Docker企业级仓库Harbor

2024-01-13 14:41:58

Docker企业级仓库Harbor

 

 

 

 

 

Harbor 是VMware公司开源的企业级Docker Registry项目，其目标是帮助用户迅速搭建一个企业级的Docker Registry服务。

 

作为一个企业级私有的Registry服务器，Harbor提供了更好的性能和安全。提升用户使用Registry构建和运行环境传输镜像的效率。

 

Harbor特性

 

  • 基于角色的访问控制—用户与Docker镜像仓库通过“项目”进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。
  • 镜像复制—镜像可以在多个Registry实例中复制（同步）。尤其适合与负载均衡，高可用，混合云和多云的场景。
  • AD/LDAP支持—Harbor可以集成企业内部已有的AD/LDAP，用于鉴权认证管理。
  • 审计管理—所有针对镜像仓库的操作都可以被追溯，用于审计管理。
  • 国际化—已拥有中文、英文、德文、日文和俄文的本地化版本。更多的语言会添加进来。
  • RESTful API—RESTful API提供给管理员对于Harbor更多的操控，使得与其他管理软件集成变得更容易
  • 部署简单—Docker-compose和离线安装

 

概念

 

Harbor是企业级docker镜像仓库，而registry是私有仓库

 

Registry的缺点

 

1、安全性能不足

 

2、纯命令行操作，没有图形化界面

 

harbor组件

 

Proxy代理：主要实现对请求的识别和转发，是一个内置的nginx

 

Registry：实现对docker pull / docker push命令的响应，也负责对token的验证

 

log collector：收集日志

 

Core service：核心服务器

 

? UI：提供图形化界面，帮助用户管理镜像，并授权

 

? token：验证权限

 

? webhook：把镜像状态及时传递给UI

 

Database：负责存储用户权限，审计日志、Docker image等数据

 

Job service：负责镜像在harbor仓库之间的同步和传输（多实例同步）

 

Log collector：为了帮助监控 Harbor 运行，负责收集其他组件的 log，供日后进行分析。

 

运行容器 log：运行着 rsyslogd 的容器，通过 log-driver 的形式收集其他容器的日志。

 

harbor原理

 

Docker企业级仓库Harbor

 

从客户端到代理的请求，Proxy来查看请求的目的是查看数据，然后将请求转发到Core services，而ui界面的数据来自Database；如果请求的目的是上传镜像，将转发到Registry，而上传镜像同样需要权限，进行token验证，经过Core services，然后将要上传的镜像传输到Database，Job services会拿取Database的数据用来与其他Harbor仓库进行同步传输

 

搭建域名服务

 

因为要使用域名来访问harbor，所以要做自建的域名服务

 

安装bind软件包以及工具包

yum -y install bind bind-utils bind-libs bind-chroot epel-release vim

 

修改主配置文件

$ vim /etc/named.conf 
options {
        listen-on port 53 { any; }; # 改为any，监听地址
        ...
        allow-query     { any; }; # 改为any，谁可以对当前DNS服务器提出解析请求，any是任何人

 

修改区域配置文件

$ vim /etc/named.rfc1912.zones
# 末尾添加
zone "yanjiang.chai" IN {   # 引号内修改为自己申请或者定义的二级域，内网自己定义即可
        type master;
        file "yanjiang.chai.zone";  # 指向/var/named目录的正向解析文件
        allow-update { none; };
};

zone "1.168.192.in-addr.arpa" IN {  # 引号内修改为网络位地址的倒序
        type master;
        file "192.168.1.arpa";  # 指向/var/named目录的反向解析文件
        allow-update { none; };
};

 

创建正向和反向解析配置文件

cd /var/named
#  文件名与区域配置文件中的文件名一致
cp -p named.localhost yanjiang.chai.zone    # 正向解析
cp -p named.localhost 192.168.1.arpa        # 反向解析

 

