Docker--------Harbor registry安全认证搭建 [ Https ]-低调大师

Docker--------Harbor registry安全认证搭建 [ Https ]

2017-11-06 524

1. 背景

　 docker中要使用镜像，一般会从本地、docker Hup公共仓库和其它第三方公共仓库中下载镜像，一般出于安全和外网(墙)资源下载速率的原因考虑企业级上不会轻易使用。那么有没有一种办法可以存储自己的镜像又有安全认证的仓库呢? ----> 企业级环境中基于Harbor搭建自己的安全认证仓库。

Harbor是VMware公司最近开源的企业级Docker Registry项目, 其目标是帮助用户迅速搭建一个企业级的Docker registry服务。

2. 选择的理由

* 提供了管理UI

* 基于角色的访问控制(Role Based Access Control)

* AD/LDAP集成

* 审计日志(Audit logging)

* 原生支持中文

3. 相关介绍

Harbor在架构上主要由五个组件构成：

* Proxy：Harbor的registry, UI, token等服务，通过一个前置的反向代理统一接收浏览器、Docker客户端的请求，并将请求转发给后端不同的服务。

* Registry：负责储存Docker镜像，并处理docker push/pull 命令。由于我们要对用户进行访问控制，即不同用户对Docker image有不同的读写权限，Registry会指向一个token服务，强制用户的每次docker pull/push请求都要携带一个合法的token, Registry会通过公钥对token 进行解密验证。

* Core services：这是Harbor的核心功能，主要提供以下服务：

* UI：提供图形化界面，帮助用户管理registry上的镜像（image）, 并对用户进行授权。

* webhook：为了及时获取registry 上image状态变化的情况，在Registry上配置webhook，把状态变化传递给UI模块。

* token 服务：负责根据用户权限给每个docker push/pull命令签发token. Docker 客户端向Registry服务发起的请求,如果不包含token，会被重定向到这里，获得token后再重新向Registry进行请求。

* Database：为core services提供数据库服务，负责储存用户权限、审计日志、Docker image分组信息等数据。

* Log collector：为了帮助监控Harbor运行，负责收集其他组件的log，供日后进行分析。

各个组件之间的关系如下图所示：

Harbor的每个组件都是以Docker容器的形式构建的，所以使用Docker Compose来对它进行部署。

用于部署Harbor的Docker Compose 模板位于 /Deployer/docker-compose.yml. 打开这个模板文件，会发现Harbor由5个容器组成：

* proxy: 由Nginx 服务器构成的反向代理。

* registry:由Docker官方的开源registry 镜像构成的容器实例。

* ui: 即架构中的core services, 构成此容器的代码是Harbor项目的主体。

* mysql: 由官方MySql镜像构成的数据库容器。

* log: 运行着rsyslogd的容器，通过log-driver的形式收集其他容器的日志。

这几个容器通过Docker link的形式连接在一起，这样，在容器之间可以通过容器名字互相访问。对终端用户而言，只需要暴露proxy （即Nginx）的服务端口。

Harbor的认证流程

A、首先，请求被代理容器监听拦截，并跳转到指定的认证服务器。

B、如果认证服务器配置了权限认证，则会返回401。通知dockerclient在特定的请求中需要带上一个合法的token。而认证的逻辑地址则指向架构图中的core services。

C、当docker client接受到错误code。client就会发送认证请求(带有用户名和密码)到coreservices进行basic auth认证。

D、当C的请求发送给ngnix以后，ngnix会根据配置的认证地址将带有用户名和密码的请求发送到core serivces。

E、 coreservices获取用户名和密码以后对用户信息进行认证(自己的数据库或者介入LDAP都可以)。成功以后，返回认证成功的信息。

Harbor的安装方式

* 在线online安装 --> 由于国内墙和网速率的原因，体验不理想

　* 离线offline安装 --> 下载包较大 [ 包含了相关依赖镜像 ]

　此次选择离线包安装

４. 环境

 
        [root@harbor ~]
        # cat /etc/redhat-release  
       
        CentOS Linux release 7.2.1511 (Core) 
       
