用Docker镜像仓库Harbor部署私有Mirror服务

# 用Docker镜像仓库Harbor部署私有Mirror服务

## 前言

在云原生时代，容器技术已成为应用交付的标准方式。作为容器技术的核心组件，Docker镜像的高效管理和分发直接影响着企业的研发效率。当团队规模扩大或对安全性要求提高时，公共镜像仓库（如Docker Hub）往往无法满足需求：下载限速、安全审查缺失、网络隔离等问题逐渐显现。此时，搭建私有镜像仓库服务成为必选项。

VMware开源的Harbor是目前最成熟的企业级Docker Registry解决方案，不仅提供镜像存储功能，还集成漏洞扫描、权限管理、镜像复制等高级特性。本文将详细讲解如何利用Harbor构建私有镜像仓库，并配置为公共仓库的Mirror服务。

---

## 第一章 Harbor核心架构解析

### 1.1 组件构成
Harbor采用模块化设计，主要包含以下核心组件：

- **Core Service**：处理用户请求的核心逻辑层
- **Registry**：实际存储Docker镜像的底层服务
- **Database**：PostgreSQL存储用户权限、审计日志等元数据
- **Redis**：缓存会话和临时数据
- **Job Service**：执行镜像复制、垃圾清理等异步任务
- **Portal**：提供Web管理界面
- **Notary**：镜像签名验证服务（可选）
- **Trivy/Clair**：漏洞扫描器（可选）

### 1.2 典型部署模式
![Harbor架构图](https://goharbor.io/img/harbor-architecture.png)

生产环境推荐采用高可用部署：
- 前端通过Nginx/HAProxy实现负载均衡
- 数据库采用PostgreSQL集群
- 存储后端使用云存储或分布式文件系统

---

## 第二章 单机版Harbor部署实践

### 2.1 环境准备
**硬件要求**：
- 最小配置：2核CPU/4GB内存/40GB磁盘
- 生产建议：4核CPU/8GB内存/500GB+磁盘（依据镜像量调整）

**软件依赖**：
- Docker 20.10+
- Docker Compose 2.0+
- 开放端口：80（HTTP）、443（HTTPS）、4443（Notary）

```bash
# 示例：在Ubuntu 22.04上安装依赖
sudo apt update && sudo apt install -y docker.io docker-compose

wget https://github.com/goharbor/harbor/releases/download/v2.7.0/harbor-offline-installer-v2.7.0.tgz
tar xvf harbor-offline-installer-v2.7.0.tgz
cd harbor

hostname: registry.yourcompany.com
http:
  port: 80
https:
  port: 443
  certificate: /data/certs/yourdomain.crt
  private_key: /data/certs/yourdomain.key
data_volume: /data/harbor

sudo ./install.sh

# 检查容器状态
docker compose ps

# 测试API接口
curl -X GET http://localhost/api/v2.0/systeminfo

proxy:
  remoteurl: https://registry-1.docker.io
  username: your_dockerhub_user
  password: your_dockerhub_token

{
  "registry-mirrors": ["https://registry.yourcompany.com"]
}

sudo systemctl restart docker

# 进入Harbor容器执行
docker compose exec registry registry garbage-collect /etc/registry/config.yml

- job_name: 'harbor'
  metrics_path: '/metrics'
  static_configs:
    - targets: ['harbor-core:8080']