替换 Docker.io 的 Harbor 安全部署指南：域名与 IP 双支持的镜像管理解决方案

news2024/12/26 9:00:34

经过验证 替换 Docker.io 的方式失败了, 以下的过程中还是需要设置 registry-mirrors 才行

以下是一篇详细教程，展示如何基于 openssl.conf 配置生成域名为 registry-1.docker.io 和 IP 地址为 172.16.20.20 的证书，构建 Harbor 服务。

环境准备

  1. 系统环境

    • 一台支持 Docker 和 Docker Compose 的主机（推荐 Linux 系统，例如 CentOS 7）。
    • 安装 openssl 和 docker-compose。

  2. 软件版本

    • Docker ≥ 20.x
    • Docker Compose ≥ 2.x
    • Harbor ≥ 2.0

  3. 网络配置

    • 确保主机 IP 地址为 172.16.20.20，域名 registry-1.docker.io 指向该 IP 地址（可在 /etc/hosts 配置）。

Step 1: 生成自签名证书

1.1 创建 openssl.conf

创建 openssl.conf 文件，内容如下：

[req]
default_bits        = 2048
default_keyfile     = harbor.key
distinguished_name  = req_distinguished_name
req_extensions      = v3_req
x509_extensions     = v3_ca
string_mask         = utf8only
 
[req_distinguished_name]
countryName         = Country Name (2 letter code)
countryName_default = CN
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = JiangSu
localityName        = Locality Name (eg, city)
localityName_default = NanJing
organizationalName = Organization Name (eg, company)
organizationalName_default = HT Inc.
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default  = registry-1.docker.io
commonName_max      = 64
 
[v3_req]
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName = @alt_names
 
[alt_names]
DNS.1 = registry-1.docker.io
IP.1 = 172.16.20.20

1.2 使用 OpenSSL 生成证书和私钥

# 生成私钥
openssl genrsa -out harbor.key 2048

# 生成 CSR（证书签名请求） 只要 openssl.cnf默认值配置好, 如下命令一路回车即可
openssl req -new -key harbor.key -out harbor.csr -config openssl.cnf


# 使用自签名证书
openssl x509 -req -in harbor.csr -signkey harbor.key -out harbor.crt -days 36500 -extensions v3_req -extfile openssl.cnf


给授个权
chmod 777 harbor.*

生成的文件：

  • harbor.key: 私钥
  • harbor.crt: 证书

Step 2: 安装并配置 Harbor

2.1 下载 Harbor 安装包

从 Harbor 官方 GitHub 下载最新版本的安装包。

# 示例下载命令（根据最新版本替换链接）
wget https://github.com/goharbor/harbor/releases/download/v2.11.2/harbor-offline-installer-v2.11.2.tgz

# 解压安装包
sudo tar -xf harbor-offline-installer-v2.11.2.tgz -C /opt/

cd /opt/harbor

2.2 修改 Harbor 配置

编辑 harbor.yml 文件，设置域名、IP 和证书路径：

hostname: docker.io

https:
  port: 443
  certificate: /opt/harbor/cert/harbor.crt
  private_key: /opt/harbor/cert/harbor.key

harbor_admin_password: Harbor12345

data_volume: /data/harbor
log:
  level: info
  rotate_count: 50
  rotate_size: 200M
  location: /var/log/harbor

将 harbor.crt 和 harbor.key 拷贝到实际路径 /opt/harbor/cert 。

Step 3: 配置主机和客户端

3.1 配置 /etc/hosts

在主机和需要访问 Harbor 的客户端上，编辑 /etc/hosts 文件，添加以下内容：

172.16.20.20 registry-1.docker.io
172.16.20.20 docker.io


可以使用如下命令快速添加

echo "172.16.20.20 registry-1.docker.io" | sudo tee -a /etc/hosts
echo "172.16.20.20 docker.io" | sudo tee -a /etc/hosts


echo: 输出内容 172.16.20.20 registry-1.docker.io。
| sudo tee -a /etc/hosts: 将输出内容以追加模式（-a）写入 /etc/hosts 文件。
sudo: 确保拥有权限修改系统文件。

