Harbor是由VMware公司开源的企业级的Docker Registry管理项目,它包括权限管理(RBAC)、LDAP、日志审核、管理界面、自我注册、镜像复制和中文支持等功能。
官网地址:https://github.com/goharbor/harbor
一,为Harbor自签发证书
第一步:创建根证书私钥
使用 OpenSSL 生成一个 3072 位的 RSA 私钥,并将其保存到一个名为 ca.key 的文件中,可以用这个私钥去签发证书或进行其他加密操作。
# 创建私钥,命名为ca.key
openssl genrsa -out ca.key 3072
解释说明:
- openssl 是调用 OpenSSL 命令行工具。
- genrsa 表示生成一个 RSA 私钥。
- -out ca.key 指定将生成的私钥保存到名为 ca.key 的文件中。
- 3072 指定生成的 RSA 密钥的长度为 3072 位。
第二步:用创建的根证书私钥,生成根证书
使用 OpenSSL 创建一个自签名的 X.509 证书,并将其保存到一个名为 ca.pem 的文件中,ca.pem 文件会包含一个自签名的证书,可以用于各种用途,比如作为一个简单的 CA(证书颁发机构)证书,或者在开发和测试环境中用于 HTTPS 等。
# 证书请求的文件,命名为ca.pem
openssl req -new -x509 -days 3650 -key ca.key -out ca.pem
解释说明:
- req 表示生成证书请求和证书的子命令。
- -new 表示创建一个新的证书请求。
- -x509 表示生成一个自签名的证书,而不是证书请求。X.509 是一种常用的证书标准。
- -days 3650 指定证书的有效期为 3650 天(大约 10 年)。
- -key ca.key 指定用于签名证书的私钥文件 ca.key。这个私钥文件应该是之前生成的。
- -out ca.pem 指定将生成的自签名证书保存到名为 ca.pem 的文件中。
第三步:创建根证书私钥02
使用 OpenSSL 生成一个 3072 位的 RSA 私钥,并将其保存到一个名为 harbormei.key 的文件中,生成的私钥文件 harbormei.key 是 PEM 格式,可以用 OpenSSL 工具进行查看和进一步处理。
openssl genrsa -out harbormei.key 3072
解释说明:
- openssl 是调用 OpenSSL 命令行工具。
- genrsa 表示生成一个 RSA 私钥。
- -out harbormei.key 指定将生成的私钥保存到名为 harbormei.key 的文件中。
- 3072 指定生成的 RSA 密钥的长度为 3072 位。
第四步:用创建的根证书私钥02,生成域名证书文件02
使用 OpenSSL 生成一个新的证书签名请求(CSR),并将其保存到一个名为 harbormei.csr 的文件中。该文件是一个 PEM 格式的文件,它包含了公钥和你输入的详细信息,但没有私钥。
openssl req -new -key harbormei.key -out harbormei.csr
解释说明:
- openssl 是调用 OpenSSL 命令行工具。
- req 表示生成证书请求的子命令。
- -new 表示创建一个新的证书签名请求。
- -key harbormei.key 指定使用之前生成的私钥文件 harbormei.key 来签名这个证书请求。
- -out harbormei.csr 指定将生成的证书签名请求保存到名为 harbormei.csr 的文件中。
运行这个命令后,系统会提示你输入一些信息,比如:
国家 (Country)
州或省 (State or Province)
地理位置 (Locality)
组织名称 (Organization)
组织单位名称 (Organizational Unit)
公共名 (Common Name),通常是域名或 IP 地址
电子邮件地址 (Email Address)
第五步:签发正式证书
使用 ca.pem 和 ca.key 作为 CA 证书和私钥,来签署 harbormei.csr 生成的证书请求,最终生成一个新的证书 harbormei.pem。这个证书的有效期为 3650 天。生成的 harbormei.pem 证书可以用于各种安全通信用途,比如 HTTPS 服务器、客户端认证等。
openssl x509 -req -in harbormei.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out harbormei.pem -days 3650
解释说明:
- openssl 是调用 OpenSSL 命令行工具。
- x509 表示处理 X.509 证书的子命令。
- -req 表示这个命令输入的是一个证书签名请求(CSR)。
- -in harbormei.csr 指定输入的证书签名请求文件是 harbormei.csr。
- -CA ca.pem 指定用于签名的 CA 证书文件是 ca.pem。
- -CAkey ca.key 指定用于签名的 CA 私钥文件是 ca.key。
- -CAcreateserial 表示如果没有 CA 序列号文件(通常是一个 .srl 文件),则创建一个新的。
- -out harbormei.pem 指定输出生成的签名证书文件名为 harbormei.pem。
- -days 3650 指定生成的证书的有效期为 3650 天(大约 10 年)。
二,安装Harbor
准备环境
# 关闭防火墙
systemctl stop firewalld && systemctl disable firewalld
# 关闭selinux
setenforce 0
sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config
# 注意:修改selinux配置文件之后,重启机器,selinux才能永久生效
reboot
# 配置时间同步
yum install -y ntpdate
ntpdate cn.pool.ntp.org
# 编写计划任务
crontab -e
* * * * * /usr/sbin/ntpdate cn.pool.ntp.org
# 重启crond服务使配置生效:
systemctl restart crond
配置hosts文件:
vim /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.40.62 harbormei.com
安装基础软件包
