Docker Private Registry
文章目录
Docker Registry
网上有很多的服务器都支持第三方用户注册，而后基于用户名去做自己的仓库，但是使用互联网上的有一个缺陷，那就是我们去推送和下载镜像时都不会很快，而在生产环境中很可能并行启动的容器将达到几十、上百个，而且很有可能每个服务器本地是没有镜像的，此时如果通过互联网去下载镜像会有很多问题，比如下载速度会很慢、带宽会用很多等等，如果带宽不够的话， 下载至启动这个过程可能要持续个几十分钟，这已然违背了使用容器会更加轻量、快速的初衷和目的。 因此，很多时候我们很有可能需要去做自己的私有Registry。
Registry用于保存docker镜像，包括镜像的层次结构和元数据。用户可以自建Registry，也可以使用官方的Docker Hub。
Docker Registry分类：
- Sponsor Registry：第三方的Registry，供客户和Docker社区使用
- Mirror Registry：第三方的Registry，只让客户使用
- Vendor Registry：由发布docker镜像的供应商提供的registry
- Private Registry：通过设有防火墙和额外的安全层的私有实体提供的registry
事实上，如果运维的系统环境托管在云计算服务上，比如阿里云，那么用阿里云的Registry则是最好的选择。很多时候我们的生产环境不会在本地，而是托管在数据中心机房里，如果我们在数据中心机房里的某台主机上部署Registry，因为都在同一机房，所以属于同一局域网，此时数据传输走内网，效率会极大的提升。
所有的Registry默认情况下都是基于https工作的，这是Docker的基本要求，而我自建Registry时很可能是基于http工作的，但是Docker默认是拒绝使用http提供Registry服务的，除非明确的告诉它，我们就是要用http协议的Registry。
Docker Private Registry
为了帮助我们快速创建私有Registry，Docker专门提供了一个名为Docker Distribution的软件包，我们可以通过安装这个软件包快速构建私有仓库。
问：既然Docker是为了运行程序的，Docker Distribution能否运行在容器中？
容器时代，任何程序都应该运行在容器中，除了Kernel和init。而为了能够做Docker Private Registry，Docker Hub官方直接把Registry做成了镜像，我们可以直接将其pull到本地并启动为容器即可快速实现私有Registry。
Registry的主要作用是托管镜像，Registry运行在容器中，而容器自己的文件系统是随着容器的生命周期终止和删除而被删除的，所以当我们把Registry运行在容器中时，客户端上传了很多镜像，随着Registry容器的终止并删除，所有镜像都将化为乌有，因此这些镜像应该放在存储卷上，而且这个存储卷最好不要放在Docker主机本地，而应该放在一个网络共享存储上，比如NFS。不过，镜像文件自己定义的存储卷，还是一个放在Docker本地、Docker管理的卷，我们可以手动的将其改成使用其它文件系统的存储卷。
这就是使用容器来运行Registry的一种简单方式。自建Registry的另一种方式，就是直接安装docker-distribution软件。
使用docker-distribution自建Registry
自建Registry
[root@localhost ~]# yum install -y http://mirror.centos.org/centos/7/extras/x86_64/Packages/docker-distribution-2.6.2-2.git48294d9.el7.x86_64.rpm
......
Complete!
[root@localhost ~]# vim /etc/docker-distribution/registry/config.yml
log:
fields:
service: registry
storage:
cache:
layerinfo: inmemory
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
[root@localhost ~]# systemctl start docker-distribution.service
[root@localhost ~]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 [::]:22 [::]:*
LISTEN 0 128 *:5000
使用自建的Registry去上传镜像
# 使用insecure-registries参数添加http支持
[root@localhost ~]# vim /etc/docker/daemon.json
[root@localhost ~]# cat /etc/docker/daemon.json
{
"registry-mirrors": ["https://cj9sucfo.mirror.aliyuncs.com"]
"insecure-registries":["192.168.56.162:5000"]
}
[root@docker ~]# systemctl daemon-reload
[root@docker ~]# systemctl restart docker
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
busybox latest 7a80323521cc 12 days ago 1.24MB
[root@localhost ~]# docker tag busybox:latest 192.168.56.162:5000/busybox:v1
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
192.168.56.162:5000/busybox v1 7a80323521cc 12 days ago 1.24MB
busybox latest 7a80323521cc 12 days ago 1.24MB
[root@localhost ~]# docker push 192.168.56.162:5000/busybox:v1
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
192.168.56.162:5000/busybox v1 7a80323521cc 12 days ago 1.24MB
busybox latest 7a80323521cc 12 days ago 1.24MB
[root@localhost ~]# docker rmi 192.168.56.162:5000/busybox:v1
Untagged: 192.168.56.162:5000/busybox:v1
[root@localhost ~]# docker images
REPOSITORY TAG IMAGE ID CREATED SIZE
busybox latest 7a80323521cc 12 days ago 1.24MB
[root@localhost ~]# docker pull 192.168.56.162:5000/busybox:v2
{"repositories":["busybox"]}
[root@localhost ~]# curl http://192.168.56.162:5000/v2/busybox/tags/list
{"name":"busybox","tags":["v1"]}
使用官方镜像自建Registry
[root@localhost ~]# vim /etc/docker/daemon.json
......
