011.Docker仓库管理
一 Docker仓库介绍
docker 仓库，即 registry，实现了镜像的管理、分发，同时还包括用户的认证。docker registry 仓库是一个无状态的、高可靠的服务器应用程序，用来存储docker镜像。docker.io 为 docker 官方的仓库，默认所有的pull均是从官方仓库拉取镜像。
仓库又分为公有仓库（DockerHub、dockerpool）和私有仓库。
二 Docker私有仓库构建
2.1 私有仓库构建形式
registry+registry-web：
registry容器用于提供私有仓库的服务，本实验采用docker-compose构建此容器。
部署准备：
|
节点
|
IP地址
|
备注
|
|
docker01
|
172.24.8.111
|
Docker仓库
|
|
docker02
|
172.24.8.112
|
Docker客户端，用于测试仓库
|
Harbor：
Harbor是一个用于存储和分发Docker镜像的企业级Registry服务器，通过添加一些企业必需的功能特性，例如安全、标识和管理等，扩展了开源Docker Distribution。作为一个企业级私有Registry服务器，Harbor提供了更好的性能和安全。提升用户使用Registry构建和运行环境传输镜像的效率。Harbor支持安装在多个Registry节点的镜像资源复制，镜像全部保存在私有Registry中，确保数据和知识产权在公司内部网络中管控。另外，Harbor也提供了高级的安全特性，诸如用户管理，访问控制和活动审计等。
Harbor官方网站：http://vmware.github.io/harbor/
Harbor源码地址：https://github.com/vmware/harbor
部署准备：
|
节点
|
IP地址
|
备注
|
|
docker01
|
172.24.8.111
|
Docker仓库，reg.itzgr.com
|
|
docker02
|
172.24.8.112
|
Docker客户端，用于测试仓库
|
三 registry构建：无认证部署
3.1 下载registry
root@docker01:~# wget https://github.com/mkuchin/docker-registry-web/releases/download/v0.1.2/examples.tar.gz
root@docker01:~# tar -zxvf examples.tar.gz
root@docker01:~# mv examples compose_registry
3.2 docker-compose构建
root@docker01:~# mkdir -p /registry/db
root@docker01:~# mkdir -p /registry/images
root@docker01:~# cd compose_registry/auth-disabled/
root@docker01:~/compose_registry/auth-disabled# vi conf/registry/config.yml
version: 0.1
storage:
filesystem:
rootdirectory: /registry #指定registry工作目录
delete:
enabled: true #开启删除功能
http:
addr: 0.0.0.0:5000
notifications:
endpoints:
- name: listener
url: http://registry-web:8080/api/notification
timeout: 500ms
threshold: 5
backoff: 1s
root@docker01:~/compose_registry/auth-disabled# vi conf/registry-web/config.yml
registry:
url: http://registry:5000/v2
name: 172.24.8.111:5000
readonly: false
auth:
enabled: false #关闭相关认证
root@docker01:~/compose_registry/auth-disabled# vi docker-compose.yml
version: '2'
services:
registry-web:
image: hyper/docker-registry-web:latest
ports:
- 8080:8080
volumes:
- ./conf/registry-web:/conf:ro
- /registry/db:/data #修改db保存目录
networks:
- registry-net
depends_on:
- registry
registry:
image: registry:2.4.1
ports:
- 5000:5000
volumes:
- /registry/images:/registry #修改镜像保存路径
- ./conf/registry:/etc/docker/registry:ro
networks:
- registry-net
networks:
registry-net:
# driver: default
3.3 docker-compose启动容器
root@docker01:~/compose_registry/auth-disabled# docker-compose up -d
3.4 客户端测试
root@docker02:~# vi /etc/docker/daemon.json
{
"insecure-registries": ["172.24.8.111:5000"]
}
root@docker02:~# docker pull hello-world #pull测试镜像
root@docker02:~# docker tag hello-world:latest 172.24.8.111:5000/registry/hello-world:xhy #修改对应的tag
root@docker02:~# docker push 172.24.8.111:5000/registry/hello-world
浏览器访问http://172.24.8.111:8080/
四 registry构建：开启认证部署
4.1 下载registry
参考3.1即可。
4.2 docker-compose构建
root@docker01:~# mkdir -p /registry/db
root@docker01:~# mkdir -p /registry/images
root@docker01:~# cd compose_registry/auth-enabled/
root@docker01:~/compose_registry/auth-enabled# vi conf/registry/config.yml
version: 0.1
storage:
filesystem:
rootdirectory: /registry
delete:
enabled: true #开启删除功能
http:
addr: 0.0.0.0:5000
auth:
token:
realm: http://172.24.8.111:8080/api/auth
service: 172.24.8.111:5000
issuer: test
rootcertbundle: /etc/docker/registry/auth.cert #配置cert路径
log:
level: info notifications:
endpoints:
