容器应用的开发和运行离不开可靠的镜像管理。从安全和效率等方面考虑，部署在私有环境内的Registry是非常必要的。Project Harbor是由VMware公司中国团队为企业用户设计的Registry server开源项目，包括了权限管理(RBAC)、LDAP、审计、管理界面、自我注册、HA等企业必需的功能，同时针对中国用户的特点，设计镜像复制和中文支持等功能。

二、简介

1、基于角色的访问控制 - 用户与Docker镜像仓库通过“项目”进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。

2、镜像复制 - 镜像可以在多个Registry实例中复制（同步）。尤其适合于负载均衡，高可用，混合云和多云的场景。

3、图形化用户界面 - 用户可以通过浏览器来浏览，检索当前Docker镜像仓库，管理项目和命名空间。

4、AD/LDAP 支持 - Harbor可以集成企业内部已有的AD/LDAP，用于鉴权认证管理。

5、审计管理 - 所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。

6、国际化 - 已拥有英文、中文、德文、日文和俄文的本地化版本。更多的语言将会添加进来。

7、RESTful API - RESTful API 提供给管理员对于Harbor更多的操控, 使得与其它管理软件集成变得更容易。

8、部署简单 - 提供在线和离线两种安装工具，也可以安装到vSphere平台(OVA方式)虚拟设备。

Harbor组件

Harbor在架构上主要由6个组件构成：
1、harbor-adminserver：harbor系统管理接口，可以修改系统配置以及获取系统信息
2、harbor-db：存储项目的元数据、用户、规则、复制策略等信息
3、harbor-jobservice：harbor里面主要是为了镜像仓库之前同步使用的
4、harbor-log：收集其他harbor的日志信息。rsyslogd
5、harbor-ui：一个用户界面模块，用来管理registry。主要是前端的页面和后端CURD的接口
6、nginx：harbor的一个反向代理组件，代理registry、ui、token等服务。这个代理会转发harbor web和docker client的各种请求到后端服务上。是个nginx。nginx负责流量转发和安全验证，对外提供的流量都是从nginx中转，它将流量分发到后端的ui和正在docker镜像存储的docker registry
7、registry：存储docker images的服务，并且提供pull/push服务。harbor需要对image的访问进行访问控制，当client每次进行pull、push的时候，registry都需要client去token服务获取一个可用的token。
8、redis：存储缓存信息
9、webhook：当registry中的image状态发生变化的时候去记录更新日志、复制等操作。

三、环境要求

软件开源地址：Releases · goharbor/harbor · GitHub

主机	ip地址	软件
server	192.168.100.3	docker服务、docker-compose、harbor-offline-v1.1.2
clinet	192.168.100.20	docker服务

1、搭建目的

通过Harbor创建Docker私有仓库，图形化管理Docker私有仓库。

2、部署Harbor服务

2.1、解压、修改配置文件

#关于 Harbor.cfg 配置文件中有两类参数∶ 所需参数和可选参数
--------------------------------------------------------------------------------------
1、==所需参数==
这些参数需要在配置文件 Harbor.cfg 中设置。如果用户更新它们并运行 instal1.sh 脚本重新安装 Harbour，参数将生效。具体参数如下∶

- hostname∶用于访问用户界面和 register 服务。它应该是目标机器的 IP 地址或完全限定的域名（FQDN），
例如 192.168.80.10 或 hub.clj.cn。不要使用 localhost 或 127.0.0.1 为主机名。

- ui_url_protocol∶（http 或 https，默认为 http）用于访问 UI 和令牌/通知服务的协议。如果公证处于启用状态，则此参数必须为 https。

- max_job_workers∶ 镜像复制作业线程。

- db_password∶ 用于db_auth 的 MySOL 数据库root 用户的密码。

- customize_crt∶ 该属性可设置为打开或关闭，默认打开。打开此属性时，准备脚本创建私钥和根证书，用于生成/验证注册表令牌。当由外部来源提供密钥和根证书时，将此属性设置为 off。

- ssl_cert∶ SSL 证书的路径，仅当协议设置为 https 时才应用。

- secretkey_path∶ 用于在复制策略中加密或解密远程 register 密码的密钥路径。

--------------------------------------------------------------------------------------
2、==可造参数==
这些参数转于更新垫可选的。即用户可以将其保贸为默认值。并在启动 Harbor 后在 Web UI 上进行更新。
如果进入 Harbor.cfg，只会在第一次启动 Harbor 时生效，随后对这些参数的更新，Harbor.cfg 将被忽略。

注意∶ 如果选择通过 UI 设置这些参数，请确保在启动 Harbor 后立即执行此操作。具体来说，必须在注册或在 Harbor 中创建任何
新用户之前设置所需的 auth_nods。当系统中有用户时（除了默认的 admin 用户）， auth_nod不能被修改。
具体参数如下∶

