Docker部署Harbor仓库
·
文章目录
一、harbor概述
虽然Docker官方提供了公共的镜像仓库，但是从安全和效率等方面考虑，部署我们私有环境内的Registry也是非常必要的。
Harbor是由VMware公司开源的企业级的Docker Registry管理项目，相比docker官方拥有更丰富的权限权利和完善的架构设计，适用大规模docker集群部署提供仓库服务。
它主要提供 Dcoker Registry 管理界面UI，可基于角色访问控制,镜像复制， AD/LDAP 集成，日志审核等功能，完全的支持中文。
二、harbor主要功能
- 基于角色的访问控制
用户与Docker镜像仓库通过“项目”进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。
- 基于镜像的复制策略
镜像可以在多个Registry实例中复制（可以将仓库中的镜像同步到远程的Harbor，类似于MySQL主从同步功能），尤其适合于负载均 衡，高可用，混合云和多云的场景。
- 图形化用户界面
用户可以通过浏览器来浏览，检索当前Docker镜像仓库，管理项目和命名空间。
- 支持 AD/LDAP
Harbor可以集成企业内部已有的AD/LDAP，用于鉴权认证管理。
- 镜像删除和垃圾回收
Harbor支持在Web删除镜像，回收无用的镜像，释放磁盘空间。image可以被删除并且回收image占用的空间。
- 审计管理
所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。
- RESTful API
RESTful API 提供给管理员对于Harbor更多的操控, 使得与其它管理软件集成变得更容易。
- 部署简单
提供在线和离线两种安装工具， 也可以安装到vSphere平台(OVA方式)虚拟设备。
三、harbor架构介绍
架构组件图：
如上图所描述，Harbor由6个大的模块所组成：
1、Proxy: Harbor的registry、UI、token services等组件，都处在一个反向代理后边。该代理将来自浏览器、docker clients的请求转发到后端服务上。
2、Registry: 负责存储Docker镜像，以及处理Docker push/pull请求。因为Harbor强制要求对镜像的访问做权限控制， 在每一次push/pull请求时，Registry会强制要求客户端从token service那里获得一个有效的token。
3、Core services: Harbor的核心功能，主要包括如下3个服务:
- UI: 图形界面
- WebHook: 及时获取registry上image状态变化情况，在registry上配置 webhook，把状态变化传递给UI模块。
- Token服务: 负责根据用户权限给每个docker push/pull命令签发token。Docker 客户端向Registry服务发起的请求,如果不包含token，会被重定向到这里，获得token后再重新向Registry进行请求。
4、Database: 为core services提供数据库服务，负责储存用户权限、审计日志、Docker image分组信息等数据。
5、Job services: 主要用于镜像复制，本地镜像可以被同步到远程Harbor实例上。
6、Log collector: 负责收集其他组件的日志到一个地方
四、Docker Compose
4.1 compose简介
Docker-Compose项目是Docker官方的开源项目，负责实现对Docker容器集群的快速编排。
Compose 是用于定义和运行多容器 Docker 应用程序的工具。通过 Compose，您可以使用 YML 文件来配置应用程序需要的所有服务。然后，使用一个命令，就可以从 YML 文件配置中创建并启动所有服务。
4.2 为何需要compose？
Harbor在物理机上部署是非常难的，而为了简化Harbor的应用，Harbor官方直接把Harbor做成了在容器中运行的应用，而且这个容器在Harbor中依赖类似redis、mysql、pgsql等很多存储系统，所以它需要编排很多容器协同起来工作，因此VMWare Harbor在部署和使用时，需要借助于Docker的单机编排工具(Docker compose)来实现。
4.3 docker-compose工具命令
docker-compose up //启动所有服务，默认读取名为docker-compose.yml文件
docker-compose up -d //在后台启动所有服务
docker-compose build //在运行项目前先构建项目所需镜像
docker-compose ps //列出本地docker-compose.yml文件里定义的正在运行的所有服务
docker-compose stop //停止所有服务，如果服务没有停止，可以使用docker-compose kill强制杀死服务
docker-compose start //开启所有服务
docker-compose rm //删除所有服务
五、harbor部署
使用Harbor的注意事项：
- 在客户端上传镜像时一定要记得执行docker login进行用户认证，否则无法直接push
- 在客户端使用的时候如果不是用的https则必须要在客户端的/etc/docker/daemon.json配置文件中配置insecure-registries参数
- 数据存放路径应在配置文件中配置到一个容量比较充足的共享存储中
- Harbor是使用docker-compose命令来管理的，如果需要停止Harbor也应用docker-compose stop来停止，其他参数请–help
5.1 部署Docker Compose
//下载并安装compose
[root@harbor_node01 ~]# DOCKER_CONFIG=${DOCKER_CONFIG:-$HOME/.docker}
[root@harbor_node01 ~]# mkdir -p $DOCKER_CONFIG/cli-plugins
[root@harbor_node01 ~]# curl -SL https://github.com/docker/compose/releases/download/v2.7.0/docker-compose-linux-x86_64 -o $DOCKER_CONFIG/cli-plugins/docker-compose
//给该二进制文件执行权限