修改正向解析

$TTL 1D
$ORIGIN yanjiang.chai.   # 表示以下记录的域来自yanjiang.chai.，如master1来自master1.yanjiang.chai.
@       IN SOA  harbor1.yanjiang.chai. root (  # harbor1.yanjiang.chai.为当前主机域名，root可以改为管理员邮箱，不写管理员邮箱会报错
                                        0       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
@    IN NS    harbor1.yanjiang.chai.  # @表示当前主机，当前主机的域名为harbor1.yanjiang.chai.
# 以下为正向解析记录
harbor1    IN A    192.168.1.12

 

修改反向解析

$TTL 1D
@       IN SOA  harbor1.yanjiang.chai. root (
                                        0       ; serial
                                        1D      ; refresh
                                        1H      ; retry
                                        1W      ; expire
                                        3H )    ; minimum
# 以下为解析记录
    IN NS    harbor1.yanjiang.chai.
12    IN PTR    harbor1.yanjiang.chai.

 

启动域名服务

systemctl --now enable named

 

修改三台服务器的nameserver为192.168.1.12

$ vim /etc/resolv.conf
# 第一行添加
echo "nameserver 192.168.1.12" >> /etc/resolv.conf

 

验证解析

$ nslookup harbor1.yanjiang.chai
Server:        192.168.1.12
Address:    192.168.1.12#53

Name:    harbor1.yanjiang.chai
Address: 192.168.1.12

$ nslookup 192.168.1.12
12.1.168.192.in-addr.arpa    name = harbor1.yanjiang.chai.

 

准备Harbor环境

 

环境如下：

 

HOSTNAME IP OS Hard
harbor1 192.168.1.2 Centos 7.6 4c4g

 

修改主机名

hostnamectl set-hostname harbor1

 

安装docker

yum -y install yum-utils device-mapper-persistent-data lvm2 vim epel-release
yum-config-manager --add-repo=http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
yum -y install docker-ce-20.10.6
systemctl --now enable docker

 

修改国内镜像站请参考 部署Docker

 

下载docker-compose

curl -L "https://github.com/docker/compose/releases/download/1.29.1/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
chmod +x /usr/local/bin/docker-compose

 

下载harbor安装包

wget -P /usr/local https://github.com/goharbor/harbor/releases/download/v2.1.5/harbor-offline-installer-v2.1.5.tgz
tar zxf /usr/local/harbor-offline-installer-v2.1.5.tgz -C /usr/local

 

HTTPS自签证书

 

生成CA证书

 

用来颁发证书

mkdir /usr/local/harbor/pki && cd $_
# 生成CA证书私钥
openssl genrsa -out ca.key 4096
# 生成CA证书
openssl req -x509 -new -nodes -sha512 -days 3650  -subj "/C=CN/ST=Beijing/L=Beijing/O=harbor/OU=Docker/CN=harbor1.yanjiang.chai"  -key ca.key  -out ca.crt

 

生成服务器证书

# 生成私钥
openssl genrsa -out harbor1.yanjiang.chai.key 4096
# 生成证书签名请求
openssl req -sha512 -new     -subj "/C=CN/ST=Beijing/L=Beijing/O=harbor/OU=Docker/CN=harbor1.yanjiang.chai"     -key harbor1.yanjiang.chai.key     -out harbor1.yanjiang.chai.csr

 

生成一个x509 v3扩展文件

 

无论使用域名还是IP地址连接到Harbor主机，都必须创建此文件，以便可以为Harbor主机生成符合主题备用名称（SAN）和x509 v3的证书扩展要求。

# 使用时为了避免不必要的错误，请将文件中注释删除
cat > v3.ext << EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1=harbor1.yanjiang.chai    # FQDN完整域名
DNS.2=yanjiang                 # 二级域
DNS.3=harbor1                  # hostname
EOF

 

生成harbor证书

openssl x509 -req -sha512 -days 3650     -extfile v3.ext     -CA ca.crt -CAkey ca.key -CAcreateserial     -in harbor1.yanjiang.chai.csr     -out harbor1.yanjiang.chai.crt

 

