docker实战——Docker本地私有镜像仓库Harbor搭建及配置

Harbor介绍

Docker容器应用的开发和运行离不开可靠的镜像管理，虽然docker官方提供了公共的镜像仓库（Docker Hub），但是从安全和效率等方面考虑，部署我们私有环境内的Registry也是非常必要的。Harbor是由VMware公司开源的企业级的Docker Registry管理项目，它包括权限管理（RBAC）、LDAP、日志审核、界面管理、自我注册、镜像复制和中文支持等功能。

环境、软件准备：

系统：Centos 7.3

Docker：version 1.12.6

Docker-compose：version 1.14.0

Harbor：version 1.1.2

注意：Harbor的所有服务组件都是在Docker中部署，所以官方安装使用Docker-compose快速部署，所以我们需要安装Docker、Docker-compose。由于Harbor是基于Docker Registry V2版本，所以就要求Docker版本不小于1.10.0，Docker-compose版本不小于1.6.0。

安装、配置Harbor

安装 docker：

# yum install docker

安装 Docker-compose：

# curl -L https://github.com/docker/compose/releases/download/1.14.0/docker-compose-`uname -s`-`uname -m` > /usr/bin/docker-compose

# chmod +x /usr/bin/docker-compose

# docker-compose --version

docker-compose version 1.14.0, build c7bdf9e

下载Harbor安装包：

## 在线安装包

# wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-offline-installer-v1.1.2.tgz

# tar zxvf harbor-offline-installer-v1.1.2.tgz

## 离线安装包

# wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-online-installer-v1.1.2.tgz

# tar zxvf harbor-online-installer-v1.1.2.tgz

配置Harbor：

# cd harbor

# vi harbor.conf

## Configuration file of Harbor

# hostname设置访问地址，可以使用ip、域名，不可以设置为127.0.0.1或localhost

hostname = 172.30.90.250

# 访问协议，默认是http，也可以设置https，如果设置https，则nginx ssl需要设置on

ui_url_protocol = http

# mysql数据库root用户默认密码root123，实际使用时修改下

db_password = root123

max_job_workers = 3

customize_crt = on

ssl_cert = /data/cert/server.crt

ssl_cert_key = /data/cert/server.key

secretkey_path = /data

admiral_url = NA

# 邮件设置，发送重置密码邮件时使用

email_identity =

email_server = smtp.mydomain.com

email_server_port = 25

email_username = sample_admin@mydomain.com

email_password = abc

email_from = admin <sample_admin@mydomain.com>

email_ssl = false

# 启动Harbor后，管理员UI登录的密码，默认是Harbor12345

harbor_admin_password = Harbor12345

# 认证方式，这里支持多种认证方式，如LADP、本次存储、数据库认证。默认是db_auth，mysql数据库认证

auth_mode = db_auth

# LDAP认证时配置项

ldap_url = ldaps://ldap.mydomain.com

#ldap_searchdn = uid=searchuser,ou=people,dc=mydomain,dc=com

#ldap_search_pwd = password

ldap_basedn = ou=people,dc=mydomain,dc=com

#ldap_filter = (objectClass=person)

ldap_uid = uid

ldap_scope = 3

ldap_timeout = 5

# 是否开启自注册

self_registration = on

# Token有效时间，默认30分钟

token_expiration = 30

# 用户创建项目权限控制，默认是everyone（所有人），也可以设置为adminonly（只能管理员）

project_creation_restriction = everyone

verify_remote_cert = on

修改完配置文件后，在当前目录执行./install.sh，Harbor服务就会根据当前目录下的docker-compose.yml开始下载依赖的镜像，检测并按照顺序依次启动各个服务，Harbor依赖的镜像及启动服务如下：

# docker images

REPOSITORY                  TAG                 IMAGE ID            CREATED             SIZE

vmware/harbor-jobservice    v1.1.2              ac332f9bd31c        5 weeks ago         162.9 MB

vmware/harbor-ui            v1.1.2              803897be484a        5 weeks ago         182.9 MB

vmware/harbor-adminserver   v1.1.2              360b214594e7        5 weeks ago         141.6 MB

vmware/harbor-db            v1.1.2              6f71ee20fe0c        5 weeks ago         328.5 MB

vmware/registry             2.6.1-photon        0f6c96580032        9 weeks ago         150.3 MB

vmware/harbor-notary-db     mariadb-10.1.10     64ed814665c6        3 months ago        324.1 MB

vmware/nginx                1.11.5-patched      8ddadb143133        3 months ago        199.2 MB

vmware/notary-photon        signer-0.5.0        b1eda7d10640        3 months ago        155.7 MB

vmware/notary-photon        server-0.5.0        6e2646682e3c        4 months ago        156.9 MB

vmware/harbor-log           v1.1.2              9c46a7b5e517        5 months ago        192.4 MB

photon                      1.0                 e6e4e4a2ba1b        12 months ago       127.5 MB

# docker ps

CONTAINER ID        IMAGE                              COMMAND                  CREATED             STATUS              PORTS                                                              NAMES

db8143feb3ed        vmware/nginx:1.11.5-patched        "nginx -g 'daemon off"   4 hours ago         Up 4 hours          0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp   nginx

