超健忘閒人的沙龍

打造獨立的Image Registry: Harbor

超健忘閒人-avatar-img
超健忘閒人
發佈於kubernetes怕忘記
更新 發佈閱讀 14 分鐘

今天來跟大家分享如何建置容器世界的一個非常重要的元件：Image Registry。

通常在容器環境下，所有服務都是基於容器映像(container image)來建構並提供。為了更方便地管理整個環境的映像，並提供訪問。一般來說會建立一個專門用來存放容器映像的位置，也就是本文所使用的Harbor來與大家分享。本文使用常見的Harbor來與大家分享。

raw-image

本文將會分成以下幾點進行說明：

  1. Harbor基本說明
  2. Harbor建置
  3. 結論

1. Harbor基本說明

Harbor是一個從CNCF畢業的專案。透過Policies與RBAC來確保使用的安全性。也可以與弱掃工具整合來保證映像的安全性，更可以對映像進行簽章確保信任來實現合規、效能、操作性，有效地協助容器環境的管理工作順利進行。

Harbor有以下幾個特色：

raw-image
  • 安全性：包含使用者身份驗證、RBAC、內容簽名和加密，確保傳輸和儲存是安全的。例如整合Cosign/Notation來進行內容簽名(Content Trust)。
  • 映像複制：可以透過image-syncer在不同的Harbor之間進行映像同步，可以實現映像的備份與故障回復，或是做DR(災難復原)Site使用。
  • Project / Namespace : 透過將映像分組可以更好的控制存取與權限。


  • Audit Log: 可以根據Project來查詢所有操作的記錄，用來確保合規性。
  • API : 使用REST API與其他系統來進行整合，實現自動化與自定義的操作。
  • UI界面：透過Web UI，使用者可以更方便的進行管理。
  • 漏洞掃描：可以在安裝的時候整合Trivy scanner，或是在安裝完畢後再連接到其他的scanner都可以。
  • 儲存管理：一般會直接連接Object storage較為方便(Ex. MinIO)，但不限於Object Storage

2. Harbor建置

#-------------------------------------------------------
# S2-1. 安裝Docker環境
#-------------------------------------------------------
[harbor]# yum install yum-utils
[harbor]# yum config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
[harbor]# yum clean all ; yum repolist

#### RHEL8先移除podman
[harbor]# yum remove podman buildah
[harbor]# yum install containerd.io-1.6.15-3.1.el8.x86_64.rpm \
docker-ce-20.10.8-3.el8.x86_64.rpm \
docker-ce-cli-20.10.22-3.el8.x86_64.rpm \

[harbor]# systemctl enable --now docker
raw-image
#-------------------------------------------------
# S2-2. 安裝docker-compose
#-------------------------------------------------
[harbor]# curl -SL https://github.com/docker/compose/releases/download/v2.20.0/docker-compose-linux-x86_64 -o /usr/local/bin/docker-compose
[harobr]# mv docker-compose /usr/local/bin/
[harbor]# chmod +x docker-compose
[harbor]# docker-compose version
#-------------------------------------------------
# S2-3. 建立憑證
#-------------------------------------------------
[harbor]# openssl genrsa -out ca.key 4096
[harbor]# openssl req -x509 -new -nodes -sha512 -days 3650 -key ca.key -out ca.crt
...
Common Name (eg, your name or your servers hostname) []:harbor.test.example.poc.
...

[harbor]# openssl genrsa -out harbor.test.example.poc.key 4096
[harbor# openssl req -sha512 -new -key harbor.test.example.poc.key -out harbor.test.example.poc.csr
...
Common Name (eg, your name or your servers hostname) []:harbor.test.example.poc
...

