1. Harbor私有镜像仓库概述

第一次接触容器技术时，你可能遇到过这样的困扰：团队内部开发的镜像怎么共享？直接推送到Docker Hub既担心安全又受限于网络速度。这时候就需要搭建自己的私有镜像仓库，而Harbor就是企业级场景下的首选方案。

Harbor是VMware开源的容器镜像仓库管理系统，它不仅仅是简单的镜像存储，更提供了企业必需的安全管控、镜像复制、漏洞扫描等高级功能。我在实际项目中发现，相比原生Docker Registry，Harbor的三大核心优势特别突出：

1. 可视化操作：通过Web界面就能完成镜像管理，不用再记一堆curl命令
2. 多租户隔离：不同团队可以创建独立项目，避免镜像混乱
3. 安全扫描：自动检测镜像中的CVE漏洞，这个功能在金融行业特别受重视

2. 从零搭建Harbor环境

2.1 基础环境准备

在开始安装前，确保你的Linux服务器满足以下条件：

• 至少4核CPU/8GB内存/100GB磁盘空间
• 已安装Docker 18.06+和Docker Compose 1.18.0+
• 开放80、443端口

这里有个小技巧：如果服务器内存小于8GB，建议调整Harbor的部署模式。我在资源受限的测试环境中用过这两种方案：

# 资源节约模式（适合4GB内存）
./install.sh --with-notary --with-clair --with-trivy

# 最小化安装（仅核心功能）
./install.sh

2.2 HTTPS证书配置

生产环境强烈建议启用HTTPS，我推荐使用Let's Encrypt免费证书。如果只是测试，可以用OpenSSL快速生成自签名证书：

# 生成CA私钥
openssl genrsa -out ca.key 4096

# 生成CA证书
openssl req -x509 -new -nodes -sha512 -days 3650 \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=IT/CN=harbor.local" \
  -key ca.key \
  -out ca.crt

# 生成服务器证书
openssl genrsa -out harbor.key 4096
openssl req -sha512 -new \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=IT/CN=harbor.local" \
  -key harbor.key \
  -out harbor.csr

证书配置常见坑点：

• 证书CN名称必须与访问域名完全一致
• 浏览器提示不安全时需要手动信任证书
• 集群内访问建议将CA证书加入系统信任链

2.3 Harbor安装与初始化

下载离线安装包后，按步骤执行：

tar xzvf harbor-offline-installer-v2.7.0.tgz
cd harbor
cp harbor.yml.tmpl harbor.yml
vim harbor.yml  # 修改hostname、证书路径等配置
./install.sh

安装完成后，通过docker-compose ps应该能看到这些服务：

harbor-core       # 核心服务
harbor-portal     # Web界面
registry          # 镜像存储
harbor-db         # PostgreSQL数据库
harbor-jobservice # 后台任务

3. 企业级安全实践

3.1 访问控制策略

Harbor支持四种权限角色：

• 项目管理员：完全控制项目
• 维护者：可推送/拉取镜像
• 开发者：只能推送特定镜像
• 访客：只读权限

创建项目时有个实用技巧：将基础镜像库设为公开(Public)，业务镜像库设为私有(Private)。这样既方便基础镜像共享，又能保护业务代码。

3.2 镜像漏洞扫描

集成Trivy扫描器的配置示例：

# harbor.yml
trivy:
  ignore_unfixed: true  # 只报告已修复的漏洞
  severity: high,critical  # 仅关注高危漏洞
  skip_update: false  # 自动更新漏洞数据库

扫描策略建议：

• 开发环境：每次push自动扫描
• 生产环境：每日定时全量扫描
• 阻断规则：发现高危漏洞自动阻止部署

3.3 审计日志与合规性

Harbor会记录这些关键操作日志：

• 镜像推送/拉取
• 用户权限变更
• 项目配置修改

通过ELK收集日志后，可以设置这样的告警规则：

当同一IP在1小时内失败登录超过5次 → 触发安全告警
当生产环境镜像被覆盖 → 通知运维负责人

4. 高级运维技巧

4.1 镜像复制策略

跨数据中心同步镜像的配置示例：

# 创建复制规则
- 名称: prod-sync
- 模式: 定时同步
- 触发条件: 每天2:00AM
- 源仓库: harbor-primary/prod
- 目标仓库: harbor-dr/prod
- 过滤器: tag包含"release-"

4.2 存储空间清理

设置自动清理策略：

# harbor.yml
cleanup:
  enabled: true
  olderThan: 30d  # 保留最近30天
  keepTags: 10    # 每个镜像保留10个tag

手动清理小技巧：

# 找出可清理的镜像
docker exec -it harbor-registry registry garbage-collect --dry-run /etc/registry/config.yml

# 实际执行清理
docker-compose stop registry
docker exec -it harbor-registry registry garbage-collect /etc/registry/config.yml
docker-compose start registry

4.3 高可用部署

生产环境建议这样部署：

                  +-----------------+
                  | 负载均衡 (Nginx) |
                  +--------+--------+
                           |
        +------------------+------------------+
        |                  |                  |
+-------+-------+  +-------+-------+  +-------+-------+
| Harbor Node1  |  | Harbor Node2  |  | Harbor Node3  |
| (共享存储)    |  | (共享存储)    |  | (共享存储)    |
+---------------+  +---------------+  +---------------+

关键配置：

• 共享存储：建议使用Ceph或NFS
• 数据库：外部PostgreSQL集群
• Redis：哨兵模式部署

5. 常见问题排查

问题1：推送镜像时报"unauthorized"

• 检查docker login状态
• 确认项目权限配置
• 查看/var/log/harbor/core.log错误日志

问题2：Web界面访问缓慢

# 调整Nginx worker数量
vim /etc/nginx/nginx.conf
worker_processes auto;
worker_connections 10240;

问题3：存储空间不足

# 查看镜像占用空间
du -sh /data/registry/docker/registry/v2/

# 清理孤立layer
registry garbage-collect --delete-untagged /etc/registry/config.yml

在实际运维中，我建议定期检查这些指标：

• 磁盘使用率（超过80%需要扩容）
• 内存占用（核心服务应低于70%）
• API响应时间（P99 < 500ms）