使用Harbor构建docker私有仓库
生活随笔
收集整理的這篇文章主要介紹了
使用Harbor构建docker私有仓库
小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,幫大家做個(gè)參考.
目錄
- 一、概述
- 1、什么是Harbor
- 2、Harbor的優(yōu)勢(shì)
- 3、Docker私有倉(cāng)庫(kù)架構(gòu)
- 4、Harbor 配置文件以及相關(guān)參數(shù)
- （1）所需參數(shù)
- （2）可選參數(shù)
- 二、使用Harbor構(gòu)建docker私有倉(cāng)庫(kù)
- 1、部署 Harbor 服務(wù)
- （1）下載 Harbor 安裝程序
- （2）配置 Harbor 參數(shù)文件
- （3）啟動(dòng) Harbor
- （4）查看 Harbor 啟動(dòng)鏡像和容器
- （5）在UI界面創(chuàng)建項(xiàng)目
- （6）在本地測(cè)試倉(cāng)庫(kù)功能
- （7）在客戶端上傳鏡像
- 2、維護(hù)管理Harbor
- （1）停止現(xiàn)有的 Harbor 實(shí)例
- （2）修改配置文件 Harbor.cfg
- （3）運(yùn)行 prepare 腳本來填充配置
- （4）重啟服務(wù)
- 3、創(chuàng)建 Harbor 用戶
- 3、移除 Harbor 服務(wù)容器以及全部數(shù)據(jù)
一、概述
1、什么是Harbor
Harbor 是VMware公司開源的云本地 registry 倉(cāng)庫(kù)，有可視化的Web管理界面，可以方便的管理和儲(chǔ)存 Docker 鏡像。Harbor 支持在多個(gè)倉(cāng)庫(kù)直接進(jìn)行復(fù)制鏡像，提供用戶管理和訪問控制和活動(dòng)審計(jì)。
2、Harbor的優(yōu)勢(shì)
- 基于角色控制
- 基于鏡像的復(fù)制策略
- 支持LDAP/AD域，通過VPN連接域使用
- 圖像刪除和垃圾收集
- 圖像UI，方便
- 審計(jì)，此功能使用較少，一般企業(yè)中用ELK收集、分析日志
- RESTful API
3、Docker私有倉(cāng)庫(kù)架構(gòu)
圖中組件解釋
Proxy：通過一個(gè)前置的反向代理統(tǒng)一接收瀏覽器、Docker客戶端的請(qǐng)求，并將請(qǐng)求轉(zhuǎn)發(fā)給后端不同的服務(wù)
Registry：負(fù)責(zé)存儲(chǔ)Docker鏡像，并處理docker push/pull命令
Core services：Harbor的核心功能，包括UI、webhook、token服務(wù)
Database：為core services提供數(shù)據(jù)庫(kù)服務(wù)
Log collector：·負(fù)責(zé)收集其他組件的log，供日后進(jìn)行分析
圖解
所有的請(qǐng)求都經(jīng)過proxy代理，proxy代理轉(zhuǎn)發(fā)給Core services和Registry，其中Core services包括UI界面、token令牌和webhook網(wǎng)頁(yè)服務(wù)功能，Registry主要提供鏡像存儲(chǔ)功能。如果要進(jìn)行下載上傳鏡像，要經(jīng)過token令牌驗(yàn)證然后從Registry獲取或上傳鏡像，每一次下載或上傳都會(huì)生成日志記錄，會(huì)記入Log collector，而用戶身份權(quán)限及一些鏡像語言信息會(huì)被存儲(chǔ)在Database中。
4、Harbor 配置文件以及相關(guān)參數(shù)
Harbor的配置文件是：/usr/local/harbor/harbor.cfg
關(guān)于 Harbor.cfg 配置文件中有兩類參數(shù)：所需參數(shù)和可選參數(shù)
（1）所需參數(shù)
修改此參數(shù)后，需要運(yùn)行 install.sh腳本重新安裝 Harbour，參數(shù)才會(huì)生效。
- hostname
- 用于訪問用戶界面和 register 服務(wù)。
- 它應(yīng)該是目標(biāo)機(jī)器的 IP 地址或完全限定的域名（FQDN）
- 例如 192.168.163.100 或test.com。
- 不要使用 localhost 或 127.0.0.1 為主機(jī)名。
- ui_url_protocol（參數(shù)選項(xiàng)：http 或 https，默認(rèn)為 http）
- 用于訪問 UI 和令牌/通知服務(wù)的協(xié)議。
- 如果公證處于啟用狀態(tài)，則此參數(shù)必須為 https。
- max_job_workers
- 鏡像復(fù)制作業(yè)線程。
- db_password
- 用于db_auth 的MySQL數(shù)據(jù)庫(kù)root 用戶的密碼。
- customize_crt
- 該屬性可設(shè)置為打開或關(guān)閉，默認(rèn)打開。
- 打開此屬性時(shí)，準(zhǔn)備腳本創(chuàng)建私鑰和根證書，用于生成/驗(yàn)證注冊(cè)表令牌。
- 當(dāng)由外部來源提供密鑰和根證書時(shí)，將此屬性設(shè)置為 off。
- ssl_cert
- SSL 證書的路徑，僅當(dāng)協(xié)議設(shè)置為 https 時(shí)才應(yīng)用。
- ssl_cert_key
- SSL 密鑰的路徑，僅當(dāng)協(xié)議設(shè)置為 https 時(shí)才應(yīng)用。
- secretkey_path
- 用于在復(fù)制策略中加密或解密遠(yuǎn)程 register 密碼的密鑰路徑。
- 不建議配置，有很大的安全隱患
（2）可選參數(shù)
這些參數(shù)對(duì)于更新是可選的，即用戶可以將其保留為默認(rèn)值，并在啟動(dòng) Harbor 后在 Web UI 上進(jìn)行更新。
如果進(jìn)入 Harbor.cfg，只會(huì)在第一次啟動(dòng) Harbor 時(shí)生效，隨后對(duì)這些參數(shù) 的更新，Harbor.cfg 將被忽略。