[harbor]# vim v3.ext
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1=habor.test.example.poc
DNS.2=harbor.test.example.poc
DNS.3=harbor.test.example.poc

[harbor]# openssl x509 -req -sha512 -days 3650 \
-extfile v3.ext \
-CA ca.crt -CAkey ca.key -CAcreateserial \
-in harbor.test.example.poc.csr \
-out harbor.test.example.poc.crt
#--------------------------------------------
# s2-4. 套用憑證，啟動docker
#--------------------------------------------
[harbor]# mkdir -p /data/cert/
[harbor]# cp -rp harbor.test.example.poc.crt harbor.test.example.poc.key /data/cert/
[harbor]# ls -al /data/cert/
harbor.test.example.poc.crt
harbor.test.example.poc.key

### convert crt to cert for docker login
[harbor]# cd /root/docker/certs/
[harbor]# openssl x509 -inform PEM -in harbor.test.example.poc.crt -out harbor.test.example.poc.cert

### copy to docker certificate folder
[harbor]# mkdir -p /etc/docker/certs.d/harbor.test.example.poc
[harbor]# cp harbor.test.example.poc.cert /etc/docker/certs.d/harbor.test.example.poc
[harbor]# cp harbor.test.example.poc.key /etc/docker/certs.d/harbor.test.example.poc
[harbor]# cp ca.crt /etc/docker/certs.d/harbor.test.example.poc
[harbor]# systemctl restart docker
#------------------------------------------
# S2-5. Download & Config
#------------------------------------------
[harbor]# wget https://github.com/goharbor/harbor/releases/download/v2.8.2/harbor-offline-installer-v2.8.2.tgz
[harbor]# tar zxvf harbor-offline-installer-v2.8.2.tgz
[harbor]# cd /data/harbor/
[harbor]# cp harbor.yml.tmpl harbor.yml
[harbor]# vim harbor.yml
hostname: harbor.test.example.poc      #指定要部署harbor的位置
external_url: https://harbor.test.example.poc
http:          #Production環境不要用 
 port: 80
https:
 port: 443
 certificate: /etc/docker/certs.d/harbor.test.example.poc:8443/test.example.poc.cert    #SSL certificate
 private_key: /etc/docker/certs.d/harbor.test.example.poc:8443/test.example.poc.key    #SSL key
harbor_admin_password: Harbor12345              #設定第一次進入harbor的密碼(預設admin/Harbor12345)
#------------------------------------
# S2-6. Install
#------------------------------------
[harbor]# ./install.sh --with-notary --with-trivy
=> 確認都是Healty狀態

[harbor]# docker-compose ps

[harbor]# docker login harbor.test.example.poc
Username: admin
Password: Harbor12345
確認全部的狀態

確認全部的狀態

#---------------------------------------
# S2-7. 讓其他主機也可以正常登入使用
#---------------------------------------
[Client]# scp -rp /data/harbor/cert/ca.crt root@192.168.100.11:/root/
[Cleint]# cp /root/ca.crt /etc/pki/ca-trust/source/anchors/
[Client]# update-ca-trust

[Client]# docker login harbor.test.example.poc:8443
Username: admin
Password:
Login Succeeded!
[Client]# docker images
[Client]# podman pull harbor.test.example.poc/test/redis-photon:v2.4.3

※ browser
https://harbor.test.example.poc:8443
WebUI

WebUI

上傳Image成功

上傳Image成功

### 確認節點CA憑證
### Podman檢查CA的路徑與docker不同 (/etc/containers/certs.d/)

[worker01]# mkdir /etc/containers/certs.d/harbor.test.example.poc/
[harbor]# scp -rp ca.crt root@worker01:/etc/containers/certs.d/harbor.test.example.poc/
[worker01]# podman pull harbor.test.example.poc/example/nginx:latest


raw-image

3. 結論

以上說明Harbor的基本安裝流程，除了獨立安裝之外，也可以用容器的型式存在於K8S內運作。安裝時所整合的Trivy也是另一個專門的安全掃描專案，不只是針對容器映像，也支援檔案系統(filesystem)、VM映像(VM image)、遠端的Git、K8S、AWS等標的。並且還可以發現像是OS軟體套件與相依性、軟體授權、敏感資料等資訊。

基本上現在建置Harbor時，同時也會整合Trivy，如此一來，安裝完的Harbor便具有基礎的合規掃描工具，接下來如同上述，可以另外再整合其他Scanner亦可。

未來有機會的話，再繼續分享Harbor的進階應用，例如升級、離線更新、簽名等功能。


※ References:

