4.2 Docker Registry(1): 搭建私有镜像仓库

目录

4.2 Docker Registry: 搭建私有镜像仓库

1. 为什么需要私有镜像仓库？

2. Docker Registry 简介

3. 搭建私有 Docker Registry

3.1 使用官方 Docker Registry 镜像

3.1.1 启动 Docker Registry

3.1.2 使用持久化存储

3.1.3 启用 HTTPS

3.2 使用 Harbor 搭建企业级私有镜像仓库

3.2.1 安装 Harbor

3.3 使用 Portainer 管理 Docker Registry

4. 最佳实践

4.1 使用 HTTPS

4.2 启用身份验证

4.3 设置访问控制

4.4 定期备份

4.5 镜像签名和扫描

4.6 日志记录和审计

4.7 自动化构建和部署

5. 总结

---

4.2 Docker Registry: 搭建私有镜像仓库

Docker Registry 是一个用于存储和分发 Docker 镜像的服务，广泛应用于企业内部的开发、测试和生产环境中。通过搭建私有镜像仓库，你可以安全地存储和管理自己的 Docker 镜像，确保敏感数据和专有代码不会泄露。本节将详细介绍如何搭建和配置私有 Docker Registry，帮助你更好地管理和分发 Docker 镜像。

1. 为什么需要私有镜像仓库？

虽然 Docker Hub 提供了丰富的公共和私有仓库功能，但在某些情况下，使用私有镜像仓库可能是更好的选择：

• 安全性：私有镜像仓库可以确保敏感数据和专有代码不会泄露到外部网络中，提供更高的安全性。

• 性能优化：私有镜像仓库可以部署在本地网络中，减少从远程仓库拉取镜像的延迟，提高构建和部署的速度。

• 成本控制：Docker Hub 的私有仓库是付费服务，而自建私有镜像仓库可以根据需求灵活扩展，控制成本。

• 定制化需求：私有镜像仓库可以根据企业的具体需求进行定制，例如集成企业内部的身份验证系统、设置访问控制策略等。

• 离线环境：对于没有互联网连接的环境（如某些数据中心或嵌入式设备），私有镜像仓库可以提供离线镜像分发能力。

2. Docker Registry 简介

Docker Registry 是 Docker 官方提供的一个开源项目，用于存储和分发 Docker 镜像。它可以通过多种方式部署，支持多种存储后端（如文件系统、S3、Azure Blob 等），并提供了丰富的 API 和插件机制，方便与企业内部的其他系统集成。

Docker Registry 的主要功能包括：

• 镜像存储：支持存储和管理 Docker 镜像，包括推送、拉取、删除等操作。

• 身份验证：支持多种身份验证机制，如 HTTP 基本身份验证、OAuth、LDAP/AD 等，确保只有授权用户可以访问和操作镜像。

• 访问控制：支持基于角色的访问控制（RBAC），可以为不同用户分配不同的权限，确保镜像的安全性和可控性。

• 日志记录：支持详细的日志记录功能，记录所有镜像操作的历史，便于审计和故障排查。

• 镜像签名：支持镜像签名功能，确保镜像的完整性和来源可信。

• Web UI：虽然 Docker Registry 本身不提供图形化界面，但可以通过第三方工具（如 Portainer、Harbor）提供 Web UI，方便用户管理和浏览镜像。

3. 搭建私有 Docker Registry

3.1 使用官方 Docker Registry 镜像

Docker 官方提供了一个名为 registry 的镜像，可以帮助你快速搭建一个简单的私有镜像仓库。你可以使用 docker run 命令启动该镜像，并根据需要进行配置。

3.1.1 启动 Docker Registry

最简单的方式是直接使用 Docker 官方的 registry 镜像启动一个私有镜像仓库。默认情况下，Registry 会将镜像存储在容器的文件系统中。

示例：启动一个简单的私有镜像仓库

Bash

深色版本

docker run -d -p 5000:5000 --name registry registry:2

• -d：后台运行容器。
• -p 5000:5000：将主机的 5000 端口映射到容器的 5000 端口，Registry 默认监听 5000 端口。
• --name registry：为容器指定名称 registry。
• registry:2：使用 Docker 官方的 registry 镜像，版本 2。

此时，你已经成功启动了一个简单的私有镜像仓库，可以通过 http://:5000 访问。

3.1.2 使用持久化存储

默认情况下，Registry 会将镜像存储在容器的文件系统中，这意味着如果容器被删除或重启，镜像数据将会丢失。为了确保镜像数据的持久化，建议将镜像存储在主机的文件系统或其他持久化存储后端中。

示例：使用主机文件系统作为持久化存储

Bash

深色版本

docker run -d -p 5000:5000 --name registry \
  -v /path/to/data:/var/lib/registry \
  registry:2