[root@harbor_node01 ~]# chmod +x .docker/cli-plugins/docker-compose
//查看版本
[root@harbor_node01 ~]# docker-compose version
Docker Compose version v2.7.0
5.2 部署harbor
//下载harbor压缩包
[root@harbor_node01 ~]# wget https://github.com/goharbor/harbor/releases/download/v2.4.3/harbor-offline-installer-v2.4.3.tgz
//把harbor解压至/usr/local目录下
[root@harbor_node01 ~]# tar xf harbor-offline-installer-v2.4.3.tgz -C /usr/local/
//进入harbor目录
[root@harbor_node01 ~]# cd /usr/local/harbor/
[root@harbor_node01 harbor]# ls
common.sh harbor.v2.4.3.tar.gz harbor.yml.tmpl install.sh LICENSE prepare
//把配置文件模板拷贝一份出来
root@harbor_node01 harbor]# cp harbor.yml.tmpl harbor.yml
//查看当前主机的主机名全称
[root@harbor_node01 harbor]# hostname
harbor_node01.example.com
[root@harbor_node01 harbor]# vim harbor.yml
..........
hostname: harbor_node01.example.com //这里的主机名换成本机的主机名或IP地址
.........
#https: //把https这行及子行都注释掉，因为没有弄ssl证书加密
# https port for harbor, default is 443
#port: 443
# The path of cert and key files for nginx
#certificate: /your/certificate/path
#private_key: /your/private/key/path
.........
//启动harbor
[root@harbor_node01 harbor]# ./install.sh
..........启动过程略.............
✔ ----Harbor has been installed and started successfully.---- //显示此行说明启动成功！
//查看harbor运行起来的容器
[root@harbor_node01 harbor]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
1602065b6558 goharbor/nginx-photon:v2.4.3 "nginx -g 'daemon of…" About a minute ago Up 51 seconds (healthy) 0.0.0.0:80->8080/tcp, :::80->8080/tcp nginx
807abe81e1e8 goharbor/harbor-jobservice:v2.4.3 "/harbor/entrypoint.…" About a minute ago Up 52 seconds (healthy) harbor-jobservice
525886fff9b0 goharbor/harbor-core:v2.4.3 "/harbor/entrypoint.…" About a minute ago Up 53 seconds (healthy) harbor-core
9d40e1cf4131 goharbor/harbor-db:v2.4.3 "/docker-entrypoint.…" About a minute ago Up 54 seconds (healthy) harbor-db
e7405e5ba6b1 goharbor/registry-photon:v2.4.3 "/home/harbor/entryp…" About a minute ago Up 54 seconds (healthy) registry
a86ae3d1848e goharbor/redis-photon:v2.4.3 "redis-server /etc/r…" About a minute ago Up 54 seconds (healthy) redis
814e2bfc178e goharbor/harbor-registryctl:v2.4.3 "/home/harbor/start.…" About a minute ago Up 54 seconds (healthy) registryctl
340de1da037f goharbor/harbor-portal:v2.4.3 "nginx -g 'daemon of…" About a minute ago Up 54 seconds (healthy) harbor-portal
c3eceadcb92b goharbor/harbor-log:v2.4.3 "/bin/sh -c /usr/loc…" About a minute ago Up 59 seconds (healthy) 127.0.0.1:1514->10514/tcp harbor-log
//查看启用的端口
[root@harbor_node01 harbor]# ss -anlt
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 127.0.0.1:1514 0.0.0.0:*
LISTEN 0 128 0.0.0.0:80 0.0.0.0:*
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 [::]:80 [::]:*
LISTEN 0 128 [::]:22 [::]:*
浏览器访问：用户名与密码可在harbor.yml配置文件中找到，修改密码的话也在这里面改
5.3 部署harbor开机自启
[root@harbor_node01 ~]# vim /etc/rc.local
#!/bin/bash
cd /usr/local/harbor //添加这行与下面一行
