你必须知道的Docker镜像仓库的搭建
近期工作中發(fā)現(xiàn)用到的容器鏡像越來越多（不多的時候沒考慮過鏡像倉庫的問題），同一個容器鏡像也存在多個版本，那么鏡像倉庫的搭建需求就涌現(xiàn)出來，本文就目前的幾個常用鏡像倉庫的搭建進(jìn)行介紹，我們可以根據(jù)需要選擇合適自己的就好。
01
—
官方標(biāo)配：Registry私有倉庫
Docker Hub作為Docker默認(rèn)官方公共鏡像，如果想要自己搭建私有鏡像殘酷，官方也提供Registry鏡像，使得我們搭建私有倉庫變得非常簡單。
所謂私有倉庫，也就是在本地（局域網(wǎng)）搭建的一個類似公共倉庫的東西，搭建好之后，我們可以將鏡像提交到私有倉庫中。這樣我們既能使用 Docker 來運(yùn)行我們的項(xiàng)目鏡像，也避免了商業(yè)項(xiàng)目暴露出去的風(fēng)險。
下面就是詳細(xì)的基于Registry搭建私有倉庫的步驟，首先我們可以準(zhǔn)備兩臺服務(wù)器，這里我有兩臺Linux的云服務(wù)主機(jī)（阿里云+騰訊云），他們的角色如下：
| 主機(jī)名 | 角色 | 備注 |
| edc-aliyun-server | registry-server | 部署registry容器 |
| edc-tecentcloud-server | registry-consumer | 從registry服務(wù)器上下載鏡像使用 |
搭建鏡像倉庫
首先，下載Registry鏡像并啟動
docker pull registry
然后，運(yùn)行一個Registry鏡像倉庫的容器實(shí)例
docker?run?-d?-v?/edc/images/registry:/var/lib/registry -p?5000:500? --restart=always --name xdp-registry registry
最后，在客戶端查看鏡像倉庫中的所有鏡像
curl http://your-server-ip:5000/v2/_catalog
這里返回的json數(shù)據(jù)代表暫無任何倉庫，因?yàn)槲覀冞€沒有上傳任何鏡像。
上傳鏡像
首先，為了讓客戶端服務(wù)器能夠快速地訪問剛剛在服務(wù)端搭建的鏡像倉庫（默認(rèn)情況下是需要配置HTTPS證書的），這里簡單在客戶端配置一下私有倉庫的可信任設(shè)置讓我們可以通過HTTP直接訪問：# vim /etc/docker/daemon.json
加上下面這一句，這里的"your-server-ip"請換為你的服務(wù)器的外網(wǎng)IP地址：
{ "insecure-registries" : [ "your-server-ip:5000" ] } 為了使得配置生效，重新啟動docker服務(wù)：# systemctl restart docker
其次，為要上傳的鏡像打Tag
docker tag your-image-name:tagname your-server-ip:5000/your-image-name:tagname最后，開始正式上傳鏡像到服務(wù)端鏡像倉庫
docker push your-registry-server-ip:5000/your-image-name:tagname
這時我們可以再次通過訪問API驗(yàn)證鏡像倉庫的內(nèi)容：
下載鏡像
下載鏡像就很簡單了，使用pull命令即可：
docker pull your-server-ip:5000/your-image-name:tagname
如果想要知道要下載的鏡像都有哪些tag（或版本），可以通過下面這個api來獲取：
curl http://your-server-ip:5000/v2/your-image-name/tags/list02
—
共享源頭：Docker Hub公共倉庫
注冊賬號&創(chuàng)建倉庫
首先，你得去docker hub上注冊一個賬號：
其次，注冊完成登錄之后就可以創(chuàng)建一個Repository，例如這里我創(chuàng)建了一個名為xdp-service-runtime的倉庫：
客戶端操作
創(chuàng)建完倉庫，我們就可以在客戶端上登錄：
登錄之后，就可以為鏡像打Tag：
docker tag xdp-service-runtime:2.2 edisonsaonian/xdp-service-runtime:2.2
打完Tag就可以推送到遠(yuǎn)程倉庫啦：
docker push edisonsaonian/xdp-service-runtime:2.2
這時，便可以到docker hub上查看Repository的信息：
當(dāng)然，我們可以在另外的客戶端上拉取這個剛剛上傳的鏡像了：
怎么樣，是不是很Easy，Enjoy！
03
—
企業(yè)最愛：Harbor企業(yè)級私有倉庫
Harbor是VMware公司開源的一個企業(yè)級Docker Registry項(xiàng)目，項(xiàng)目地址：https://github.com/vmware/harbor
Harbor作為一個企業(yè)級私有Registry服務(wù)器，提供了更好的性能和安全，提升了用戶使用Registry構(gòu)建和運(yùn)行環(huán)境傳輸鏡像的效率。雖然Harbor和Registry都是私有鏡像倉庫的選擇，但是Harbor的企業(yè)級特性更強(qiáng)，因此也是更多企業(yè)級用戶的選擇。