• -v /path/to/data:/var/lib/registry：将主机的 /path/to/data 目录挂载到容器的 /var/lib/registry 目录，Registry 会将镜像存储在这个目录中。

示例：使用 S3 存储后端

如果你希望将镜像存储在云端，可以使用 S3 存储后端。你需要在启动 Registry 时传递相应的环境变量，配置 S3 存储后端。

Bash

深色版本

docker run -d -p 5000:5000 --name registry \
  -e REGISTRY_STORAGE=aws \
  -e REGISTRY_STORAGE_AWS_BUCKET=my-bucket \
  -e REGISTRY_STORAGE_AWS_REGION=us-east-1 \
  -e REGISTRY_STORAGE_AWS_ACCESSKEY= \
  -e REGISTRY_STORAGE_AWS_SECRETKEY= \
  registry:2

• REGISTRY_STORAGE=aws：指定使用 AWS S3 作为存储后端。
• REGISTRY_STORAGE_AWS_BUCKET=my-bucket：指定 S3 存储桶的名称。
• REGISTRY_STORAGE_AWS_REGION=us-east-1：指定 S3 存储桶所在的区域。
• REGISTRY_STORAGE_AWS_ACCESSKEY=：指定 AWS 访问密钥。
• REGISTRY_STORAGE_AWS_SECRETKEY=：指定 AWS 秘钥。

3.1.3 启用 HTTPS

默认情况下，Docker Registry 使用 HTTP 协议进行通信，这可能会导致传输过程中的数据泄露。为了确保通信的安全性，建议启用 HTTPS。

步骤：

1. 生成自签名证书：你可以使用 OpenSSL 生成自签名证书。生成的证书文件将用于配置 Registry 和客户端。

   Bash

   深色版本

   openssl req -newkey rsa:4096 -nodes -sha256 -keyout domain.key -x509 -days 365 -out domain.crt

2. 启动 Registry 并启用 HTTPS：将生成的证书文件挂载到容器中，并通过 -v 参数指定证书路径。

   Bash

   深色版本

   docker run -d -p 5000:5000 --name registry \
     -v /path/to/certs:/certs \
     -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
     -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
     registry:2

   • -v /path/to/certs:/certs：将主机的证书目录挂载到容器的 /certs 目录。
   • REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt：指定证书文件路径。
   • REGISTRY_HTTP_TLS_KEY=/certs/domain.key：指定私钥文件路径。

3. 配置 Docker 客户端信任自签名证书：为了让 Docker 客户端信任自签名证书，你需要将证书文件复制到 Docker 的证书目录中。

    

   Linux/macOS：

   Bash

   深色版本

   sudo cp domain.crt /etc/docker/certs.d/:5000/ca.crt
   sudo systemctl restart docker

   Windows：

    

   将证书文件复制到 C:\ProgramData\Docker\certs.d\:5000\ca.crt，然后重启 Docker 服务。

4. 使用 HTTPS 推送和拉取镜像：现在你可以通过 https://:5000 推送和拉取镜像。

   Bash

   深色版本

   docker tag my-app:latest :5000/my-app:latest
   docker push :5000/my-app:latest
   docker pull :5000/my-app:latest

3.2 使用 Harbor 搭建企业级私有镜像仓库

Harbor 是 VMware 开源的一个企业级私有镜像仓库，基于 Docker Registry 构建，提供了更多的企业级功能，如用户管理、角色权限、镜像扫描、审计日志等。Harbor 适合需要更高安全性和管理功能的企业环境。

3.2.1 安装 Harbor

Harbor 提供了两种安装方式：在线安装和离线安装。在线安装适用于有互联网连接的环境，而离线安装适用于没有互联网连接的环境。

步骤：

1. 下载 Harbor 安装包：根据你的环境选择合适的安装包。

   • 在线安装：下载最新版本
   • 离线安装：下载离线安装包

2. 解压安装包：

   Bash

   深色版本

   tar -zxvf harbor-offline-installer-v2.5.0.tgz
   cd harbor

3. 编辑配置文件：修改 harbor.yml 文件，配置 Harbor 的域名、存储后端、认证方式等。

   Yaml

   深色版本

   hostname: registry.example.com
   http:
     port: 80
   https:
     port: 443
     certificate: /path/to/cert.pem
     private_key: /path/to/key.pem
   database:
     password: your-db-password

4. 安装 Harbor：执行安装脚本，启动 Harbor 服务。

   Bash

   深色版本

   ./install.sh

5. 访问 Harbor Web UI：安装完成后，你可以通过浏览器访问 https://registry.example.com，登录 Harbor 的 Web 界面，默认用户名为 admin，密码为 Harbor12345。