  • https://github.com/aquasecurity/trivy
  • https://goharbor.io/docs/main/
超健忘閒人的沙龍kubernetes怕忘記
留言
avatar-img
留言分享你的想法！
avatar-img
超健忘閒人的沙龍
15會員
40內容數
記錄IT社畜的自我學習筆記，如同專題名稱，主要是怕自已忘記自已做過什麼、學到什麼。索性就分享我自已在學習Kubernetes這條路上的各種測試、學習心得。
超健忘閒人的沙龍的其他內容
2024/05/08
GitLab Runner 搭建指南：打造流暢的 CI/CD 工作流程
本文將介紹如何在Gitlab上部署和註冊runner，以進行CI/CD測試。透過Docker-compose方式進行部署，同時注意安裝時的一些注意事項。建議學習者至少掌握一種以上的Pipeline工具，以滿足實務上的需求。
Thumbnail
2024/05/08
GitLab Runner 搭建指南：打造流暢的 CI/CD 工作流程
本文將介紹如何在Gitlab上部署和註冊runner，以進行CI/CD測試。透過Docker-compose方式進行部署，同時注意安裝時的一些注意事項。建議學習者至少掌握一種以上的Pipeline工具，以滿足實務上的需求。
Thumbnail
2024/04/19
實現MySQL master-slave架構在K8S平台內的部署與功能驗證
上一篇說明了如何在Kubernetes上建立基本的MySQL standalone，並加入phpmyadmin(PMA)來進行圖形化的管理，本篇就再進階一步，實作MySQL replication架構(master-salve)，並進行驗證是否成功。
Thumbnail
2024/04/19
實現MySQL master-slave架構在K8S平台內的部署與功能驗證
上一篇說明了如何在Kubernetes上建立基本的MySQL standalone，並加入phpmyadmin(PMA)來進行圖形化的管理，本篇就再進階一步，實作MySQL replication架構(master-salve)，並進行驗證是否成功。
Thumbnail
2024/04/09
Kubernetes 環境下 MySQL 單機部署與 phpMyAdmin 管理
本文記錄如何在Kubernetes環境下，部署Standalone架構的MySQL Database，並透過phpmyadmin進行管理。這篇文章將分成MySQL部署在K8S內的優勢、部署MySQL DB standalone、部署PhpMyAdmin (PMA)、結論四個部分進行說明與實作的流程。
Thumbnail
2024/04/09
Kubernetes 環境下 MySQL 單機部署與 phpMyAdmin 管理
本文記錄如何在Kubernetes環境下，部署Standalone架構的MySQL Database，並透過phpmyadmin進行管理。這篇文章將分成MySQL部署在K8S內的優勢、部署MySQL DB standalone、部署PhpMyAdmin (PMA)、結論四個部分進行說明與實作的流程。
Thumbnail
看更多
你可能也想看
Thumbnail
avatar-avatar
Chloe小窩
手作人必看｜用蝦皮分潤計畫把興趣變新收入渠道
在小小的租屋房間裡，透過蝦皮購物平臺採購各種黏土、模型、美甲材料等創作素材，打造專屬黏土小宇宙的療癒過程。文中分享多個蝦皮挖寶地圖，並推薦蝦皮分潤計畫。
#手作#黏土手作#輕黏土
Thumbnail
avatar-avatar
Chloe小窩
手作人必看｜用蝦皮分潤計畫把興趣變新收入渠道
在小小的租屋房間裡，透過蝦皮購物平臺採購各種黏土、模型、美甲材料等創作素材，打造專屬黏土小宇宙的療癒過程。文中分享多個蝦皮挖寶地圖，並推薦蝦皮分潤計畫。
#手作#黏土手作#輕黏土
Thumbnail
avatar-avatar
小蝸慢慢爬
蝦皮分潤計畫-小豬與小蝸的婚姻神隊友
小蝸和小豬因購物習慣不同常起衝突，直到發現蝦皮分潤計畫，讓小豬的購物愛好產生價值，也讓小蝸開始欣賞另一半的興趣。想增加收入或改善伴侶間的購物觀念差異？讓蝦皮分潤計畫成為你們的神隊友吧！
#蝦皮分潤計畫#蝦皮#聯盟行銷
Thumbnail
avatar-avatar
小蝸慢慢爬
蝦皮分潤計畫-小豬與小蝸的婚姻神隊友
小蝸和小豬因購物習慣不同常起衝突，直到發現蝦皮分潤計畫，讓小豬的購物愛好產生價值，也讓小蝸開始欣賞另一半的興趣。想增加收入或改善伴侶間的購物觀念差異？讓蝦皮分潤計畫成為你們的神隊友吧！
#蝦皮分潤計畫#蝦皮#聯盟行銷
Thumbnail
avatar-avatar
小黑與程式的邂逅
[Docker]Harbor架設
Harbor是企業級的私有Docker Repository，提供管理使用者介面、角色存取控制等企業級特性。 安裝 更新apt sudo apt-get update 安裝https的支援工具 sudo apt-get install apt-transport-https ca-ce