Harbor實(shí)現(xiàn)了基于角色的訪問控制機(jī)制，并通過項(xiàng)目來對鏡像進(jìn)行組織和訪問權(quán)限的控制，也常常和K8S中的namespace結(jié)合使用。此外，Harbor還提供了圖形化的管理界面，我們可以通過瀏覽器來瀏覽，檢索當(dāng)前Docker鏡像倉庫，管理項(xiàng)目和命名空間。
有關(guān)Harbor的架構(gòu)，可以參考閱讀這一篇《Harbor整體架構(gòu)》一文，里面講述了Harbor的6大核心組件構(gòu)成，有興趣的朋友可以一讀。
下面列出了Harbor的搭建過程：
一些準(zhǔn)備工作
（1）下載離線安裝包
Harbor提供了兩種安裝方式：一種是在線安裝包，因此包很小；另一種是離線安裝包，因此包很大（>=570MB）。這里選擇下載離線安裝包，下載地址：https://github.com/goharbor/harbor/releases
這里選擇版本為v1.7.0，下載完成后傳輸?shù)侥愕姆?wù)器上并解壓：
tar zvxf harbor-offline-installer-v1.7.0.tgz（2）安裝docker
如果還沒有安裝docker，那么請先安裝docker，已安裝則跳過。
# yum install docker # systemctl start docker.service（3）安裝docker-compose
這里選擇Github源：
sudo curl -L https://github.com/docker/compose/releases/download/1.22.0/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose sudo chmod +x /usr/local/bin/docker-compose驗(yàn)證：
docker-compose -version
? PS：如果想要卸載docker-compose，請執(zhí)行以下命令
sudo rm /usr/local/bin/docker-compose自簽TLS證書
????????雖然對于所有要求配置HTTPS的要求我都是比較抵觸的，不過考慮到去年公司官網(wǎng)被攻擊并且還被Google列入黑名單導(dǎo)致公司官網(wǎng)好幾天不可用，我們信息中心遭受了很大的壓力，因此還是老老實(shí)實(shí)地為所有有需要的地方配上HTTPS吧。當(dāng)然，這里演示的只是我們自己創(chuàng)建的證書，實(shí)際生產(chǎn)環(huán)境中我們切記還是需要去阿里云或者其他云服務(wù)器廠商申請免費(fèi)或收費(fèi)的證書。
此小節(jié)內(nèi)容主要參考自Harbor的HTTPS配置文檔：
（1）創(chuàng)建存放證書的目錄
mkdir -p /data/cert/ cd /data/cert/（2）創(chuàng)建自簽名證書key文件并生成證書請求：
注意：這里reg.edisonedu.com需要替換為你的域名，我這里是隨便取的，會在后面更改DNS。
openssl genrsa -out reg.edisonedu.com.key 4096 openssl req -x509 -new -nodes -sha512 -days 365 \ -subj "/C=TW/ST=Taipei/L=Taipei/O=example/OU=Personal/CN=reg.edisonedu.com" \ -key reg.edisonedu.com.key \ -out reg.edisonedu.com.crtHarbor安裝與配置
在解壓的harbor目錄中編輯harbor.cfg文件，修改以下內(nèi)容：
...... hostname = reg.edisonedu.com ui_url_protocol = https ssl_cert = /data/cert/reg.edisonedu.com.crt ssl_cert_key = /data/cert/reg.edisonedu.com.key harbor_admin_password = EdisonZhou123456 ......以上只是一些最基本的配置，你還可以配置例如SMTP郵件的設(shè)置，可以自己去摸索。
接下來就是執(zhí)行準(zhǔn)備這個harbor.cfg了，在harbor目錄下執(zhí)行以下命令：
./prepare然后再執(zhí)行install這個shell腳本進(jìn)行install：
./install.sh它會經(jīng)歷好幾個步驟：加載Harbor鏡像（初次安裝耗時較長）、準(zhǔn)備運(yùn)行環(huán)境、通過docker-compose啟動harbor（有興趣的童鞋可以看看harbor目錄下的docker-compose.yml文件）等。
我們可以通過docker-compose ps命令查看啟動起來的docker實(shí)例：
可以看到，整個harbor容器實(shí)例群包括了管理服務(wù)、數(shù)據(jù)庫服務(wù)、Job服務(wù)、日志服務(wù)以及Portal網(wǎng)頁入口（默認(rèn)是80端口）服務(wù)等。
為了能在你的開發(fā)機(jī)上能夠訪問到我們這個域名，你需要改一下Windows的hosts文件（C:/Windows/System32/drivers/etc/hosts），如果你用的阿里云，那么你可能還需要開放一下端口號，80和443端口：
# your server ip 47.102.140.255 reg.edisonedu.com這下我們可以在本地開發(fā)機(jī)上打開瀏覽器訪問reg.edisonedu.com了，可以看到Harbor的管理平臺登錄頁面了：
使用剛剛在配置文件里面配置的密碼登錄之后，可以看到如下管理界面：
