什么是 Harbor

Harbor 是一个用于存储和分发 Docker 镜像的企业级 Registry 服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源 Docker Distribution。作为一个企业级私有 Registry 服务器，Harbor 提供了更好的性能和安全。提升用户使用 Registry 构建和运行环境传输镜像的效率。Harbor 支持安装在多个 Registry 节点的镜像资源复制，镜像全部保存在私有 Registry 中， 确保数据和知识产权在公司内部网络中管控。另外，Harbor 也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。

Harbor 特性

  • 基于角色的访问控制 ： 用户与 Docker 镜像仓库通过 “项目” 进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。
  • 镜像复制 ： 镜像可以在多个 Registry 实例中复制（同步）。尤其适合于负载均衡，高可用，混合云和多云的场景。
  • 图形化用户界面 ： 用户可以通过浏览器来浏览，检索当前 Docker 镜像仓库，管理项目和命名空间。
  • AD/LDAP 支持 ： Harbor 可以集成企业内部已有的 AD/LDAP，用于鉴权认证管理。
  • 审计管理 ： 所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。
  • 国际化 ： 已拥有英文、中文、德文、日文和俄文的本地化版本。更多的语言将会添加进来。
  • RESTful API ： RESTful API 提供给管理员对于 Harbor 更多的操控，使得与其它管理软件集成变得更容易。

  • 部署简单 ： 提供在线和离线两种安装工具， 也可以安装到 vSphere 平台 (OVA 方式) 虚拟设备。

    Harbor 组件

  • Proxy： Harbor 的 registry, UI, token 等服务，通过一个前置的反向代理统一接收浏览器、Docker 客户端的请求，并将请求转发给后端不同的服务。

  • Registry： 负责储存 Docker 镜像，并处理 docker push/pull 命令。由于我们要对用户进行访问控制，即不同用户对 Docker image 有不同的读写权限，Registry 会指向一个 token 服务，强制用户的每次 docker pull/push 请求都要携带一个合法的 token, Registry 会通过公钥对 token 进行解密验证。
  • Core services： 这是 Harbor 的核心功能，主要提供以下服务：
  • UI： 提供图形化界面，帮助用户管理 registry 上的镜像（image）, 并对用户进行授权。
  • WebHook： 为了及时获取 registry 上 image 状态变化的情况， 在 Registry 上配置 webhook，把状态变化传递给 UI 模块。
  • Token： 负责根据用户权限给每个 docker push/pull 命令签发 token. Docker 客户端向 - Registry 服务发起的请求，如果不包含 token，会被重定向到这里，获得 token 后再重新向 Registry 进行请求。
  • Database： 为 core services 提供数据库服务，负责储存用户权限、审计日志、Docker image 分组信息等数据。
  • Job Services： 提供镜像远程复制功能，可以把本地镜像同步到其他 Harbor 实例中。
  • Log Collector： 为了帮助监控 Harbor 运行，负责收集其他组件的 log，供日后进行分析。

image.png

安装 Harbor

官方 GitHub 上下载最新离线安装版（我已经下载并放置在群分享的 Linux 目录下）并上传至服务器

解压安装包

  1. tar -zxvf harbor-offline-installer-v1.8.0.tgz
  3. # 输出如下
  4. harbor/harbor.v1.8.0.tar.gz
  5. harbor/prepare
  6. harbor/LICENSE
  7. harbor/install.sh
  8. harbor/harbor.yml