- name: listener
url: http://registry-web:8080/api/notification
timeout: 500ms
threshold: 5
backoff: 1s
root@docker01:~/compose_registry/auth-disabled# vi conf/registry-web/config.yml
registry:
url: http://registry:5000/v2
name: 172.24.8.111:5000
readonly: false
auth:
enabled: true
key: /conf/auth.key #指定key的路径
issuer: test
root@docker01:~/compose_registry/auth-disabled# vi docker-compose.yml
version: '2'
services:
registry-web:
image: hyper/docker-registry-web:latest
ports:
- 8080:8080
volumes:
- ./conf/registry-web:/conf:ro
- /registry/db:/data
networks:
- registry-net
depends_on:
- registry
registry:
image: registry:2.4.1
ports:
- 5000:5000
volumes:
- ./conf/registry:/etc/docker/registry:ro
- /registry/images:/registry
networks:
- registry-net
networks:
registry-net:
# driver: default
4.3 生成自签名证书
root@docker01:~/compose_registry/nginx-auth-enabled# ./generate-keys.sh
提示：改脚本会自动生成自签名的相关证书至相应目录，同时docker-compose配置文件将证书配置所在路径挂载至对应容器目录。
4.4 docker-compose启动容器
root@docker01:~/compose_registry/nginx-auth-enabled# docker-compose up -d
4.5 客户端测试
root@docker02:~# vi /etc/docker/daemon.json
{
"insecure-registries": ["172.24.8.111:5000"]
}
root@docker02:~# docker pull hello-world #pull测试镜像
root@docker02:~# docker tag hello-world:latest 172.24.8.111:5000/registry/hello-world:xhy #修改对应的tag
浏览器访问http://172.24.8.111:8080/
提示：默认用户admin无读写权限，可在web界面进行授权。
root@docker02:~# docker login 172.24.8.111:5000 #输入默认admin/admin登录
root@docker02:~# docker push 172.24.8.111:5000/registry/hello-world
提示：更多参考链接：
https://segmentfault.com/a/1190000012175537
https://github.com/mkuchin/docker-registry-web，相关docker-compose文件咨询博主。
五 registry构建：http形式Harbor
5.1 Harbor介绍
harbor由6大模块级成：
Proxy: Harbor的registry、UI、token services等组件，都处在一个反向代理后边。该代理将来自浏览器、docker clients的请求转发到后端服务上。
Registry: 负责存储Docker镜像，以及处理Docker push/pull请求。同时Harbor强制要求对镜像的访问做权限控制， 在每一次push/pull请求时，Registry会强制要求客户端从token service那里获得一个有效的token。
Core services: Harbor的核心功能，主要包括如下3个服务:
- UI: 作为Registry Webhook, 以图像用户界面的方式辅助用户管理镜像。
- WebHook：是在registry中配置的一种机制，当registry中镜像发生改变时，就可以通知到Harbor的webhook endpoint。Harbor使用webhook来更新日志、初始化同步job等。
- Token service：会根据该用户在一个工程中的角色，为每一次的push/pull请求分配对应的token。假如相应的请求并没有包含token的话，registry会将该请求重定向到token service。
Database：用于存放工程元数据、用户数据、角色数据、同步策略以及镜像元数据。
Job services: 主要用于镜像复制，本地镜像可以被同步到远程Harbor实例上。
Log collector: 负责收集其他模块的日志到一个地方。
5.2 容器组件介绍
harbor的每个组件都是以Docker容器的形式构建的，可以使用Docker Compose来进行部署，在使用了kubernetes的环境中，harbor也提供了kubernetes的配置文件。
harbor共有8个容器组成：
- ui：harbor的核心服务。
- log：运行着rsyslog的容器，进行日志收集。
- mysql：由官方mysql镜像构成的数据库容器。
- nginx：使用Nginx做反向代理。
- registry：官方的Docker registry。
- adminserver：harbor的配置数据管理器。
- jobservice：Harbor的任务管理服务。
- redis：用于存储session。
5.3 下载harbor安装文件
root@docker01:~# wget https://storage.googleapis.com/harbor-releases/harbor-offline-installer-v1.5.4.tgz
root@docker01:~# tar xvf harbor-offline-installer-v1.5.4.tgz
5.4 编辑harbor.cfg
root@docker01:~# mkdir /data #harbor默认相关volume挂载目录
root@docker01:~# cd harbor/
root@docker01:~/harbor# vi harbor.cfg
hostname = reg.itzgr.com # harbor的访问地址
5.5 安装harbor
root@docker01:~/harbor# ./install.sh
提示：配置相应的hostname，其他保持默认即可，具体更多harbor.cfg参数详见《附007.harbor.cfg配置文件详解》；
若出现以下报错：Fail to generate key file: ./common/config/ui/private_key.pem, cert file: ./common/config/registry/root.crt
需要修改prepare文件，将第498行：
empty_subj = "/C=/ST=/L=/O=/CN=/"
修改如下：