        [root@harbor ~]
        # uname -r 
       
        3.10.0-327.36.3.el7.x86_64

5. 服务器 IP 地址

192.168.60.150

6. 创建证书

* 创建证书存放目录

 
        [root@harbor ~]
        # mkdir -p /data/cert

* 切换工作路径切证书存放目录

 
        [root@harbor ~]
        # cd /data/cert/

* 创建 CA 根证书

 
        [root@harbor cert]
        # openssl req  -newkey rsa:4096 \ 
       
        -nodes -sha256 -keyout ca.key -x509 -days 365 \
       
        -out ca.crt -subj 
        "/C=CN/L=wuhan/O=lisea/CN=harbor-registry"

* 生成一个证书签名, 设置访问域名为 harbor.lisea.acn

 
        [root@harbor cert]
        # openssl req -newkey rsa:4096 \ 
       
        -nodes -sha256 -keyout harbor.lisea.cn.key \
       
        -out server.csr -subj 
        "/C=CN/L=wuhan/O=lisea/CN=harbor.lisea.cn"

* 生成主机的证书

 
        [root@harbor cert]
        # openssl x509 -req -days 365 \ 
       
        -
        in 
        server.csr -CA ca.crt -CAkey ca.key \ 
       
        -CAcreateserial -out harbor.lisea.cn.crt

7. harbor安装部署

* 安装 docker

 
        [root@harbor ~]
        # yum install docker -y

* 设置 docker 服务开机启动

 
        [root@harbor ~]
        # systemctl enable docker.service

* 启动 docker 服务

 
        [root@harbor ~]
        # systemctl start docker.service

* 安装 docker-compose

 
        [root@harbor ~]
        # yum install python-pip -y 
       
        [root@harbor ~]
        # pip install --upgrade pip 
       
        [root@harbor ~]
        # pip install docker-compose 
       
        [root@harbor ~]
        # pip install --upgrade backports.ssl_match_hostname

* 下载 harbor 离线包 [ https://github.com/vmware/harbor ]

 
        [root@harbor ~]
        # wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-offline-installer-v1.1.2.tgz

* 解压下载的harbor包 [ harbor-offline-installer-v1.1.2.tgz ]

 
        [root@harbor ~]
        # tar zxf harbor-offline-installer-v1.1.2.tgz

* 切换进harbor包目录

 
        [root@harbor ~]
        # cd harbor

* 修改habor配置文件 [ harbor.cfg ]

 
        hostname 
        = harbor.lisea.cn          
        # 指定私有仓库的主机名,可以是IP地址，也可以是域名    
       
        ui_url_protocol = https             
        # 用户访问私仓时使用的协议，默认时http，配置成https 
       
        db_password = root123           　　
        # 指定mysql数据库管理员密码 
       
        harbor_admin_password：Harbor12345  
        # harbor的管理员账户密码 
       
        ssl_cert = 
        /data/cert/harbor
        .lisea.cn.crt  　　
        # 设置证书文件路径 
       
        ssl_cert_key = 
        /data/cert/harbor
        .lisea.cn.key  
        # 设置证书密钥文件路径

* 通过自带脚本一键安装

 
        [root@harbor harbor]
        # ./install.sh

* 通过浏览器访问管理 [ 提前设置本地 hosts文件本地重定向至harbor服务器IP ]

https://harbor.lisea.cn

用户默认为admin

密码默认为Harbor12345 [可通过安装前 harbor.cfg 配置文件修改 harbor_admin_password 指定 ]

8. 客户端使用测试 [ docker 机 ]

* 通过 admin 账户登陆创建 test 用户

* 退出 admin 账户登陆 test 用户

　* 创建 test 项目, 访问级别选择公开

* 创建仓库证书存放目录

 
        [root@harbor client]
        # mkdir /etc/docker/certs.d/harbor.lisea.cn

* 从harbor服务器获取证书至仓库证书目录

 
        [root@harbor client]
        # scp root@192.168.60.150:/data/cert/ca.crt /etc/docker/certs.d/harbor.lisea.cn/ca.crt