docker-compose start
[root@harbor_node01 ~]# ll /etc/rc.local
lrwxrwxrwx. 1 root root 13 Oct 5 2021 /etc/rc.local -> rc.d/rc.local
[root@harbor_node01 ~]# ll /etc/rc.d/rc.local
-rw-r--r--. 1 root root 516 Aug 11 21:17 /etc/rc.d/rc.local //默认该文件无执行权限，需添加执行权限
//添加执行权限，否则该文件无法生效
[root@harbor_node01 ~]# chmod +x /etc/rc.d/rc.local
//重启主机验证配置的开机自启harbor的效果
[root@harbor_node01 ~]# reboot
//重启之后的效果，可以看到harbor开启成功
[root@harbor_node01 ~]# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
1602065b6558 goharbor/nginx-photon:v2.4.3 "nginx -g 'daemon of…" 2 hours ago Up 2 minutes (healthy) 0.0.0.0:80->8080/tcp, :::80->8080/tcp nginx
807abe81e1e8 goharbor/harbor-jobservice:v2.4.3 "/harbor/entrypoint.…" 2 hours ago Up 2 minutes (healthy) harbor-jobservice
525886fff9b0 goharbor/harbor-core:v2.4.3 "/harbor/entrypoint.…" 2 hours ago Up 2 minutes (healthy) harbor-core
9d40e1cf4131 goharbor/harbor-db:v2.4.3 "/docker-entrypoint.…" 2 hours ago Up 2 minutes (healthy) harbor-db
e7405e5ba6b1 goharbor/registry-photon:v2.4.3 "/home/harbor/entryp…" 2 hours ago Up 2 minutes (healthy) registry
a86ae3d1848e goharbor/redis-photon:v2.4.3 "redis-server /etc/r…" 2 hours ago Up 2 minutes (healthy) redis
814e2bfc178e goharbor/harbor-registryctl:v2.4.3 "/home/harbor/start.…" 2 hours ago Up 2 minutes (healthy) registryctl
340de1da037f goharbor/harbor-portal:v2.4.3 "nginx -g 'daemon of…" 2 hours ago Up 2 minutes (healthy) harbor-portal
c3eceadcb92b goharbor/harbor-log:v2.4.3 "/bin/sh -c /usr/loc…" 2 hours ago Up 2 minutes (healthy) 127.0.0.1:1514->10514/tcp harbor-log
5.4 使用docker compose编排容器
//先停止harbor中的几台容器，模拟容器故障
[root@harbor_node01 ~]# docker stop 9d40e1cf4131
9d40e1cf4131
[root@harbor_node01 ~]# docker stop 1602065b6558
1602065b6558
去浏览器访问，发现停止harbor中的两台容器后，web管理界面无法连接
//使用docker-compose restar命令编排重启harbor
[root@harbor_node01 ~]# cd /usr/local/harbor/ //必须事先进入harbor所在目录配置才能使用compose
[root@harbor_node01 harbor]# docker-compose restart //编排重启
[+] Running 9/9
⠿ Container harbor-log Started 10.6s
⠿ Container registryctl Started 11.0s
⠿ Container harbor-db Started 10.9s
⠿ Container registry Started 2.3s
⠿ Container redis Started 2.2s
⠿ Container harbor-portal Started 2.1s
⠿ Container harbor-core Started 1.0s
⠿ Container nginx Started 1.2s
⠿ Container harbor-jobservice Started 1.3s
[root@harbor_node01 harbor]# docker ps //查看正在运行中的容器
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
1602065b6558 goharbor/nginx-photon:v2.4.3 "nginx -g 'daemon of…" 2 hours ago Up 8 seconds (health: starting) 0.0.0.0:80->8080/tcp, :::80->8080/tcp nginx
807abe81e1e8 goharbor/harbor-jobservice:v2.4.3 "/harbor/entrypoint.…" 2 hours ago Up 8 seconds (health: starting) harbor-jobservice
525886fff9b0 goharbor/harbor-core:v2.4.3 "/harbor/entrypoint.…" 2 hours ago Up 9 seconds (health: starting) harbor-core
9d40e1cf4131 goharbor/harbor-db:v2.4.3 "/docker-entrypoint.…" 2 hours ago Up 10 seconds (health: starting) harbor-db
