Docker私有仓库Harbor-v1.10.1 Https Ip方式访问的安装配置
一、简介
Harbor是由VMware公司开源的企业级的Docker Registry管理项目，用于存储和分发Docker镜像的企业级Registry服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。作为一个企业级私有Registry服务器，Harbor提供了更好的性能和安全。提升用户使用Registry构建和运行环境传输镜像的效率。
Harbor官方网站 https://goharbor.io/
Harbor项目开源地址 https://github.com/goharbor/harbor
Harbor被部署为多个Docker容器。因此，您可以将其部署在任何支持Docker的Linux发行版上。目标主机需要Docker和Docker Compose才能安装。
二、环境准备
1、硬件需求
下表列出了用于部署Harbor的最低和建议的硬件配置。
| Resource | Minimum | Recommended |
|---|---|---|
| CPU | 2 CPU | 4 CPU |
| Mem | 4 GB | 8 GB |
| Disk | 40 GB | 160 GB |
2、软件需求
下表列出了必须在目标主机上安装的软件版本。
| Software | Version | Description |
|---|---|---|
| Docker engine | Version 17.06.0-ce+ or higher | For installation instructions, see Docker Engine documentation |
| Docker Compose | Version 1.18.0 or higher | For installation instructions, see Docker Compose documentation |
| Openssl | Latest is preferred | Used to generate certificate and keys for Harbor |
3、网络端口
| Port | Protocol | Description |
|---|---|---|
| 443 | HTTPS | Harbor portal and core API accept HTTPS requests on this port. You can change this port in the configuration file. |
| 4443 | HTTPS | Connections to the Docker Content Trust service for Harbor. Only required if Notary is enabled. You can change this port in the configuration file. |
| 80 | HTTP | Harbor portal and core API accept HTTP requests on this port. You can change this port in the configuration file. |
4、安装方式
从官方发布git仓库页面下载Harbor安装程序 。
下载联机安装程序或脱机安装程序。
在线安装包：https://github.com/goharbor/harbor/releases/download/v1.10.1/harbor-online-installer-v1.10.1.tgz
离线安装包：https://github.com/goharbor/harbor/releases/download/v1.10.1/harbor-offline-installer-v1.10.1.tgz
离线安装包百度云：
链接：https://pan.baidu.com/s/1JkiJoU2PQVMN-uhX0BWTsw 提取码：w55i
三、安装部署
本文采用离线方式安装
1、安装docker docker-compose
wget -P /etc/yum.repos.d/ https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
yum install epel-release -y
yum install docker-ce -y
yum install docker-compose -y
systemctl start docker &&systemctl enbale docker && systemctl status docker
查看docker版本和docker-compose版本
[root@hub2 /]# docker info
Client:
Debug Mode: false
Server:
Containers: 11
Running: 11
Paused: 0
Stopped: 0
Images: 103
Server Version: 19.03.1
[root@hub2 /]# docker-compose -v
docker-compose version 1.18.0, build 8dd22a9
2、下载离线安装包并解压
#官方镜像下载，服务器在国外，速度较慢
wget https://github.com/goharbor/harbor/releases/download/v1.10.1/harbor-offline-installer-v1.10.1.tgz
#解压缩
tar xvf harbor-offline-installer-v1.10.1.tgz
#查看
[root@hub2 ~]# tree harbor
harbor
├── common
│ └── config
│ ├── core
│ │ ├── app.conf
│ │ ├── certificates
│ │ └── env
│ ├── db
│ │ └── env
│ ├── jobservice
│ │ ├── config.yml
│ │ └── env
│ ├── log
│ │ ├── logrotate.conf
│ │ └── rsyslog_docker.conf
│ ├── nginx
│ │ ├── conf.d
│ │ └── nginx.conf
│ ├── registry
│ │ ├── config.yml
│ │ └── root.crt
│ └── registryctl
│ ├── config.yml
│ └── env
├── common.sh
├── docker-compose.yml
├── harbor.v1.10.1.tar.gz
├── harbor.yml #配置文件
├── install.sh
├── LICENSE
└── prepare
3、配置对Harbor的HTTPS访问
注：如果不使用https方式可以跳过此步骤，直接修改文件后部署，使用http方式在部署后需要在docker上添加为信任节点
vim /etc/docker/daemon.json
{
"insecure-registries" : ["192.168.21.210:5000"] #私有仓库地址
}
3.1生成证书颁发机构证书
生成CA证书私钥。
openssl genrsa -out ca.key 4096
生成CA证书。
#修改 yourdomain.com 为你的domain或者IP地址
openssl req -x509 -new -nodes -sha512 -days 3650 \
-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
-key ca.key \
-out ca.crt
3.2生成服务器证书
证书通常包含一个.crt文件和一个.key文件，例如yourdomain.com.crt和yourdomain.com.key。
- 生成私钥
openssl genrsa -out yourdomain.com.key 4096
- 生成证书签名请求（CSR）
调整-subj选项中的值以反映您的组织。如果使用FQDN连接Harbor主机，则必须将其指定为公用名（CN）属性，并在密钥和CSR文件名中使用它。
#使用域名或者Ip地址替换命令中的"CN=yourdomain.com"，域名需替换
openssl req -sha512 -new \
-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
-key yourdomain.com.key \
-out yourdomain.com.csr
- 生成一个x509 v3扩展文件
无论您使用FQDN还是IP地址连接到Harbor主机，都必须创建此文件，以便可以为您的Harbor主机生成符合主题备用名称（SAN）和x509 v3的证书扩展要求。替换DNS条目以反映您的域。
#官方模板
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=yourdomain.com
DNS.2=yourdomain
DNS.3=hostname
EOF
#使用ip直接访问方式修改模板x.x.x.x替换为你要设置的ip
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:x.x.x.x
EOF
注：使用域名访问方式，直接修改官方模板中的DNS.1 DNS.2 ...
