使用Harbor构建docker私有仓库

所有的请求都经过proxy代理，proxy代理转发给Core services和Registry，其中Core services包括UI界面、token令牌和webhook网页服务功能，Registry主要提供镜像存储功能。如果要进行下载上传镜像，要经过token令牌验证然后从Registry获取或上传镜像，每一次下载或上传都会生成日志记录，会记入Log collector，而用户身份权限及一些镜像语言信息会被存储在Database中。

3、Harbor 配置文件以及相关参数

Harbor的配置文件是：/usr/local/harbor/harbor.cfg，关于 Harbor.cfg 配置文件中有两类参数：所需参数和可选参数。

（1）所需参数

修改此参数后，需要运行install.sh脚本重新安装Harbour，参数才会生效。

①hostname

用于访问用户界面和register服务，它应该是目标机器的IP地址或完全限定的域名（FQDN），例如192.168.32.100或test.com，不要使用localhost或127.0.0.1为主机名。

②ui_url_protocol（参数选项：http或https，默认为http）

用于访问UI和令牌/通知服务的协议，如果公证处于启用状态，则此参数必须为https。

③max_job_workers

镜像复制作业线程。

④db_password

用于db_auth的MySQL数据库root用户的密码。

⑤customize_crt

该属性可设置为打开或关闭，默认打开，打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌，当由外部来源提供密钥和根证书时，将此属性设置为off。

⑥ssl_cert

SSL证书的路径，仅当协议设置为https时才应用。

⑦ssl_cert_key

SSL密钥的路径，仅当协议设置为https时才应用。

⑧secretkey_path

用于在复制策略中加密或解密远程register密码的密钥路径，不建议配置，有很大的安全隐患。

（2）可选参数

这些参数对于更新是可选的，即用户可以将其保留为默认值，并在启动Harbor后在Web UI上进行更新。如果进入Harbor.cfg，只会在第一次启动Harbor时生效，随后对这些参数的更新，Harbor.cfg将被忽略。

注意：如果选择通过UI设置这些参数，请确保在启动Harbour后立即执行此操作。具体来说，必须在注册或在Harbor中创建任何新用户之前设置所需的。

①auth_mode

当系统中有用户时（除了默认的admin用户），auth_mode不能被修改。

②Email

Harbor需要该参数才能向用户发送“密码重置”电子邮件，并且只有在需要该功能时才需要。请注意，在默认情况下SSL连接时没有启用。如果SMTP服务器需要SSL，但不支持STARTTLS，那么应该通过设置启用SSL email_ssl = TRUE。

③harbour_admin_password

管理员的初始密码，只在Harbour第一次启动时生效。之后，此设置将被忽略，并且应UI中设置管理员的密码。默认的用户名/密码是：admin/Harbor12345。

④auth_mode

使用的认证类型，默认情况下，它是db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为ldap_auth。

⑤self_registration

启用/禁用用户注册功能，禁用时，新用户只能由Admin用户创建，只有管理员用户可以在Harbour中创建新用户。注意：当auth_mode设置为ldap_auth时，自注册功能将始终处于禁用状态，并且该标志被忽略。

⑥Token_expiration

由令牌服务创建的令牌的到期时间（分钟），默认为30分钟。即登录–退出后，30分钟内可以不输入用户名和密码登录，30分钟后需要再次验证。

⑦project_creation_restriction

用于控制哪些用户有权创建项目的标志，表示哪些用户可以创建项目。默认情况下，每个人都可以创建一个项目。如果将其值设置为“adminonly”，那么只有admin可以创建项目。

⑧verify_remote_cert

打开或关闭，默认打开。此标志决定了当Harbor与远程register实例通信时是否验证SSL/TLS证书。将此属性设置为off将绕过SSL/TLS验证，这在远程实例具有自签名或不可信证书时经常使用。

另外，默认情况下，Harbour将镜像存储在本地文件系统上。在生产环境中，可以考虑使用其他存储后端而不是本地文件系统，如S3、Openstack Swif、Ceph等。但需要更新common/templates/registry/config.yml文件。

二、使用Harbor构建docker私有仓库

1、构建私有仓库的环境和需求

主机	操作系统	主机名/IP地址	主要软件及版本
Harbor	Centos7.6	192.168.32.15	docker、 docker-compose、 harbor-offline-installer-v1.2.2
Client	Centos7.6	192.168.32.16	docker
需求：通过Harbor创建Docker私有仓库使用图形化管理Docker私有仓库镜像

