを介して完結します。

3. 港湾展開

(1) Docker-Composeサービスのデプロイ

//下载或者上传 Docker-Compose
curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose
 
chmod +x /usr/local/bin/docker-compose
 
docker-compose -v

(2) ハーバーサービスの導入

#下载或上传 Harbor 安装程序
Harbor的压缩包下载地址：https://github.com/goharbor/harbor/releases
 
wget http://harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz
 
tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/
 
 
#修改harbor安装的配置文件
vim /usr/local/harbor/harbor.cfg
--5行--修改，设置为Harbor服务器的IP地址或者域名
hostname = 192.168.73.107
--59行--指定管理员的初始密码，默认的用户名/密码是admin/ztt123
harbor_admin_password = ztt123

----------------------------------------------------------------------------------------------------------
关于 Harbor.cfg 配置文件中有两类参数：所需参数和可选参数
1、所需参数：这些参数需要在配置文件 Harbor.cfg 中设置。如果用户更新它们并运行 install.sh 脚本重新安装 Harbor， 参数将生效。具体参数如下：
●hostname：用于访问用户界面和 register 服务。它应该是目标机器的 IP 地址或完全限定的域名（FQDN），例如 192.168.73.107 或 hub.kgc.cn。不要使用 localhost 或 127.0.0.1 为主机名。
 
●ui_url_protocol：（http 或 https，默认为 http）用于访问 UI 和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为 https。
 
●max_job_workers：镜像复制作业线程。
 
●db_password：用于db_auth 的MySQL数据库root 用户的密码。
 
●customize_crt：该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌。当由外部来源提供密钥和根证书时，将此属性设置为 off。
 
●ssl_cert：SSL 证书的路径，仅当协议设置为 https 时才应用。
 
●secretkey_path：用于在复制策略中加密或解密远程 register 密码的密钥路径。
 
2、可选参数：这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动 Harbor 后在 Web UI 上进行更新。如果进入 Harbor.cfg，只会在第一次启动 Harbor 时生效，随后对这些参数的更新，Harbor.cfg 将被忽略。
 
注意：如果选择通过 UI 设置这些参数，请确保在启动 Harbor 后立即执行此操作。具体来说，必须在注册或在 Harbor 中创建任何新用户之前设置所需的 auth_mode。当系统中有用户时（除了默认的 admin 用户）， auth_mode 不能被修改。 具体参数如下：
●Email：Harbor 需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才启用。请注意，在默认情况下 SSL 连接时没有启用。如果 SMTP 服务器需要 SSL，但不支持 STARTTLS，那么应该通过设置启用 SSL email_ssl = TRUE。
 
●harbor_admin_password：管理员的初始密码，只在 Harbor 第一次启动时生效。之后， 此设置将被忽略，并且应在 UI 中设置管理员的密码。请注意，默认的用户名/密码是admin/Harbor12345。
 
●auth_mode：使用的认证类型，默认情况下，它是 db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为 ldap_auth。
 
●self_registration：启用/禁用用户注册功能。禁用时，新用户只能由 Admin 用户创建，只有管理员用户可以在 Harbor 中创建新用户。注意：当 auth_mode 设置为 ldap_auth 时，自注册功能将始终处于禁用状态，并且该标志被忽略。
 
●Token_expiration：由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟。
 
●project_creation_restriction：用于控制哪些用户有权创建项目的标志。默认情况下，每个人都可以创建一个项目。 如果将其值设置为“adminonly”，那么只有 admin 可以创建项目。
 
●verify_remote_cert：打开或关闭，默认打开。此标志决定了当Harbor与远程 register 实例通信时是否验证 SSL/TLS 证书。 将此属性设置为 off 将绕过 SSL/TLS 验证，这在远程实例具有自签名或不可信证书时经常使用。
 
另外，默认情况下，Harbor 将镜像存储在本地文件系统上。在生产环境中，可以考虑 使用其他存储后端而不是本地文件系统，如 S3、Openstack Swif、Ceph 等对象存储。但需要更新 common/templates/registry/config.yml 文件。
Harbor的默认镜像存储路径在 /data/registry 目录下，映射到docker容器里面的 /storage 目录下。
这个参数是在 docker-compose.yml 中指定的，在 docker-compose up -d 运行之前修改。
如果希望将 Docker 镜像存储到其他的磁盘路径，可以修改这个参数。
----------------------------------------------------------------------------------------------------------