修改配置文件

  1. vi harbor.yml
  3. # 修改为域名或你服务器 IP
  4. hostname: 192.168.141.150

执行安装脚本

  1. ./install.sh
  3. # 输出如下
  4. [Step 0]: checking installation environment ...
  6. Note: docker version: 18.09.6
  8. Note: docker-compose version: 1.24.0
  10. [Step 1]: loading Harbor images ...
  11. 23d9f72a5270: Loading layer [==================================================>]  33.25MB/33.25MB
  12. 1d4a1da12c02: Loading layer [==================================================>]  50.51MB/50.51MB
  13. 8eb1a006f3b0: Loading layer [==================================================>]  3.584kB/3.584kB
  14. 41b6f75847f4: Loading layer [==================================================>]  3.072kB/3.072kB
  15. ec9bd6e4d4e8: Loading layer [==================================================>]   2.56kB/2.56kB
  16. 6d852bb664c2: Loading layer [==================================================>]  3.072kB/3.072kB
  17. 0e4ed2b5a5b8: Loading layer [==================================================>]  3.584kB/3.584kB
  18. 8dfb2b644f30: Loading layer [==================================================>]  12.29kB/12.29kB
  19. Loaded image: goharbor/harbor-log:v1.8.0
  20. d8c53538042b: Loading layer [==================================================>]  63.34MB/63.34MB
  21. 1b5fb7ee22e0: Loading layer [==================================================>]  47.96MB/47.96MB
  22. a8bdca5e9d71: Loading layer [==================================================>]  6.656kB/6.656kB
  23. f7cec940b52c: Loading layer [==================================================>]  2.048kB/2.048kB
  24. 301a4a2af7db: Loading layer [==================================================>]   7.68kB/7.68kB
  25. e588e1e3a775: Loading layer [==================================================>]   2.56kB/2.56kB
  26. 539f28a5d0ea: Loading layer [==================================================>]   2.56kB/2.56kB
  27. 8b4a72241226: Loading layer [==================================================>]   2.56kB/2.56kB
  28. Loaded image: goharbor/harbor-db:v1.8.0
  29. c88db349fb2f: Loading layer [==================================================>]  8.972MB/8.972MB
  30. 1f2d4d72bba2: Loading layer [==================================================>]  35.77MB/35.77MB
  31. dddbcf598df5: Loading layer [==================================================>]  2.048kB/2.048kB
  32. 0ced476c2d9c: Loading layer [==================================================>]  3.072kB/3.072kB
  33. af24eb0bf40b: Loading layer [==================================================>]  35.77MB/35.77MB
  34. Loaded image: goharbor/chartmuseum-photon:v0.8.1-v1.8.0
  35. b185d348bd7d: Loading layer [==================================================>]   2.56kB/2.56kB
  36. f032ded7f92e: Loading layer [==================================================>]  1.536kB/1.536kB
  37. c6c822edbc47: Loading layer [==================================================>]   66.9MB/66.9MB
  38. 73ef3c4363bf: Loading layer [==================================================>]  39.75MB/39.75MB
  39. 0c490e002448: Loading layer [==================================================>]  144.4kB/144.4kB
  40. 31afe2abafb4: Loading layer [==================================================>]  3.004MB/3.004MB
  41. Loaded image: goharbor/prepare:v1.8.0
  42. 257ebcc1c9c4: Loading layer [==================================================>]  8.967MB/8.967MB
  43. 7579d3c94fca: Loading layer [==================================================>]  38.68MB/38.68MB
  44. 323611f7dd17: Loading layer [==================================================>]  38.68MB/38.68MB
  45. Loaded image: goharbor/harbor-jobservice:v1.8.0
  46. 587a5757a7f6: Loading layer [==================================================>]  3.548MB/3.548MB
  47. Loaded image: goharbor/nginx-photon:v1.8.0
  48. a61ab2060e6e: Loading layer [==================================================>]  8.967MB/8.967MB
  49. 25359ae00f57: Loading layer [==================================================>]  5.143MB/5.143MB
  50. 610a1668f8bf: Loading layer [==================================================>]  15.13MB/15.13MB
  51. db2252abd9e0: Loading layer [==================================================>]  26.47MB/26.47MB
  52. 4f406312560b: Loading layer [==================================================>]  22.02kB/22.02kB
  53. 1cee0947e5a7: Loading layer [==================================================>]  3.072kB/3.072kB
  54. 48db2b9b0752: Loading layer [==================================================>]  46.74MB/46.74MB
  55. Loaded image: goharbor/notary-server-photon:v0.6.1-v1.8.0
  56. aaf447150765: Loading layer [==================================================>]    113MB/113MB
  57. 6835441e1a1d: Loading layer [==================================================>]  10.94MB/10.94MB
  58. 9f4739e3a532: Loading layer [==================================================>]  2.048kB/2.048kB
  59. 928f489135f0: Loading layer [==================================================>]  48.13kB/48.13kB
  60. 1495a1a09ada: Loading layer [==================================================>]  3.072kB/3.072kB
  61. 1a5f5b141717: Loading layer [==================================================>]  10.99MB/10.99MB
  62. Loaded image: goharbor/clair-photon:v2.0.8-v1.8.0