2、安装docker-compose，并设置权限

cd /usr/local/bin/
ls
chmod +x docker-compose

3、安装harbor-offline-installer-v1.2.2

（1）在线下载安装

wget http:// harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz

（2）要是有软件包的情况下

cd /usr/local/
ls
tar zxvf harbor-offline-installer-v1.2.2.tgz

4、配置Harbo参数文件

vim /usr/local/harbor/harbor.cfg
#第5行
hostname = 192.168.32.15

5、启动Harbor

cd /usr/local/harbor/
ls
sh install.sh

6、查看Harbor启动镜像和容器

（1）查看镜像

docker images

（2）查看镜像

docker ps -a

（3）检查服务容器是否开启

cd /usr/local/harbor/
docker-compose ps

7、在UI界面创建项目

打开浏览器访问http://192.168.32.15的管理页面，默认的管理员用户名和密码是 admin/Harbor12345。

（1）登陆前的页面

（2）登陆后的页面

（3）添加项目并且填写项目名称

8、在本地测试仓库功能

此时可使用Docker命令在本地通过127.0.0.1来登录和推送镜像。默认情况下，Register服务器在端口80上侦听。

（1）登录本地私有仓库

docker login -u admin -p Harbor12345 http://127.0.0.1

（2）下载镜像进行测试

docker pull nginx

（3）镜像打标签

docker tag nginx 127.0.0.1/test_items/centos:nginx_v1
docker images

（4）上传镜像到Harbor

docker push 127.0.0.1/test_items/centos:nginx_v1

（5）浏览器上验证是否上传成功

9、在客户端上，上传镜像

上述操作都是在Harbor服务器本地操作。如果其他客户端上传镜像到Harbor，就会报如下错误。出现这问题的原因Docker Registry交互默认使用的是HTTPS，但是搭建私有镜像默认使用的是HTTP服务，所以与私有镜像交互时出现以下错误。

（1）错误现象

docker login -u admin -p Harbor12345 http://192.168.32.15

（2）解决方法

vim /usr/lib/systemd/system/docker.service
#修改内容地方
......
ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry 192.168.32.15 --containerd=/run/containerd/containerd.sock
......

#重启服务
systemctl daemon-reload
systemctl restart docker

#再次登录
docker login -u admin -p Harbor12345 http://192.168.32.15

（3）上传镜像

#下载tomcat镜像
docker pull tomcat
docker images
#打标签
docker tag tomcat 192.168.32.15/test_items/centos:tomcat_v1
#上传到本地仓库
docker push 192.168.32.15/test_items/centos:tomcat_v1

三、维护管理Harbor

可以使用docker-compose来管理Harbor。一些有用的命令如下所示，必须在与docker-compose.yml相同的目录中运行。

修改Harbor.cfg配置文件所需选项的步骤：要更改Harbour的配置文件时，请先停止现有的Harbor实例并更新Harbor.cfg；然后运行prepare脚本来填充配置；最后重新创建并启动Harbour的实例。

1、停止现有的 Harbor 实例

cd /usr/local/harbor/
docker-compose down -v

2、修改配置文件 Harbor.cfg

cd /usr/local/harbor/
vim harbor.cfg

3、运行prepare脚本来填充配置

cd /usr/local/harbor/
./prepare

4、重启服务

cd /usr/local/harbor/
docker-compose up -d

四、创建Harbor用户

1、创建zhangsan用户

2、在客户端上操作，删除之前打标签的镜像

docker rmi 192.168.32.15/test_items/centos:tomcat_v1

3、测试创建的新用户能否使用

#注销登录
docker logout 192.168.32.15
#使用新创建的用户和密码登录私有仓库
docker login 192.168.32.15
Username: zhangsan
Password:                 #输入密码
#查看镜像（没下载之前）
docker images
#从私有仓库下载镜像
docker pull 192.168.32.15/test_items/centos:nginx_v1
#查看镜像（下载之后）
docker images

4、移除Harbor服务容器以及全部数据

移除Harbor服务容器同时保留镜像数据/数据库

（1）在Harbor服务器上操作

cd /usr/local/harbor/
docker-compose down -v

（2）如需重新部署，需要移除Harbor服务容器全部数据，持久数据，如镜像。数据库等在宿主机的/data/目录下，日志在宿主机的/var/log/Harbor/目录下。

总结

1、docker-harbor镜像仓库：是本地私有镜像仓库，用于保存项目/企业/平台内部经常使用的镜像/自定义的镜像，用于给docker/k8s使用
2、docker-harbor服务有多个子功能模块组成，例如：UI、Nginx、MySQL、Proxy、Registry、Adminserver、Jobserver、Docker-harbor使用docker-compose的方式将以上的子功能模块以容器的形式部署/展现出来，并且进行统一的编排管理。
3、docker-compose编排管理容器：（1）docker-compose可以定义镜像拉取的方式（①docker-hub公共仓库拉取；②dockerfile自定义构建镜像）；（2）docker-compose可以指定镜像的挂载、镜像中服务的端口暴露、可以指定network网络、可以指定env环境变量、可以指定重启策略等等。PS：docker-compose就是用来批量管理镜像、容器的一个技术。
4、docker-harbor使用：（1）tar解压；（2）上传docker-compose命令工具，给与执行权限；（3）执行install.sh脚本；（4）在docker的systemd管理服务的docker.sevice启动文件中，添加insecure-registry 192.168.32.15（harbor仓库位置）并且重载守护进程systemctl daemon-reload和重启容器docker restart docker让本地的docker可以识别并登陆本地私有仓库（docker login）；（5）上传镜像必要操作：docker tag source_image_name:tag 192.168.32.15/proiect_name/image_name:TAG，再docker push 192.168.32.15/project_name/image_name:TAG
5、harbor-UI界面操作：（1）可以进行用户/角色的创建和权限管理；（2）认证管理：数据库/ldap；（3）镜像操作日志管理；（4）token令牌管理
6、harbor（高可用）；认证（CA、LDAP）；备份