3.2 配置 Docker 信任 Harbor

我们证书生成后, 在客户端, 需要信任证书

3.21 windows机器

 验证机器上机要安装上述 harbor.crt证书, 下载后双击安装, 存储到 受信任的根证书颁发机构

 Linux环境

3.22 centos7 上面, 复制证书

若遇到证书报错, 请参考解决办法 https://blog.csdn.net/gs80140/article/details/144662367icon-default.png?t=O83Ahttps://blog.csdn.net/gs80140/article/details/144662367

sudo cp harbor.crt /usr/local/share/ca-certificates/


sudo yum install -y ca-certificates

sudo update-ca-trust force-enable
sudo update-ca-trust extract


curl https://172.16.20.20 --verbose

报错

* About to connect() to 172.16.20.20 port 443 (#0)
*   Trying 172.16.20.20...
* Connected to 172.16.20.20 (172.16.20.20) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* Server certificate:
*       subject: CN=registry-1.docker.io,L=NanJing,ST=JiangSu,C=CN
*       start date: Dec 20 08:54:50 2024 GMT
*       expire date: Nov 26 08:54:50 2124 GMT
*       common name: registry-1.docker.io
*       issuer: CN=registry-1.docker.io,L=NanJing,ST=JiangSu,C=CN
* NSS error -8156 (SEC_ERROR_CA_CERT_INVALID)
* Issuer certificate is invalid.
* Closing connection 0
curl: (60) Issuer certificate is invalid.
More details here: http://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
 the bundle, the certificate verification probably failed due to a
 problem with the certificate (it might be expired, or the name might
 not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
 the -k (or --insecure) option.
3.23 Ubuntu 22.04上面



sudo cp harbor.crt /etc/ssl/certs/registry-1.docker.io.server.crt

chmod 777 /etc/ssl/certs/registry-1.docker.io.server.crt

sudo update-ca-certificates


若遇到证书报错


可以通过 curl-config --ca 命令查看用的是哪个证书


将证书直接写进 /etc/ssl/certs/ca-certificates.crt


cat harbor.crt >> /etc/ssl/certs/ca-certificates.crt

3.24  在每个 Docker 客户端 , 添加 Harbor 的地址为可信：
mkdir -p /etc/docker/certs.d/registry-1.docker.io
mkdir -p /etc/docker/certs.d/docker.io

上传 harbor.crt 并重命名为 ca.crt

cp harbor.crt /etc/docker/certs.d/registry-1.docker.io/ca.crt

cp harbor.crt /etc/docker/certs.d/docker.io/ca.crt

重启 Docker 服务：

systemctl restart docker


未重启时测试会报错

docker pull mysql:8.0.32
Error response from daemon: Get "https://registry-1.docker.io/v2/": x509: certificate signed by unknown authority


但是这样pull是可以的

docker pull registry-1.docker.io/library/mysql:8.0.32

Step 4: 启动 Harbor 服务

4.1 安装依赖并启动

运行以下命令安装 Harbor 依赖并启动服务：

注意检查 上述 harbor.yml 文件中配置的存储路径 data_volume: /data/harbor 目录是否有残留的证书文件,需要清除掉, 否则不会被更新

如果有旧的证书, 可以删除如下证书存放目录 rm -rf /data/harbor/secret/*


sudo ./install.sh --with-trivy

4.2 验证服务运行状态


 

访问 https://registry-1.docker.io，使用默认管理员账号登录：

  • 用户名：admin
  • 密码：Harbor12345（可以在 harbor.yml 中修改）。

Step 5: 推送和拉取镜像

5.1 登录 Harbor

在 Docker 客户端执行以下命令：

docker login registry-1.docker.io
admin
输入密码: Harbor12345

输入 Harbor 的管理员账号和密码。

5.2 设置 docker默认镜像

vi /etc/docker/daemon.json  


{
  "log-opts": {
    "max-size": "5m",
    "max-file":"3"
  },
  "exec-opts": ["native.cgroupdriver=systemd"],
  "data-root": "/home/docker",
  "registry-mirrors": [
        "https://registry-1.docker.io"
    ]
}





systemctl restart docker

5.3 推送镜像

标记一个测试镜像并推送到 Harbor：

docker tag mysql:8.0.32 registry-1.docker.io/library/mysql:8.0.32
docker push registry-1.docker.io/library/mysql:8.0.32

根据上述 配置客户机信任Harbor


解决报错: Get "https://registry-1.docker.io/v2/": tls: failed to verify certificate: x509: certificate signed by unknown authority



报错: unauthorized: unauthorized to access repository: library/mysql, action: push: unauthorized to access repository: library/mysql, action: push

docker push registry-1.docker.io/library/mysql:8.0.32 命令可以正常push

5.3 拉取镜像

从 Harbor 拉取镜像测试：

docker pull registry-1.docker.io/library/mysql:8.0.32 可以正常拉取

docker pull mysql:8.0.32 只有设置了registry-mirrors才可以成功

"registry-mirrors":["https://registry-1.docker.io"]