#Docker#Harbor#gpg
Thumbnail
avatar-avatar
小黑與程式的邂逅
[Docker]Harbor架設
Harbor是企業級的私有Docker Repository，提供管理使用者介面、角色存取控制等企業級特性。 安裝 更新apt sudo apt-get update 安裝https的支援工具 sudo apt-get install apt-transport-https ca-ce
#Docker#Harbor#gpg
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之建立與使用 Docker Image 清理本地 Image
前端 為了實驗我們上傳的 Docker Image 有沒有問題，我們先在學一個刪除本地 Docker Image，刪除 Docker Image 要使用 docker rmi <image> 這個語法，現在開始刪除本地 Docker Image 輸入以下指令 docker rmi timmmmm
#Docker#DockerHub#DockerImage
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之建立與使用 Docker Image 清理本地 Image
前端 為了實驗我們上傳的 Docker Image 有沒有問題，我們先在學一個刪除本地 Docker Image，刪除 Docker Image 要使用 docker rmi <image> 這個語法，現在開始刪除本地 Docker Image 輸入以下指令 docker rmi timmmmm
#Docker#DockerHub#DockerImage
Thumbnail
avatar-avatar
超健忘閒人的沙龍
Harbor Registry 跨地同步：儲存庫影像異地複製
當您在K8S Cluster中使用Harbor作為容器鏡像的儲存庫時，隨著應用服務鏡像的增加，如何透過內建機制將一臺Harbor的內容同步到另一個Harbor就變得愈來愈重要。本文將介紹如何透過內建機制同步Harbor的內容以及支援Harbor同步到其他相容的Image Registry的方式。
#Kubernetes#K8S#Linux
Thumbnail
avatar-avatar
超健忘閒人的沙龍
Harbor Registry 跨地同步：儲存庫影像異地複製
當您在K8S Cluster中使用Harbor作為容器鏡像的儲存庫時，隨著應用服務鏡像的增加，如何透過內建機制將一臺Harbor的內容同步到另一個Harbor就變得愈來愈重要。本文將介紹如何透過內建機制同步Harbor的內容以及支援Harbor同步到其他相容的Image Registry的方式。
#Kubernetes#K8S#Linux
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之 Dockerfile、Docker Image、Docker Container 概念解說
前言 上次我們初步體驗 Docker 快速佈署能力，今天我們要來講解 Dockerfile、Docker Image 與 Docker Container 這些常見的名詞，我們來了解在我們佈署的時候做哪些事情 Docker 佈署流程 首先看到如下圖上半部，在我們一個完整的佈署流程，我們會先將我
#Docker#Dockerfile#DockerImage
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之 Dockerfile、Docker Image、Docker Container 概念解說
前言 上次我們初步體驗 Docker 快速佈署能力，今天我們要來講解 Dockerfile、Docker Image 與 Docker Container 這些常見的名詞，我們來了解在我們佈署的時候做哪些事情 Docker 佈署流程 首先看到如下圖上半部，在我們一個完整的佈署流程，我們會先將我
#Docker#Dockerfile#DockerImage
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之初體驗
前言 大家好在先前我們講了什麼是 Docker，Docker 好處有什麼以及怎麼安裝 Docker，今天我們要來開始初體驗 Docker 容器，使用後您會發現 Docker 非常的方便快速 Docker Hub 介紹 首先在開始學怎麼抓取 Docker Image 之前，我們要先來介紹 Doc
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之初體驗
前言 大家好在先前我們講了什麼是 Docker，Docker 好處有什麼以及怎麼安裝 Docker，今天我們要來開始初體驗 Docker 容器，使用後您會發現 Docker 非常的方便快速 Docker Hub 介紹 首先在開始學怎麼抓取 Docker Image 之前，我們要先來介紹 Doc