6. 配置 Docker 客户端信任 Harbor 证书：为了让 Docker 客户端信任 Harbor 的证书，你需要将证书文件复制到 Docker 的证书目录中。

    

   Linux/macOS：

   Bash

   深色版本

   sudo cp /path/to/cert.pem /etc/docker/certs.d/registry.example.com:443/ca.crt
   sudo systemctl restart docker

   Windows：

    

   将证书文件复制到 C:\ProgramData\Docker\certs.d\registry.example.com:443\ca.crt，然后重启 Docker 服务。

7. 使用 Harbor 推送和拉取镜像：现在你可以通过 https://registry.example.com 推送和拉取镜像。

   Bash

   深色版本

   docker tag my-app:latest registry.example.com/library/my-app:latest
   docker login registry.example.com
   docker push registry.example.com/library/my-app:latest
   docker pull registry.example.com/library/my-app:latest

3.3 使用 Portainer 管理 Docker Registry

Portainer 是一个轻量级的 Docker 管理工具，提供了图形化的 Web 界面，帮助你更方便地管理和监控 Docker 环境。Portainer 支持与 Docker Registry 集成，允许你通过 Web 界面浏览和管理私有镜像仓库中的镜像。

步骤：

1. 安装 Portainer：你可以通过 Docker Compose 或 docker run 命令安装 Portainer。

    

   使用 Docker Compose：

   Yaml

   深色版本

   version: '3'
   services:
     portainer:
       image: portainer/portainer-ce:latest
       ports:
         - "9000:9000"
       volumes:
         - /var/run/docker.sock:/var/run/docker.sock
         - portainer_data:/data
   volumes:
     portainer_data:

   使用 docker run：

   Bash

   深色版本

   docker volume create portainer_data
   docker run -d -p 9000:9000 --name portainer \
     -v /var/run/docker.sock:/var/run/docker.sock \
     -v portainer_data:/data \
     portainer/portainer-ce:latest

2. 访问 Portainer Web UI：安装完成后，你可以通过浏览器访问 http://localhost:9000，登录 Portainer 的 Web 界面。

3. 添加 Docker Registry：在 Portainer 中，点击左侧菜单中的 "Registries"，然后点击 "Add registry"。按照提示填写私有镜像仓库的地址、用户名、密码等信息。

4. 浏览和管理镜像：添加成功后，你可以在 Portainer 中浏览和管理私有镜像仓库中的镜像，查看镜像的详细信息、标签、历史记录等。

4. 最佳实践

为了确保私有镜像仓库的安全性和可维护性，建议遵循以下最佳实践：

4.1 使用 HTTPS

始终启用 HTTPS，确保镜像的传输过程是加密的，防止数据泄露。你可以使用自签名证书或购买商业证书，确保 Docker 客户端信任证书。

4.2 启用身份验证

启用身份验证机制，确保只有授权用户可以访问和操作私有镜像仓库。你可以使用 HTTP 基本身份验证、OAuth、LDAP/AD 等方式进行身份验证。

4.3 设置访问控制

为不同用户分配不同的角色和权限，确保每个人只能访问和操作他们有权访问的资源。你可以使用基于角色的访问控制（RBAC）来管理用户的权限。

4.4 定期备份

定期备份私有镜像仓库中的数据，确保在发生故障时能够快速恢复。你可以使用 Docker Volume 备份工具或云存储服务进行备份。

4.5 镜像签名和扫描

启用镜像签名功能，确保镜像的完整性和来源可信。你还可以使用镜像扫描工具（如 Clair、Trivy）检测镜像中的已知漏洞和安全问题，确保应用程序的安全性。

4.6 日志记录和审计

启用详细的日志记录功能，记录所有镜像操作的历史，便于审计和故障排查。你可以将日志发送到集中式日志管理系统（如 ELK Stack、Splunk）进行分析和监控。

4.7 自动化构建和部署

结合 CI/CD 工具（如 Jenkins、GitHub Actions、GitLab CI），实现自动化的镜像构建和部署。每次你推送代码时，CI/CD 工具会自动触发构建，生成最新的 Docker 镜像并推送到私有镜像仓库中。结合 Kubernetes、Helm 等工具，可以实现自动化的应用部署和更新。

5. 总结

搭建私有 Docker Registry 是企业级应用开发和部署中非常重要的一环，能够确保敏感数据和专有代码的安全性，同时提高构建和部署的效率。通过使用 Docker 官方的 registry 镜像或企业级解决方案（如 Harbor），你可以轻松搭建一个安全、可靠、高效的私有镜像仓库。

无论是个人开发者还是企业用户，私有镜像仓库都是一个不可或缺的工具，能够显著提升开发和运维效率，确保应用程序的安全性和一致性。结合合理的镜像管理和 CI/CD 流程，你可以更高效地构建和部署现代化的云原生应用程序。