2e06132afd03        vmware/harbor-jobservice:v1.1.2    "/harbor/harbor_jobse"   4 hours ago         Up 4 hours                                                                             harbor-jobservice

b7a9985f7ef1        vmware/harbor-ui:v1.1.2            "/harbor/harbor_ui"      4 hours ago         Up 4 hours                                                                             harbor-ui

47662679ceb6        vmware/registry:2.6.1-photon       "/entrypoint.sh serve"   4 hours ago         Up 4 hours          5000/tcp                                                           registry

1b04ab83f582        vmware/harbor-db:v1.1.2            "docker-entrypoint.sh"   4 hours ago         Up 4 hours          3306/tcp                                                           harbor-db

12d96d4fc166        vmware/harbor-adminserver:v1.1.2   "/harbor/harbor_admin"   4 hours ago         Up 4 hours                                                                             harbor-adminserver

deb00fef5f97        vmware/harbor-log:v1.1.2           "/bin/sh -c 'crond &&"   4 hours ago         Up 4 hours          127.0.0.1:1514->514/tcp                                            harbor-log

启动完成后，我们访问刚设置的hostname即可：http://172.30.90.250,默认是80端口，如果端口占用，我们可以去修改docker-compose.yml文件中，对应服务的端口映射。

登录Web Harbor

输入用户名admin，默认密码（或已修改密码）登录系统。

我们可以看到系统各个模块如下：

　　项目：新增/删除项目，查看镜像仓库，给项目添加成员、查看操作日志、复制项目等

　　日志：仓库各个镜像create、push、pull等操作日志

　　系统管理：

　　　　用户管理：新增/删除用户、设置管理员等

　　　　复制管理：新增/删除从库目标、新建/删除/启停复制规则等

　　　　配置管理：认证模式、复制、邮箱设置、系统设置等

　　其他设置：

　　　　用户设置：修改用户名、邮箱、名称信息

　　　　修改密码：修改用户密码

注意：非系统管理员用户登录，只能看到有权限的项目和日志，其他模块不可见。

新建项目

我们新建一个名称为bourbon的项目，设置不公开。注意：当项目设为公开后，任何人都有此项目下镜像的读权限。命令行用户不需要“docker login”就可以拉取此项目下的镜像。

新建项目完毕后，我们就可以用admin账户提交本地镜像到Harbor仓库了。例如我们提交本地nginx镜像：

# docker login 172.30.90.250

Username: admin

Password:

Login Succeeded

# docker tag nginx 172.30.90.250/bourbon/nginx:latest

# docker images

REPOSITORY                    TAG                 IMAGE ID            CREATED             SIZE

172.30.90.250/bourbon/nginx   latest              e4e6d42c70b3        8 days ago          107.5 MB

docker.io/nginx               latest              e4e6d42c70b3        8 days ago          107.5 MB

# docker push 172.30.90.250/bourbon/nginx

The push refers to a repository [172.30.90.250/bourbon/nginx]

473c450db44d: Pushed

57842ac5be45: Pushed

54522c622682: Pushed

latest: digest: sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460 size: 948

上传完毕后，登录Web Harbor，选择项目，项目名称bourbon，就可以查看刚才传的nginx image了。

创建用户并非配权限

我们刚一直是用admin操作，实际应用中我们使用每个人自己的账户登录。所以就需要新建用户，同时为了让用户有权限操作已经创建的项目，还必须将该用户添加到该项目成员中。

创建用户名为tshan的测试用户，点击系统管理-》用户管理-》创建用户，输入用户名、邮箱、密码等信息。

将tshan用户添加到bourbon项目成员中，点击项目-》bourbon-》成员-》新建成员，填写姓名，选择角色。

现在我们使用tshan账户本地模拟操作pull刚上传的nginx镜像。

# docker rmi -f 172.30.90.250/bourbon/nginx

Untagged: 172.30.90.250/bourbon/nginx:latest

Untagged: 172.30.90.250/bourbon/nginx@sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460

# docker logout 172.30.90.250

Remove login credentials for 172.30.90.250

# docker login 172.30.90.250

Username: tshan

Password:

Login Succeeded

# docker pull 172.30.90.250/bourbon/nginx:latest

Trying to pull repository 172.30.90.250/bourbon/nginx ...

latest: Pulling from 172.30.90.250/bourbon/nginx

Digest: sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460

FAQ

1.配置并启动Harbor后，本地执行登录操作，报错：

# docker login 172.30.90.250

Username: admin

Password:

Error response from daemon: Get https://172.30.90.250/v1/users/: dial tcp 172.30.90.250:443: getsockopt: connection refused

这是因为docker1.3.2版本开始默认docker registry使用https，这里Harbor默认设置的http的方式，所以当执行用docker login、pull、push等命令操作非https的docker registry的时候就会报错。

可以修改配置/etc/sysconfig/docker, 将OPTIONS增加--insecure-registry 172.30.90.250。

2.管理Harbor

如果需要修改Harbor的配置文件harbor.cfg，因为Harbor是基于docker-compose服务编排的，我们可以使用docker-compose命令重启Harbor。

不修改配置文件，重启Harbor命令：

# docker-compose start | stop | restart