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之如何安裝 Docker 容器
前言 上次我們講到 Docker 的功用與好處，今天我們要在講解，如何安裝 Docker 這個容器，讓我們在之後的教學應用更好的實作與練習，現在讓我們開始吧 Docker Engine 與 Docker Desktop 首先在講解怎麼安裝 Docker 時，我們先講解 Docker Engin
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之如何安裝 Docker 容器
前言 上次我們講到 Docker 的功用與好處，今天我們要在講解，如何安裝 Docker 這個容器，讓我們在之後的教學應用更好的實作與練習，現在讓我們開始吧 Docker Engine 與 Docker Desktop 首先在講解怎麼安裝 Docker 時，我們先講解 Docker Engin
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之 Docker 架構
前言 上次我們針對 Docker 這樣容器化技術做了一點介紹，今天我們要來講解 Docker 架構，你是否發現在每次程式上伺服器的流程很麻煩呢 ? 是否發現你寫的程式在別的作業系統不能用呢 ? 如果你遇到這些問題，Docker 都可以幫助你解決這些問題 Docker 架構 在 Docker 這
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Docker 之 Docker 架構
前言 上次我們針對 Docker 這樣容器化技術做了一點介紹，今天我們要來講解 Docker 架構，你是否發現在每次程式上伺服器的流程很麻煩呢 ? 是否發現你寫的程式在別的作業系統不能用呢 ? 如果你遇到這些問題，Docker 都可以幫助你解決這些問題 Docker 架構 在 Docker 這
#Docker
Thumbnail
avatar-avatar
Tim Bai的沙龍
Gitlab CI/CD 之上傳 Docker Hub
前言 上次我們教到如何打包 Docker Image，而今我們要交如何將我們打包好的 Docker Image 自動化上傳到 Docker Hub，這樣的話不但可以減輕我們的工作，也可以讓我們為的的佈署新服務更有效率 設定隱藏變數 在我們設定裡面，設定我們 CI/CD 變數，我們在這裡設定我們
Thumbnail
avatar-avatar
Tim Bai的沙龍
Gitlab CI/CD 之上傳 Docker Hub
前言 上次我們教到如何打包 Docker Image，而今我們要交如何將我們打包好的 Docker Image 自動化上傳到 Docker Hub，這樣的話不但可以減輕我們的工作，也可以讓我們為的的佈署新服務更有效率 設定隱藏變數 在我們設定裡面，設定我們 CI/CD 變數，我們在這裡設定我們
Thumbnail
avatar-avatar
Tim Bai的沙龍
建立私有 Docker Registry
前言 該如何自架 docker registry 呢? docker registry 可以幫助我們做什麼事情呢? docker registry 是可以將我們打包好的 docker image，放置到 docker registry 上面，在我們開始要佈署服務時，從 docker registr
#Docker#DockerRegistry#DockerCompose
Thumbnail
avatar-avatar
Tim Bai的沙龍
建立私有 Docker Registry
前言 該如何自架 docker registry 呢? docker registry 可以幫助我們做什麼事情呢? docker registry 是可以將我們打包好的 docker image，放置到 docker registry 上面，在我們開始要佈署服務時，從 docker registr
#Docker#DockerRegistry#DockerCompose
Thumbnail
avatar-avatar
超健忘閒人的沙龍
打造獨立的Image Registry: Harbor
今天來跟大家分享如何建置容器世界的一個非常重要的元件：Image Registry。
#kubernetes#Harbor#Linux
Thumbnail
avatar-avatar
超健忘閒人的沙龍
打造獨立的Image Registry: Harbor
今天來跟大家分享如何建置容器世界的一個非常重要的元件：Image Registry。
#kubernetes#Harbor#Linux
追蹤感興趣的內容從 Google News 追蹤更多 vocus 的最新精選內容追蹤 Google News