docker实战——Docker本地私有镜像仓库Harbor搭建及配置
Harbor介绍
Docker容器应用的开发和运行离不开可靠的镜像管理，虽然docker官方提供了公共的镜像仓库（Docker Hub），但是从安全和效率等方面考虑，部署我们私有环境内的Registry也是非常必要的。Harbor是由VMware公司开源的企业级的Docker Registry管理项目，它包括权限管理（RBAC）、LDAP、日志审核、界面管理、自我注册、镜像复制和中文支持等功能。
环境、软件准备：
系统：Centos 7.3
Docker：version 1.12.6
Docker-compose：version 1.14.0
Harbor：version 1.1.2
注意：Harbor的所有服务组件都是在Docker中部署，所以官方安装使用Docker-compose快速部署，所以我们需要安装Docker、Docker-compose。由于Harbor是基于Docker Registry V2版本，所以就要求Docker版本不小于1.10.0，Docker-compose版本不小于1.6.0。
安装、配置Harbor
安装 docker：
# yum install docker
安装 Docker-compose：
# curl -L https://github.com/docker/compose/releases/download/1.14.0/docker-compose-`uname -s`-`uname -m` > /usr/bin/docker-compose # chmod +x /usr/bin/docker-compose # docker-compose --version docker-compose version 1.14.0, build c7bdf9e
下载Harbor安装包：
## 在线安装包 # wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-offline-installer-v1.1.2.tgz # tar zxvf harbor-offline-installer-v1.1.2.tgz ## 离线安装包 # wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-online-installer-v1.1.2.tgz # tar zxvf harbor-online-installer-v1.1.2.tgz
配置Harbor：
# cd harbor # vi harbor.conf ## Configuration file of Harbor # hostname设置访问地址，可以使用ip、域名，不可以设置为127.0.0.1或localhost hostname = 172.30.90.250 # 访问协议，默认是http，也可以设置https，如果设置https，则nginx ssl需要设置on ui_url_protocol = http # mysql数据库root用户默认密码root123，实际使用时修改下 db_password = root123 max_job_workers = 3 customize_crt = on ssl_cert = /data/cert/server.crt ssl_cert_key = /data/cert/server.key secretkey_path = /data admiral_url = NA # 邮件设置，发送重置密码邮件时使用 email_identity = email_server = smtp.mydomain.com email_server_port = 25 email_username = sample_admin@mydomain.com email_password = abc email_from = admin <sample_admin@mydomain.com> email_ssl = false # 启动Harbor后，管理员UI登录的密码，默认是Harbor12345 harbor_admin_password = Harbor12345 # 认证方式，这里支持多种认证方式，如LADP、本次存储、数据库认证。默认是db_auth，mysql数据库认证 auth_mode = db_auth # LDAP认证时配置项 ldap_url = ldaps://ldap.mydomain.com #ldap_searchdn = uid=searchuser,ou=people,dc=mydomain,dc=com #ldap_search_pwd = password ldap_basedn = ou=people,dc=mydomain,dc=com #ldap_filter = (objectClass=person) ldap_uid = uid ldap_scope = 3 ldap_timeout = 5 # 是否开启自注册 self_registration = on # Token有效时间，默认30分钟 token_expiration = 30 # 用户创建项目权限控制，默认是everyone（所有人），也可以设置为adminonly（只能管理员） project_creation_restriction = everyone verify_remote_cert = on
修改完配置文件后，在当前目录执行./install.sh，Harbor服务就会根据当前目录下的docker-compose.yml开始下载依赖的镜像，检测并按照顺序依次启动各个服务，Harbor依赖的镜像及启动服务如下：
# docker images REPOSITORY TAG IMAGE ID CREATED SIZE vmware/harbor-jobservice v1.1.2 ac332f9bd31c 5 weeks ago 162.9 MB vmware/harbor-ui v1.1.2 803897be484a 5 weeks ago 182.9 MB vmware/harbor-adminserver v1.1.2 360b214594e7 5 weeks ago 141.6 MB vmware/harbor-db v1.1.2 6f71ee20fe0c 5 weeks ago 328.5 MB vmware/registry 2.6.1-photon 0f6c96580032 9 weeks ago 150.3 MB vmware/harbor-notary-db mariadb-10.1.10 64ed814665c6 3 months ago 324.1 MB vmware/nginx 1.11.5-patched 8ddadb143133 3 months ago 199.2 MB vmware/notary-photon signer-0.5.0 b1eda7d10640 3 months ago 155.7 MB vmware/notary-photon server-0.5.0 6e2646682e3c 4 months ago 156.9 MB vmware/harbor-log v1.1.2 9c46a7b5e517 5 months ago 192.4 MB photon 1.0 e6e4e4a2ba1b 12 months ago 127.5 MB # docker ps CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES db8143feb3ed