一、什麼是harbor？
Harbor是一個開源的容器鏡像存儲軟件，它通過基於角色的訪問控制保護鏡像，掃描鏡像以查找漏洞，並將鏡像標記爲可信。作爲一個CNCF孵化項目，Harbor提供了法規遵從性、性能和互操作性，可以幫助在Kubernetes和Docker等雲計算平臺上一致、安全地管理鏡像。
harbor的特點
- 安全
安全和漏洞分析
內容簽名和驗證 - 管理
多租戶
可拓展的API和Web UI
跨多個Harbor實例的鏡像複製
身份集成和基於角色的訪問控制
harbor的參數文件 harbor.cfg
配置harbor的參數文件
vim /usr/local/harbor/harbor.cfg
（1）所需參數
這些參數需要在配置文件 Harbor.cfg 中設置。
如果用戶更新它們並運行 install.sh腳本重新安裝 Harbour，
參數將生效。具體參數如下： - hostname：用於訪問用戶界面和 register 服務。它應該是目標機器的 IP 地址或完全限 定的域名（FQDN）
例如 192.168.195.128 或 hub.kgc.cn。不要使用 localhost 或 127.0.0.1 爲主機名。 - ui_url_protocol：（http 或 https，默認爲 http）用於訪問 UI 和令牌/通知服務的協議。如果公證處於啓用狀態，則此參數必須爲 https。
- max_job_workers：鏡像復製作業線程。
- db_password：用於db_auth 的MySQL數據庫root 用戶的密碼。
- customize_crt：該屬性可設置爲打開或關閉，默認打開。打開此屬性時，準備腳本創建私鑰和根證書，用於生成/驗證註冊表令牌。
- 當由外部來源提供密鑰和根證書時，將此屬性設置爲 off。
- ssl_cert：SSL 證書的路徑，僅當協議設置爲 https 時才應用。
- ssl_cert_key：SSL 密鑰的路徑，僅當協議設置爲 https 時才應用。
- secretkey_path：用於在複製策略中加密或解密遠程 register 密碼的密鑰路徑。
（2）可選參數
這些參數對於更新是可選的，即用戶可以將其保留爲默認值，並在啓動 Harbor 後在 Web UI 上進行更新。
如果進入 Harbor.cfg，只會在第一次啓動 Harbor 時生效，隨後對這些參數 的更新，Harbor.cfg 將被忽略。
注意：如果選擇通過UI設置這些參數，請確保在啓動Harbour後立即執行此操作。具體來說，必須在註冊或在 Harbor 中創建任何新用戶之前設置所需的 - auth_mode。當系統中有用戶時（除了默認的 admin 用戶），auth_mode 不能被修改。具體參數如下：
- Email：Harbor需要該參數才能向用戶發送“密碼重置”電子郵件，並且只有在需要該功能時才需要。
- 請注意，在默認情況下SSL連接時沒有啓用。如果SMTP服務器需要SSL，但不支持STARTTLS，那麼應該通過設置啓用SSL email_ssl = TRUE。
- harbour_admin_password：管理員的初始密碼，只在Harbour第一次啓動時生效。之後，此設置將被忽略，並且應 UI中設置管理員的密碼。
請注意，默認的用戶名/密碼是 admin/Harbor12345。 - auth_mode：使用的認證類型，默認情況下，它是 db_auth，即憑據存儲在數據庫中。對於LDAP身份驗證，請將其設置爲 ldap_auth。
- self_registration：啓用/禁用用戶註冊功能。禁用時，新用戶只能由 Admin 用戶創建，只有管理員用戶可以在 Harbour中創建新用戶。
注意：當 auth_mode 設置爲 ldap_auth 時，自注冊功能將始終處於禁用狀態，並且該標誌被忽略。 - Token_expiration：由令牌服務創建的令牌的到期時間（分鐘），默認爲 30 分鐘。
- project_creation_restriction：用於控制哪些用戶有權創建項目的標誌。默認情況下， 每個人都可以創建一個項目。
- 如果將其值設置爲“adminonly”，那麼只有 admin 可以創建項目。
- verify_remote_cert：打開或關閉，默認打開。此標誌決定了當Harbor與遠程 register 實例通信時是否驗證 SSL/TLS 證書。
將此屬性設置爲 off 將繞過 SSL/TLS 驗證，這在遠程實例具有自簽名或不可信證書時經常使用。
另外，默認情況下，Harbour 將鏡像存儲在本地文件系統上。在生產環境中，可以考慮 使用其他存儲後端而不是本地文件系統，
如 S3、Openstack Swif、Ceph 等。但需要更新 common/templates/registry/config.yml 文件。
三、安裝部署Harbor
Harbor 被部署爲多個Docker容器，因此可以部署在任何支持Docker的Linux發行版 上。服務端主機需要安裝 Python、Docker 和 Docker Compose。
1.下載harbor安裝程序[root@harbor ~]# wget http:// harbor.orientsoft.cn/harbor-1.2.2/harbor-offline-installer-v1.2.2.tgz [root@harbor ~]# tar zxvf harbor-offline-installer-v1.2.2.tgz -C /usr/local/2.下載Docker Compose，設置權限
[root@harbor ~]# curl -L https://github.com/docker/compose/releases/download/1.21.1/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose [root@harbor ~]# chmod +x /usr/bin/docker-compose3、配置Harbor的參數文件
[root@harbor ~]# vim /usr/local/harbor/harbor.cfg hostname = 192.168.191.132 //更改主機名爲本地地址4、啓動Harbor
[root@harbor ~]# sh /usr/local/harbor/install.sh //省略部分內容// [Step 4]: starting Harbor ... Creating network "harbor_harbor" with the default driver Creating harbor-log ... done Creating harbor-adminserver ... done Creating harbor-db ... done Creating registry ... done Creating harbor-ui ... done Creating harbor-jobservice ... done Creating nginx ... done ✔ ----Harbor has been installed and started successfully.---- Now you should be able to visit the admin portal at http://192.168.191.132. For more details, please visit https://github.com/vmware/harbor .5、查看Harbor的啓動鏡像和容器
