harbor高可用部署

harbor高可用简介

harbor目前有两种主流的高可用方案：

• 双主复制，harbor自带的镜像复制功能
• 多harbor实例共享后端存储

双主复制架构在遇到大镜像时有同步延迟，并且一个实例故障后需要手动重新开启复制策略才能再次同步，下面以阿里云环境为例，使用两台ECS实例+NFS后端共享存储方式部署高可用harbor，整体架构图如下：

该方案需要注意以下几点：

1. 共享存储的选取，Harbor的后端存储目前支持本地文件系统、NFS、CephFS、azure、gcs、AWS s3,、swift 以及阿里云oss。
2. Session在不同的实例上共享，在最新的harbor中，默认session会存放在redis中，只需要将redis独立出来即可，可以通过redis sentinel或者redis cluster等方式来保证redis的可用性。
3. 由于PostgreSQL多个实例无法共享一份数据文件，需要将harbor中的数据库拆出来独立部署，让多实例共用一个外部数据库，并将Harbor中默认创建在PostgreSQL的所有表的结构、初始数据等导入进单独部署的PostgreSQL服务中，PostgreSQL数据的冗余可以使用PostgreSQL的同步策略来实现。

harbor高可用部署

在阿里云申请以下资源：

两台ECS实例信息:

备注：如果在私有云环境部署，可自建PostgreSQL集群、Redis集群、NFS server，并使用nginx/haproxy/lvs+keepalived代替公网SLB负载均衡，如果使用对象存储作为后端，可选用minio代替s3。

配置SLB实例

创建1个SLB实例(代替上图nginx)及两组监听，用于四层转发，访问443端口转发到后端两台harbor ECS实例的443端口，访问80端口harbor默认会重定向到443端口，未启动后端harbor时当前监听应该处于异常状态：

自行准备域名，解析到SLB实例的公网IP：

registry.cloudcele.com --->  120.25.165.246
1

以阿里云域名为例：

配置RDS实例

创建PostgreSQL类型RDS实例，创建一个数据库用户，以超级管理员postgres为例：

然后手动创建三个空数据库，绑定到postgres用户下：

参考：https://goharbor.io/docs/master/install-config/harbor-ha-helm

notaryserver
notarysigner
registry
1
2
3

阿里云示例：

配置NAS实例

创建NAS实例后，在两台ECS实例上都执行挂载，安装NFS客户端：

sudo yum install nfs-utils
1

执行以下命令，提高同时发起的NFS请求数量：

sudo echo "options sunrpc tcp_slot_table_entries=128" >> /etc/modprobe.d/sunrpc.conf
sudo echo "options sunrpc tcp_max_slot_table_entries=128" >> /etc/modprobe.d/sunrpc.conf
1
2

挂载NFS文件系统，这里挂载到/data目录下

cat >> /etc/fstab <<EOF
217d3488b8-mtr10.cn-shenzhen.nas.aliyuncs.com:/ /data nfs vers=4,minorversion=0,rsize=1048576,wsize=1048576,hard,timeo=600,retrans=2,_netdev,noresvport 0 0
EOF

mkdir /data
mount -a
1
2
3
4
5
6

验证挂载是否成功

[root@harbor001 ~]# df -h | grep aliyun
217d3488b8-mtr10.cn-shenzhen.nas.aliyuncs.com:/   10P     0   10P   0% /data
1
2

生成域名证书

参考：

https://github.com/acmesh-official/acme.sh
https://goharbor.io/docs/2.3.0/install-config/configure-https/

域名证书可以手动自签证书，但自签发的证书不会被 Chrome 等浏览器信任，这里采用 Let’s Encrypt 生成免费的、可被浏览器信任的证书，常用的 Let’s Encrypt 生成工具主要有 acme.sh 及 certbot 两种，本次使用 acme.sh 自动从 letsencrypt 生成证书。

使用acme.sh时有http及dns两种验证方式，dns验证又分为手动和自动，这里使用阿里云域名解析，支持使用dns方式自动连接到阿里云API申请证书：

curl https://get.acme.sh | sh
yum install -y socat

export Ali_Key=xxxxxxxxxxxxxxx
export Ali_Secret=xxxxxxxxxxxxxxx
acme.sh --issue --dns dns_ali -d registry.cloudcele.com
1
2
3
4
5
6

查看生成的证书

# ls -1 /root/.acme.sh/registry.cloudcele.com/
ca.cer
fullchain.cer
registry.cloudcele.com.cer
registry.cloudcele.com.conf
registry.cloudcele.com.csr
registry.cloudcele.com.csr.conf
registry.cloudcele.com.key
1
2
3
4
5
6
7
8

安装证书到harbor目录下

mkdir -p /data/harbor/cert

acme.sh --installcert -d registry.cloudcele.com \
  --key-file /data/harbor/cert/registry.cloudcele.com.key \
  --fullchain-file /data/harbor/cert/registry.cloudcele.com.crt
1
2
3
4
5

查看安装到harbor路径下的证书

[root@harbor001 ~]# ls -1 /data/harbor/cert/
registry.cloudcele.com.crt
registry.cloudcele.com.key
1
2
3

acme.sh申请的证书有效期90天，acme.sh安装的时候已经自动添加了一个计划任务每天自动更新证书，更新后重启使用证书的服务。 acme.sh自动添加的计划任务

