Docker仓库之企业级可视化私有仓库Harbor（安装、快速、入门）
一、Harbor简介
Harbor被部署为多个Docker容器。因此，您可以将其部署在任何支持Docker的Linux发行版上。目标主机需要Docker和Docker Compose才能安装。
硬件 下表列出了用于部署Harbor的最低和建议的硬件配置。
软件 下表列出了必须在目标主机上安装的软件版本。
Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，通过添加一些企业必须的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。作为一个企业级私有Registry服务器，Harbor提供了更好的性能和安全。提升用户 使用Registry构建和运行环境传输镜像的效率。Harbor支持安装在多个Registry节点的镜像资源复制，镜像全部保存在私有Registry中，确保数据和知识产权在公司内部网络中管控。另外，Harbor也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。
1、基于角色的访问控制—用户与Docker镜像仓库通过“项目”进行组织管理，一个用户可以对多个镜像仓库在同一命名空间（project）里有不同的权限。
2、镜像复制—镜像可以在多个Registry石磊中复制（同步）。尤其适合于负载均衡，高可用，混合云和多云的场景。
3、图形化用户界面—用户可以通过浏览器来浏览，检索当前Docker镜像仓库，管理项目和命名空间。
4、AD/LDAP支持—Harbor可以继承企业内部已有的AD/LDAP，用于鉴权认证管理。
5、审计管理—所有针对镜像仓库的操作都可以被记录追溯，用于审计管理。
6、国际化—已拥有英文、中文、德文、日文和俄文的本地化版本。更多的语言将会添加进来。
7、RESTful API—RESTful API 提供给管理员对于Harbor更多的操控，使得与其它的管理软件集成变得更容易。
8、部署简单—提供在线和离线两种安装工具，也可以安装到vSphere平台（OVA方式）虚拟设备。
二、Harbor仓库结构
1、组成Harbor的容器
Harbor大概需要以下几个容器组成：
ui： Harbor的核心服务
log： 运行着rsyslog的容器，进行日志收集
mysql： 由官方mysql镜像构成的数据库容器
nginx：使用nginx做反向代理
registry：官方的Docker registry
adminserver：Harbor的配置数据管理器
jobservice：Harbor的任务管理服务
redis：用于存储session
2、Harbor的组件
1）Harbor依赖的外部组件
Nginx（即proxy代理层）：Nginx前端代理，主要用于分发前端页面ui访问和镜像上传和下载流量。Harbor的registry,UI,token等服务，通过一个前置的反向代理统一接收浏览器、Docker客户端的请求，并将强求转发给后端不同的服务。
Registry v2：镜像仓库，负责存储镜像文件。Docker官方镜像仓库，负责存储Docker镜像，并处理docker push/pull命令。由于我们对用户进行访问控制，即不同的用户对Docker image有不同的读写权限，Registry会指向同一个token服务，强制用户的每次docker pull/push请求都要携带一个合法的token，Registry会通过公钥对token进行解密验证。
Database（Mysql或者Postgresql）：为core services提供数据库服务，负责存储用户权限、审计日志、Docker image分组信息等数据。
2）Harbor自有组件
Core services（Admin Server）：这是Harbor的核心功能，主要提供以下服务：
UI：提供图形化界面，帮助用户管理registry上的镜像（image），并对用户进行授权。
webhook：为了及时获取registry上image状态变化的情况，在Registry上配置webhook，把状态传递给UI模块。
Auth服务：负责根据用户权限给每个docker push/pull命令签发token。Docker客户端向Registry服务发起的请求，如果不包含token，会被重定向到这里，获得token后再重新向Registry进行请求。
API：提供Harbor RESTful API。
Replication Job Service：提供多个Harbor实例之间的镜像同步功能。
Log collector：为了帮助监控Harbor运行，负责收集其他组件的log，供日后进行分析。
三、Harbor部署
1、查找主机上关于Docker的软件包
[root@host03 ~]# wget https://github.com/goharbor/harbor/releases/download/v1.10.3/harbor-offline-installer-v1.10.3.tgz
[root@host03 ~]# yum install docker -y
[root@host03 ~]# docker --version
Docker version 1.13.1, build 64e9980/1.13.1
[root@host03 ~]# tar xvf harbor-offline-installer-v1.10.3.tgz
harbor/harbor.v1.10.3.tar.gz
harbor/prepare
harbor/LICENSE
harbor/install.sh
harbor/common.sh
harbor/harbor.yml
[root@host03 ~]# cd harbor
[root@host03 harbor]# ls
common.sh harbor.v1.10.3.tar.gz harbor.yml install.sh LICENSE prepare
[root@host03 harbor]# ./install.sh
[Step 0]: checking if docker is installed ...