总结

通过以上步骤，你已经成功：

  1. 配置 OpenSSL 生成支持 IP 和域名的证书。
  2. 使用证书部署并配置 Harbor。
  3. 测试了镜像的推送和拉取。

这套方案适用于生产和开发环境中需要自签名证书的 Harbor 部署场景。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2265760.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【源码编译】windows下mingw64安装以及cmake调用

【源码编译】windows下mingw64安装以及cmake调用

最近因为安装MIRTK库，太多第三方依赖了，太折磨了，学习了使用Cmake，有些库又需要Fortran编译器，VS2022里面装了但又调用不了，也不知道为什么，最后装的mingw64，记录一下。 1、mingw64安…
阅读更多...
【机器学习(九)】分类和回归任务-多层感知机(Multilayer Perceptron,MLP)算法-Sentosa_DSML社区版 (1)111

【机器学习(九)】分类和回归任务-多层感知机(Multilayer Perceptron,MLP)算法-Sentosa_DSML社区版 (1)111

文章目录 一、算法概念111二、算法原理（一）感知机（二）多层感知机1、隐藏层2、激活函数sigma函数tanh函数ReLU函数 3、反向传播算法 三、算法优缺点（一）优点（二）缺点 四、MLP分类任务…
阅读更多...
基于AI IDE 打造快速化的游戏LUA脚本的生成系统

基于AI IDE 打造快速化的游戏LUA脚本的生成系统

前面写了一篇关于使用AI IDE进行C安全开发的博客《使用AI IDE 助力 C 高性能安全开发！》， 得到许多同学们的喜欢，今天我们来继续在游戏开发中扩展一下AI的能力，看看能不能给游戏研发团队一些启发。 在游戏研发中，Lua曾…
阅读更多...
系统思考VS过度管理

系统思考VS过度管理

业绩没起来，领导者最容易做的就是抓管理。这样的“抓管理”真的有效吗？当业务还没起飞的时候，过度管理其实是一种伤害。就像一条呼啸而过的鞭子，看起来让团队更“整齐”，但实际上可能打散了协作的节奏。管理的本质是支…
阅读更多...
IT运维的365天--021 服务器上的dns设置后不起作用

IT运维的365天--021 服务器上的dns设置后不起作用

之前在内网搭建了一个和外网同域名的网站，开发同事今天告诉我，程序调试发现可能服务器不能正常访问自己内网的网站内容。于是，今天的故事开始了。 前面的文章在下面列出，当然不看也问题不大，今天的主题是：…
阅读更多...
机器人C++开源库The Robotics Library (RL)使用手册（二）

机器人C++开源库The Robotics Library (RL)使用手册（二）

由于RL库采用跨平台CMake源码，可以轻松在win、ubantu等平台部署、编译，win通常用VS编译器，为了便于使用、阅读，需要将CMake编译成VS工程。 1、准备三个工具：CMake、VS、QT 为了在Windows上编译RL和依赖项，您需要安装一个编译器（例如。，Visual Studio 2017)和跨平台构…
阅读更多...
ShaderJoy ——一种可交互的翻页效果【GLSL】

ShaderJoy ——一种可交互的翻页效果【GLSL】

效果视频 Shader 特效——可与鼠标交互的翻页效果 效果图 完整代码 #define pi 3.14159265359 #define radius .1#iChannel0 "file://./images/Woolly_3.png" #iChannel1 "file://./images/Woolly_4.png"void mainImage( out vec4 fragColor, in vec2 fra…
阅读更多...
oracle怎样使用logmnr恢复误删除的数据

oracle怎样使用logmnr恢复误删除的数据

如果有同事误删除数据了，可以用logmnr挖掘归档日志，生成回滚sql，快速恢复数据，比用整个库的备份恢复要快得多。 一 操作步骤 1.1 创建目录 su - oracle mkdir logmnr create directory logmnr_dir as /home/oracle/logmnr; …
阅读更多...
LeetCode：3218. 切蛋糕的最小总开销 I（贪心 Java）

LeetCode：3218. 切蛋糕的最小总开销 I（贪心 Java）

目录 3218. 切蛋糕的最小总开销 I 题目描述： 实现代码与解析： 贪心 原理思路： 3218. 切蛋糕的最小总开销 I 题目描述： 有一个 m x n 大小的矩形蛋糕，需要切成 1 x 1 的小块。 给你整数 m ，n 和两个数…
阅读更多...
系统架构师考试 常错题记录 01

系统架构师考试 常错题记录 01

1.按照《中华人民共和国著作权法》的权利保护期（ ）受到永久保护。 A.发表权 B.修改权 C.复制权 D.发行权 正确答案：B 解析：本题考查知识产权法中的《中华人民共和著作权法》保护期限知识点。 《中华人民共和著作权法》中约定署名权…
阅读更多...
实战分享：生产Java服务容器占用内存高问题排查与解决

