Harbor Helm Chart自定义：参数配置与模板扩展-优快云博客

Harbor Helm Chart自定义：参数配置与模板扩展

【免费下载链接】harbor Harbor 是一个开源的容器镜像仓库，用于存储和管理 Docker 镜像和其他容器镜像。 * 容器镜像仓库、存储和管理 Docker 镜像和其他容器镜像 * 有什么特点：支持多种镜像格式、易于使用、安全性和访问控制项目地址: https://gitcode.com/GitHub_Trending/ha/harbor

引言

在云原生环境中，容器镜像仓库（Container Image Registry）是持续集成/持续部署（CI/CD）流程的关键组件。Harbor作为CNCF毕业项目，提供了企业级的容器镜像管理能力，包括镜像存储、签名验证、漏洞扫描等功能。通过Helm Chart部署Harbor可以大幅简化Kubernetes环境中的安装与运维流程，但默认配置往往无法满足复杂生产环境的需求。本文将深入探讨Harbor Helm Chart的参数配置策略与模板扩展技术，帮助用户构建符合特定业务场景的容器镜像仓库。

痛点与解决方案

企业在部署Harbor时常面临以下挑战：

存储资源不足导致镜像推送失败
多团队共享集群时权限隔离困难
高可用配置复杂难以维护
自定义监控告警需求无法满足

本文将通过12个核心参数配置示例、5种模板扩展场景和3套完整配置方案，帮助读者解决上述问题，实现Harbor的生产级部署。

核心参数配置详解

基础配置参数

参数路径	默认值	生产建议值	影响范围
`expose.type`	`nodePort`	`ingress`	访问方式
`expose.tls.enabled`	`false`	`true`	传输安全
`persistence.enabled`	`true`	`true`	数据持久化
`persistence.resourcePolicy`	`keep`	`keep`	资源保留策略
`imagePullPolicy`	`IfNotPresent`	`Always`	镜像拉取策略

示例1：配置Ingress访问

expose:
  type: ingress
  tls:
    enabled: true
    certSource: secret
    secret:
      secretName: harbor-tls-cert
  ingress:
    hosts:
      core: harbor.example.com
      notary: notary.example.com
    annotations:
      kubernetes.io/ingress.class: nginx
      nginx.ingress.kubernetes.io/ssl-redirect: "true"

存储配置优化

Harbor的存储配置需根据镜像吞吐量和保留策略进行调整：

persistence:
  enabled: true
  persistentVolumeClaim:
    registry:
      storageClass: "ceph-rbd"
      size: "500Gi"
    chartmuseum:
      storageClass: "ceph-rbd"
      size: "100Gi"
    jobservice:
      storageClass: "ceph-rbd"
      size: "10Gi"

最佳实践：将Registry数据与Chartmuseum数据分离存储，便于针对不同访问特性优化存储性能

高可用配置

生产环境需配置多副本和自动扩缩容：

replicaCount: 3

autoscaling:
  enabled: true
  minReplicas: 3
  maxReplicas: 10
  targetCPUUtilizationPercentage: 70
  targetMemoryUtilizationPercentage: 80

redis:
  enabled: true
  cluster:
    enabled: true
    slaveCount: 2
  persistence:
    enabled: true

database:
  type: postgresql
  external:
    host: harbor-postgres.example.com
    port: 5432
    username: harbor
    password: "${DB_PASSWORD}"
    database: harbor

安全配置

示例2：配置细粒度权限控制

rbac:
  enabled: true
  defaultAdminPassword: "${ADMIN_PASSWORD}"
  
securityContext:
  enabled: true
  fsGroup: 1000
  runAsUser: 1000
  runAsNonRoot: true

networkPolicy:
  enabled: true
  allowExternal: false
  ingress:
    - from:
      - podSelector:
          matchLabels:
            app: jenkins

高级模板扩展技术

自定义部署模板

Helm允许通过templates/目录扩展自定义资源，以下是常见扩展场景：

场景1：添加Prometheus ServiceMonitor

# templates/prometheus-serviceMonitor.yaml
apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: {{ template "harbor.fullname" . }}
  labels:
{{ include "harbor.labels" . | indent 4 }}
spec:
  selector:
    matchLabels:
{{ include "harbor.matchLabels" . | indent 6 }}
  endpoints:
  - port: http
    path: /metrics
    interval: 15s

场景2：添加自定义初始化脚本

# templates/configmap-init-scripts.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: {{ template "harbor.fullname" . }}-init-scripts
data:
  init-repositories.sh: |
    #!/bin/bash
    set -e
    # 创建默认项目
    curl -X POST "http://core:8080/api/v2.0/projects" \
      -u admin:{{ .Values.rbac.defaultAdminPassword }} \
      -H "Content-Type: application/json" \
      -d '{"project_name":"library","public":true}'

条件渲染逻辑

通过Helm模板函数实现条件化配置：

{{- if .Values.persistence.enabled }}
persistentVolumeClaim:
  claimName: {{ .Values.persistence.existingClaim | default (include "harbor.fullname" .) }}
{{- else }}
emptyDir: {}
{{- end }}

高级技巧：使用lookup函数动态获取集群信息

{{- $secret := lookup "v1" "Secret" .Release.Namespace "harbor-tls" }}
{{- if $secret }}
tls:
  crt: {{ b64enc $secret.data.tls_crt }}
  key: {{ b64enc $secret.data.tls_key }}
{{- end }}