vmware/nginx:1.11.5-patched "nginx -g 'daemon off" 4 hours ago Up 4 hours 0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 0.0.0.0:4443->4443/tcp nginx 2e06132afd03 vmware/harbor-jobservice:v1.1.2 "/harbor/harbor_jobse" 4 hours ago Up 4 hours harbor-jobservice b7a9985f7ef1 vmware/harbor-ui:v1.1.2 "/harbor/harbor_ui" 4 hours ago Up 4 hours harbor-ui 47662679ceb6 vmware/registry:2.6.1-photon "/entrypoint.sh serve" 4 hours ago Up 4 hours 5000/tcp registry 1b04ab83f582 vmware/harbor-db:v1.1.2 "docker-entrypoint.sh" 4 hours ago Up 4 hours 3306/tcp harbor-db 12d96d4fc166 vmware/harbor-adminserver:v1.1.2 "/harbor/harbor_admin" 4 hours ago Up 4 hours harbor-adminserver deb00fef5f97 vmware/harbor-log:v1.1.2 "/bin/sh -c 'crond &&" 4 hours ago Up 4 hours 127.0.0.1:1514->514/tcp harbor-log
启动完成后，我们访问刚设置的hostname即可：http://172.30.90.250,默认是80端口，如果端口占用，我们可以去修改docker-compose.yml文件中，对应服务的端口映射。
登录Web Harbor
输入用户名admin，默认密码（或已修改密码）登录系统。
我们可以看到系统各个模块如下：
项目：新增/删除项目，查看镜像仓库，给项目添加成员、查看操作日志、复制项目等
日志：仓库各个镜像create、push、pull等操作日志
系统管理：
用户管理：新增/删除用户、设置管理员等
复制管理：新增/删除从库目标、新建/删除/启停复制规则等
配置管理：认证模式、复制、邮箱设置、系统设置等
其他设置：
用户设置：修改用户名、邮箱、名称信息
修改密码：修改用户密码
注意：非系统管理员用户登录，只能看到有权限的项目和日志，其他模块不可见。
新建项目
我们新建一个名称为bourbon的项目，设置不公开。注意：当项目设为公开后，任何人都有此项目下镜像的读权限。命令行用户不需要“docker login”就可以拉取此项目下的镜像。
新建项目完毕后，我们就可以用admin账户提交本地镜像到Harbor仓库了。例如我们提交本地nginx镜像：
# docker login 172.30.90.250 Username: admin Password: Login Succeeded # docker tag nginx 172.30.90.250/bourbon/nginx:latest # docker images REPOSITORY TAG IMAGE ID CREATED SIZE 172.30.90.250/bourbon/nginx latest e4e6d42c70b3 8 days ago 107.5 MB docker.io/nginx latest e4e6d42c70b3 8 days ago 107.5 MB # docker push 172.30.90.250/bourbon/nginx The push refers to a repository [172.30.90.250/bourbon/nginx] 473c450db44d: Pushed 57842ac5be45: Pushed 54522c622682: Pushed latest: digest: sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460 size: 948
上传完毕后，登录Web Harbor，选择项目，项目名称bourbon，就可以查看刚才传的nginx image了。
创建用户并非配权限
我们刚一直是用admin操作，实际应用中我们使用每个人自己的账户登录。所以就需要新建用户，同时为了让用户有权限操作已经创建的项目，还必须将该用户添加到该项目成员中。
创建用户名为tshan的测试用户，点击系统管理-》用户管理-》创建用户，输入用户名、邮箱、密码等信息。
将tshan用户添加到bourbon项目成员中，点击项目-》bourbon-》成员-》新建成员，填写姓名，选择角色。
现在我们使用tshan账户本地模拟操作pull刚上传的nginx镜像。
# docker rmi -f 172.30.90.250/bourbon/nginx Untagged: 172.30.90.250/bourbon/nginx:latest Untagged: 172.30.90.250/bourbon/nginx@sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460 # docker logout 172.30.90.250 Remove login credentials for 172.30.90.250 # docker login 172.30.90.250 Username: tshan Password: Login Succeeded # docker pull 172.30.90.250/bourbon/nginx:latest Trying to pull repository 172.30.90.250/bourbon/nginx ... latest: Pulling from 172.30.90.250/bourbon/nginx Digest: sha256:423210a5903e9683d2bc8436ed06343ad5955c1aec71a04e1d45bd70b0d68460
FAQ
1.配置并启动Harbor后，本地执行登录操作，报错：
# docker login 172.30.90.250 Username: admin Password: Error response from daemon: Get https://172.30.90.250/v1/users/: dial tcp 172.30.90.250:443: getsockopt: connection refused
这是因为docker1.3.2版本开始默认docker registry使用https，这里Harbor默认设置的http的方式，所以当执行用docker login、pull、push等命令操作非https的docker registry的时候就会报错。
可以修改配置/etc/sysconfig/docker, 将OPTIONS增加--insecure-registry 172.30.90.250。
2.管理Harbor
如果需要修改Harbor的配置文件harbor.cfg，因为Harbor是基于docker-compose服务编排的，我们可以使用docker-compose命令重启Harbor。
不修改配置文件，重启Harbor命令：
# docker-compose start | stop | restart
