从零搭建Docker Harbor镜像仓库及Pull操作全指南

作者：快去debug2025.10.10 18:45浏览量：3

简介：本文详细介绍如何搭建Docker Harbor私有镜像仓库，并演示如何通过Pull命令从仓库拉取镜像，适用于企业级私有化部署场景。

一、Docker Harbor镜像仓库概述

Docker Harbor是由VMware开源的企业级Docker Registry项目，基于Docker Distribution构建，提供基于角色的访问控制、镜像安全扫描、审计日志等企业级功能。相较于原生Docker Registry，Harbor的核心优势体现在三个方面：

权限管理体系：支持项目级、镜像级细粒度权限控制，可与LDAP/AD集成
安全增强功能：内置Clair漏洞扫描引擎，支持镜像签名验证
高可用架构：支持主从复制、多节点集群部署

典型应用场景包括：

金融行业等对数据安全要求高的企业私有云环境
需要隔离测试/生产环境镜像的开发团队
跨地域多数据中心镜像同步场景

二、Harbor镜像仓库搭建指南

1. 环境准备要求

组件	最低配置要求	推荐配置
操作系统	CentOS 7+/Ubuntu 18.04+	CentOS 8/Ubuntu 20.04
内存	4GB	8GB+
磁盘空间	40GB（根据镜像存储量调整）	100GB+（SSD优先）
网络带宽	100Mbps	1Gbps

需提前安装：

# Docker CE安装示例（Ubuntu）
sudo apt-get update
sudo apt-get install -y apt-transport-https ca-certificates curl gnupg-agent software-properties-common
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io
# Docker Compose安装
sudo curl -L "https://github.com/docker/compose/releases/download/1.29.2/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
sudo chmod +x /usr/local/bin/docker-compose

2. 标准化部署流程

离线安装包方式（推荐生产环境）

从GitHub Release页面下载最新版本（如v2.4.1）：

wget https://github.com/goharbor/harbor/releases/download/v2.4.1/harbor-offline-installer-v2.4.1.tgz
tar xvf harbor-offline-installer-v2.4.1.tgz
cd harbor

修改配置文件harbor.yml.tmpl关键参数：

hostname: registry.example.com  # 必须使用域名（可配置本地hosts解析）
http:
  port: 80
https:
  certificate: /data/cert/server.crt
  private_key: /data/cert/server.key
harbor_admin_password: Harbor12345  # 初始管理员密码
database:
  password: root123
  max_idle_conns: 50
  max_open_conns: 100

执行安装脚本：
```
./prepare
./install.sh
```

在线安装方式（测试环境）

curl -L https://github.com/goharbor/harbor/releases/download/v2.4.1/harbor-online-installer-v2.4.1.tgz -o harbor-online-installer.tgz
tar xvf harbor-online-installer.tgz
cd harbor
# 修改harbor.yml后执行
./install.sh --with-trivy  # 包含漏洞扫描组件

3. 初始化配置要点

证书配置：生产环境必须使用正规CA签发的证书，自签名证书需配置客户端信任

存储后端：支持本地存储、NFS、S3兼容对象存储等

storage_driver:
  name: filesystem
  options:
    rootpath: /var/lib/registry
  # 或配置S3存储
  # name: s3
  # s3:
  #   accesskey: xxx
  #   secretkey: xxx
  #   region: us-west-1
  #   bucket: harbor-registry

日志轮转：配置logrotate防止日志文件过大

/var/log/harbor/*.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
}

三、镜像Pull操作全解析

1. 基础Pull操作

# 登录Harbor仓库（首次操作需要）
docker login registry.example.com
Username: admin
Password: 
# 拉取镜像
docker pull registry.example.com/library/nginx:latest

2. 高级使用场景

跨项目镜像复制

# 创建系统级复制策略（需管理员权限）
curl -X POST -u "admin:Harbor12345" \
  -H "Content-Type: application/json" \
  -d '{
    "name": "prod-to-dev",
    "src_registry": {
      "url": "https://registry.example.com",
      "insecure": false
    },
    "dest_registry": {
      "url": "https://dev-registry.example.com",
      "insecure": false
    },
    "dest_namespace": "dev-images",
    "trigger": {
      "type": "immediate"
    },
    "filters": [
      {
        "type": "name",
        "value": "prod-*/.*"
      }
    ]
  }' \
  "https://registry.example.com/api/v2.0/replication/policies"

漏洞镜像拦截

在Harbor Web控制台启用”阻止未扫描镜像”和”阻止高危漏洞镜像”策略

客户端Pull被拦截时的处理：

# 查看镜像漏洞详情
trivy image --severity CRITICAL registry.example.com/library/nginx:latest
# 重新扫描并修复后推送
docker push registry.example.com/library/nginx:patched