"insecure-registries":["192.168.56.162:5000"]
[root@localhost ~]# systemctl daemon-reload
[root@localhost ~]# systemctl restart docker
[root@localhost ~]# docker search registry
NAME DESCRIPTION STARS OFFICIAL AUTOMATED
registry The Docker Registry 2.0 implementation for s… 3649 [OK]
[root@localhost ~]# docker pull registry
......
[root@node02 ~]# docker run -d -p 5000:5000 -v /opt/data/registry:/tmp/registry registry
[root@node02 ~]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port
LISTEN 0 100 127.0.0.1:25 *:*
LISTEN 0 128 *:22 *:*
LISTEN 0 100 [::1]:25 [::]:*
LISTEN 0 128 [::]:5000 [::]:*
LISTEN 0 128 [::]:22 [::]:*
Harbor
无论是使用Docker-distribution去自建仓库，还是通过官方镜像跑容器的方式去自建仓库，通过前面的演示我们可以发现其是非常的简陋的，还不如直接使用官方的Docker Hub去管理镜像来得方便，至少官方的Docker Hub能够通过web界面来管理镜像，还能在web界面执行搜索，还能基于Dockerfile利用Webhooks和Automated Builds实现自动构建镜像的功能，用户不需要在本地执行docker build，而是把所有build上下文的文件作为一个仓库推送到github上，让Docker Hub可以从github上去pull这些文件来完成自动构建。
但无论官方的Docker Hub有多强大，它毕竟是在国外，所以速度是最大的瓶颈，我们很多时候是不可能去考虑使用官方的仓库的，但是上面说的两种自建仓库方式又十分简陋，不便管理，所以后来就出现了一个被 CNCF 组织青睐的项目，其名为Harbor。
Harbor简介
Harbor是由VMWare在Docker Registry的基础之上进行了二次封装，加进去了很多额外程序，而且提供了一个非常漂亮的web界面。
Project Harbor 是一个开源的可信云原生注册表项目，用于存储、签名和扫描上下文。
Harbor 通过添加用户通常需要的功能（如安全性、身份和管理）来扩展开源 Docker 分发版。
Harbor 支持高级功能，例如用户管理、访问控制、活动监控和实例间复制。
Harbor的功能
Feathers：
- 多租户内容签名和验证
- 安全性和漏洞分析
- 审核记录
- 身份集成和基于角色的访问控制
- 实例之间的映像复制
- 可扩展的API和图形用户界面
- 国际化（currently English and Chinese）
Docker compose
Harbor在物理机上部署是非常难的，而为了简化Harbor的应用，Harbor官方直接把Harbor做成了在容器中运行的应用，而且这个容器在Harbor中依赖类似redis、mysql、pgsql等很多存储系统，所以它需要编排很多容器协同起来工作，因此VMWare Harbor在部署和使用时，需要借助于Docker的单机编排工具(Docker compose)来实现。
Compose 是用于定义和运行多容器 Docker 应用程序的工具。使用 Compose，您可以使用 YAML 文件来配置应用程序的服务。然后，使用单个命令，从配置中创建并启动所有服务。
Harbor部署
[root@localhost ~]# wget https://github.com/goharbor/harbor/releases/download/v2.4.3/harbor-offline-installer-v2.4.3.tgz
--2022-08-11 22:20:35-- (try: 2) https://objects.githubusercontent.com/github-production-release-asset-2e65be/50613991/9bacae73-a428-47df-8c8b-c284409937a7?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAIWNJYAX4CSVEH53A%2F20220811%2Fus-east-1%2Fs3%2Faws4_request&X-Amz-Date=20220811T141829Z&X-Amz-Expires=300&X-Amz-Signature=cda0faad1f8e4156c06010721f0613bde0dc776f97aecec014129cf654609095&X-Amz-SignedHeaders=host&actor_id=0&key_id=0&repo_id=50613991&response-content-disposition=attachment%3B%20filename%3Dharbor-offline-installer-v2.4.3.tgz&response-content-type=application%2Foctet-stream
Connecting to objects.githubusercontent.com (objects.githubusercontent.com)|185.199.108.133|:443... connected.
