配置 HTTPS 访问 Harbor

Harbor docs | Configure HTTPS Access to Harbor 官网参考地址

如果 Harbor 正在运行，请停止并删除现有实例。

您的图像数据保留在文件系统中，因此不会丢失任何数据。

生成 CA 证书私钥。

openssl genrsa -out ca.key 4096

生成 CA 证书。

openssl req -x509 -new -nodes -sha512 -days 3650 \
 -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
 -key ca.key \
 -out ca.crt

生成服务器证书

证书通常包含一个.crt文件和一个.key文件，例如，yourdomain.com.crt和yourdomain.com.key.

生成私钥。

openssl genrsa -out yourdomain.com.key 4096

生成证书签名请求 (CSR)。

调整-subj选项中的值以反映您的组织。如果使用 FQDN 连接 Harbor 主机，则必须将其指定为公用名 ( CN) 属性并在密钥和 CSR 文件名中使用它。

openssl req -sha512 -new \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
    -key yourdomain.com.key \
    -out yourdomain.com.csr

 生成 x509 v3 扩展文件。

无论您是使用 FQDN 还是 IP 地址连接到您的 Harbor 主机，您都必须创建此文件，以便为您的 Harbor 主机生成符合主题备用名称 (SAN) 和 x509 v3 的证书扩展要求。替换DNS条目以反映您的域。

cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1=yourdomain.com
DNS.2=yourdomain.com
DNS.3=yourdomain.com
EOF

如果是ip访问

cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.1.182
EOF

使用该v3.ext文件为您的 Harbor 主机生成证书。

将yourdomain.comCRS 和 CRT 文件名中的 替换为 Harbor 主机名。

openssl x509 -req -sha512 -days 3650 \
    -extfile v3.ext \
    -CA ca.crt -CAkey ca.key -CAcreateserial \
    -in yourdomain.com.csr \
    -out yourdomain.com.crt

向 Harbor 和 Docker 提供证书

生成后ca.crt，yourdomain.com.crt和yourdomain.com.key文件，必须将它们提供给港口和码头工人，和重新配置港使用它们。

1. 将服务器证书和密钥复制到 Harbor 主机上的 certficates 文件夹中。 

cp yourdomain.com.crt /data/cert/
cp yourdomain.com.key /data/cert/

 转换yourdomain.com.crt为yourdomain.com.cert，供 Docker 使用。

Docker 守护进程将.crt文件解释为 CA 证书，将.cert文件解释为客户端证书。

openssl x509 -inform PEM -in yourdomain.com.crt -out yourdomain.com.cert

将服务器证书、密钥和 CA 文件复制到 Harbor 主机上的 Docker 证书文件夹中。您必须先创建适当的文件夹。

cp yourdomain.com.cert /etc/docker/certs.d/yourdomain.com/
cp yourdomain.com.key /etc/docker/certs.d/yourdomain.com/
cp ca.crt /etc/docker/certs.d/yourdomain.com/

如果将默认nginx端口443 映射到其他端口，请创建文件夹/etc/docker/certs.d/yourdomain.com:port或/etc/docker/certs.d/harbor_IP:port

证书的目录结构

/etc/docker/certs.d/
└── harbor.od.com
    ├── ca.crt
    ├── harbor.od.com.cert
    └── harbor.od.com.key

systemctl restart docker

部署或重新配置Harbor

harbor.yml

hostname: yourdomain.com
http:
 port: 80
https:
  port: 443
  certificate: /data/cert/yourdomain.com.crt 
  private_key: /data/cert/yourdomain.com.key
external_url: https://yourdomain.com
harbor_admin_password: Harbor12345
database:
  password: root123
  max_idle_conns: 50
  max_open_conns: 100
data_volume: /data/harbor
clair:
  updaters_interval: 12
jobservice:
  max_job_workers: 10
notification:
  webhook_job_max_retry: 10
chart:
  absolute_url: disabled
log:
  level: info
  local:
    rotate_count: 50
    rotate_size: 200M
    location: /data/harbor/logs
_version: 1.10.0
proxy:
  http_proxy:
  https_proxy:
  no_proxy:
  components:
    - core
    - jobservice
    - clair

./prepare

如果 Harbor 正在运行，请停止并删除现有实例。

您的图像数据保留在文件系统中，因此不会丢失任何数据。

docker-compose down -v

docker-compose up -d

 #.install.sh

docker login yourdomain.com

配置的第三方付费证书方法

  certificate: /data/cert/harbor.xxxxxxxx.com.pem
  private_key: /data/cert/harbor.xxxxxxxx.com.key

注意：pem格式不需要转为crt格式，要不然nginx会起不来