1. 为什么需要私有镜像仓库在容器化部署过程中我们经常遇到公共镜像仓库拉取速度慢、稳定性差的问题。上周团队在阿里云上部署服务时就遇到了Docker Hub限速导致镜像拉取超时的情况整个CI/CD流程因此停滞了2个多小时。这促使我开始研究搭建私有Harbor镜像仓库的方案。Harbor是VMware开源的镜像仓库管理工具相比直接使用Docker Registry它提供了用户权限管理、镜像扫描、漏洞检测等企业级功能。特别是在国内网络环境下自建Harbor能显著提升镜像拉取速度我们的测试显示相同镜像的拉取时间从原来的3分钟缩短到15秒左右。2. 阿里云环境准备2.1 基础资源配置建议在阿里云上部署Harbor我推荐使用以下配置ECS实例2核4G起步实测单节点每小时处理200次镜像推送请求系统盘100GB存放Docker镜像很占空间操作系统Ubuntu 20.04 LTS兼容性最好带宽按需选择建议5Mbps起步重要提示务必提前在安全组开放80HTTP、443HTTPS和4443Harbor管理端口我们曾经因为漏开4443端口导致安装后无法访问管理界面。2.2 依赖组件安装先安装必要依赖sudo apt-get update sudo apt-get install -y apt-transport-https ca-certificates curl software-properties-commonDocker安装特别注意# 使用阿里云镜像加速安装 curl -fsSL https://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo apt-key add - sudo add-apt-repository deb [archamd64] https://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable sudo apt-get install -y docker-ce docker-ce-cli containerd.io3. Harbor部署实战3.1 离线安装包获取从GitHub下载最新稳定版当前推荐v2.5.3wget https://github.com/goharbor/harbor/releases/download/v2.5.3/harbor-offline-installer-v2.5.3.tgz tar xvf harbor-offline-installer-v2.5.3.tgz cd harbor3.2 关键配置修改编辑harbor.yml时特别注意这几个参数hostname: registry.yourcompany.com # 必须与后续证书域名一致 http: port: 80 https: port: 443 certificate: /your/cert/path # 阿里云SSL证书存放路径 private_key: /your/key/path harbor_admin_password: YourStrongPassword # 一定要改默认密码3.3 启动与验证执行安装脚本sudo ./install.sh验证服务是否正常docker-compose ps应该看到10个容器都处于healthy状态。4. 日常运维技巧4.1 镜像推送示例先登录私有仓库docker login registry.yourcompany.com标记并推送镜像docker tag nginx:latest registry.yourcompany.com/library/nginx:prod-v1 docker push registry.yourcompany.com/library/nginx:prod-v14.2 空间清理策略通过定期执行垃圾回收释放空间docker exec -it harbor-registry registry garbage-collect /etc/registry/config.yml建议设置自动清理策略保留最近7天的镜像每个Tag最多保留5个版本每周日凌晨2点执行清理4.3 性能监控方案在阿里云控制台配置自定义监控监控指标/api/v2.0/health接口响应时间告警阈值500ms触发告警关联SLS日志分析推送失败记录5. 常见问题排查5.1 证书问题错误现象x509: certificate signed by unknown authority 解决方法# 将CA证书复制到Docker配置目录 sudo mkdir -p /etc/docker/certs.d/registry.yourcompany.com sudo cp your_ca.crt /etc/docker/certs.d/registry.yourcompany.com/ca.crt sudo systemctl restart docker5.2 存储空间不足错误现象no space left on device 解决方法检查Docker存储驱动docker info | grep Storage Driver如果是devicemapper建议改为overlay25.3 高并发推送失败优化方案# 在harbor.yml中添加 registry: middleware: storage: redirect: disable: true storage: cache: blobdescriptor: redis6. 安全加固建议启用内容信任Docker Content Trustexport DOCKER_CONTENT_TRUST1配置镜像扫描策略高危漏洞镜像自动拦截每日全量扫描一次开启操作审计日志记录所有push/pull操作保留180天日志实际部署中发现启用内容信任后虽然增加了安全性但会使得镜像推送时间延长约30%。建议根据业务场景权衡使用。
