containerd对接harbor

containerd 实现了 kubernetes 的 Container Runtime Interface (CRI) 接口，提供容器运行时核心功能，如镜像管理、容器管理等，相比 dockerd 更加简单、健壮和可移植。
containerd 不能像docker一样 docker login registry.harbor.com 登录到镜像仓库。无法从harbor拉取到镜像。

以下从containerd的安装到对接一步步讲解

一、containerd安装

获取阿里云YUM源
wget -O /etc/yum.repos.d/docker-ce.repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo

下载安装：
yum install -y containerd.io

###启动containerd
[root@ecs ~]# systemctl enable containerd
[root@ecs ~]# systemctl start  containerd

###生成配置文件
containerd config default > /etc/containerd/config.toml  ##生成默认配置文件

###安装crictl工具
默认containerd使用ctr管理镜像、容器
下载地址https://github.com/kubernetes-sigs/cri-tools/releases/download/v1.23.0/crictl-v1.23.0-linux-amd64.tar.gz

##################################
crictl 是遵循 CRI 接口规范的一个命令行工具，通常用它来检查和管理kubelet节点上的容器运行时和镜像。

ctr 是 containerd 的一个客户端工具。

ctr -v 输出的是 containerd 的版本，crictl -v 输出的是当前 k8s 的版本，从结果显而易见你可以认为 crictl 是用于 k8s 的。

一般来说你某个主机安装了 k8s 后，命令行才会有 crictl 命令。而 ctr 是跟 k8s 无关的，你主机安装了 containerd 服务后就可以操作 ctr 命令。
#################################


###解压到/usr/bin目录
tar -zxvf crictl-v1.23.0-linux-amd64.tar.gz -C /usr/bin/
###查看crictl版本
[root@ecs ~]# crictl --version
crictl version v1.23.0

二、对接harbor

###编辑配置文件
vim /etc/containerd/config.toml添加如下内容
#############################
[plugins."io.containerd.grpc.v1.cri".registry]
  config_path = ""

  [plugins."io.containerd.grpc.v1.cri".registry.auths]
  [plugins."io.containerd.grpc.v1.cri".registry.configs]
      
    [plugins."io.containerd.grpc.v1.cri".registry.configs."registry.harbor.com:4000".tls]####harbor仓库的地址（ip/域名+端口）
      insecure_skip_verify = true  ###跳过认证（如果不配置，需要使用harbor证书）
      ################
      ca_file = "/etc/containerd/certs.d/registry.harbor.com/ca.crt" #ca证书
      cert_file = "/etc/containerd/certs.d/registry.harbor.com/registry.harbor.com.cert" #harbor证书
      key_file = "/etc/containerd/certs.d/registry.harbor.com/registry.harbor.com.key" #密钥
      
    [plugins."io.containerd.grpc.v1.cri".registry.configs."registry.harbor.com:4000".auth]####harbor仓库的地址（ip/域名+端口）
      username = "admin"   ###harbor的登录用户名
      password = "Harbor12345"   ###harbor的登录密码

  [plugins."io.containerd.grpc.v1.cri".registry.headers]

  [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
    [plugins."io.containerd.grpc.v1.cri".registry.mirrors."registry.harbor.com:4000"]####harbor仓库的地址（ip/域名+端口）
      endpoint = ["http://registry.harbor.com:4000"] ###harbor仓库的地址

###系统做解析
cat /etc/hosts
192.168.2.110 registry.harbor.com

####加载配置
systemctl daemon-reload
###重启服务
systemctl restart containerd

三、测试

###下载测试镜像
ctr image pull --all-platforms  docker.io/library/redis:alpine

###镜像设置tag
ctr images tag docker.io/library/redis:alpine registry.harbor.com:4000/test/redis:alpine

###上传镜像
ctr images  push --plain-http=true --skip-verify  --user admin:Harbor12345 registry.harbor.com:4000/test/redis:alpine

########################################
由于 Containerd 也有 namespaces 的概念，对于上层编排系统的支持，ctr 客户端 主要区分了 3 个命名空间分别是k8s.io、moby和default，以上我们用crictl操作的均在k8s.io命名空间，使用ctr 看镜像列表就需要加上-n 参数。crictl 是只有一个k8s.io命名空间，但是没有-n 参数。

ctr images pull 拉取的镜像默认放在default，而 crictl pull 和 kubelet 默认拉取的镜像都在 k8s.io 命名空间下。所以通过ctr导入镜像的时候特别注意一点，最好指定命名空间。

harbor查看

使用crictl下载测试

###下载
crictl pull registry.harbor.com:4000/test/redis:alpine
[root@ecs ~]# crictl images |grep redis
I0817 17:56:09.290765   13675 util_unix.go:103] "Using this endpoint is deprecated, please consider using full URL format" endpoint="/run/containerd/containerd.sock" URL="unix:///run/containerd/containerd.sock"
registry.harbor.com:4000/test/redis                  9192ed4e49554       11.9MB

四、常见问题解决

• 提示FATA[0010] failed to connect: failed to connect: context deadline exceeded

解决方法如下：
[root@ecs ~]# crictl config runtime-endpoint /run/containerd/containerd.sock

• ctr: failed to do request: Head “https://registry.harbor.com:4000/v2/test/redis/blobs/sha256:51ea0096b5c1dc947db0746d32a864b67466e95ca49abc644ee95f9c32862334”: http: server gave HTTP response to HTTPS client

解决方法如下：

这个问题主要是因为registry默认就是https，需要添加--skip-verify参数
ctr images  push --plain-http=true --skip-verify  --user admin:Harbor12345 registry.harbor.com:4000/test/redis:alpine