Harbor开源项目 容器镜像远程复制的实现 Henry Zhang (张海宁) Chief Architect VMWare China 自我介绍 • VMware中国研发首席架构师 • Harbor开源企业级容器Registry项目创始人 • Cloud Foundry中国社区最早技术布道师之一 • 多年全栈工程师 • 《区块链技术指南》、《软件定义存储》作者之一 亨利笔记 《区块链技术指南》

max_job_workers：（默认值为 ：（默认值为3）作业服务中的复制工作人员的最大数量。对于每个映像复制作业， ）作业服务中的复制工作人员的最大数量。对于每个映像复制作业， 工作人员将存储库的所有标签同步到远程目标。增加此数字允许系统中更多的并发复制作业。但是，由于每个工 工作人员将存储库的所有标签同步到远程目标。增加此数字允许系统中更多的并发复制作业。但是，由于每个工 作人员都会消耗一定数量的网络 作人员都会消耗一定数量的网络/ 时才应用 ssl_cert_key： ：SSL密钥的路径，仅当协议设置为 密钥的路径，仅当协议设置为https时才应用 时才应用 secretkey_path：用于在复制策略中加密或解密远程注册表的密码的密钥路径 ：用于在复制策略中加密或解密远程注册表的密码的密钥路径 3、创建 、创建 https 证书以及配置相关目录权限 证书以及配置相关目录权限 openssl genrsa -des3 组织的， 、基于角色控制：用户和仓库都是基于项目进行组织的， 而用户基于项目可以拥有不同的权限 而用户基于项目可以拥有不同的权限 b、基于镜像的复制策略：镜像可以在多个 、基于镜像的复制策略：镜像可以在多个Harbor实例之间进行复制 实例之间进行复制 c、支持 、支持LDAP： ：Harbor的用户授权可以使用已经存在 的用户授权可以使用已经存在LDAP用户 用户 d、镜像删除 、镜像删除

1000+ 用户 Harbor部分用户 14 主要特性 访问控制 基于角色的访问控制 （RBAC） AD/LDAP 用户身份集成 直接添加LDAP用户为成员 远程复制 支持过滤器 支持定时,即时和手动策略 漏洞扫描 多种漏洞扫描策略 配置策略阻止漏洞 镜像分发 内容信任 签名镜像 配置策略阻止未签名 镜像分发 审计和日志 记录操作日志以便审计 设置自动扫描：上传即扫描 • 设置漏洞级别阈值；超过阈值的镜像 无法下载 • 设置内容信任 镜像复制 22 Project Images Policy Image Project Images 初始复制 Image 增量复制 (含镜像删除复制) 复制策略管理 用二进制格式确保镜像一致性 24 Dev Registry CI Staging Registry images images Production Registry images 不不同环境中的镜像同步使⽤用Harbor registry来实现 复制技术在镜像分发中应用 25 Master – Slave 模式 Docker Client push Docker host Docker host pull

• 出于安全考虑。 vs. Features of • VMware中国团队开源的企业级镜像仓库项目，聚焦镜 像仓库的企业级需求： – 支持基于角色的访问控制RBAC； – 支持镜像复制策略（PUSH）； – 支持无用镜像数据的自动回收和删除； – 支持LDAP/AD认证； – Web UI； – 提供审计日志功能； – 提供RESTful API，便于扩展； – 支持中文&部署Easy。 Solution2: 基于镜像复制 Cons and Pros • 优点 – 标准方案，Scaling好 – 数据实时一致 • 不足 – 门槛高，需要具备现成的 共享存储 – 搭建难度略高 • 优点 – 门槛低，搭建简便 • 不足 – Scaling差，甚至是不能 – 镜像复制延迟，导致数据 阶段性不一致 – 添加Project时，需手工维 护复制规则 Solution2: Solution2: 基于镜像复制 Solution1: 基于共享存储 Solution details • Based on CephFS • External MySQL cluster • Share sessions in Redis Environment & Prerequisites • 三台VM(Ubuntu 16.04及以上版本)； • CephFS、MySQL、Redis已就绪；

https://github.com/docker-library/redis。 Harbor 环境搭建指导书 – CentOS 7.6 4 软件编译 7 步骤 1 复制 Dockerfile。 # cd make/photon/core # mkdir base # cp Dockerfile.base base/Dockerfile # cd base