(1）查看鏡像[root@harbor ~]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE vmware/harbor-log v1.2.2 36ef78ae27df 2 years ago 200MB vmware/harbor-jobservice v1.2.2 e2af366cba44 2 years ago 164MB vmware/harbor-ui v1.2.2 39efb472c253 2 years ago 178MB vmware/harbor-adminserver v1.2.2 c75963ec543f 2 years ago 142MB vmware/harbor-db v1.2.2 ee7b9fa37c5d 2 years ago 329MB vmware/nginx-photon 1.11.13 6cc5c831fc7f 2 years ago 144MB vmware/registry 2.6.2-photon 5d9100e4350e 2 years ago 173MB vmware/postgresql 9.6.4-photon c562762cbd12 2 years ago 225MB vmware/clair v2.0.1-photon f04966b4af6c 2 years ago 297MB vmware/harbor-notary-db mariadb-10.1.10 64ed814665c6 3 years ago 324MB vmware/notary-photon signer-0.5.0 b1eda7d10640 3 years ago 156MB vmware/notary-photon server-0.5.0 6e2646682e3c 3 years ago 157MB photon 1.0 e6e4e4a2ba1b 3 years ago 128MB（2）查看容器
[root@harbor ~]# docker ps -a CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES 09064037a634 vmware/harbor-jobservice:v1.2.2 "/harbor/harbor_jobs…" 4 minutes ago Up 4 minutes harbor-jobservice f956106c5d42 vmware/nginx-photon:1.11.13 "nginx -g 'daemon of…" 4 minutes ago Up 4 minutes 0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp nginx 28e9f0634038 vmware/harbor-ui:v1.2.2 "/harbor/harbor_ui" 4 minutes ago Up 4 minutes harbor-ui 9faefb1789db vmware/harbor-db:v1.2.2 "docker-entrypoint.s…" 4 minutes ago Up 4 minutes 3306/tcp harbor-db 9e14bcf884fc vmware/harbor-adminserver:v1.2.2 "/harbor/harbor_admi…" 4 minutes ago Up 4 minutes harbor-adminserver cd7c345215f4 vmware/registry:2.6.2-photon "/entrypoint.sh serv…" 4 minutes ago Up 4 minutes 5000/tcp registry 6508a1000d1e vmware/harbor-log:v1.2.2 "/bin/sh -c 'crond &…" 4 minutes ago Up 4 minutes 127.0.0.1:1514->514/tcp harbor-log #使用docker-compose ps也可查看運行的容器，必須在與docker-compose.yml相同的目錄中運行 [root@harbor harbor]# docker-compose ps Name Command State Ports harbor-adminserver /harbor/harbor_adminserver Up harbor-db docker-entrypoint.sh mysqld Up 3306/tcp harbor-jobservice /harbor/harbor_jobservice Up harbor-log /bin/sh -c crond && rm -f ... Up 127.0.0.1:1514->514/tcp harbor-ui /harbor/harbor_ui Up nginx nginx -g daemon off; Up 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp, 0.0.0.0:80->80/tcp registry /entrypoint.sh serve /etc/ ... Up 5000/tcp四、使用瀏覽器訪問Harbor的Web管理頁面
默認的管理員賬戶和密碼是：admin/Harbor12345![Harbor私有倉庫搭建]()
賬號密碼登錄![Harbor私有倉庫搭建]()
1.添加新的項目
直接在web界面添加![Harbor私有倉庫搭建]()
![Harbor私有倉庫搭建]()
![Harbor私有倉庫搭建]()
2.將鏡像上傳到私有倉庫
使用Docker命令在本地通過127.0.0.1來登錄和推送鏡像。默認情況下， Register服務器在端口80上監聽[root@harbor ~]# docker login -u admin -p Harbor12345 http://127.0.0.1 ###省略部分內容#### Login Succeeded #下載一個鏡像用來測測試 [root@harbor ~]# docker pull nginx #鏡像打標籤 [root@harbor ~]# docker tag nginx:latest 127.0.0.1/myproject-test/nginx:v1 [root@harbor ~]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE 127.0.0.1/myproject-test/nginx v1 e791337790a6 6 days ago 127MB #上傳鏡像（在登陸的情況下上傳） [root@harbor ~]# docker push 127.0.0.1/myproject-test/nginx:v1此時在web界面就可以查看到新上傳的鏡像
![Harbor私有倉庫搭建]()
重載系統文件和重啓docker[root@docker ~]# systemctl daemon-reload [root@docker ~]# systemctl restart docker登陸harbor私有倉庫