注意：如果選擇通過UI設(shè)置這些參數(shù)，請(qǐng)確保在啟動(dòng)Harbour后立即執(zhí)行此操作。具體來說，必須在注冊(cè)或在 Harbor 中創(chuàng)建任何新用戶之前設(shè)置所需的
- auth_mode
- 當(dāng)系統(tǒng)中有用戶時(shí)（除了默認(rèn)的 admin 用戶），auth_mode 不能被修改。
- Email
- Harbor需要該參數(shù)才能向用戶發(fā)送“密碼重置”電子郵件，并且只有在需要該功能時(shí)才需要。
- 請(qǐng)注意，在默認(rèn)情況下SSL連接時(shí)沒有啟用。如果SMTP服務(wù)器需要SSL，但不支持STARTTLS，那么應(yīng)該通過設(shè)置啟用SSL email_ssl = TRUE。
- harbour_admin_password
- 管理員的初始密碼，只在Harbour第一次啟動(dòng)時(shí)生效。
- 之后，此設(shè)置將被忽略，并且應(yīng) UI中設(shè)置管理員的密碼。
- 默認(rèn)的用戶名/密碼是 admin/Harbor12345。
- auth_mode
- 使用的認(rèn)證類型
- 默認(rèn)情況下，它是 db_auth，即憑據(jù)存儲(chǔ)在數(shù)據(jù)庫(kù)中。
- 對(duì)于LDAP身份驗(yàn)證，請(qǐng)將其設(shè)置為 ldap_auth。
- self_registration
- 啟用/禁用用戶注冊(cè)功能。
- 禁用時(shí)，新用戶只能由 Admin 用戶創(chuàng)建，只有管理員用戶可以在 Harbour中創(chuàng)建新用戶。
- 注意：當(dāng) auth_mode 設(shè)置為 ldap_auth 時(shí)，自注冊(cè)功能將始終處于禁用狀態(tài)，并且該標(biāo)志被忽略。
- Token_expiration
- 由令牌服務(wù)創(chuàng)建的令牌的到期時(shí)間（分鐘），默認(rèn)為 30 分鐘。
- 即登錄–退出后，30分鐘內(nèi)可以不輸入用戶名和密碼登錄，30分鐘后需要再次驗(yàn)證。
- project_creation_restriction
- 用于控制哪些用戶有權(quán)創(chuàng)建項(xiàng)目的標(biāo)志，表示哪些用戶可以創(chuàng)建項(xiàng)目。
- 默認(rèn)情況下， 每個(gè)人都可以創(chuàng)建一個(gè)項(xiàng)目。
- 如果將其值設(shè)置為“adminonly”，那么只有 admin 可以創(chuàng)建項(xiàng)目。
- verify_remote_cert
- 打開或關(guān)閉，默認(rèn)打開。
- 此標(biāo)志決定了當(dāng)Harbor與遠(yuǎn)程 register 實(shí)例通信時(shí)是否驗(yàn)證 SSL/TLS 證書。
- 將此屬性設(shè)置為 off 將繞過 SSL/TLS 驗(yàn)證，這在遠(yuǎn)程實(shí)例具有自簽名或不可信證書時(shí)經(jīng)常使用。
另外，默認(rèn)情況下，Harbour 將鏡像存儲(chǔ)在本地文件系統(tǒng)上。在生產(chǎn)環(huán)境中，可以考慮 使用其他存儲(chǔ)后端而不是本地文件系統(tǒng)，如 S3、Openstack Swif、Ceph 等。但需要更新common/templates/registry/config.yml 文件。
二、使用Harbor構(gòu)建docker私有倉(cāng)庫(kù)
案例環(huán)境
| Harbor（服務(wù)端） | Centos 7 | 192.168.163.100 | docker docker-compose harbor-offline-v1.1.2 |
| client（客戶端） | Centos 7 | 192.168.163.150 | docker |
案例需求
通過Harbor創(chuàng)建Docker私有倉(cāng)庫(kù)
使用圖形化管理Docker私有倉(cāng)庫(kù)鏡像
實(shí)驗(yàn)準(zhǔn)備
在服務(wù)端安裝docker和docker-compose
客戶端上安裝docker
關(guān)閉防火墻
修改主機(jī)名
1、部署 Harbor 服務(wù)
Harbor 被部署為多個(gè) Docker 容器，因此可以部署在任何支持 Docker 的 Linux 發(fā)行版上。
服務(wù)端主機(jī)需要安裝Docker 和 Docker Compose。
安裝Docker：Docker的第一次接觸
安裝Docker Compose如下
（1）下載 Harbor 安裝程序
Harbor：192.168.163.100
安裝包下載
（2）配置 Harbor 參數(shù)文件
Harbor：192.168.163.100
vim /usr/local/harbor/harbor.cfg//第5行
hostname = 192.168.163.100
（3）啟動(dòng) Harbor
Harbor：192.168.163.100
sh /usr/local/harbor/install.sh- 1
（4）查看 Harbor 啟動(dòng)鏡像和容器
Harbor：192.168.163.100
查看鏡像
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
查看容器
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
檢查服務(wù)容器是否開啟
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
（5）在UI界面創(chuàng)建項(xiàng)目
真機(jī)
上圖檢查一切正常，此時(shí)可以打開瀏覽器訪問 http://192.168.163.100 的管理頁(yè)面，默認(rèn)的管理員用戶名和密碼是 admin/Harbor12345。
