Docker搭建私有镜像仓库的方法

引言

在容器化技术快速发展的今天，Docker已成为开发、测试和部署的主流工具。然而，公共镜像仓库（如Docker Hub）存在速度慢、隐私泄露、依赖不可控等问题。搭建私有镜像仓库不仅能提升效率，还能增强安全性。本文将系统介绍如何使用Docker搭建私有镜像仓库，涵盖基础部署、安全加固、性能优化及运维管理。

一、基础环境准备

1.1 服务器要求

• 操作系统：推荐CentOS 7/8或Ubuntu 20.04 LTS，内核版本≥3.10（支持OverlayFS）。
• 硬件配置：CPU≥2核，内存≥4GB，磁盘空间根据镜像存储需求动态扩展（建议SSD）。
• 网络要求：开放5000端口（默认HTTP）或443端口（HTTPS），确保防火墙允许入站流量。

1.2 Docker安装

# CentOS 7示例
sudo yum install -y yum-utils
sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
sudo yum install docker-ce docker-ce-cli containerd.io
sudo systemctl start docker && sudo systemctl enable docker
# Ubuntu 20.04示例
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io
sudo systemctl start docker && sudo systemctl enable docker

二、私有仓库部署方案

2.1 基础Registry部署

使用官方registry镜像快速启动：

docker run -d -p 5000:5000 --restart=always --name registry registry:2

验证：

curl http://localhost:5000/v2/_catalog
# 返回{"repositories":[]}表示成功

2.2 持久化存储配置

默认情况下，镜像存储在容器内，重启后数据丢失。需挂载主机目录：

mkdir -p /data/registry
docker run -d -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /data/registry:/var/lib/registry \
  registry:2

2.3 HTTPS安全加固

2.3.1 生成自签名证书

mkdir -p /certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout /certs/domain.key \
  -x509 -days 365 -out /certs/domain.crt \
  -subj "/CN=registry.example.com"

2.3.2 启动HTTPS仓库

docker run -d -p 443:443 \
  --restart=always \
  --name registry \
  -v /data/registry:/var/lib/registry \
  -v /certs:/certs \
  -e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

2.4 认证机制配置

2.4.1 生成密码文件

mkdir -p /auth
docker run --entrypoint htpasswd \
  -it --rm registry:2 -Bbn admin password123 > /auth/htpasswd

2.4.2 启用认证

docker run -d -p 443:443 \
  --restart=always \
  --name registry \
  -v /data/registry:/var/lib/registry \
  -v /certs:/certs \
  -v /auth:/auth \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

三、高级功能配置

3.1 镜像清理策略

使用registry:2的垃圾回收功能：

# 进入容器执行
docker exec -it registry /bin/registry garbage-collect /etc/docker/registry/config.yml

3.2 存储驱动选择

• OverlayFS：默认驱动，适合大多数场景。
• Filesystem：简单直接，但性能较差。
• S3兼容存储：支持AWS S3、MinIO等对象存储。

配置示例（在config.yml中）：

storage:
  s3:
    accesskey: "your-access-key"
    secretkey: "your-secret-key"
    region: "us-east-1"
    bucket: "docker-registry"
    encrypt: true

3.3 镜像签名验证

启用Notary服务实现内容信任：

# 部署Notary Server和Signer
docker run -d --name notary-server ...
docker run -d --name notary-signer ...
# 配置Registry使用Notary
-e REGISTRY_STORAGE_NOTARY_SERVER_URL="https://notary.example.com"

四、客户端配置

4.1 标记并推送镜像

docker tag ubuntu:latest registry.example.com/ubuntu:latest
docker push registry.example.com/ubuntu:latest

4.2 配置Docker信任HTTPS自签名证书

将证书复制到/etc/docker/certs.d/registry.example.com目录：

sudo mkdir -p /etc/docker/certs.d/registry.example.com
sudo cp /certs/domain.crt /etc/docker/certs.d/registry.example.com/ca.crt
sudo systemctl restart docker

4.3 登录私有仓库

docker login registry.example.com
# 输入用户名密码后，后续操作自动携带认证信息

五、运维与监控

5.1 日志管理

配置/etc/docker/daemon.json：

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

5.2 性能监控

使用Prometheus+Grafana监控：

# registry配置示例
metrics:
  enabled: true
  addr: ":5001"
  rules:
    - default

5.3 备份与恢复

# 备份
tar -czvf registry-backup-$(date +%F).tar.gz /data/registry
# 恢复
tar -xzvf registry-backup-YYYY-MM-DD.tar.gz -C /data/

六、常见问题解决

6.1 推送镜像报错x509: certificate signed by unknown authority

原因：客户端不信任自签名证书。
解决：将证书添加到客户端信任链（如/etc/docker/certs.d/）。

6.2 权限不足错误

原因：容器以非root用户运行，无法写入存储目录。
解决：

chown -R 1000:1000 /data/registry  # 默认registry用户UID为1000

6.3 性能瓶颈优化

• 存储优化：使用SSD或分布式存储（如Ceph）。
• 网络优化：启用HTTP/2，调整max-connections参数。
• 缓存层：部署CDN或反向代理缓存热门镜像。

七、企业级方案推荐

7.1 Harbor

开源企业级Registry，支持：

• RBAC权限控制
• 镜像复制与同步
• 漏洞扫描（集成Clair）
• 图形化管理界面

部署示例：

curl -L https://github.com/goharbor/harbor/releases/download/v2.4.0/harbor-online-installer-v2.4.0.tgz | tar xz
cd harbor
cp harbor.yml.tmpl harbor.yml
# 修改hostname、https、storage等配置
./install.sh

7.2 Nexus Repository

支持Docker、Maven、NPM等多类型仓库，适合混合技术栈团队。

总结

搭建私有Docker镜像仓库需综合考虑安全性、性能和可维护性。基础部署可通过官方registry镜像快速实现，而企业场景建议采用Harbor或Nexus等成熟方案。关键步骤包括：

1. 准备安全的环境（HTTPS、认证）
2. 配置持久化存储
3. 实现镜像清理和备份机制
4. 监控仓库运行状态

通过合理规划，私有仓库可显著提升CI/CD效率，同时保障企业资产安全。