[root@harbor001 ~]# crontab  -l | grep acme
55 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null
1
2

该计划任务也会自动执行证书上一次的安装命令，为确保nginx使用最新的证书，重新执行一次安装证书命令让acme.ch将证书文件安装到正确的位置及重启nginx服务。

acme.sh --installcert -d registry.cloudcele.com \
  --key-file /data/harbor/cert/registry.cloudcele.com.key \
  --fullchain-file /data/harbor/cert/registry.cloudcele.com.crt \
  --reloadcmd "docker restart nginx"
1
2
3
4

开始安装harbor

前提：两台ECS实例已完成docker及docker-compose安装，以下所有操作在第一个harbor节点执行：

下载harbor

wget https://mirrors.tuna.tsinghua.edu.cn/github-release/goharbor/harbor/v2.3.1/harbor-offline-installer-v2.3.1.tgz
tar -zxvf harbor-offline-installer-v2.3.1.tgz -C /opt
1
2

切换到harbor安装目录

cd /opt/harbor
cp harbor.yml.tmpl harbor.yml
1
2

修改harbor配置文件，注意获取VPC实例内网连接地址、端口及密码信息，有变动的内容如下：

[root@harbor001 harbor]# vim harbor.yml
hostname: registry.cloudcele.com

http:
  port: 80
  
https:
  port: 443
  certificate: /data/harbor/cert/registry.cloudcele.com.crt
  private_key: /data/harbor/cert/registry.cloudcele.com.key
  
data_volume: /data/harbor

external_database:
  harbor:
    host: pgm-wz9541r7evq0auo6168200.pg.rds.aliyuncs.com
    port: 1921
    db_name: registry
    username: postgres
    password: Postgres@2021
    ssl_mode: disable
    max_idle_conns: 2
    max_open_conns: 0
  notary_signer:
    host: pgm-wz9541r7evq0auo6168200.pg.rds.aliyuncs.com
    port: 1921
    db_name: notarysigner
    username: postgres
    password: Postgres@2021
    ssl_mode: disable
  notary_server:
    host: pgm-wz9541r7evq0auo6168200.pg.rds.aliyuncs.com
    port: 1921
    db_name: notaryserver
    username: postgres
    password: Postgres@2021
    ssl_mode: disable

external_redis:
  host: r-wz9fpfgjon0p4kci80.redis.rds.aliyuncs.com:6379
  password: Redis123
  registry_db_index: 1
  jobservice_db_index: 2
  chartmuseum_db_index: 3
  trivy_db_index: 5
  idle_timeout_seconds: 30
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46

执行harbor安装

./install.sh
1

复制harbor安装目录到harbor002节点：

[root@harbor001 ~]# scp -r /opt/harbor/ 172.18.8.243:/opt
1

同样，连接到harbor002节点直接安装即可，无需其他操作：

[root@harbor002 ~]# cd /opt/harbor/
[root@harbor002 ~]# ./install.sh
1
2

访问harbor验证

浏览器访问harbor域名：https://registry.cloudcele.com

停掉第一个节点harbor实例，验证依然能够正常访问：

[root@harbor001 ~]# cd /opt/harbor/
[root@harbor001 harbor]# docker-compose down
1
2

harbor上传镜像

首先为docker客户端准备证书，从acme.sh目录下获取证书

[root@harbor001 ~]# cd /root/.acme.sh/registry.cloudcele.com/
1

复制以下三个文件到docker客户端目录/etc/docker/certs.d/registry.cloudcele.com/下

ca.cer
registry.cloudcele.com.cer
registry.cloudcele.com.key
1
2
3

客户端创建目录，查看复制过来的证书文件：

# mkdir -p /etc/docker/certs.d/registry.cloudcele.com/

# ls -1 /etc/docker/certs.d/registry.cloudcele.com/
ca.crt
registry.cloudcele.com.cert
registry.cloudcele.com.key
1
2
3
4
5
6

重启docker进程

systemctl restart docker
1

登录harbor仓库

# docker login registry.cloudcele.com
Username: admin
Password: 
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store

Login Succeeded
1
2
3
4
5
6
7
8

上传docker镜像

[root@master ~]# docker push registry.cloudcele.com/library/nginx
Using default tag: latest
The push refers to repository [registry.cloudcele.com/library/nginx]
d9eb91d66e2a: Pushed 
ae1f545e4c08: Pushed 
c20672db3628: Pushed 
4cbb728cd302: Pushing [=>                                                 ]  1.609MB/63.74MB
4cbb728cd302: Pushed 
9eb82f04c782: Pushed 
latest: digest: sha256:1a53eb723d17523512bd25c27299046cfa034cce309f4ed330c943a304513f59 size: 1362
1
2
3
4
5
6
7
8
9
10

拉取docker镜像

[root@master ~]# docker pull registry.cloudcele.com/library/nginx
Using default tag: latest
latest: Pulling from library/nginx
Digest: sha256:1a53eb723d17523512bd25c27299046cfa034cce309f4ed330c943a304513f59
Status: Image is up to date for registry.cloudcele.com/library/nginx:latest
registry.cloudcele.com/library/nginx:latest
1
2
3
4
5
6

参考：https://cloud.tencent.com/developer/article/1838838