  63. 66006ea937c6: Loading layer [==================================================>]  337.8MB/337.8MB
  64. d272ba122880: Loading layer [==================================================>]  106.5kB/106.5kB
  65. Loaded image: goharbor/harbor-migrator:v1.8.0
  66. 05bc5efb1724: Loading layer [==================================================>]  8.967MB/8.967MB
  67. af3a6f89469a: Loading layer [==================================================>]  46.85MB/46.85MB
  68. 452d238b3e48: Loading layer [==================================================>]  5.632kB/5.632kB
  69. 36e1cb2d6ffa: Loading layer [==================================================>]  27.14kB/27.14kB
  70. 5385ffb8451e: Loading layer [==================================================>]  46.85MB/46.85MB
  71. Loaded image: goharbor/harbor-core:v1.8.0
  72. 268091c30a67: Loading layer [==================================================>]  71.66MB/71.66MB
  73. 4433bcd802e7: Loading layer [==================================================>]  3.072kB/3.072kB
  74. 420b26399278: Loading layer [==================================================>]   59.9kB/59.9kB
  75. 8864c4b9ac3d: Loading layer [==================================================>]  61.95kB/61.95kB
  76. Loaded image: goharbor/redis-photon:v1.8.0
  77. 63645c97bf5d: Loading layer [==================================================>]  8.968MB/8.968MB
  78. ccb295818ad9: Loading layer [==================================================>]  3.072kB/3.072kB
  79. 1ec2d1eefa8f: Loading layer [==================================================>]   2.56kB/2.56kB
  80. b88acf0f9f5f: Loading layer [==================================================>]   20.1MB/20.1MB
  81. 0e7375de12e6: Loading layer [==================================================>]   20.1MB/20.1MB
  82. Loaded image: goharbor/registry-photon:v2.7.1-patch-2819-v1.8.0
  83. 444b0c8bfeee: Loading layer [==================================================>]  3.548MB/3.548MB
  84. ed0415346760: Loading layer [==================================================>]  6.568MB/6.568MB
  85. 572bd51089e0: Loading layer [==================================================>]  160.8kB/160.8kB
  86. 1410c2919a92: Loading layer [==================================================>]    215kB/215kB
  87. 8ecdca210598: Loading layer [==================================================>]  3.584kB/3.584kB
  88. Loaded image: goharbor/harbor-portal:v1.8.0
  89. 7fb66591fb58: Loading layer [==================================================>]  8.968MB/8.968MB
  90. 42ec4a6394bf: Loading layer [==================================================>]  3.072kB/3.072kB
  91. be6c2180cb57: Loading layer [==================================================>]   20.1MB/20.1MB
  92. d956d9e974c5: Loading layer [==================================================>]  3.072kB/3.072kB
  93. e2e0b4f17ad8: Loading layer [==================================================>]  7.465MB/7.465MB
  94. 7e29d670afe9: Loading layer [==================================================>]  27.56MB/27.56MB
  95. Loaded image: goharbor/harbor-registryctl:v1.8.0
  96. 453732ea69d4: Loading layer [==================================================>]  13.72MB/13.72MB
  97. c985f3824f33: Loading layer [==================================================>]  26.47MB/26.47MB
  98. 76eaa2763221: Loading layer [==================================================>]  22.02kB/22.02kB
  99. 0ef55a752948: Loading layer [==================================================>]  3.072kB/3.072kB
  100. c5749b90723d: Loading layer [==================================================>]  45.33MB/45.33MB
  101. Loaded image: goharbor/notary-signer-photon:v0.6.1-v1.8.0
  104. [Step 2]: preparing environment ...
  105. prepare base dir is set to /usr/local/docker/harbor/harbor
  106. Generated configuration file: /config/log/logrotate.conf
  107. Generated configuration file: /config/nginx/nginx.conf
  108. Generated configuration file: /config/core/env
  109. Generated configuration file: /config/core/app.conf
  110. Generated configuration file: /config/registry/config.yml
  111. Generated configuration file: /config/registryctl/env
  112. Generated configuration file: /config/db/env
  113. Generated configuration file: /config/jobservice/env
  114. Generated configuration file: /config/jobservice/config.yml
  115. Generated and saved secret to file: /secret/keys/secretkey
  116. Generated certificate, key file: /secret/core/private_key.pem, cert file: /secret/registry/root.crt
  117. Generated configuration file: /compose_location/docker-compose.yml
  118. Clean up the input dir
  122. [Step 3]: starting Harbor ...
  123. Creating network "harbor_harbor" with the default driver
  124. Creating harbor-log ... done
  125. Creating harbor-db   ... done
  126. Creating registryctl ... done
  127. Creating redis       ... done
  128. Creating registry    ... done
  129. Creating harbor-core ... done
  130. Creating harbor-jobservice ... done
  131. Creating harbor-portal     ... done
  132. Creating nginx             ... done
  134. ✔ ----Harbor has been installed and started successfully.----
  136. Now you should be able to visit the admin portal at http://192.168.141.150. 
  137. For more details, please visit https://github.com/goharbor/harbor .

