手把手教你搭建 Harbor 私有镜像仓库，包含完整的自签证书及验证过程
今天带你从0到1搭建一个Harbor仓库，包含完整的自签证书，配置系统信任证书，配置 docker 信任证书等一系列保姆级教程，欢迎大家审阅。
Docker 大家应该比较熟悉了，Docker 之所以能够火遍全球，成为容器化的代名词，Docker Hub 绝对功不可没。
Docker Hub 中央仓库是基于 Docker Registry 构建的，但是默认的 Docker Registry 比较基础和底层，很多基于 Registry 进行了二次开发，而其中最著名的可能就要数 harbor 了。
今天我们就来实践安装当前最新版 Harbor 仓库吧！
官网地址：https://goharbor.io/
当前最新版本为：2.11.1, 以后再更新估计安装也大差不差，因为目前的安装方式已经几年没变过了。
Harbor 安装相对比较简单，一般推荐直接下载 离线安装包（包含有离线镜像）。
下载地址：
https://github.com/goharbor/harbor/releases
安装 Harbor 需要机器上提前安装好 docker & docker-compose, 如果没有安装可以参照我之前的文章：
【快来体验一下 AlmaLinux 并快速安装 docker & docker-compose 吧】
Harbor 安装推荐的机器配置如下
我这里使用的 virtual box 虚拟机配置不算太高，不过应该能跑起来，试试吧！
如需了解 Virtual Box 安装虚拟机，可以参考我之前写过的一篇文章：
【VirtualBox 安装 Linux 和 Windows 保姆级教程指导（多图慎入）】
安装 Harbor 的步骤一般如下：
0， 机器安装 docker & docker-compose
1， 下载离线安装包
2， 自签证书或者使用已有的 SSL 证书（可选）
3， 修改配置文件
4， 安装并启动服务
下面我会带你全面从 0-1 完成一个单机版的 Harbor 仓库的搭建。
下载离线包
上面已经贴过下载地址了，这里直接演示命令，安装目录位于 /opt/ 下
cd /opt/
wget https://github.com/goharbor/harbor/releases/download/v2.11.1/harbor-offline-installer-v2.11.1.tgz
自签证书
由于 docker 默认拉取镜像是 https 方式，而配置 https 需要 ssl 证书，所以我们来自签一个证书吧。当然 docker 也支持非安全拉取，这不是主要想新学一门技能吗，哈哈，开整。
主要分以下 6 步，我这里以 hub.laijuba.com 域名为例供参考
#1 创建 ca.key
openssl genrsa -out ca.key 4096
#2 创建 ca.crt
openssl req -x509 -new -nodes -sha512 -days 365 \
-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=Harbor Root CA" \
-key ca.key \
-out ca.crt
#3 创建 hub.laijuba.com.key
openssl genrsa -out hub.laijuba.com.key 4096
#4 创建 hub.laijuba.com.csr
openssl req -sha512 -new \
-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=hub.laijuba.com" \
-key hub.laijuba.com.key \
-out hub.laijuba.com.csr
#4 构建用于域名配置的 v3.ext 文件
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=hub.laijuba.com
EOF
#5 构建 hub.laijuba.com.crt
openssl x509 -req -sha512 -days 3650 \
-extfile v3.ext \
-CA ca.crt -CAkey ca.key -CAcreateserial \
-in hub.laijuba.com.csr \
-out hub.laijuba.com.crt
#6 构建 hub.laijuba.com.cert
openssl x509 -inform PEM -in hub.laijuba.com.crt -out hub.laijuba.com.cert
经过上述操作，总计得到了如下文件：
• ca.key
• ca.crt
• hub.laijuba.com.key
• hub.laijuba.com.csr
• v3.ext
• hub.laijuba.com.crt
• hub.laijuba.com.cert
Harbor 搭建需要用到：
• ca.crt
• hub.laijuba.com.key
• hub.laijuba.com.crt
Docker 配置证书需要用到：
• ca.crt
• hub.laijuba.com.key
• hub.laijuba.com.cert
以上证书先备用，后续会用到。
安装 Harbor
解压离线包，并配置，直接看下方操作吧
tar -zxf harbor-offline-installer-v2.11.1.tgz
cd harbor
cp harbor.yml.tmpl harbor.yml
# 编辑 harbor.yml 相关配置, 只保留更改的部分，其他未改动的省略
vim harbor.yml
...
hostname: hub.laijuba.com
...
certificate: /opt/harbor/ssl/hub.laijuba.com.crt
private_key: /opt/harbor/ssl/hub.laijuba.com.key
...
data_volume: /data/harbor
# 创建 /opt/harbor/ssl 目录
mkdir ssl
# 拷贝证书
cp ../hub.laijuba.com.crt ../hub.laijuba.com.key ssl/
# 执行安装
./install.sh
等待执行完毕
安装成功
会自动生成一个 docker-compose.yml, 执行 docker-compose ps 可以查看状态, status 都是 healthy 则表示启动成功。
docker-compose ps
验证 Harbor
配置 /etc/hosts, 因为是自签的证书，所以配置一下 hosts 模拟 dns 解析
# 要用虚拟机的 IP，不要用 127.0.0.1
10.0.2.15 hub.laijuba.com
注：如果是本机搭建，不要配置 127.0.0.1，否则下面的 Docker 验证始终是成功的，因为默认 docker 拉取镜像配置的有 Insecure Registries: 127.0.0.0/8
使用 curl 模拟请求, 使用 -k 可以忽略证书校验
# 提示证书错误（预料之中）
curl -i https://hub.laijuba.com
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.se/docs/sslcerts.html
curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.