- 使用该v3.ext文件为您的Harbor主机生成证书。
#将yourdomain.comCRS和CRT文件名中的替换为Harbor主机名。
openssl x509 -req -sha512 -days 3650 \
-extfile v3.ext \
-CA ca.crt -CAkey ca.key -CAcreateserial \
-in yourdomain.com.csr \
-out yourdomain.com.crt
3.3提供证书给Harbor和Docker
mkdir -p /data/cert/
cp yourdomain.com.crt /data/cert/
cp yourdomain.com.key /data/cert/
3.4 docker客户端证书文件转换
转换yourdomain.com.crt为yourdomain.com.cert，供Docker使用。
Docker守护程序将.crt文件解释为CA证书，并将.cert文件解释为客户端证书。
openssl x509 -inform PEM -in yourdomain.com.crt -out yourdomain.com.cert
3.5服务器证书拷贝
将服务器证书，密钥和CA文件复制到Harbor主机上的Docker certificate文件夹中。您必须首先创建适当的文件夹。
mkdir -p /etc/docker/certs.d/yourdomain.com/
cp yourdomain.com.cert /etc/docker/certs.d/yourdomain.com/
cp yourdomain.com.key /etc/docker/certs.d/yourdomain.com/
cp ca.crt /etc/docker/certs.d/yourdomain.com/
如果将默认nginx端口443 映射到其他端口，请创建文件夹/etc/docker/certs.d/yourdomain.com:port或/etc/docker/certs.d/harbor_IP:port。
以下示例说明了使用自定义证书的配置。
/etc/docker/certs.d/
└── yourdomain.com:port
├── yourdomain.com.cert <-- Server certificate signed by CA
├── yourdomain.com.key <-- Server key signed by CA
└── ca.crt <-- Certificate authority that signed the registry certificate
4、修改配置文件harbor.yml
配置文件说明详情见官方文档：
vim /harbor/harbor.yml
hostname: #Ip或者域名
...
# https related config
https:
# https port for harbor, default is 443
port: 443
# The path of cert and key files for nginx
certificate: /data/cert/yourdomain.com.crt #证书文件路径
private_key: /data/cert/yourdomain.com.key #证书文件路径
...
harbor_admin_password: Harbor12345 #admin管理员密码此为初始密码
5、部署或重新配置harbor
5.1运行prepare脚本以启用HTTPS。
Harbor将nginx实例用作所有服务的反向代理。您可以使用prepare脚本来配置nginx为使用HTTPS。
./prepare
5.2如果Harbor正在运行，请停止并删除现有实例，镜像数据保留在文件系统中，不会丢失任何数据。
docker-compose down -v
5.3重启harbor：
docker-compose up -d
四、验证HTTPS连接
为Harbor设置HTTPS之后，您可以通过执行以下步骤来验证HTTPS连接。
1、浏览器验证
打开浏览器，然后输入https://yourdomain.com。它应该显示Harbor界面。
某些浏览器可能会显示警告，指出证书颁发机构（CA）未知。使用不是来自受信任的第三方CA的自签名CA时，会发生这种情况。您可以将CA导入浏览器以删除警告。
在运行Docker守护程序的机器上，检查/etc/docker/daemon.json文件以确保-insecure-registry未为https://yourdomain.com设置该选项。
2、Docker客户端验证
从Docker登录Harbor。
docker login yourdomain.com
如果已将nginx443端口映射到其他端口，请在login命令中添加该端口。
docker login yourdomain.com:port