為了進(jìn)行后面的演示，這里我們創(chuàng)建一個私有項(xiàng)目：
然后再創(chuàng)建一個項(xiàng)目管理員用戶：
最后，為test項(xiàng)目添加新創(chuàng)建的這個用戶作為項(xiàng)目管理員（由于我們后續(xù)會演示鏡像上傳，所以這里設(shè)為管理員，如果只是拉取鏡像，可以設(shè)為開發(fā)人員角色，如果只是看看那可以只設(shè)置為游客角色）：
接下來我們就會在另一臺主機(jī)中訪問這臺服務(wù)器上部署的Harbor私有鏡像倉庫了。
Docker主機(jī)訪問Harbor
????（1）首先，由于我們這里是自簽證書，不是受信任的，所以我們要做一些準(zhǔn)備工作才能在普通主機(jī)上訪問到剛剛部署的Harbor鏡像倉庫。（注意：這一部分的操作在另外的一臺主機(jī)上，非我們剛剛部署的Harbor的服務(wù)器上面）
準(zhǔn)備工作一：創(chuàng)建Harbor服務(wù)域名的證書文件夾
mkdir /etc/docker/certs.d/reg.edisonedu.com -p準(zhǔn)備工作二：設(shè)置Hosts匹配我們設(shè)置的假域名
vim /etc/hosts加上一行：
47.22.232.200 reg.edisonedu.com #替換為你的Harbor服務(wù)器外網(wǎng)IP準(zhǔn)備工作三：將Harbor服務(wù)器上的證書拷貝要訪問Harbor倉庫的主機(jī)上
這一工作你可以選擇直接通過SFTP軟件將reg.edisonedu.com.crt從Harbor服務(wù)器上拷貝到客戶機(jī)剛剛創(chuàng)建的文件夾中（/etc/docker/certs.d/reg.edisonedu.com
），也可以通過scp命令去拷貝，總之拷貝過來就行。這里我通過scp去拷貝：
scp root@47.22.232.200:/data/cert/reg.edisonedu.com.crt /etc/docker/certs.d/reg.edisonedu.com（2）其次，登錄到Harbor鏡像倉庫（由于Docker的默認(rèn)源是docker hub，所以剛剛我們需要改host，這里需要登錄自己的源倉庫）
docker login reg.edisonedu.com（3）然后，就跟剛剛我們在docker hub中的步驟一樣了，假設(shè)我們要push一個鏡像到鏡像倉庫，首先打個Tag：
docker tag xdp-service-runtime:2.2 reg.edisonedu.com/test/xdp-service-runtime:2.2PS：這里我們打的tag加上了私有項(xiàng)目名test
打完Tag，就可以push到鏡像倉庫了：
docker push reg.edisonedu.com/test/xdp-service-runtime:2.2推送完后，我們可以到Harbor的Web管理界面中驗(yàn)證：
（4）推送完之后，我們想在其他docker主機(jī)中pull下來呢？
docker pull reg.edisonedu.com/test/xdp-service-runtime:2.2（5）如果想退出我們的私有倉庫
docker logout reg.edisonedu.com其他補(bǔ)充
如果想要繼續(xù)更改harbor配置，那么改完后需要重新初始化Harbor：
docker-compose down -v # 暫停Harbor實(shí)例群 ./prepare # 生成配置文件，根據(jù) harbor.cfg 配置生成docker-compose文件。 docker-compose up -d # 后臺啟動Harbor實(shí)例群想要暫停和重啟Harbor：
docker-compose stop # 暫停 Harbor docker-compose start # 啟動 Harbor不用Harbor了，那么可以徹底刪除Harbor的數(shù)據(jù)和鏡像文件：
# 徹底地刪除 Harbor 的數(shù)據(jù)和鏡像 rm -r /data/database rm -r /data/registry04
—
小結(jié)
本文總結(jié)了流行的幾個鏡像倉庫的搭建步驟，并給出了基本使用示例。個人感覺：對于個人開發(fā)者或開源社區(qū)而言，docker hub主要提供的是類似于github的共享公共倉庫（當(dāng)然docker hub也有提供私有倉庫）。對于小團(tuán)隊(duì)而言，官方提供的Registry項(xiàng)目可以幫助小團(tuán)隊(duì)快速地構(gòu)建起自己的鏡像倉庫把精力更多放在快速迭代上面。而對于中大規(guī)模的團(tuán)隊(duì)，Harbor的企業(yè)級特性更加適合此類型的團(tuán)隊(duì)使用。
參考資料
李振良，《1天掌握Docker》
Harbor，《Installation Guide》
自由早晚亂余生，《Docker企業(yè)級鏡像倉庫Harbor的搭建與維護(hù)》
Ivanzz，《Harbor整體架構(gòu)》
楊振濤，《Harbor介紹與實(shí)踐》
點(diǎn)個在看少個bug??
總結(jié)
以上是生活随笔為你收集整理的你必须知道的Docker镜像仓库的搭建的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 小白开学Asp.Net Core 《八》
- 下一篇： 撸过一万行代码，你看过这篇文章吗？