e7405e5ba6b1 goharbor/registry-photon:v2.4.3 "/home/harbor/entryp…" 2 hours ago Up 10 seconds (health: starting) registry
a86ae3d1848e goharbor/redis-photon:v2.4.3 "redis-server /etc/r…" 2 hours ago Up 10 seconds (health: starting) redis
814e2bfc178e goharbor/harbor-registryctl:v2.4.3 "/home/harbor/start.…" 2 hours ago Up 10 seconds (health: starting) registryctl
340de1da037f goharbor/harbor-portal:v2.4.3 "nginx -g 'daemon of…" 2 hours ago Up 10 seconds (health: starting) harbor-portal
c3eceadcb92b goharbor/harbor-log:v2.4.3 "/bin/sh -c /usr/loc…" 2 hours ago Up 12 seconds (health: starting) 127.0.0.1:1514->10514/tcp harbor-log
浏览器访问：
六、harbor应用
使用Harbor的注意事项：
在客户端上传镜像时一定要记得执行docker login进行用户认证，否则无法直接push
在客户端使用的时候如果不是用的https则必须要在客户端的/etc/docker/daemon.json配置文件中配置insecure-registries参数
数据存放路径应在配置文件中配置到一个容量比较充足的共享存储中
Harbor是使用docker-compose命令来管理的，如果需要停止Harbor也应用docker-compose stop来停止，其他参数请–help
6.1 配置客户端访问harbor
启用另一台docker主机作为客户端来访问harbor
//将harbor服务端的主机域名进行映射
[root@localhost ~]# vim /etc/hosts
192.168.92.130 harbor_node01.example.com //添加harbor服务端的IP地址与主机名
//测试是否能与harbor端ping通
[root@localhost ~]# ping -c 2 harbor_node01.example.com
PING harbor_node01.example.com (192.168.92.130) 56(84) bytes of data.
64 bytes from harbor_node01.example.com (192.168.92.130): icmp_seq=1 ttl=64 time=0.322 ms
64 bytes from harbor_node01.example.com (192.168.92.130): icmp_seq=2 ttl=64 time=0.696 ms
--- harbor_node01.example.com ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1028ms
rtt min/avg/max/mdev = 0.322/0.509/0.696/0.187 ms
//使用insecure-registries参数添加http支持
[root@localhost ~]# vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://vpr3xe3f.mirror.aliyuncs.com"],
"insecure-registries": ["192.168.92.130"]
}
[root@localhost ~]# systemctl daemon-reload
[root@localhost ~]# systemctl restart docker
//登录到harbor
[root@localhost ~]# docker login 192.168.92.130
Username: admin //输入harbor的用户名
Password: //输入harbor的密码
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store
Login Succeeded
//修改镜像名与标签，把该镜像上传至harbor的library项目里
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
busybox latest beae173ccac6 7 months ago 1.24MB
[root@localhost ~]# docker tag busybox:latest 192.168.92.130/library/busybox:v0.1
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
busybox latest beae173ccac6 7 months ago 1.24MB
192.168.92.130/library/busybox v0.1 beae173ccac6 7 months ago 1.24MB
[root@localhost ~]# docker push 192.168.92.130/library/busybox:v0.1
The push refers to repository [192.168.92.130/library/busybox]
01fd6df81c8e: Pushed
v0.1: digest: sha256:62ffc2ed7554e4c6d360bce40bbcf196573dd27c4ce080641a2c59867e732dee size: 527
6.2 harbor的web管理界面
在harbor的web管理页面，进入library项目，查看是否上传成功。在这里我们可以创建项目，以及对项目里面的镜像进行管理
旨在为数千万中国开发者提供一个无缝且高效的云端环境，以支持学习、使用和贡献开源项目。
更多推荐
2
0- 0
已为社区贡献4条内容
所有评论(0)