empty_subj = "/C=US/ST=California/L=Palo Alto/O=VMware, Inc./OU=Harbor/CN=notarysigner"
5.6 确认验证
root@docker01:~# cd harbor
root@docker01:~/harbor# docker-compose ps
host文件中添加如下解析：
172.24.8.111 reg.itzgr.com
浏览器访问：reg.itzgr.com，并使用默认用户名admin/Harbor12345
六 registry构建：https形式Harbor
6.1 下载harbor安装文件
参考5.3。
6.2 自建证书
root@docker01:~# localdomain=reg.itzgr.com
root@docker01:~# openssl req \
-newkey rsa:4096 -nodes -sha256 -keyout ca.key \
-x509 -days 365 -out ca.crt #创建CA证书
Country Name (2 letter code) [AU]:CN #国家
State or Province Name (full name) [Some-State]:ZheJiang #州或省
Locality Name (eg, city) []:WenZhou #城市
Organization Name (eg, company) [Internet Widgits Pty Ltd]:harbor #机构
Organizational Unit Name (eg, section) []:harbor #组织
Common Name (e.g. server FQDN or YOUR name) []:reg.itzgr.com #访问域名
Email Address []:xhy@itzgr.com #邮箱 root@docker01:~# openssl req \
-newkey rsa:4096 -nodes -sha256 -keyout $localdomain.key \
-out $localdomain.csr #生成证书签名请求
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:ZheJiang
Locality Name (eg, city) []:WenZhou
Organization Name (eg, company) [Internet Widgits Pty Ltd]:harbor
Organizational Unit Name (eg, section) []:harbor
Common Name (e.g. server FQDN or YOUR name) []:reg.itzgr.com
Email Address []:xhy@itzgr.com
A challenge password []:x7374521*
An optional company name []:reg.itzgr.com root@docker01:~# openssl x509 -req -days 365 -in $localdomain.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out $localdomain.crt
root@docker01:~# mkdir /root/cert/
root@docker01:~# cp $localdomain.crt $localdomain.key /root/cert/
6.2 编辑harbor.cfg
root@docker01:~# cd harbor/
root@docker01:~/harbor# vi harbor.cfg
hostname = reg.itzgr.com
ui_url_protocol = https
ssl_cert = /root/cert/reg.itzgr.com.crt
ssl_cert_key = /root/cert/reg.itzgr.com.key
6.3 安装harbor
root@docker01:~/harbor# ./prepare
root@docker01:~/harbor# ./install.sh
提示：配置相应的hostname，其他保持默认即可，具体更多harbor.cfg参数详见《附007.harbor.cfg配置文件详解》；
若出现以下报错：Fail to generate key file: ./common/config/ui/private_key.pem, cert file: ./common/config/registry/root.crt
需要修改prepare文件，将第498行：
empty_subj = "/C=/ST=/L=/O=/CN=/"
修改如下：
empty_subj = "/C=US/ST=California/L=Palo Alto/O=VMware, Inc./OU=Harbor/CN=notarysigner"
6.4 确认验证
root@docker01:~# cd harbor
root@docker01:~/harbor# docker-compose ps
host文件中添加如下解析：
172.24.8.111 reg.itzgr.com
浏览器访问：https://reg.itzgr.com，并使用默认用户名admin/Harbor12345
提示：由于在自建证书，非安全证书，因此浏览器访问可能出现无法访问或告警提示，忽略即可。
6.5 docker 客户端测试
root@docker02:~# vi /etc/hosts
172.24.8.111 reg.itzgr.com
root@docker02:~# mkdir -p /etc/docker/certs.d/reg.itzgr.com
root@docker01:~# scp ca.crt root@172.24.8.112:/etc/docker/certs.d/reg.itzgr.com/
提示：服务端需要将自建证书的crt文件复制至客户端相应目录（若不存在则创建），也可通过以下方式实现：
root@docker02:~# vi /etc/docker/daemon.json
{
"insecure-registries": ["https://reg.itzgr.com"]
}
若是信任CA机构颁发的证书，相应关闭daemon.json中的配置。
root@docker02:~# docker login reg.itzgr.com #登录registry
Username: admin
Password:
提示：公开的registry可pull，但push也必须登录，私有的registry必须登录才可pull和push。
root@docker02:~# docker pull hello-world
root@docker02:~# docker tag hello-world:latest reg.itzgr.com/library/hello-world:xhy
root@docker02:~# docker push reg.itzgr.com/library/hello-world:xhy
提示：修改tag必须为已经存在的项目，并且具备相应的授权。
011.Docker仓库管理的更多相关文章
- [第十一篇]——Docker 仓库管理之Spring Cloud直播商城 b2b2c电子商务技术总结
Docker 仓库管理 仓库(Repository)是集中存放镜像的地方.以下介绍一下 Docker Hub.当然不止 docker hub,只是远程的服务商不一样,操作都是一样的. Docker H ...
