Docker私有registry Harbor

发表于 | 分类于

一. Harbor 简介

Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。作为一个企业级私有Registry服务器，Harbor提供了更好的性能和安全。提升用户使用Registry构建和运行环境传输镜像的效率。Harbor支持安装在多个Registry节点的镜像资源复制，镜像全部保存在私有Registry中， 确保数据和知识产权在公司内部网络中管控。另外，Harbor也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。

1.1 Harbor组件

  • Proxy：Harbor的registry, UI, token等服务，通过一个前置的反向代理统一接收浏览器、Docker客户端的请求，并将请求转发给后端不同的服务。
  • Registry： 负责储存Docker镜像，并处理docker push/pull 命令。由于我们要对用户进行访问控制，即不同用户对Docker image有不同的读写权限，Registry会指向一个token服务，强制用户的每次docker pull/push请求都要携带一个合法的token, Registry会通过公钥对token 进行解密验证。
  • Core services： 这是Harbor的核心功能，主要提供以下服务：
  • UI：提供图形化界面，帮助用户管理registry上的镜像（image）, 并对用户进行授权。
  • webhook：为了及时获取registry 上image状态变化的情况， 在Registry上配置webhook，把状态变化传递给UI模块。
  • token 服务：负责根据用户权限给每个docker push/pull命令签发token. Docker 客户端向Regiøstry服务发起的请求,如果不包含token，会被重定向到这里，获得token后再重新向Registry进行请求。
  • Database：为core services提供数据库服务，负责储存用户权限、审计日志、Docker image分组信息等数据。
  • Job Services：提供镜像远程复制功能，可以把本地镜像同步到其他Harbor实例中。
  • Log collector：为了帮助监控Harbor运行，负责收集其他组件的log，供日后进行分析。
  • Volnerability Scanning：对应启动组件clair。负责镜像扫描
  • Notary：对应启动组件notary。负责镜像认证
  • DB：对应启动组件harbor-db，负责存储project、 user、 role、replication、image_scan、access等的metadata数据。

1.2 Harbor实现

Harbor的每个组件都是以Docker容器的形式构建的，官方也是使用Docker Compose来对它进行部署。用于部署Harbor的Docker Compose模板位于 harbor/docker-compose.yml,打开这个模板文件，发现Harbor是由7个容器组成的； 

[root@aliyun harbor]# cd /usr/local/harbor/ //解压路径
[root@aliyun harbor]# docker-compose ps
Name Command State Ports
    ------------------------------------------------------------------------------------------------------------------------------
harbor-adminserver /harbor/harbor_adminserver Up
harbor-db docker-entrypoint.sh mysqld Up 3306/tcp
harbor-jobservice /harbor/harbor_jobservice Up
harbor-log /bin/sh -c crond && rm -f ... Up 127.0.0.1:1514->514/tcp
harbor-ui /harbor/harbor_ui Up
nginx nginx -g daemon off; Up 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp, 0.0.0.0:80->80/tcp
registry /entrypoint.sh serve /etc/ ... Up 5000/tcp

nginx：nginx负责流量转发和安全验证，对外提供的流量都是从nginx中转，所以开放https的443端口，它将流量分发到后端的ui和正在docker镜像存储的docker registry。

harbor-jobservice：harbor-jobservice 是harbor的job管理模块，job在harbor里面主要是为了镜像仓库之前同步使用的;

harbor-ui：harbor-ui是web管理页面，主要是前端的页面和后端CURD的接口;

registry：registry就是docker原生的仓库，负责保存镜像。

harbor-adminserver：harbor-adminserver是harbor系统管理接口，可以修改系统配置以及获取系统信息。

这几个容器通过Docker link的形式连接在一起，在容器之间通过容器名字互相访问。对终端用户而言，只需要暴露proxy （即Nginx）的服务端口。

harbor-db：harbor-db是harbor的数据库，这里保存了系统的job以及项目、人员权限管理。由于本harbor的认证也是通过数据，在生产环节大多对接到企业的ldap中；

harbor-log：harbor-log是harbor的日志服务，统一管理harbor的日志。通过inspect可以看出容器统一将日志输出的syslog。

这几个容器通过Docker link的形式连接在一起，这样，在容器之间可以通过容器名字互相访问。对终端用户而言，只需要暴露proxy （即Nginx）的服务端口。

二.安装Harbor

2.1 安装准备：

Harbor 托管在github上 https://github.com/vmware/harbor
安装配置说明 :https://github.com/goharbor/harbor/blob/master/docs/installation_guide.md
版本：https://github.com/goharbor/harbor/releases

安装有两种方式，一种是off-line ，一种是on-line，即离线和在线安装，离线安装需要下载的安装包较大，在线安装下载的安装包很小
安装前需要安装docker 和 docker-compose

2.2 安装Harbor

下载离线安装包 

[root@aliyun ~]# wget https://storage.googleapis.com/harbor-releases/harbor-offline-installer-v1.5.2.tgz

解压

[root@aliyun ~]# tar xf harbor-offline-installer-v1.5.2.tgz  -C /usr/local/

修改配置文件

# vim /usr/local/harbor/harbor.cfg 
hostname = 192.168.10.1 //服务器地址 
#邮箱配置 email_server = smtp.qq.com 
email_server_port = 25
email_username = unixfbi@unixfbi.com 
email_password =12345678 
email_from = UnixFBI <unixfbi@unixfbi.com> 
email_ssl = false #禁止用户注册 
self_registration = off #设置只有管理员可以创建项目 
project_creation_restriction = adminonly

执行安装脚本

# /usr/local/harbor/install.sh

Harbor的启动与停止

Harbor 的日常运维管理是通过docker-compose来完成的，Harbor本身有多个服务进程，都放在docker容器之中运行，我们可以通过 docker-compose 来查看 

[root@aliyun harbor]# cd /usr/local/harbor/ //解压路径
[root@aliyun harbor]# docker-compose ps
Name Command State Ports
------------------------------------------------------------------------------------------------------------------------------
harbor-adminserver /harbor/harbor_adminserver Up
harbor-db docker-entrypoint.sh mysqld Up 3306/tcp
harbor-jobservice /harbor/harbor_jobservice Up
harbor-log /bin/sh -c crond && rm -f ... Up 127.0.0.1:1514->514/tcp
harbor-ui /harbor/harbor_ui Up
nginx nginx -g daemon off; Up 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp, 0.0.0.0:80->80/tcp
registry /entrypoint.sh serve /etc/ ... Up 5000/tcp


Harbor的启动和停止
启动Harbor
# docker-compose start
停止Harbor
# docker-comose stop
重启Harbor
# docker-compose restart

访问测试

浏览器访问 192.168.10.1
默认账号密码： admin / Harbor12345 登录后修改密码