# -k 忽略校验响应正常
curl -i -k https://hub.laijuba.com
HTTP/1.1 200 OK
Server: nginx
Date: Tue, 03 Sep 2024 15:09:33 GMT
Content-Type: text/html
Content-Length: 785
Connection: keep-alive
Last-Modified: Thu, 15 Aug 2024 10:00:30 GMT
ETag: "66bdd1be-311"
Cache-Control: no-store, no-cache, must-revalidate
Accept-Ranges: bytes
Strict-Transport-Security: max-age=31536000; includeSubdomains; preload
X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none'
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8"/>
<title>Harbor</title>
...
配置 linux 信任 ca 证书，我这里是 AlmaLinux(Red Hat系列）其他 linux 请自行搜索
cp ../ca.crt /etc/pki/ca-trust/source/anchors/
update-ca-trust
# 再次执行curl，不需要带 -k 也可以正常了
curl -i https://hub.laijuba.com
HTTP/1.1 200 OK
Server: nginx
Date: Tue, 03 Sep 2024 15:17:00 GMT
Content-Type: text/html
Docker 验证
验证一下 docker login，默认是会证书校验不通过的
docker login hub.laijuba.com
# 报错
Username: admin
Password:
Error response from daemon: Get "https://hub.laijuba.com/v2/": tls: failed to verify certificate: x509: certificate signed by unknown authority
由于在上一步中已经系统信任了证书，但是需要重启一下 docker 才能加载到 受信任的证书。
尝试重启 docker 试试，成功了！
# 先把 harbor 停掉，等 docker 起来再拉起来
docker-compose down
# 重启 docker
systemctl restart docker
# 重新启动 harbor（等待启动完毕）
docker-compose up -d
# 需 STATUS = healthy 才行
docker-compose ps
docker login hub.laijuba.com
Username: admin
Password:
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credential-stores
Login Succeeded
上面自签证书经过 linux 信任 ca 证书导致 docker 能生效的，如果不希望系统信任 ca 证书应该怎么办呢？
下面再实践一下通过 docker 配置证书
首先取消 linux ca 信任
rm -rf /etc/pki/ca-trust/source/anchors/ca.crt
update-ca-trust
curl -i https://hub.laijuba.com
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.se/docs/sslcerts.html
curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.
curl 已经不能用了，证明系统级的证书信任已失效，重启 docker 验证是否还可以（步骤同上）
# 同样先停止 harbor
docker-compose down
# 重启 docker
systemctl restart docker
# 启动 harbor（徐等待启动完毕）
docker-compose up -d
# 需 STATUS = healthy 才行
docker-compose ps
# 登出 harbor
docker logout hub.laijuba.com
# 重新登录
docker login hub.laijuba.com
# 报错
Username: admin
Password:
Error response from daemon: Get "https://hub.laijuba.com/v2/": tls: failed to verify certificate: x509: certificate signed by unknown authority
接下来按照 docker 官网的配置来实践只给 docker 配置认证
https://github.com/goharbor/harbor/releases
mkdir -p /etc/docker/certs.d/hub.laijuba.com
# 拷贝 cert, key, ca.crt 至上述目录下
cp ../hub.laijuba.com.cert ../hub.laijuba.com.key ../ca.crt /etc/docker/certs.d/hub.laijuba.com/
ls -al /etc/docker/certs.d/hub.laijuba.com
total 12
drwxr-xr-x. 2 root root 75 Sep 4 18:05 .
drwxr-xr-x. 3 root root 29 Sep 4 18:05 ..
-rw-r--r--. 1 root root 2053 Sep 4 18:05 ca.crt
-rw-r--r--. 1 root root 2134 Sep 4 18:05 hub.laijuba.com.cert
-rw-------. 1 root root 3272 Sep 4 18:05 hub.laijuba.com.key
继续重启 docker, 操作同上面
# 同样先停止 harbor
docker-compose down
# 重启 docker
systemctl restart docker
# 启动 harbor（徐等待启动完毕）
docker-compose up -d
# 需 STATUS = healthy 才行
docker-compose ps
# 重新登录
docker login hub.laijuba.com
Username: admin
Password:
WARNING! Your password will be stored unencrypted in /root/.docker/config.json.
Configure a credential helper to remove this warning. See
https://docs.docker.com/engine/reference/commandline/login/#credential-stores
Login Succeeded
OK, 单独配置 docker 使用证书也验证通过。
总结
今天主要分享了 Harbor 私有仓库的搭建，正常搭建比较简单，最主要是尝试通过自签证书实现 HTTPS 访问，包括验证了 linux 系统级信任自签证书和 docker daemon 配置信任自签证书，希望对你有所帮助。
关于证书，多啰嗦几句，现在全球都在推进 SSL 安全加密，越来越多的网站采用了 HTTPS 访问，没有启用 HTTPS 的网站可能即将在 浏览器 里禁止访问了，下一篇文章计划分享如何获取免费的 SSL 证书并给自己的网站配置 HTTPS 访问，敬请期待。
感谢大家的阅读，如有任何问题，欢迎冠珠公中号: 新质程序猿，找到我，有问必答，一起成长。
另外还可以领取我珍藏的 **6000T** 高清资源哟，赠人玫瑰，手有余香，不怕你学不会，就怕你不学啊！
开放原子开发者工作坊旨在鼓励更多人参与开源活动，与志同道合的开发者们相互交流开发经验、分享开发心得、获取前沿技术趋势。工作坊有多种形式的开发者活动，如meetup、训练营等，主打技术交流，干货满满，真诚地邀请各位开发者共同参与！
更多推荐
16
0- 0
已为社区贡献3条内容
所有评论(0)