登錄后的頁(yè)面
添加項(xiàng)目并且填寫項(xiàng)目名稱
（6）在本地測(cè)試倉(cāng)庫(kù)功能
Harbor：192.168.163.100
此時(shí)可使用 Docker 命令在本地通過 127.0.0.1 來登錄和推送鏡像。默認(rèn)情況下，
Register 服務(wù)器在端口 80 上偵聽。
登錄
docker login -u admin -p Harbor12345 http://127.0.0.1- 1
下載鏡像進(jìn)行測(cè)試
- 1
鏡像打標(biāo)簽
- 1
上傳鏡像到Harbor
docker push 127.0.0.1/testproject/nginx:v1- 1
驗(yàn)證是否上傳成功
（7）在客戶端上傳鏡像
client：192.168.163.150
上述操作都是在 Harbor 服務(wù)器本地操作。如果其他客戶端上傳鏡像到 Harbor，就會(huì)報(bào)
如下錯(cuò)誤。出現(xiàn)這問題的原因 Docker Registry 交互默認(rèn)使用的是 HTTPS，但是搭建私有鏡
像默認(rèn)使用的是 HTTP 服務(wù)，所以與私有鏡像交互時(shí)出現(xiàn)以下錯(cuò)誤。
- 1
- 2
- 3
- 4
解決方法
vim /usr/lib/systemd/system/docker.service #--------------------修改內(nèi)容----------------------------------- ExecStart=/usr/bin/dockerd -H fd:// --insecure-registry 192.168.163.100 --containerd=/run/containerd/containerd.sock #---------------------------------------------------------------//重啟服務(wù) systemctl daemon-reload systemctl restart docker//再次登錄 docker login -u admin -p Harbor12345 http://192.168.163.100 #----------------------輸出內(nèi)容-------------------------------------------- WARNING! Using --password via the CLI is insecure. Use --password-stdin. WARNING! Your password will be stored unencrypted in /root/.docker/config.json. Configure a credential helper to remove this warning. See https://docs.docker.com/engine/reference/commandline/login/#credentials-storeLogin Succeeded #-------------------------------------------------------------------- docker pull tomcatdocker imagesdocker tag tomcat 192.168.163.100/testproject/tomcat:v2docker push 192.168.163.100/testproject/tomcat:v2- 1
- 2
- 3
- 4
- 5
- 6
- 7
2、維護(hù)管理Harbor
可以使用 docker-compose 來管理 Harbor。一些有用的命令如下所示，必須在與
docker-compose.yml 相同的目錄中運(yùn)行。
修改 Harbor.cfg 配置文件所需選項(xiàng)的步驟
要更改 Harbour 的配置文件時(shí)，請(qǐng)先停止現(xiàn)有的 Harbor 實(shí)例并更新 Harbor.cfg；然
后運(yùn)行 prepare 腳本來填充配置；最后重新創(chuàng)建并啟動(dòng) Harbour 的實(shí)例。
（1）停止現(xiàn)有的 Harbor 實(shí)例
docker-compose down -v #---------------輸出內(nèi)容-------------------- Stopping nginx ... done Stopping harbor-jobservice ... done Stopping harbor-ui ... done Stopping registry ... done Stopping harbor-db ... done Stopping harbor-adminserver ... done Stopping harbor-log ... done Removing nginx ... done Removing harbor-jobservice ... done Removing harbor-ui ... done Removing registry ... done Removing harbor-db ... done Removing harbor-adminserver ... done Removing harbor-log ... done Removing network harbor_harbor- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
（2）修改配置文件 Harbor.cfg
vim harbor.cfg- 1
（3）運(yùn)行 prepare 腳本來填充配置
