一、harbor 简介

Harbor是一个企业级的注册服务器(registry)，用于保存和管理docker的镜像文件。Harbor主要提供 Dcoker Registry 的WEB管理界面，同时支持多个注册服务器之间进行镜像同步，还提供了高级的安全特性，如用户管理、访问控制和活动审计。

二、配置harbor

1、下载harbor最新版本，Harbor的安装方式有两种，一种是源码在线安装，另一种是下载完整安装包离线安装，建议大家使用离线安装，因为在线安装需要下载大量的镜像，比较慢，容易卡住。

2、下载地址http://harbor.orientsoft.cn/harbor-1.2.0/harbor-offline-installer-v1.2.0.tgz

3、下载完成后解压文件

$ tar zxvf harbor-offline-installer-v1.2.0.tgz

$ cd harbor

4、配置文件harbor.cfg需要根据自己的实际情况进行变更，如果将hostname变更为harbor的域名gtest.com

## Configuration file of Harbor

# hostname 设置访问地址，支持IP，域名，主机名，禁止设置127.0.0.1

hostname = reg.mydomain.com

# 访问协议，可设置 http,https

ui_url_protocol = http

# Harobr Mysql数据库root用户密码

db_password = root123

#后台任务进程数

max_job_workers = 3

#启用https所用到的证书位置

ssl_cert = /data/cert/server.crt

ssl_cert_key = /data/cert/server.key

# 密钥存放位置

secretkey_path = /data

# 邮件通知, 配置邮件通知。

email_server = smtp.mydomain.com

email_server_port = 25

email_username = sample_admin@mydomain.com

email_password = abc

email_from = admin <sample_admin@mydomain.com>

email_ssl = false

# harbor WEB UI登陆使用的密码

harbor_admin_password = Harbor12345

# 认证方式，这里支持多种认证方式，默认是 db_auth ，既mysql数据库存储认证。

# 这里还支持 ldap 以及 本地文件存储方式。

auth_mode = db_auth

# ldap 服务器访问地址。

ldap_url = ldaps://ldap.mydomain.com

# LDAP/AD 基本查询位置单元

ldap_basedn = ou=people,dc=mydomain,dc=com

# 一些显示的设置.

crt_country = CN

crt_state = State

crt_location = CN

crt_organization = organization

crt_organizationalunit = organizational unit

crt_commonname = example.com

crt_email = example@example.com

4、 安装docker-compose，harbor管理是通过docker-compose.yml文件进行管理的，因此在使用harbor之前必须先安装docker-compose组件。

$ sudo yum install python-pip

$ pip install docker-compose

5、 安装harbor

./install.sh

安装完成截图

6、 访问Harbor 默认通过http即可访问harbor，访问地址为你在harbor.cfg中设定的域名，如：http://gtest.com

三、harbor使用

1、新建项目，登入以后进入首页，点击新建项目

1、 填写项目信息，我们新建一个名为study的项目，如果选择公开的话，任何人都可以下载镜像，而私自有项目只有认证过的用户才可以进行下载。

2、 上传第一个镜像到 Harbor中，当我们标签一个镜像并进行PUSH时，会发生如下情况，这是由于Docker默认使用Https导致的，因为Harbor此时还没有开启HTTPS。在这种情况下就需要在docker的配置文件中指定使用http进行上传。

我们将 /etc/sysconfig/docker的ADD_REGISTRY修改为如下： ADD_REGISTRY='--insecure-registry gtest.com'

后重启docker

$sudo systemctl restart docker.service

启动harbor

$ cd /opt/harbor

$ docker-compose start

3、 上传镜像之前要先登入Harbor，然后再push即可成功上传

$ docker login

$ docker push gtest.com/registry:2.5.0

4、 在其它机器上使用Harbor的服务。

1） 修改/etc/sysconfig/docker 文件中的ADD_REGISTRY条目。

2） 重启docker

3） 登入Harbor

4） 下载镜像

5、 Harbor 的日常运维管理是通过docker-compose来完成的，Harbor本身有多个服务进程，都放在docker容器之中运行，我们可以通过docker ps命令查看。

1） 启动Harbor

$ docker-compose start

2） 停止 Harbor

$ docker-comose stop

3） 重启Harbor

$ docker-compose restart

四、配置TLS证书

1、创建自签名证书key文件

$ openssl genrsa -out /opt/certs/ca.key 2048

2、创建自签名证书crt文件,注意命令中的/CN=gtest.com字段中的gtest.com为你自己的registry域名。

$ openssl req -x509 -new -nodes -key /opt/certs/ca.key -subj "/CN=gtest.com" -days 5000 -out /opt/certs/ca.crt

3、修改harbor.cfg配置文件中的对应项

hostname = gtest.com

ui_url_protocol = https

ssl_cert = /opt/certs/ca.crt

ssl_cert_key = /opt/certs/ca.key

4、重新配置harbor。

./install.sh

此时通过浏览器进行https访问是成功的。但是此时使用docker pull的下载，会报证书错误。

5、执行docker-compose down。

6、拷贝harbor证书文件到客户机。

mkdir -p /etc/docker/certs.d/reg.docker.tb

cp /opt/certs/ca.crt /etc/docker/certs.d/reg.docker.tb/ca.crt

6、 启动harbor服务

docker-compose up –d

8、使用docker login 进行认证后，然后进行镜像下载。

五、管理访问权限

Harbor的用户是一种简单的认证方式，在Harbor的用户管理界面创建用户以后，可以将给用户分配到不同的项目权限。

2、在项目成员管理界面可以分配置三种不同的角色，分别是管理员、开发者、和访客。