HTTP request sent, awaiting response... 206 Partial Content
Length: 657593723 (627M), 657099318 (627M) remaining [application/octet-stream]
Saving to: ‘harbor-offline-installer-v2.4.3.tgz’
harbor-offline-installer-v2.4.3.tgz 100%[======================================================================================>] 627.13M 1.04MB/s in 12m 18s
2022-08-11 22:32:55 (869 KB/s) - ‘harbor-offline-installer-v2.4.3.tgz’ saved [657593723/657593723]
[root@localhost ~]# curl -SL https://github.com/docker/compose/releases/download/v2.7.0/docker-compose-linux-x86_64 -o /usr/local/bin/docker-compose
% Total % Received % Xferd Average Speed Time Time Time Current
Dload Upload Total Spent Left Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:-- --:--:-- 0
100 24.5M 100 24.5M 0 0 582k 0 0:00:43 0:00:43 --:--:-- 207k
[root@localhost ~]# cd /usr/local/bin/
[root@localhost bin]# ll
total 25188
-rw-r--r--. 1 root root 25792512 Aug 11 22:37 docker-compose
[root@localhost bin]# chmod +x docker-compose
[root@localhost bin]# ln -s /usr/local/bin/docker-compose /usr/bin/docker-compose
[root@localhost bin]# cd
[root@localhost ~]# which docker-compose
/usr/local/bin/docker-compose
[root@localhost ~]# docker-compose version
Docker Compose version v2.7.0
[root@localhost ~]# tar xf harbor-offline-installer-v2.4.3.tgz -C /usr/local/
[root@localhost ~]# cd /usr/local/
[root@localhost local]# ls
bin etc games harbor include lib lib64 libexec sbin share src
[root@localhost local]# cd harbor/
[root@localhost harbor]# ls
common.sh harbor.v2.4.3.tar.gz harbor.yml.tmpl install.sh LICENSE prepare
[root@localhost harbor]# mv harbor.yml.tmpl harbor.yml
[root@localhost harbor]# vim harbor.yml
hostname: 192.168.56.162 //修改为当前 IP；如果配置了域名映射，也可修改为域名
......
# http related config
http:
# port for http, default is 80. If https enabled, this port will redirect to https port
port: 80
# https related config
#https: //注释
# https port for harbor, default is 443
# port: 443 //注释
# The path of cert and key files for nginx
#certificate: /your/certificate/path //注释
#private_key: /your/private/key/path //注释
[root@localhost harbor]# vim /etc/docker/daemon.json
......
"insecure-registries":["192.168.56.162"]
[root@localhost harbor]# ./install.sh
......
[+] Running 10/10
⠿ Network harbor_harbor Created 0.5s
⠿ Container harbor-log Started 1.6s
⠿ Container registryctl Started 8.6s
⠿ Container registry Started 8.5s
⠿ Container harbor-db Started 4.8s
⠿ Container harbor-portal Started 8.5s
⠿ Container redis Started 8.6s
⠿ Container harbor-core Started 10.5s
⠿ Container harbor-jobservice Started 14.0s
⠿ Container nginx Started 14.1s
✔ ----Harbor has been installed and started successfully.----
[root@localhost harbor]# ss -antl
State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
LISTEN 0 128 127.0.0.1:1514 0.0.0.0:*
LISTEN 0 128 0.0.0.0:80 0.0.0.0:*
LISTEN 0 128 0.0.0.0:22 0.0.0.0:*
LISTEN 0 128 [::]:80 [::]:*
LISTEN 0 128 [::]:22 [::]:*
LISTEN 0 128 *:5000
[root@localhost harbor]# cd
[root@localhost ~]# vim /usr/local/harbor/startall.sh
[root@localhost ~]# vim /etc/rc.d/rc.local
[root@localhost ~]# ll -d /etc/rc.d/rc.local
-rw-r--r--. 1 root root 532 Aug 11 23:22 /etc/rc.d/rc.local
[root@localhost ~]# chmod +x /etc/rc.d/rc.local
[root@localhost ~]# ll -d /etc/rc.d/rc.local
-rwxr-xr-x. 1 root root 532 Aug 11 23:22 /etc/rc.d/rc.local
[root@localhost ~]# cd /
[root@localhost /]# ls
bin boot data dev etc home lib lib64 media mnt opt proc root run sbin srv sys tmp usr var
[root@localhost /]# cd data/
[root@localhost data]# ls
ca_download database job_logs redis registry secret
使用IP登录管理Harbor,用户名是admin，密码是Harbor
[root@localhost ~]# docker login 192.168.56.162
[root@localhost ~]# docker tag busybox:latest 192.168.56.162/abc/busybox:v1
[root@localhost ~]# docker push 192.168.56.162/abc/busybox:v1
使用Harbor的注意事项：
1.在客户端上传镜像时一定要记得执行docker login进行用户认证，否则无法直接push
2.在客户端使用的时候如果不是用的https则必须要在客户端的/etc/docker/daemon.json配置文件中配置insecure-registries参数
3.数据存放路径应在配置文件中配置到一个容量比较充足的共享存储中
4.Harbor是使用docker-compose命令来管理的，如果需要停止Harbor也应用docker-compose stop来停止，其他参数请–help
扫一扫
270
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
