在實際生產運維中,往往需要把鏡像發佈到幾十、上百臺或更多的節點上。這時單臺Docker主機上鏡像已無法滿足,項目越來越多,鏡像就越來越多,都放到一臺Docker主機上是不行的,我們需要一個像Git倉庫一樣系統來統一管理鏡像。這裏介紹的是一個企業級鏡像倉庫Harbor,將作爲我們容器雲平臺的鏡像倉庫中心。
Habor是由VMWare公司開源的容器鏡像倉庫。事實上,Habor是在Docker Registry上進行了相應的企業級擴展,從而獲得了更加廣泛的應用,這些新的企業級特性包括:管理用戶界面,基於角色的訪問控制 ,AD/LDAP集成以及審計日誌等,足以滿足基本企業需求。
官方地址:https://vmware.github.io
Github:https://github.com/goharbor/harbor
1、Harbor主要功能
基於角色訪問控制(RBAC)
在企業中,通常有不同的開發團隊負責不同的項目,鏡像像代碼一樣,每個人角色不同需求也不同,因此就需要訪問權限控制,根據角色分配相應的權限。
例如,開發人員需要對項目構建這就用到讀寫權限(push/pull),測試人員只需要讀權限(pull),運維一般管理鏡像倉庫,具備權限分配能力,項目經理具有所有權限。鏡像複製
可以將倉庫中的鏡像同步到遠程的Harbor,類似於MySQL主從同步功能。
LDAP
Harbor支持LDAP認證,可以很輕易接入已有的LDAP。
鏡像刪除和空間回收
Harbor支持在Web刪除鏡像,回收無用的鏡像,釋放磁盤空間。
圖形頁面管理
用戶很方面搜索鏡像及項目管理。
審計
對倉庫的所有操作都有記錄。
REST API
完整的API,方便與外部集成。
2、Harbor組件
組件 | 功能 |
harbor-adminserver | 配置管理中心 |
harbor-db | Mysql數據庫 |
harbor-jobservice | 負責鏡像複製 |
harbor-log | 記錄操作日誌 |
harbor-ui | Web管理頁面和API |
nginx | 前端代理,負責前端頁面和鏡像上傳/下載轉發 |
redis | 會話 |
registry | 鏡像存儲 |
3、Harbor部署
環境要求:
Harbor安裝有3種方式:
在線安裝:從Docker Hub下載Harbor相關鏡像,因此安裝軟件包非常小
離線安裝:安裝包包含部署的相關鏡像,因此安裝包比較大
OVA安裝程序:當用戶具有vCenter環境時,使用此安裝程序,在部署OVA後啓動Harbor
我們採用離線安裝,首先下載離線安裝包:https://github.com/vmware/harbor/releases
HTTP方式部署
基本配置:
準備配置文件:
# ./prepare
安裝並啓動Harbor:
# ./install.sh
查看運行狀態:
部署完成,是不是很簡單呢!
如果有非Up狀態,先看日誌:
# ls /var/log/harbor/
adminserver.log jobservice.log mysql.log proxy.log redis.log registry.log ui.log
HTTPS方式部署:
如果想以https加密方式提供服務可以參考這個免費的視頻教程:https://edu.51cto.com/course/14070.html
或者參考官方文檔:https://github.com/vmware/harbor/blob/master/docs/configure_https.md
4、登錄Web頁面
瀏覽器輸入:http://10.206.240.188
賬號:admin
密碼:Harbor12345
這裏有4個項目,library是默認自帶的,通常用這個存儲一些公共的鏡像,這個項目下鏡像誰都可以pull,但不能push,push需要先登錄。其他3個項目是我自己創建的,請忽略。
5、library項目賦予新用戶push權限
先創建一個用戶:
進入library項目,將用戶加入這個成員:
這樣lizhenliang用戶就具備了對這個library項目的push權限。
注:創建新項目賦予用戶權限同等方式。
7、上傳鏡像
接下來將剛纔構建的鏡像推送到Harbor倉庫,先看看我們要推送的鏡像:
在推送之前,需要注意第一列,這個完整格式是:
如果鏡像只放在本地存儲REPOSITORY寫什麼都可以,但推送到鏡像倉庫就必須指定倉庫中心地址。
所以,先打重命名REPOSITORY,其實就是引用源鏡像標記了一個目標鏡像:
訪問拒絕,剛說過,push需先登錄:
8、下載鏡像
其他Docker主機怎麼下載剛推送的鏡像呢?
由於我們搭建的Harbor是以HTTP提供服務的,而Docker CLI默認以HTTPS 訪問倉庫,所以要先配置可信任,否則pull鏡像倉庫失敗。如果是HTTPS提供服務就不用配置這一步了。
pull的地址跟push時是一樣的。