SSL证书创建

如果要使用https访问Harbor。那么请按照如下生成SSL证书。在2.5.0的版本中，https访问配置没有注释掉，可以选择注释掉，也可以选择自己配置SSL证书。

创建根证书

## 创建CA私钥
2 openssl genrsa -out ca.key 2048
3 ## 制作CA公钥
4 openssl req -new -x509 -days 36500 -key ca.key -out ca.crt -subj "/C=CN/ST=BJ/L=BeiJing/O=BTC/OU=MOST/CN=zhang/emailAddress=ca@test.com"

选项参数说明：
genrsa 生成私钥
-out filename 标准输出到filename文件
req 生成证书请求
-new 生成新证书签署请求
-x509 专用于CA生成自签证书；不自签的时候不要加该选项
-days num 证书的有效期限
-key file 生成请求时用到的私钥文件
-out filename 标准输出到filename文件
subj内容详解：

C             = 国家
ST            = 省/州
L             = 城市
O             = Organization Name
OU            = Organizational Unit Name
CN            = Common Name
emailAddress  = test@email.address

证书签发

## 创建私钥
openssl genrsa -out httpd.key 1024
## 生成签发请求
openssl req -new -key httpd.key -out httpd.csr -subj "/C=CN/ST=BJ/L=BeiJing/O=BTC/OU=OPS/CN=zhang/emailAddress=zhang@test.com"
## 使用CA证书进行签发
openssl x509 -req -sha256 -in httpd.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 36500 -out httpd.crt
## 验证签发证书是否有效
openssl verify -CAfile ca.crt httpd.crt

生成结果如下图：
image.png
然后将httpd.key和httpd.crt，放到/etc/harbor/cert/目录下，后面会用到。

验证安装是否成功

通过浏览器访问 http://192.168.141.150 ，看到登录页面
image.png
输入账号 admin，密码 Harbor12345，登录成功后
image.png