实战分享：生产Java服务容器占用内存高问题排查与解决

总框架 一、问题描述 生产上有一个Java应用，在发版后一周内，容器内存指标缓慢上升，最终超过60%触发内存使用告警 二、思路&解决方案 1、日志占用容器内存 （1）排查JVM占用了多少内存 一般我们惯性思维默认是J…
阅读更多...
OpenAI叩响AGI之门: 12天直播精华大放送

OpenAI叩响AGI之门: 12天直播精华大放送

01.OpenAI新篇章: 12天直播精华放送 当地时间12月5日-20日，人工智能巨头OpenAI完成了连续12个工作日的12场直播，虽然周末短暂休息了两天，但圣诞节的技术盛宴依然引发了广泛关注。内容密集、干货充足，许多小伙伴们可能感到信息有点…
阅读更多...
神经网络-AlexNet

神经网络-AlexNet

AlexNet是在2012年的ImageNet竞赛后，整理发表的文章，也是对CNN网络的衍生。 网络结构 AlexNet网络结构如下图所示，网络分为了上下两部分，对应两个不同的GPU训练，可以更好的利用GPU算力。只有在特殊的网络层后&#x…
阅读更多...
【Beats01】企业级日志分析系统ELK之Metricbeat与Heartbeat 监控

【Beats01】企业级日志分析系统ELK之Metricbeat与Heartbeat 监控

Beats 收集数据 Beats 是一个免费且开放的平台，集合了多种单一用途数据采集器。它们从成百上千或成千上万台机器 和系统向 Logstash 或 Elasticsearch 发送数据。 虽然利用 logstash 就可以收集日志，功能强大，但由于 Logtash 是基于Java实现…
阅读更多...
目标检测——基于yolov8和pyqt的螺栓松动检测系统

目标检测——基于yolov8和pyqt的螺栓松动检测系统

目录 1.项目克隆和环境配置1.1 我这里使用的是v8.0.6版本1.2 项目代码结构介绍 2.数据集介绍2.1 数据集采集2.2采集结果介绍 3.模型训练4.pyqt界面设计4.1 界面内容介绍4.2 界面实现 5.操作中的逻辑实现5.1 图片检测5.2 文件夹检测5.3 视频检测和摄像头检测 6. 效果展示 1.项目…
阅读更多...
云边端架构的优势是什么？面临哪些挑战？

云边端架构的优势是什么？面临哪些挑战？

一、云边端架构的优势 降低网络延迟：在传统集中式架构中，数据需传输到云计算中心处理，导致网络延迟较高。而云边端架构将计算和存储推向边缘设备，可在离用户更近的地方处理数据，大大降低了网络延迟，提升了用…
阅读更多...
微机接口课设——基于Proteus和8086的打地鼠设计（8255、8253、8259）

微机接口课设——基于Proteus和8086的打地鼠设计（8255、8253、8259）

原理图设计 汇编代码 ; I/O 端口地址定义 IOY0 EQU 0600H IOY1 EQU 0640H IOY2 EQU 0680HMY8255_A EQU IOY000H*2 ; 8255 A 口端口地址 MY8255_B EQU IOY001H*2 ; 8255 B 口端口地址 MY8255_C EQU IOY002H*2 ; 8255 C 口端口地址 MY8255_MODE EQU IOY003H*2 ; …
阅读更多...
Origin教程008：Origin绘制热图

Origin教程008：Origin绘制热图

文章目录 练习数据热图练习数据 https://download.csdn.net/download/WwLK123/90185283热图 使用拖拽的方式导入数据： 然后【单击】全选数据： 然后选择【绘图】->【等高线图】->【带标签热图】： 然后勾选【Y数据跨列】： 点击【确定
阅读更多...
LabVIEW数字式气压计自动检定系统

LabVIEW数字式气压计自动检定系统

开发了一个基于LabVIEW开发的数字式气压计自动检定系统。在自动化检定PTB220和PTB210系列数字气压计，通过优化硬件组成和软件设计，实现高效率和高准确度的检定工作，有效降低人力成本并提升操作准确性。 项目背景 随着自动气象站的广泛部署&a…
阅读更多...
阿里云镜像服务使用指南

阿里云镜像服务使用指南

阿里云容器镜像服务ACR（Alibaba Cloud Container Registry）是面向容器镜像、Helm Chart等符合OCI标准云原生制品安全托管及高效分发平台。ACR企业版支持全球同步加速、大规模和大镜像分发加速、多代码源构建加速等全链路加速能力，与容器服务A…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023