./prepare #---------------------------輸出內(nèi)容---------------------------- Clearing the configuration file: ./common/config/adminserver/env Clearing the configuration file: ./common/config/ui/env Clearing the configuration file: ./common/config/ui/app.conf Clearing the configuration file: ./common/config/ui/private_key.pem Clearing the configuration file: ./common/config/db/env Clearing the configuration file: ./common/config/jobservice/env Clearing the configuration file: ./common/config/jobservice/app.conf Clearing the configuration file: ./common/config/registry/config.yml Clearing the configuration file: ./common/config/registry/root.crt Clearing the configuration file: ./common/config/nginx/nginx.conf loaded secret from file: /data/secretkey Generated configuration file: ./common/config/nginx/nginx.conf Generated configuration file: ./common/config/adminserver/env Generated configuration file: ./common/config/ui/env Generated configuration file: ./common/config/registry/config.yml Generated configuration file: ./common/config/db/env Generated configuration file: ./common/config/jobservice/env Generated configuration file: ./common/config/jobservice/app.conf Generated configuration file: ./common/config/ui/app.conf Generated certificate, key file: ./common/config/ui/private_key.pem, cert file: ./common/config/registry/root.crt The configuration files are ready, please use docker-compose to start the service.- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
- 17
- 18
- 19
- 20
- 21
- 22
- 23
（4）重啟服務(wù)
docker-compose up -d #-----------輸出內(nèi)容----------------------------------- Creating network "harbor_harbor" with the default driver Creating harbor-log ... done Creating registry ... done Creating harbor-adminserver ... done Creating harbor-db ... done Creating harbor-ui ... done Creating harbor-jobservice ... done Creating nginx ... done- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
如果啟動(dòng)時(shí)報(bào)錯(cuò)（此報(bào)錯(cuò)比較少見，畢竟防火墻已開始就關(guān)閉了）
docker-compose up -dCreating network "harbor_harbor" with the default driver ERROR: Failed to Setup IP tables: Unable to enable SKIP DNAT rule: (iptables failed: iptables --wait -t nat -I DOCKER -i br-25094fc09b3c -j RETURN: iptables: No chain/target/match by that name.(exit status 1))解決方法：關(guān)閉防火墻后，docker需要重啟
systemctl stop firewalld systemctl restart docker docker-compose up -d- 1
- 2
- 3
3、創(chuàng)建 Harbor 用戶
創(chuàng)建項(xiàng)目開發(fā)人員
在客戶端上操作
刪除之前打標(biāo)簽的鏡像
- 1
- 2
- 3
- 4
測(cè)試創(chuàng)建的新用戶能否使用
3、移除 Harbor 服務(wù)容器以及全部數(shù)據(jù)
移除 Harbor 服務(wù)容器同時(shí)保留鏡像數(shù)據(jù)/數(shù)據(jù)庫(kù)
//在Harbor服務(wù)器上操作
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11
- 12
- 13
- 14
- 15
- 16
如需重新部署，需要移除 Harbor 服務(wù)容器全部數(shù)據(jù)
持久數(shù)據(jù)，如鏡像，數(shù)據(jù)庫(kù)等在宿主機(jī)的/data/目錄下,日志在宿主機(jī)的
/var/log/Harbor/目錄下。
- 1
- 2
總結(jié)
以上是生活随笔為你收集整理的使用Harbor构建docker私有仓库的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 焊接DDR3内存：三步轻松掌握，让你的电
- 下一篇： Docker通过Cgroup 资源配置