(3) スタートハーバー

cd /usr/local/harbor/
在配置好了 harbor.cfg 之后，执行
 ./prepare      #为 harbor 启动的容器生成一些必要的文件（环境）
 ./install.sh   # 以 pull 镜像并启动容器

(4) ハーバーブートイメージの表示

cd /usr/local/harbor/
docker-compose ps
 
##以下命令均在在habor的配置目录下运行
docker-compose up -d      #启动
docker-compose stop       #停止
docker-compose restart    #重新启动

(5) 新規プロジェクトの作成

1) ブラウザアクセス: http://192.168.73.107 Harbor WEB UI インターフェースにログインパスワード ztt123

2) ユーザー名とパスワードを入力してインターフェースにログインすると、新しいプロジェクトを作成できます。「+プロジェクト」ボタンをクリックします

3) プロジェクト名に「myproject-test」と入力し、「OK」ボタンをクリックして新しいプロジェクトを作成します。

4) この時点で、Docker コマンドを使用してログインし、192.168.73.107 経由でイメージをローカルにプッシュできます。デフォルトでは、レジストリサーバーはポート 80 で待機します。

//登录 Harbor
docker login [-u admin -p Harbor12345] http://192.168.73.107
 
//下载镜像进行测试
docker pull nginx
 
//将镜像打标签
格式：docker tag 镜像:标签  仓库IP/项目名称/镜像名:标签
docker tag nginx:latest 192.168.73.107/myproject-test/nginx:v1
 
//上传镜像到 Harbor
docker push 192.168.73.107/myproject-test/nginx:v1

5) この画像と関連情報は、Harbor インターフェイスの myproject-test ディレクトリで確認できます。

(6) 他のクライアントに画像をアップロードする

上記の操作はすべて Harbor サーバー上でローカルに実行されます。他のクライアントが Harbor にログインすると、次のエラーが報告されます。

docker login -u admin -p ztt123 http://192.168.73.107
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
Error response from daemon: Get https://192.168.73.107/v2/: dial tcp 192.168.73.107:443: connect: connection refused

1) Docker クライアントでの操作の構成

方法 1:
//解決策は、Docker サーバーを起動するときに起動パラメータを追加し、デフォルトで HTTP アクセスを使用することです。

vim /usr/lib/systemd/system/docker.service
--13行--修改
ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry 192.168.73.107 --containerd=/run/containerd/containerd.sock
或
ExecStart=/usr/bin/dockerd --insecure-registry 192.168.73.107
 
//重启 Docker，再次登录
systemctl daemon-reload
systemctl restart docker
 
//再次登录 Harbor
docker login -u admin -p Harbor12345 http://192.168.73.107
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Login Succeeded
//将自动保存凭据到/root/.docker/config.json，下次登录时可直接使用凭据登录 Harbor

方法 2:

vim /etc/docker/daemon.json
{
"insecure-registries": ["192.168.73.107"]    #如果要与别的仓库配置共用，中间要用“,”隔开
}

//下载镜像进行测试
docker pull 192.168.73.107/myproject-test/nginx:v1
 
//上传镜像进行测试
docker pull cirros
docker tag cirros:latest 192.168.73.107/myproject-test/cirros:v2
docker push 192.168.73.107/myproject-test/cirros:v2

2) Harbor の Web 管理インターフェイスを更新して表示すると、myproject-test プロジェクトに 2 つのミラーがあることがわかります。

4. 港湾の維持管理

(1) Harbor Webからプロジェクトを作成する

Harbor リポジトリでは、イメージはレジストリにプッシュされる前に独自のプロジェクトを持っている必要があります。
「+プロジェクト」をクリックし、プロジェクト名を入力します。プロジェクトレベルが「プライベート」に設定されている場合は、チェックを外したままにしてください。パブリックウェアハウスに設定されている場合、このプロジェクトのイメージに対する読み取り権限が全員に与えられます。イメージをダウンロードするためにコマンドラインで「Docker ログイン」を実行する必要はありません。イメージの操作は Docker Hub と一貫しています。

(2) ハーバーユーザーの作成

1) ユーザーを作成し、権限を割り当てる

Web 管理インターフェイスで、[システム管理] -> [ユーザー管理] -> [+ユーザー] をクリックし、
ユーザー名を「zhangsan」、電子メールアドレスを「[email protected]」、フルネームを「zhangsan」、パスワードを入力します。「As12345678」、コメントは「xxプロジェクトロール」となります（省略可能）。
添付: ユーザーの作成が完了したら、左側の「...」ボタンをクリックして、上記で作成したユーザーを管理者ロールに設定または削除します。この例では、何も設定していません。

