rancher2使用helm部署harbor，搭建私有镜像/helm仓库并解决证书x509问题

蘑菇猎手

已于 2023-08-14 11:46:28 修改

阅读量1.7k

点赞数

CC 4.0 BY-SA版权

分类专栏：运维文章标签：服务器 linux 运维 rancher k8s docker

于 2023-07-31 18:05:05 首次发布

本文链接：https://blog.youkuaiyun.com/DongGeGe214/article/details/132024556

运维专栏收录该内容

13 篇文章

订阅专栏

接上一篇《rancher2安装nfs-subdir-external-provisioner为PVC/PV动态提供存储空间（动态分配卷）》
本篇开始讲如何在rancher2中部署harbor，来搭建一个私有的镜像/helm仓库。

一、安装harbor服务

1. 在目标集群中添加命名空间

在这里插入图片描述

2. 将提供harbor的chart仓库添加进rancher中

添加chart仓库的详细步骤可参考上篇文章二的1-5步，将如下的chart仓库信息替换进去即可：
名称：harbor
Index URL：https://helm.goharbor.io
3. 安装harbor
在这里插入图片描述

将values的三处域名，改为你的实际域名，如下图所示：
在这里插入图片描述
至此，harbor服务在rancher中的安装运行就搞定了。

二、配置rancher，使其能够访问harbor提供的chart服务

1. 将harbor提供的chart服务地址加入到rancher的chart仓库中

添加chart仓库的详细步骤可参考上篇文章二的1-5步。
下面的名称根据实际需要命名，然后index URL中的harbor.your_domain.com换成你的实际域名
名称：your_chart_repo
Index URL：https://harbor.your_domain.com/chartrepo/library
完成添加后，会看到该操作报错
在这里插入图片描述

2. 解决证书错误x509: certificate signed by unknown authority

参考：https://ranchermanager.docs.rancher.com/zh/v2.5/pages-for-subheaders/helm-charts-in-rancher#repositories
这一步需要做的操作有点多，需要用到linux命令行，请心细阅读
(1). 回到集群界面，找到harbor服务安装时创建的证书
在这里插入图片描述

在这里插入图片描述
(2). 拷贝ca.crt的值，用Base64解码
这里推荐个在线base64解码的网站，也可以用其他网站
https://tools.fun/base64.html

(3). 将解码后的内容写入到ca.pem（也可是其他文件名）文件中，然后用命令openssl x509 -outform der -in ca.pem | base64 -w0生成rancher所需的DER格式的值
在这里插入图片描述
(4). 拷贝上步的输出，贴入到报错的chart仓库中
在chart仓库中，找到目标，从最右边的三个点按钮中选择编辑yaml，把值贴到caBundle

再查看该仓库，可发现证书错误解决，但又提示新的错误no API version specified，这个原因是harbor服务需要填写账号密码

3. 接下来解决harbor认证问题

默认管理员账号/密码为：admin/Harbor12345
在这里插入图片描述

三、使宿主机上的docker能与rancher中的harbor服务交互

1. k8s节点的所有机器修改/etc/hosts，增加自定义域名解析

# vim /etc/hosts
172.20.29.1 harbor.your_domain.com

2. 将二.2.(2)中解码后的证书内容添加到主机的信任证书列表里

任选下面两个方案中的一个即可
(1). 方案一：可以添加到/etc/ssl/certs/ca-bundle.crt
下面是命令行追加内容示例，将xxx替换为你的实际证书内容，也可用vim等编辑器实现

# cat >> /etc/ssl/certs/ca-bundle.crt <</EOF
-----BEGIN CERTIFICATE-----
xxxxxxxxxxxx
-----END CERTIFICATE-----
EOF

(2). 方案二：也可以添加到docker的证书目录里/etc/docker/certs.d/harbor.your_domain.com/ca.crt
harbor.your_domain.com目录是不存在的，创建即可

# mkdir /etc/docker/certs.d/harbor.your_domain.com
# cat >> /etc/docker/certs.d/harbor.your_domain.com/ca.crt <</EOF
-----BEGIN CERTIFICATE-----
xxxxxxxxxxxx
-----END CERTIFICATE-----
EOF

3. 重启docker服务

# systemctl docker restart

4. 登录harbor

# docker login harbor.your_domain.com
username: admin
password:

打一个镜像，推送到harbor，测试是否成功

# docker tag your_image:tag harbor.your_domain.com/library/your_image:tag
# docker push harbor.your_domain.com/library/your_image:tag