✖ Need to upgrade docker package to 17.06.0+.
需要更新docker17.06.0版本以上
[root@host03 harbor]# rpm -qa | grep docker
docker-common-1.13.1-161.git64e9980.el7_8.x86_64
docker-1.13.1-161.git64e9980.el7_8.x86_64
docker-client-1.13.1-161.git64e9980.el7_8.x86_64
使用yum remove卸载软件
[root@host03 harbor]# yum remove docker-common-1.13.1-161.git64e9980.el7_8.x86_64 -y
[root@host03 harbor]# yum remove docker-1.13.1-161.git64e9980.el7_8.x86_6 -y
[root@host03 harbor]# yum remove docker-client-1.13.1-161.git64e9980.el7_8.x86_64 -y
使用curl升级到最新版
[root@host03 ~]# curl -fsSL https://get.docker.com/ | sh
[root@host03 ~]# docker --version
Docker version 19.03.11, build 42e35e61f3
重启Docker并且Docker开机自启
[root@host03 ~]# systemctl restart docker && systemctl enable docker
Created symlink from /etc/systemd/system/multi-user.target.wants/docker.service to /usr/lib/systemd/system/docker.service.
[root@host03 ~]# yum install -y epel-release
[root@host03 ~]# yum install docker-compose -y
[root@host03 ~]# docker-compose --version
docker-compose version 1.18.0, build 8dd22a9
2、安装Harbor
[root@host03 ~]# cd harbor
[root@localhost harbor]# ls
common.sh harbor.v1.10.0.tar.gz harbor.yml install.sh LICENSE prepare
[root@harbor harbor]# vi harbor.yml
hostname: 192.168.0.153
###并把https注释掉，不然在安装的时候会报错：ERROR:root:Error: The protocol is https but attribute ssl_cert is not set
#https:
#port: 443
#certificate: /your/certificate/path
#private_key: /your/private/key/path
其他配置保持默认
[root@host03 harbor]# ./install.sh
[Step 0]: checking if docker is installed ...
Note: docker version: 19.03.11
[Step 1]: checking docker-compose is installed ...
Note: docker-compose version: 1.18.0
[Step 2]: loading Harbor images ...
Loaded image: goharbor/harbor-core:v1.10.3
Loaded image: goharbor/harbor-db:v1.10.3
Loaded image: goharbor/clair-photon:v1.10.3
Loaded image: goharbor/harbor-registryctl:v1.10.3
Loaded image: goharbor/redis-photon:v1.10.3
Loaded image: goharbor/nginx-photon:v1.10.3
Loaded image: goharbor/clair-adapter-photon:v1.10.3
Loaded image: goharbor/harbor-log:v1.10.3
Loaded image: goharbor/notary-server-photon:v1.10.3
Loaded image: goharbor/notary-signer-photon:v1.10.3
Loaded image: goharbor/harbor-migrator:v1.10.3
Loaded image: goharbor/chartmuseum-photon:v1.10.3
Loaded image: goharbor/prepare:v1.10.3
Loaded image: goharbor/harbor-portal:v1.10.3
Loaded image: goharbor/harbor-jobservice:v1.10.3
Loaded image: goharbor/registry-photon:v1.10.3
[Step 3]: preparing environment ...
[Step 4]: preparing harbor configs ...
prepare base dir is set to /root/harbor
WARNING:root:WARNING: HTTP protocol is insecure. Harbor will deprecate http protocol in the future. Please make sure to upgrade to https
Generated configuration file: /config/log/logrotate.conf
Generated configuration file: /config/log/rsyslog_docker.conf
Generated configuration file: /config/nginx/nginx.conf
Generated configuration file: /config/core/env
Generated configuration file: /config/core/app.conf
Generated configuration file: /config/registry/config.yml
Generated configuration file: /config/registryctl/env
Generated configuration file: /config/db/env
Generated configuration file: /config/jobservice/env
Generated configuration file: /config/jobservice/config.yml
Generated and saved secret to file: /secret/keys/secretkey
Generated certificate, key file: /secret/core/private_key.pem, cert file: /secreCreating harbor-log ... done
Generated configuration file: /compose_location/docker-compose.yml
Clean up the input dir
Creating registry ... done
Creating harbor-core ... done
Creating network "harbor_harbor" with the default driver
Creating nginx ... done
Creating harbor-db ...