* 用户登陆　［本地需要做hosts harbor.lisea.cn 域名重定向至harbor服务器IP ］

 
        [root@harbor client]
        # docker login -u test -p Test123456 harbor.lisea.cn 
       
        Login Succeeded

* 编写dockerfile文件

 
        # Url https://lisea.cn
       
        # Base imgae
       
        # Base imgae
       
        FROM centos
       
        # Maintainer
       
        MAINTAINER lisea lisea@126.com
       
        # Commands
       
        RUN rpm -ivh http:
        //mirrors
        .aliyun.com
        /epel/epel-release-latest-7
        .noarch.rpm 
       
        RUN yum 
        install 
        nginx -y 
       
        RUN 
        echo 
        "daemon off;" 
        >> 
        /etc/nginx/nginx
        .conf 
       
        RUN 
        echo 
        "this is test nginx image" 
        > 
        /usr/share/nginx/html/index
        .html 
       
        EXPOSE 80
       
        CMD [
        "nginx"
        ]

* 通过Dockerfile构建一个新镜像, 直接指明registry和标签

 
        [root@harbor client]
        # docker build -t harbor.lisea.cn/test/nginx:v1.0.1 .

* 上传镜像至 harbor registry

 
        [root@harbor client]
        # docker push harbor.lisea.cn/test/nginx:v1.0.1

* web中查看镜像是否上传成功 [ 成功上传nginx ]

* 删除本地镜像

 
        [root@harbor client]
        # docker rmi harbor.lisea.cn/test/nginx:v1.0.1

* 从harbor中下载镜像

 
        [root@harbor client]
        # docker pull harbor.lisea.cn/test/nginx:v1.0.1

9. 总结

以需求驱动技术，技术本身没有优略之分，只有业务之分。

本文转自asd1123509133 51CTO博客，原文链接：http://blog.51cto.com/lisea/1936839，如需转载请自行联系原作者

微信关注我们

原文链接：https://yq.aliyun.com/articles/553544

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

本环境基于centos7部署，基本架构图： client ip:192.168.1.101 lvs1 ip:192.168.1.173 lvs2 ip:192.168.1.110 web1:192.168.1.114 web2:192.168.1.119 VIP: 192.168.1.10 部署流程： lvs1: # yum install ipvsadm # ipvsadm#查看是否输出安装成功 # yum install keepalived # vim /etc/keepalived/keepalived.conf global_defs { notification_email { xxx@qq.com } notification_email_from xxx@qq.com smtp_server smtp.qq.com smtp_connect_timeout 30 router_id LVS1 } vrrp_instance VI_1 { state MASTER interface ens33 virtual_router_id 51 pri...

2017-11-07

583

域和活动目录（下）活动目录地相关概念（二） 7.架构 AD内的对象和属性是定义在架构内的，架构定义了对于某种对象，用那些属性来描述它及这些属性对应的数据类型，取值范围等信息。一个林内的所有域外树使用相同的架构，且SchemaAdmins组的用户与应用程序可以在架构内新增对象类或属性。 8．DC与AD复制 AD存储在DC内，当一台DC内的AD数据发生变动后，这些变动的数据会被自动复制到其他DC内。 AD数据复制有以下两种模式：多主机复制：在这种模式中可以直接更新任何一台DC内的AD对象，更新后该对象会被复制到其它DC中。AD的大部分数据都使用多主机复制模式。单主机复制：在这种模式中，由其中一台DC（称为“操作主机”）负责处理和接收对象的变更，再由它复制到其他所有的主机中。 9、全局编录 “全局编录”由DC来实现，该DC不但存储了自身所有对象的详细信息，而且存储了所在域林中其他所有域的所有对象的部分主要信息。默认情况下为域林的第一台域控制器，也可以另外指定其他DC作为“全局编录”。 10、轻型目录访问协议（LDAP）是一种用来查询和更新AD目录服务通信协议。Win2003域利用...

2017-11-07

559

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。