3. 性能优化建议

网络优化：
- 配置HTTP/2协议支持（需Nginx反向代理配置）
- 启用镜像分块传输（chunk_size参数调整）

缓存配置：

# 在harbor.yml中配置
proxy:
  http_proxy: http://proxy.example.com:8080
  https_proxy: http://proxy.example.com:8080
  no_proxy: registry.example.com,127.0.0.1

并发控制：

# Nginx配置示例
upstream harbor {
  server 127.0.0.1:8080;
  keepalive 32;
}
server {
  location / {
    client_max_body_size 5000m;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
  }
}

四、运维管理最佳实践

1. 日常监控指标

指标类别	关键监控项	告警阈值
系统资源	磁盘使用率、内存使用率	>85%持续5分钟
业务指标	每秒Pull请求数、镜像存储量	突增50%
安全指标	未扫描镜像数量、高危漏洞镜像数	>0

2. 备份恢复方案

数据库备份：

# 每日自动备份脚本示例
BACKUP_DIR=/var/lib/harbor-backup
mkdir -p $BACKUP_DIR
docker exec -it harbor-db pg_dump -U postgres -h 127.0.0.1 registry > $BACKUP_DIR/registry-$(date +%Y%m%d).sql

配置文件备份：

# 备份关键配置
tar czvf harbor-config-$(date +%Y%m%d).tar.gz /etc/harbor/harbor.yml /etc/harbor/pki/

3. 升级注意事项

版本兼容性检查：

# 查看当前版本
docker run -it --rm goharbor/harbor-db:v2.4.1 psql -U postgres -h harbor-db -l
# 升级前检查
./prepare --check-upgrade

分阶段升级步骤：

graph TD
  A[备份数据] --> B[下载新版本安装包]
  B --> C[停止服务]
  C --> D[执行升级脚本]
  D --> E[验证服务]
  E --> F{升级成功?}
  F -->|是| G[恢复服务]
  F -->|否| H[回滚操作]

五、常见问题解决方案

1. Pull镜像超时问题

现象：Error response from daemon: Get https://registry.example.com/v2/: net/http: request canceled while waiting for connection

解决方案：

检查DNS解析是否正常：
```
dig registry.example.com
```

调整客户端Docker配置：

# /etc/docker/daemon.json
{
  "max-concurrent-downloads": 10,
  "registry-mirrors": ["https://registry-mirror.example.com"]
}

2. 证书信任问题

现象：x509: certificate signed by unknown authority

解决方案：

将CA证书复制到客户端：

sudo mkdir -p /etc/docker/certs.d/registry.example.com
sudo cp ca.crt /etc/docker/certs.d/registry.example.com/

重启Docker服务：
```
sudo systemctl restart docker
```

3. 权限拒绝问题

现象：error pulling image configuration: denied: requested access to the resource is denied

解决方案：

检查项目成员权限：

# 查看用户所属项目
curl -u "user:password" https://registry.example.com/api/v2.0/projects

添加用户到项目：

curl -X POST -u "admin:Harbor12345" \
  -H "Content-Type: application/json" \
  -d '{"role_id": 1, "username": "devuser"}' \
  "https://registry.example.com/api/v2.0/projects/1/members"

通过以上系统化的部署和运维方案，可构建高可用、安全的Docker Harbor镜像仓库，满足企业级应用场景的需求。实际部署时建议先在测试环境验证完整流程，再逐步推广到生产环境。

发表评论

开发者关注产品榜

最热文章

关于作者

被阅读数
被赞数
被收藏数

活动

咨询

开发者热搜

从零搭建Docker Harbor镜像仓库及Pull操作全指南

一、Docker Harbor镜像仓库概述

二、Harbor镜像仓库搭建指南

1. 环境准备要求

2. 标准化部署流程

离线安装包方式（推荐生产环境）

在线安装方式（测试环境）

3. 初始化配置要点

三、镜像Pull操作全解析

1. 基础Pull操作

2. 高级使用场景

跨项目镜像复制

漏洞镜像拦截

3. 性能优化建议

四、运维管理最佳实践

1. 日常监控指标

2. 备份恢复方案

3. 升级注意事项

五、常见问题解决方案

1. Pull镜像超时问题

2. 证书信任问题

3. 权限拒绝问题

相关文章推荐

文心一言接入指南：通过百度智能云千帆大模型平台API调用

从 MLOps 到 LMOps 的关键技术嬗变

Sugar BI教你怎么做数据可视化 - 拓扑图，让节点连接信息一目了然

更轻量的百度百舸，CCE Stack 智算版发布

打造合规数据闭环，加速自动驾驶技术研发

LMOps 工具链与千帆大模型平台

发表评论

开发者关注产品榜

百度千帆·大模型服务及Agent开发平台

百度千帆·数据智能平台

秒哒-生成式应用开发平台

百度智能云客悦智能客服平台

最热文章

关于作者