将服务器证书(harborx.yanjiang.chai.crt)和密钥(harborx.yanjiang.chai.key)复制到 harbor 要指定的路径中，当然也可以不复制，我这里就不复制了，因为我都是在 harbor 所在主机的 harbor 路径做的。

 

转换harbor证书->docker

 

部署 harbor 本身就是给 docker 准备的，所以 docker 在使用 harbor 时，也会用到证书。docker 的守护进程将 .crt 文件解释为 CA 证书，.cert 文件为客户端证书

openssl x509 -inform PEM -in harbor1.yanjiang.chai.crt -out harbor1.yanjiang.chai.cert

 

复制到docker的证书目录

mkdir /etc/docker/certs.d/harbor1.yanjiang.chai -p
cp harbor1.yanjiang.chai.cert /etc/docker/certs.d/harbor1.yanjiang.chai
cp harbor1.yanjiang.chai.key /etc/docker/certs.d/harbor1.yanjiang.chai
cp ca.crt /etc/docker/certs.d/harbor1.yanjiang.chai

 

重启docker即可

systemctl restart docker

 

系统级别信任证书

cp harbor1.yanjiang.chai.crt /etc/pki/ca-trust/source/anchors
update-ca-trust

 

如果想要环境中所有的docker主机都可以识别的话，在每个docker主机都创建对应域名的证书目录。

 

修改 harbor.yml 配置文件

$ cd /usr/local/harbor/
$ cp harbor.yml.tmpl harbor.yml
$ vim harbor.yml
hostname: harbor1.yanjiang.chai   # 修改为自己ip或者域名
https:
  port: 443
  # 证书文件路径
  certificate: /usr/local/harbor/pki/harbor1.yanjiang.chai.crt
  private_key: /usr/local/harbor/pki/harbor1.yanjiang.chai.key
harbor_admin_password: Harbor12345  # harbor登录密码

 

部署harbor

$ ./prepare
...
Successfully called func: create_root_cert
Generated configuration file: /compose_location/docker-compose.yml
Clean up the input dir

$ ./install.sh
...
[Step 5]: starting Harbor ...
Creating network "harbor_harbor" with the default driver
Creating harbor-log ... done
Creating registryctl   ... done
Creating registry      ... done
Creating harbor-db     ... done
Creating harbor-portal ... done
Creating redis         ... done
Creating harbor-core   ... done
Creating harbor-jobservice ... done
Creating nginx             ... done
? ----Harbor has been installed and started successfully.----

 

访问 https://harbor1.yanjiang.chai，若无法访问，则关闭防火墙或者放行443和80端口

 

默认用户名：admin

默认密码：Harbor12345

 

Docker企业级仓库Harbor

 

登录后

 

Docker企业级仓库Harbor

 

可以通过创建项目来，添加一个新项目

 

Docker企业级仓库Harbor

 

docker login

 

在本地使用 docker pull 和 docker push 操作仓库时，需要登录

# 交互式登录
$ docker login https://harbor1.yanjiang.chai
Username: admin
Password: 
...
Login Succeeded

# 非交互式登录
$ docker login -u admin -p Harbor12345 https://harbor1.yanjiang.chai

 

测试

 

部署完harbor后，docker本地会有关于harbor的一些镜像，现在将这些镜像传到harbor仓库当做验证。镜像略多，写脚本上传

 

先用命令行创建一个项目，该文件用来创建项目

cat << EOF >> createproject.json
{
  "project_name": "goharbor",
  "metadata": {
    "public": "true"
  }
}
EOF

 

命令行创建harbor仓库项目

curl -u "admin:Harbor12345" -X POST -H "Content-Type: application/json" "https://harbor1.yanjiang.chai/api/v2.0/projects" -d @createproject.json --cacert /usr/local/harbor/pki/ca.crt

 

查看页面

 

Docker企业级仓库Harbor

 

上传测试请参考 harbor双主复制

 

OK！！！

 

Docker企业级仓库Harbor

上一篇：Nginx系列教程（06） - 配置反向代理


下一篇：安卓学习第15课——ExpandableListView