[root@docker ~]# docker login 192.168.191.132 Username: admin //輸入用戶名 Password: //輸入密碼 ###省略部分內容#### Login Succeeded #退出登陸使用 docker logout 192.168.191.132 即可退出 #下載私有倉庫的鏡像 [root@docker ~]# docker pull 192.168.191.132/myproject-test/nginx:v1 v1: Pulling from myproject-test/nginx 123275d6e508: Pull complete 6cd6a943ce27: Pull complete a50b5ac4a7fb: Pull complete Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee Status: Downloaded newer image for 192.168.191.132/myproject-test/nginx:v1 192.168.7.168/myproject-test/nginx:v1 #測試上傳鏡像 [root@docker ~]# docker pull cirros [root@docker ~]# docker tag cirros:latest 192.168.7.168/myproject-test/cirros:v1 [root@docker ~]# docker push 192.168.191.132/myproject-test/cirros:v1五、harbor的維護與管理
可以使用docker-compose來管理Harbor，一些有用的命令如下所示，必須在與docker-compose.yml相同的目錄中運行
1、修改harbor的配置文件
要更改Harbour的配置文件時，要先停止現有的Harbour實例並更新harbor.cfg；然後運行prepare腳本來填充配置；最後重新創建並啓動Harbour的實例[root@harbor ~]# docker-compose down -v ERROR: Can't find a suitable configuration file in this directory or any parent. Are you in the right directory? Supported filenames: docker-compose.yml, docker-compose.yaml #進入harbor的安裝目錄，停止Harbor的實例 [root@harbor ~]# cd /usr/local/harbor/ [root@harbor harbor]# docker-compose down -v Stopping harbor-jobservice ... done Stopping nginx ... done Stopping harbor-ui ... done Stopping harbor-db ... done Stopping harbor-adminserver ... done Stopping registry ... done Stopping harbor-log ... done Removing harbor-jobservice ... done Removing nginx ... done Removing harbor-ui ... done Removing harbor-db ... done Removing harbor-adminserver ... done Removing registry ... done Removing harbor-log ... done Removing network harbor_harbor #停止實例以後，就可以更改harbor.cfg文件，更改完成後要運行prepare腳本來填充配置 [root@harbor harbor]# ./prepare #重新創建啓動Harbor實例 [root@harbor harbor]# docker-compose up -d Creating network "harbor_harbor" with the default driver Creating harbor-log ... done Creating registry ... done Creating harbor-adminserver ... done Creating harbor-db ... done Creating harbor-ui ... done Creating harbor-jobservice ... done Creating nginx ... done創建 Harbor 用戶
![Harbor私有倉庫搭建]()
![Harbor私有倉庫搭建]()
在客戶端使用新添加的用戶訪問私有倉庫[root@docker ~]# docker login 192.168.7.168 Username: test-zhangsan //輸入新用戶名 Password: //輸入密碼 ###省略部分內容#### Login Succeeded [root@docker ~]# docker pull 192.168.191.132/myproject-test/nginx:v1 [root@docker ~]# docker images REPOSITORY TAG IMAGE ID CREATED SIZE 192.168.7.168/myproject-test/nginx v1 e791337790a6六、Harbor服務器遷移
- 將Harbor遷移至另一臺服務器上
- 將Harbor的安裝目錄/usr/local/harbor導出移至新的服務器
- 將Harbor的數據存放目錄/data導出移至新的服務器
#在新的服務器更改harbor.cfg [root@docker harbor]# vim harbor.cfg hostname = 192.168.191.132 //更改主機名爲新的服務器 #運行prepare腳本來填充配置 [root@docker harbor]# ./prepare #重新創建新的容器 [root@docker harbor]# docker-compose up -d原先創建的項目和鏡像都沒有消失
登陸下載鏡像[root@docker harbor]# docker login 192.168.191.132 Username: test-zhangsan Password: ###此處省略部分內容#### Login Succeeded [root@docker harbor]# docker pull 192.168.191.132/myproject-test/nginx:v1 v1: Pulling from myproject-test/nginx 123275d6e508: Pull complete 6cd6a943ce27: Pull complete a50b5ac4a7fb: Pull complete Digest: sha256:6b3b6c113f98e901a8b1473dee4c268cf37e93d72bc0a01e57c65b4ab99e58ee Status: Downloaded newer image for 192.168.191.132/myproject-test/nginx:v1 192.168.191.132/myproject-test/nginx:v1如需重新部署，需要移除 Harbor 服務容器全部數據
持久數據，如鏡像，數據庫等在宿主機的/data/目錄下,日誌在宿主機的
/var/log/Harbor/目錄下rm -rf /data/database/ rm -rf /data/registry/