- Emai1∶Harbor 需要该参数才能向用户发送"密码重置"电子邮件，并且只有在需要该功能时才启用。请注意，在默认情况下 SSL连接制没有启用。
如果 SMTP 服务器需要 SSL，但不支持 STARTTLS，那么应该通过设置启用 SSL emai1_ssl = TRUE。

- harbour_admin_password：管理员的的初始密码，只在 Harbor 第一次启动时生效。之后此设置将被忽略，
并且应在 UI 中设置管理员的密码。请注意，默认的用户名/密码是admin/Harbor12345。

- auth_node∶ 使用的认证类型，默认情况下，它是 db_auth，即凭据存储在数据库中。对于LDAP身份验证，请将其设置为 ldap_auth。

- self_registration∶ 启用/禁用用户注册功能。禁用时，新用户只能由 admin 用户创建，只有管理员用户可以在 Harbour中创建新用户。
注意∶当 auth_mode 设置为 ldap_auth 时。自注册功能将始终处于禁用状态，并且该标志被忽略。

- Token_expiration，由令牌服务创建的令牌的到期时间（分钟），默认为 30 分钟。

- project_creation_restriction，用于控制哪写用户有权创建项目的标志。默以情况下，每个人都可以创建一个项目。
如果将其植设置为 “adminonly“，那么只有 admin 可以创建项目。

- verify_remote_cert: 打开或关闭，默认打开。此标志决定了当Harbor与远程register 实例通信时是否验证SSL/TLS证书。
将此属性设置为off将绕过SSL/TLS验证，这在远程实例具有自签名或不可信证书时经常使用。

另外，默认情况下，Harbour将镜像存储在本地文件系统上。在生产环境中，可以考虑使用其他存储后端而不是本地文件系统，如
S3、 openstack Swif、 Ceph 等对象存储。但需要更新common/templates/registry/config.yml 文件。

2.2、启动harbor，开始安装

#!!!注意
//当需要重新修改配置文件的内容时，需要重新执行install，不然配置文件汇总的内容不会生效

cd /usr/local/harbor
./install.sh

2.3、检查harbor是否安装成功

docker-compose ps
docker images

2.4、访问登录验证

网页访问：192.168.100.3

账号：admin

密码：Harbor12345

3、Harbor基础操作（pull/push）

3.1、新建一个新项目

3.2、本机本地（127.0.0.1）登录推送镜像

默认情况下，Register服务在80端口上监听

docker login -u admin -p Harbor12345 http://127.0.0.1
#登录到harbor仓库

docker pull nginx
#下载镜像(注意，这个下载是在docker Hub仓库下载的，默认就是这)

docker tag nginx:latest 127.0.0.1/harbor-ydq/nginx:v1
#修改nginx的变迁

docker images
#查看修改后的标签

docker push 127.0.0.1/harbor-ydq/nginx:v1

harbor仓库里查看新上传的镜像

3.3、非本地主机进行下载镜像

docker login -u admin -p Harbor12345 http://192.168.100.3
#登录到装有harbor仓库的机器

解决方法

出现这问题的原因 Docker Registry 交互默认使用的是 HTTPS，但是搭建私有镜
像默认使用的是 HTTP 服务，所以与私有镜像交互时出现以下错误。

vim /usr/lib/systemd/system/docker.service

--insecure-registry 192.168.100.3 #13行添加

systemctl daemon-reload
systemctl restart docker
#重新加载护进程，重启docker服务

重新登录尝试登录harbor仓库

下载镜像到本机

docker pull 192.168.100.3/harbor-ydq/nginx:v1
#下载镜像到本地

docker imgaes

四、管理维护Harbor

1、通过Harbor web创建项目

1、可以使用docker-compose离开管理Harbor，一些有用的命令如下所述，必须在与docker-compose.yml相同的目录中运行。

2、修改Harbor.cfg配置文件。需要先停止现有Harbor实例，再更新Harbor.cfg，然后再运行prepare脚本来填充配置，最后重新创建并启动Harbor的实例。

docker-compose down -v
#关闭所有容器
./prepare
#填充配置
docker-compose up -d
#启动Harbor
#####如果报错#####
解决思路
关闭防火墙，重启docker

2、创建Harbor用户

2.1、创建新用户，添加用户设置项目镜像

2.2、客户端使用新创建的用户下载镜像

dokcer login -u qwf -p qwf12345 http://192.168.100.3

#建议使用以下方式登录

docker login http://192.168.100.3
//输入用户和密码
------------------------------------------
docker logout 192.168.100.3
#登出

docker pull 192.168.100.3/harbor-qwf/nginx:v1
#获取镜像

2.3、客户端使用新创建的用户上传

docker pull centos:7
#从docker Hap上下载一个镜像

docker tag centos:7 192.168.100.3/harbor/centos7:v1
#修改标签

docker logine http://192.168.100.3
#登录到harbor仓库中

docker push 192.168.100.3/harbor/centos7:v1
#将镜像上传到harbor仓库