yum install -y wget net-tools nfs-utils lrzsz gcc gcc-c++ make cmake libxml2-devel openssl-devel curl curl-devel unzip sudo ntp libaio-devel wget vim ncurses-devel autoconf automake zlib-devel python-devel epel-release openssh-server socat ipvsadm conntrack
安装并启动docker
# 配置docker-ce国内yum源(阿里云)
yum install -y yum-utils
yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
# 安装docker-ce
yum install docker-ce -y
# 启动docker服务并设置开机启动
systemctl start docker && systemctl enable docker
# 查看docker状态
systemctl status docker
# 查看Docker 版本信息
docker version
三,开启包转发功能和修改内核参数
内核参数修改:
br_netfilter模块用于将桥接流量转发至iptables链,br_netfilter内核参数需要开启转发。
# 加载内核模块
modprobe br_netfilter
cat > /etc/sysctl.d/docker.conf <<EOF
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
net.ipv4.ip_forward = 1
EOF
# 查看并加载出内容
sysctl -p /etc/sysctl.d/docker.conf
# 重启docker
systemctl restart docker
四,安装harbor
# 创建安装目录
mkdir /data/install -p
cd /data/install/
1,下载harbor离线包
或者把harbor的离线包harbor-offline-installer-v2.3.0-rc3.tgz上传到这个目录。
官网的地址:
https://github.com/goharbor/harbor/tags
# 解压
tar zxvf harbor-offline-installer-v2.3.0-rc3.tgz
cd harbor
cp harbor.yml.tmpl harbor.yml
# 修改配置文件:
vi harbor.yml
# 修改hostname,和签发证书的域名要相同
hostname: harbormei.com
# 证书路径配置
certificate: /data/ssl/harbor.pem
private_key: /data/ssl/harbor.key
其他配置 默认即可。
注意:harbor默认的账号密码:admin/Harbor12345
2,安装docker-compose
下载‘docker-compose-Linux-x86_64’安装包,或者上传离线包
# 移动到bin目录
mv docker-compose-Linux-x86_64.64 /bin/docker-compose
# 添加执行权限
chmod +x /bin/docker-compose
说明:
docker-compose项目是Docker官方的开源项目,负责实现对Docker容器集群的快速编排。
docker-compose的工程配置文件默认为docker-compose.yml,docker-compose运行目录下的必要有一个docker-compose.yml。
docker-compose可以管理多个docker实例。
3,安装harbor
安装离线的镜像包docker-harbor-2-3-0.tar.gz,该镜像是docker save -o
命令生成,上传到harbor机器,并通过docker load -i 解压。
docker load -i docker-harbor-2-3-0.tar.gz
cd /data/install/harbor
# 执行安装命令,该命令适用了docker-compose 进行批量安装
./install.sh
4,harbor图形界面
- 本地电脑hosts绑定域名,加入一下代码
192.168.40.62 harbormei.com
- 浏览器访问:https://www.harbormei.com
输入账号和密码:
账号:admin 密码:Harbor12345
5,扩展:关掉/启动harbor
# 停掉harbor:
cd /data/install/harbor
docker-compose stop
# 启动harbor:
cd /data/install/harbor
docker-compose up -d
注意:如果docker-compose up -d 启动harbor之后,还是访问不了,那就需要重启虚拟机。
五,使用harbor私有镜像仓库
其他机器节点,如何使用配置好的镜像仓库呢?
1, 修改docker镜像源
vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://a88uijg4.mirror.aliyuncs.com","https://docker.m.daocloud.io"],
"insecure-registries": ["192.168.40.62","harbormei.com"]
}
# 修改配置之后使配置生效:
systemctl daemon-reload && systemctl restart docker
# 查看docker是否启动成功
systemctl status docker
2,互绑定主机
所有机器节点,都添加上绑定域名
vi /etc/hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.40.62 harbormei.com
192.168.40.180 mdymaster1
3,登录harbor
所有非harbor安装主机的机器,都登录节点
# 登录harbor
# Username:admin Password: Harbor12345
docker login 192.168.40.62
4,上传和下载镜像
以 a’lpine镜像为例子,创建项目为 alpine。
命令格式:docker push/pull 192.168.40.62/[创建的项目名]/alpine:v1
# 上传镜像
docker push 192.168.40.62/alpine/alpine:v1
# 拉取镜像
docker pull 192.168.40.62/alpine/alpine:v1
如果登录时候使用域名登录:docker login harbormei.com
命令格式:docker push/pull harbormei.com/[创建的项目名]/alpine:v1