役割権限の説明
訪問者は、指定されたプロジェクトに対して
読み取り専用権限を持ちます。開発者は、指定されたプロジェクトに対して読み取り/書き込み権限を持ちますが、削除権限はありません。メンテナは、指定されたプロジェクトに対して読み取り/書き込み権限を持ち、Webhookプロジェクトの
作成など、他の設定を変更することもできます。
管理者読み取りおよび書き込み権限、およびユーザー管理/画像スキャンおよびその他の管理権限

2) プロジェクトメンバーの追加

「プロジェクト」->「myproject-test」->「メンバー」->「+メンバー」をクリックし、上記で作成したユーザー zhangsan を入力し、ロールを「開発者」に割り当てます。
添付ファイル: 現時点でも、左側の「...」ボタンをクリックしてメンバーの役割を変更または削除できます。

3) 通常のアカウントを使用してクライアント上でイメージを操作する

//删除上述打标签的本地镜像
docker rmi 192.168.73.107/myproject-test/cirros:v2
 
//先退出当前用户，然后使用上述创建的账户 zhangsan 登录
docker logout 192.168.73.107
 
docker login 192.168.73.105
或
docker login -u zhangsan -p As12345678 http://192.168.73.107
 
//下载和上传镜像进行测试
docker pull 192.168.73.107/myproject-test/cirros:v2
 
docker tag cirros:latest 192.168.73.107/myproject-test/cirros:v3
docker push 192.168.73.107/myproject-test/cirros:v3

(3) ログの閲覧

Webインターフェースログ、操作ログはユーザーに関する操作を時系列に記録します。

(4) Harbor.cfg設定ファイルを変更する

要更改 Harbor的配置文件中的可选参数时，请先停止现有的 Harbor实例并更新 Harbor.cfg；然后运行 prepare 脚本来填充配置； 最后重新创建并启动 Harbor 的实例。
 
使用 docker-compose 管理 Harbor 时，必须在与 docker-compose.yml 相同的目录中运行。
cd /usr/local/harbor
docker-compose down -v
 
vim harbor.cfg            #只能修改可选参数
 
./prepare
 
docker-compose up -d
//如果有以下报错，需要开启防火墙 firewalld 服务解决
Creating network "harbor_harbor" with the default driver
ERROR: Failed to Setup IP tables: Unable to enable SKIP DNAT rule:  (iptables failed: iptables --wait -t nat -I DOCKER -i br-b53c314f45e8 -j RETURN: iptables: No chain/target/match by that name.
 (exit status 1))
 
systemctl restart firewalld.service
docker-compose up -d

(5) 画像データ/データベースを保持したままHarborサービスコンテナを削除し、移行する

//在Harbor服务器上操作
（1）移除 Harbor 服务容器
cd /usr/local/harbor
docker-compose down -v
 
（2）把项目中的镜像数据进行打包
//持久数据，如镜像，数据库等在宿主机的/data/目录下，日志在宿主机的/var/log/Harbor/目录下
ls /data/registry/docker/registry/v2/repositories/myproject-kgc
cd /data/registry/docker/registry/v2/repositories/myproject-kgc
tar zcvf kgc-registry.tar.gz ./*
 
6. 如需重新部署，需要移除 Harbor 服务容器全部数据
cd /usr/local/harbor
docker-compose down -v
rm -r /data/database
rm -r /data/registry

5. ハーバーバックアップマシンの設定

5.1 ハーバーを再インストールする

ホストを再度オンにし、前の手順に従って Harbor サーバーをインストールします。

5.2 コピー処理

(1) コピーオブジェクトの追加

サーバー (コピー先のホスト): Harbor 管理者にログインします。

コピー管理=》ターゲット=》+ターゲット=》ターゲット充填

相手ホストのユーザー名とパスワードを入力し、URLが届くのを待って接続テストを行い、問題がなければ確認できます。

(2) 項目を選択してコピーする

サーバー内:

プロジェクト=》コピーするプロジェクト名をクリック=》コピー=》+ルールをコピー

コピールールを記述して接続をテストし、正しい場合は確認できます。