Harbor

Harbor

1. 概述

Harbor是VMware公司开源的企业级Docker Registry 项目，其目标是帮助用户迅速搭建一个 企业级的Docker Registry 服务。虽然Docker官方提供了公共的镜像仓库，但是从安全和效率等方面考虑，部署企业自己的私有镜像仓库也是非常必要的。

Harbor以docker公司开源的registry为基础，提供了管理UI，基于角色的访问控制（Role Based Access Control），AD/LDAP集成，以及审计日志（Auditlogging）等企业用户需求的功能，同时还原生支持中文。

Harbor的每个组件都是以Docker容器的形式构建的，使用docker-compose来对它进行部署；用于部署Harbor的docker-compose模板位于/usr/local/bin/harbor/docker-compose.yml(自定义)；Docker harbor有可视化的web管理界面，可以方便管理Docker镜像，又提供了多个项目的镜像权限管理及控制功能。

1.1 harbor的优势：

（1）基于角色控制：有管理员与普通用户，可赋权普通用户，比如只能上传和下载，可根据项目来进行操作和管理。

（2）基于镜像的复制策略：镜像可以在多个Harbor实例之间进行复制(同步)。

（3）支持LDAP/AD：Harbor 可以集成企业内部有的AD/LDAP (类似数据库的一-张表)，用于对已经存在的用户认证和管理。

（4）镜像删除和垃圾回收：镜像可以被删除，也可以回收镜像占用的空间。

（5）图形化用户界面：用户可以通过浏览器来浏览，搜索镜像仓库以及对项目进行管理。

（6）审计管理：所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。

（7）支持RESTful API：RESTful API提供给管理员对于Harbor 更多的操控，使得与其它管理软件集成变得更容易。

（8）Harbor和docker registry的关系：Harbor实质上是对docker registry做了封装，扩展了自己的业务模板。

1.2 harbor的核心组件：

Harbor在架构上主要有Proxy、 Registry、 Core services、 Database ( Harbor-db)、Log collector ( Harbor-log)、Job services六个组件。

（1）Proxy：这是一个反向代理组件；Harbor 的Registry、UI、Token 服务等组件，都处在nginx 反向代理后边。该代理将来自浏览器、docker clients .的请求转发到后端不同的服务上。

（2）Registry：负责储存Docker 镜像，并处理Docker push/pull 命令；由于要对用户进行访问控制，即不同用户对Docker镜像有不同的读写权限，Registry 会指向一个Token 服务，强制用户的每次Docker pull/push 请求都要携带一个合法的Token，Registry会通过公钥对Token 进行解密验证。

（3）Core services: Harbor的核心功能，主要提供以下3个服务:

UI (harbor-ui) ：提供图形化界面，帮助用户管理Registry. 上的镜像(image) ，并对用户进行授权。
WebHook：网站的一些服务功能，为了及时获取Registry.上 image状态变化的情况，在Registry上配置Webhook， 把状态变化传递给UI模块。
Token 服务：令牌，提供身份验证服务，负责根据用户权限给每个Docker push/pull 命令签发Token。 Docker 客户端向Registry 服务发起的请求，如果不包含Token， 会被重定向到Token 服务，获得Token 后再重新向Registry 进行请求。
（4）Database (harbor-db) ：为core services提供数据库服务，负责储存用户权限、审计日志、Docker镜像分组信息等数据。

（5）Job services：主要用于镜像复制，本地镜像可以被同步到远程Harbor实例上。

（6）Log collector (harbor-log) ：负责收集其他组件的日志到一个地方。

Harbor的每个组件都是以Docker 容器的形式构建的，因此，使用Docker Compose 来对它进行部署。通过在docker- compose . yml所在目录中执行docker-compose ps命令来查看。

1.3 harbor主要功能及优势

基于角色的访问控制
用户与Docker镜像仓库通过“项目”进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。

基于镜像的复制策略
镜像可以在多个Registry实例中复制（可以将仓库中的镜像同步到远程的Harbor，类似于MySQL主从同步功能），尤其适合于负载均衡，高可用，混合云和多云的场景。

图形化用户界面
用户可以通过浏览器来浏览，检索当前Docker镜像仓库，管理项目和命名空间。

支持 AD/LDAP
Harbor可以集成企业内部已有的AD/LDAP，用于鉴权认证管理。

镜像删除和垃圾回收
Harbor支持在Web删除镜像，回收无用的镜像，释放磁盘空间。image可以被删除并且回收image占用的空间。

审计管理
所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。

RESTful API
RESTful API 提供给管理员对于Harbor更多的操控, 使得与其它管理软件集成变得更容易。

部署简单
提供在线和离线两种安装工具， 也可以安装到vSphere平台(OVA方式)虚拟设备。

1.4 harbor的简易架构：

如图所示：
所有的请求都经过proxy代理，proxy代理转发给Core services和Registry，其中Core services包括UI界面、token令牌和webhook网页服务功能，Registry主要提供镜像存储功能。如果要进行下载上传镜像，要经过token令牌验证然后从Registry获取或上传镜像，每一次下载或上传都会生成日志记录，会记入Log collector，而用户身份权限及一些镜像语言信息会被存储在Database中。

2、部署

os/ip	server	备注
centos8/192.168.207.13	docker（24.0.5）、docker-compose（v2.23.2）、Harbor（v2.10.0）	私有镜像仓库
centos8/192.168.207.15	docker（24.0.5）	验证私有镜像仓库可用性

docker-compose下载地址：https://github.com/docker/compose/releases/download/v2.23.2/docker-compose-linux-x86_64

Harbor下载地址： https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-offline-installer-v2.10.0.tgz

2.1 docker部署

docker部署可查看 http://t.csdnimg.cn/mcLuB

2.2 Docker-Compose 部署

[root@docker opt]# ls
docker-compose-linux-x86_64
[root@docker opt]# ln -s /opt/docker-compose-linux-x86_64 /usr/local/bin/docker-compose  # 将下载资源上传至服务器并做软连接

[root@docker opt]# chmod +x /opt/docker-compose-linux-x86_64  # 赋予 x 权限
[root@docker opt]# docker-compose -v    # 查看版本
Docker Compose version v2.23.2   

2.3 Harbor 部署

[root@docker opt]# tar -xf harbor-offline-installer-v2.10.0.tgz 
[root@docker opt]# cd harbor
[root@docker harbor]# ll
total 631180
-rw-r--r--. 1 root root      3643 Dec 14 14:39 common.sh
-rw-r--r--. 1 root root 646285764 Dec 14