Creating registry ...
Creating registryctl ...
Creating harbor-portal ...
Creating redis ...
Creating harbor-core ...
Creating harbor-jobservice ...
Creating nginx ...
✔ ----Harbor has been installed and started successfully.----
```bash
3、查看Harbor的状态
[root@host03 harbor]# docker-compose ps
Name Command State Ports
--------------------------------------------------------------------------------
harbor-core /harbor/harbor_core Up
harbor-db /docker-entrypoint.sh Up 5432/tcp
harbor-jobservice /harbor/harbor_jobservice Up
...
harbor-log /bin/sh -c Up 127.0.0.1:1514->10514/tc
/usr/local/bin/ ... p
harbor-portal nginx -g daemon off; Up 8080/tcp
nginx nginx -g daemon off; Up 0.0.0.0:80->8080/tcp
redis redis-server Up 6379/tcp
/etc/redis.conf
registry /home/harbor/entrypoint.s Up 5000/tcp
h
registryctl /home/harbor/start.sh Up
4、配置客户端信任http
由于从docker1.3.2版本开始，使用registry时，必须使用TLS保证其安全。我们不用https的话，需要在客户机中增加一个配置文件。
[root@host03 harbor]# find / -name docker.service
[root@host03 harbor]# vi /usr/lib/systemd/system/docker.service
在启动脚本中添加 ExecStart
--insecure-registry=192.168.0.153
[root@host03 harbor]# systemctl daemon-reload
[root@host03 harbor]# systemctl restart docker
5、 访问私有仓库服务器
192.168.0.153，默认用户名密码为：admin/Harbor12345
四、客户端验证
UI界面可以登陆但命令行界面无法登陆
1、无法登陆harbor
提示：Error response from daemon: Get http://192.168.0.153/v2/: dial tcp 192.168.0.153:80: connect: connection refused
[root@host03 harbor]# docker login -u admin -p Harbor12345 192.168.0.153
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
Error response from daemon: Get http://192.168.0.153/v2/: dial tcp 192.168.0.153:80: connect: connection refused
2、解决办法
在UI界面中修改密码，重启harbor、然后重新登陆即可。
1）修改admin密码
。
2）重启harbor
重启一下Harbor
[root@host03 harbor]# docker-compose up -d
3）重新登陆
[root@host03 harbor]# docker login -u admin -p Yy12345678 192.168.0.153
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store
Login Succeeded
[root@host03 harbor]# ^C
[root@host03 harbor]# ^C
[root@host03 harbor]# docker login -u admin -p Yzm804536338 192.168.0.153
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credentials-store
Login Succeeded
3、验证推送镜像
1）打镜像标签
打标签
[root@host03 ~]# docker tag nginx:latest 192.168.0.153/library/nginx:v1
2）推送到Harbor服务器私有仓库
推送到Harbor
[root@host03 ~]# docker push 192.168.0.153/library/nginx:v1
The push refers to repository [192.168.0.153/library/nginx]
f978b9ed3f26: Layer already exists
9040af41bb66: Layer already exists
7c7d7f446182: Layer already exists
d4cf327d8ef5: Layer already exists
13cb14c2acd3: Layer already exists
v1: digest: sha256:0efad4d09a419dc6d574c3c3baacb804a530acd61d5eba72cb1f14e1f5ac0c8f size: 1362
3）删除本地的镜像
删除本地的镜像
[root@host03 ~]# docker rmi -f 192.168.0.153/library/nginx:v1
4) 从Harbor服务器上pull镜像
从Harbor上pull
[root@host03 ~]# docker pull 192.168.0.153/library/nginx:v1
v1: Pulling from library/nginx
8559a31e96f4: Pull complete
8d69e59170f7: Pull complete
3f9f1ec1d262: Pull complete
d1f5ff4f210d: Pull complete
1e22bfa8652e: Pull complete
Digest: sha256:0efad4d09a419dc6d574c3c3baacb804a530acd61d5eba72cb1f14e1f5ac0c8f
Status: Downloaded newer image for 192.168.0.153/library/nginx:v1
192.168.0.153/library/nginx:v1
See 'docker --help'
[root@host03 ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
192.168.0.153/library/nginx v1 2622e6cca7eb 7 days ago 132MB