完整配置方案

方案1：基础生产环境配置

# 基础生产环境配置 (harbor-basic.yaml)
expose:
  type: ingress
  tls:
    enabled: true
    certSource: secret
    secret:
      secretName: harbor-tls
  ingress:
    hosts:
      core: harbor.example.com
    annotations:
      kubernetes.io/ingress.class: nginx

persistence:
  enabled: true
  persistentVolumeClaim:
    registry:
      storageClass: "standard"
      size: "200Gi"

resources:
  requests:
    cpu: 1000m
    memory: 2Gi
  limits:
    cpu: 4000m
    memory: 8Gi

rbac:
  defaultAdminPassword: "${ADMIN_PASSWORD}"

redis:
  enabled: true
  master:
    resources:
      requests:
        cpu: 200m
        memory: 256Mi

database:
  internal:
    resources:
      requests:
        cpu: 500m
        memory: 1Gi

部署命令：

helm install harbor harbor/harbor \
  -f harbor-basic.yaml \
  --namespace harbor \
  --create-namespace

方案2：多团队隔离配置

# 多团队隔离配置 (harbor-multitenant.yaml)
expose:
  type: ingress
  ingress:
    hosts:
      core: "harbor.example.com"
    annotations:
      nginx.ingress.kubernetes.io/rewrite-target: /$2
      nginx.ingress.kubernetes.io/ssl-redirect: "true"

# 启用项目配额
core:
  extraEnv:
    - name: PROJECT_QUOTA_ENABLED
      value: "true"

# 自定义权限配置
rbac:
  enabled: true
  defaultAdminPassword: "${ADMIN_PASSWORD}"
  policies:
    - name: "team-a-policy"
      rules:
        - resources: ["projects"]
          resourceNames: ["team-a-*"]
          verbs: ["*"]

# 为不同团队创建独立存储
persistence:
  enabled: true
  persistentVolumeClaim:
    registry:
      storageClass: "team-a-storage"
      size: "100Gi"

方案3：高可用灾备配置

# 高可用灾备配置 (harbor-ha.yaml)
replicaCount: 3

autoscaling:
  enabled: true
  minReplicas: 3
  maxReplicas: 6

# 外部数据库配置
database:
  type: postgresql
  external:
    host: "postgres-ha.example.com"
    port: 5432
    username: "harbor"
    password: "${DB_PASSWORD}"
    database: "harbor"

# Redis集群配置
redis:
  enabled: false
  external:
    addr: "redis-cluster.example.com:6379"
    password: "${REDIS_PASSWORD}"
    database: 0

# 复制配置
replication:
  enabled: true
  sources:
    - url: "https://dr-harbor.example.com"
      username: "replication-user"
      password: "${REPLICATION_PASSWORD}"
      insecure: false
      projects:
        - name: "library"
          policy:
            type: "mirror"
            trigger:
              type: "event_based"

部署与验证流程

部署流程图

mermaid

验证步骤

检查Pod状态

kubectl get pods -n harbor

验证API可用性

curl -u admin:${ADMIN_PASSWORD} https://harbor.example.com/api/v2.0/systeminfo

推送测试镜像

docker tag nginx:alpine harbor.example.com/library/nginx:alpine
docker push harbor.example.com/library/nginx:alpine

检查监控指标

kubectl port-forward -n harbor svc/harbor-core 8080:80
curl http://localhost:8080/metrics | grep harbor_up

常见问题解决方案

存储相关问题

问题：PVC创建失败 解决方案：

# 为不同存储类型配置默认StorageClass
kubectl annotate sc ceph-rbd storageclass.kubernetes.io/is-default-class=true

权限相关问题

问题：镜像推送报403错误 排查流程： mermaid

性能优化建议

调整垃圾回收策略

jobservice:
  jobs:
    garbage_collection:
      enabled: true
      schedule: "0 0 * * *"
      parameters:
        delete_untagged: true

配置缓存策略

nginx:
  extraConfig:
    proxy-cache.conf: |
      proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=harbor_cache:10m max_size=10g inactive=60m use_temp_path=off;

总结与展望

本文详细介绍了Harbor Helm Chart的参数配置方法和模板扩展技术，通过3套完整配置方案覆盖了从基础部署到高可用灾备的全场景需求。随着云原生技术的发展，Harbor作为容器镜像管理的核心组件，其自定义能力将更加重要。

未来扩展方向：

集成GitOps工具实现配置即代码
开发自定义Helm插件简化多环境管理
构建基于OPA的动态访问控制策略

建议读者根据实际业务需求，从基础配置开始逐步优化，同时关注Harbor社区的最新特性更新。通过合理的自定义配置，可以充分发挥Harbor在企业容器平台中的核心价值。

附录：资源清单参考

组件	CPU请求	内存请求	CPU限制	内存限制	建议副本数
Core	1000m	2Gi	2000m	4Gi	3+
JobService	500m	1Gi	1000m	2Gi	2+
Registry	500m	1Gi	1000m	2Gi	3+
Portal	100m	128Mi	200m	256Mi	2+
Database	500m	1Gi	1000m	2Gi	1 (外部)
Redis	200m	256Mi	500m	512Mi	3 (集群)

收藏提示：本文包含12个核心参数、5种模板扩展和3套完整配置方案，建议收藏以备日后配置参考。

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考