Harbor 启动和停止

Harbor 的日常运维管理是通过 docker-compose 来完成的，Harbor 本身有多个服务进程，都放在 docker 容器之中运行，我们可以通过 docker ps 命令查看。

docker ps | grep goharbor

# 输出如下
07b401504357        goharbor/nginx-photon:v1.8.0                        "nginx -g 'daemon of…"   23 minutes ago      Up 23 minutes (healthy)   0.0.0.0:80->80/tcp          nginx
050f39a147bc        goharbor/harbor-portal:v1.8.0                       "nginx -g 'daemon of…"   23 minutes ago      Up 23 minutes (healthy)   80/tcp                      harbor-portal
305077bc0a3e        goharbor/harbor-jobservice:v1.8.0                   "/harbor/start.sh"       23 minutes ago      Up 23 minutes                                         harbor-jobservice
4eb33b09b268        goharbor/harbor-core:v1.8.0                         "/harbor/start.sh"       23 minutes ago      Up 23 minutes (healthy)                               harbor-core
e9efb7a6abf9        goharbor/registry-photon:v2.7.1-patch-2819-v1.8.0   "/entrypoint.sh /etc…"   24 minutes ago      Up 23 minutes (healthy)   5000/tcp                    registry
f9bc75d47752        goharbor/harbor-registryctl:v1.8.0                  "/harbor/start.sh"       24 minutes ago      Up 23 minutes (healthy)                               registryctl
76d33d1755f6        goharbor/redis-photon:v1.8.0                        "docker-entrypoint.s…"   24 minutes ago      Up 23 minutes             6379/tcp                    redis
3870b3b93f46        goharbor/harbor-db:v1.8.0                           "/entrypoint.sh post…"   24 minutes ago      Up 23 minutes (healthy)   5432/tcp                    harbor-db
6e848e4d8bc2        goharbor/harbor-log:v1.8.0                          "/bin/sh -c /usr/loc…"   24 minutes ago      Up 24 minutes (healthy)   127.0.0.1:1514->10514/tcp   harbor-log

# 启动
docker-compose start

# 停止
docker-comose stop

# 重启
docker-compose restart

说明：

  • nginx： nginx 负责流量转发和安全验证，对外提供的流量都是从 nginx 中转，所以开放 https 的 443 端口，它将流量分发到后端的 ui 和正在 docker 镜像存储的 docker registry。
  • harbor-jobservice： harbor-jobservice 是 harbor 的 job 管理模块，job 在 harbor 里面主要是为了镜像仓库之前同步使用的；
  • harbor-ui： harbor-ui 是 web 管理页面，主要是前端的页面和后端 CURD 的接口；
  • registry： registry 就是 docker 原生的仓库，负责保存镜像。
  • harbor-adminserver： harbor-adminserver 是 harbor 系统管理接口，可以修改系统配置以及获取系统信息。
  • harbor-db： harbor-db 是 harbor 的数据库，这里保存了系统的 job 以及项目、人员权限管理。由于本 harbor 的认证也是通过数据，在生产环节大多对接到企业的 ldap 中；
  • harbor-log： harbor-log 是 harbor 的日志服务，统一管理 harbor 的日志。通过 inspect 可以看出容器统一将日志输出的 syslog。

这几个容器通过 Docker link 的形式连接在一起，这样，在容器之间可以通过容器名字互相访问。对终端用户而言，只需要暴露 proxy （即 Nginx）的服务端口。

配置客户端

在 /etc/docker/daemon.json 中增加如下内容（如果文件不存在请新建该文件）

{
  "registry-mirrors": [
    "https://registry.docker-cn.com"
  ],
  "insecure-registries": [
    "192.168.141.150"
  ]
}

注意： 该文件必须符合 JSON 规范，否则 Docker 将不能启动。

重启服务

systemctl daemon-reload
systemctl restart docker

使用 docker info 命令手动检查，如果从配置中看到如下内容，说明配置成功

Insecure Registries:
 192.168.141.150
 127.0.0.0/8

Harbor 上传镜像

新建项目

我们以推送 Nginx 为例，首先需要在 Harbor 上创建一个 公开/私有 的项目
image.png
image.png

推送镜像

image.png

# 在项目中标记镜像
docker tag nginx 192.168.141.150/myshop/nginx:latest

# 登录 Harbor
docker login 192.168.141.150 -u admin -p Harbor12345

# 推送镜像到项目
docker push 192.168.141.150/myshop/nginx:latest

查看镜像

image.png
image.png

Harbor 下载镜像

在其它机器下载镜像只需要配置好客户端即可
docker pull 192.168.141.150/myshop/nginx:latest