- Docker学习（五）——Docker仓库管理
Docker仓库管理 仓库(Repository)是集中存放镜像的地方. 1.Docker Hub 目前Docker官方维护了一个公共仓库Docker Hub.大部分需求都可以通过 ...
- 【Docker】第四篇 Docker仓库管理
一.仓库概述 仓库(Repository):Docker仓库主要用于镜像的存储,它是镜像分发.部署的关键.仓库分为公共仓库和私有仓库. 注册服务器(Registry)和仓库区别:注册服务器上往往存放着 ...
- Docker仓库管理
1.# docker pull registry //下载registry镜像,registry为docker官方提供的一个镜像,我们可以用它来创建本地的docker私有仓库. 2.# docker ...
- Docker 仓库管理
仓库 ( registry ) 是一个用来存放镜像的地方,当我们执行 docker pull centos 去拉取 centos 镜像时,默认是从 Docker Hub 这个公共仓库来拉取的: 对于企 ...
- docker仓库管理(9)
使用公共 Registry Docker Hub 是 Docker 公司维护的公共 Registry.用户可以将自己的镜像保存到 Docker Hub 免费的 repository 中.如果不希望别人 ...
- 012.Docker私有仓库多Harbor同步部署
一 Harbor主从介绍 harbor官方默认提供主从复制的方案来解决镜像同步问题,通过复制的方式,我们可以实时将测试环境harbor仓库的镜像同步到生产环境harbor,类似于如下流程: Harbo ...
- 附007.Docker全系列大总结
Docker全系列总结如下,后期不定期更新. 欢迎基于学习.交流目的的转载和分享,禁止任何商业盗用,同时希望能带上原文出处,尊重ITer的成果,也是尊重知识. 若发现任何错误或纰漏,留言反馈或右侧添加 ...
- docker 实践(一)
docker 简介 容器虚拟化,比传统的虚拟化轻量 2013年出现,发展非常迅猛 Redhat在6.5版本开始支持docker 使用go语言开发,基于apache2.0协议 开源软件,项目代码在git ...
随机推荐
- 2018-2019-2 网络对抗技术 20165320 Exp5 MSF基础应用
2018-2019-2 网络对抗技术 20165320 Exp5 MSF基础应用 一.实践内容 本实践目标是掌握metasploit的基本应用方式,重点常用的三种攻击方式的思路.具体需要完成: 一个主 ...
- 【shell】查找后拷贝find . -name *.csv -exec cp {} /home/ \;
Find命令的一般形式为: find pathname -options [-print -exec -ok] 让我们来看看该命令的参数: pathname: find命令所查找的目录路径.例如用.来 ...
- 【转】CString与string、char*的区别和转换
我们在C++的开发中经常会碰到string.char*以及CString,这三种都表示字符串类型,有很多相似又不同的地方,常常让人混淆.下面详细介绍这三者的区别.联系和转换: 各自的区别 char*: ...
- 创建物理卷报错Can't open /dev/sdb5 exclusively. Mounted filesystem的问题解决过程记录
yum服务器lvm扩容,data目录是yum存放rpm包的目录,只有20G,需要添加磁盘扩容到80G # df -lh Filesystem Size Used Av ...
- CentOS 6.5自动化运维之基于DHCP和TFTP服务的PXE自动化安装centos操作系统详解
前言 如果要给很多台客户端主机安装操作系统,要是每一台都拿张安装光盘一台一台主机的去装系统那就太浪费时间和精力了.在生产环境中也不实际,要实现为多台主机自动安装操作系统,那我们怎么实现自动化安装 ...
- CentOS 6.5环境下使用HAProxy+apache实现web服务的动静分离
HAProxy提供高可用性.负载均衡以及基于TCP和HTTP应用的代理,支持虚拟主机,它是免费.快速并且可靠的一种解决方案.HAProxy特别适用于那些负载特大的web站点,这些站点通常又需要会话保持 ...
- Android设计模式-观察者模式
原文地址 http://blog.csdn.net/qq_25806863/article/details/69218968 观察者模式是一种使用频率非常高的设计模式,最常用的地方就是订阅-发布系统. ...
- lr
Action(){ //获取响应结果 web_reg_save_param("system_code", "LB=system_code\":\"&q ...
- Office系列版本安装包下载
链接:http://pan.baidu.com/s/1i4UFZOp 密码:f9y8 链接:http://pan.baidu.com/s/1i4YJN4D 密码:743q 链接:http://pan ...
- jquery----用户密码验证
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8&quo ...