Harbor權(quán)威指南：容器鏡像、Helm Chart等云原生制品的管理與實(shí)踐

第1章 云原生環(huán)境下的制品管理... 1
1.1 云原生應(yīng)用概述... 2
1.2 容器技術(shù)簡(jiǎn)介... 5
1.2.1 容器技術(shù)的發(fā)展背景... 5
1.2.2 容器的基本原理... 7
1.2.3 容器運(yùn)行時(shí)... 8
1.3 虛擬機(jī)和容器的融合... 14
1.3.1 vSphere Pod. 14
1.3.2 Kata Containers. 16
1.4 容器鏡像的結(jié)構(gòu)... 17
1.4.1 鏡像的發(fā)展... 17
1.4.2 Docker鏡像的結(jié)構(gòu)... 18
1.4.3 Docker鏡像的倉(cāng)庫(kù)存儲(chǔ)結(jié)構(gòu)... 20
1.4.4 Docker鏡像的本地存儲(chǔ)結(jié)構(gòu)... 24
1.4.5 OCI鏡像規(guī)范... 25
1.5 鏡像管理和分發(fā)... 34
1.5.1 Docker鏡像管理和分發(fā)... 34
1.5.2 OCI分發(fā)規(guī)范... 35
1.5.3 OCI Artifact 37
1.6 鏡像倉(cāng)庫(kù)Registry. 40
1.6.1 Registry的作用... 41
1.6.2 公有Registry服務(wù).... 43
1.6.3 私有Registry服務(wù)... 43
1.6.4 Harbor Registry. 44

第2章 功能和架構(gòu)概述... 47
2.1 核心功能... 47
2.1.1 訪問控制... 48
2.1.2 鏡像簽名... 49
2.1.3 鏡像掃描... 50
2.1.4 高級(jí)管理功能... 52
2.2 組件簡(jiǎn)介... 58
2.2.1 整體架構(gòu)... 58
2.2.2 核心組件... 59
2.2.3 可選組件... 63

第3章 安裝Harbor 65
3.1 在單機(jī)環(huán)境下安裝Harbor 65
3.1.1 基本配置... 66
3.1.2 離線安裝... 74
3.1.3 在線安裝... 76
3.1.4 源碼安裝... 77
3.2 通過Helm Chart安裝Harbor 80
3.2.1 獲取Helm Chart 80
3.2.2 配置Helm Chart 81
3.2.3 安裝Helm Chart 95
3.3 高可用方案... 96
3.3.1 基于Harbor Helm Chart的高可用方案... 96
3.3.2 多Kubernetes集群的高可用方案... 99
3.3.3 基于離線安裝包的高可用方案... 101
3.4 存儲(chǔ)系統(tǒng)配置... 105
3.4.1 AWS的Amazon S3. 106
3.4.2 網(wǎng)絡(luò)文件系統(tǒng)NFS. 108
3.4.3 阿里云的對(duì)象存儲(chǔ)OSS. 108
3.5 Harbor初體驗(yàn)... 110
3.5.1 管理控制臺(tái)... 110
3.5.2 在Docker中使用Harbor 120
3.5.3 在Kubernetes中使用Harbor 121
3.6 常見問題... 124

第4章 OCI Artifact的管理... 125
4.1 Artifact功能的實(shí)現(xiàn)... 125
4.1.1 數(shù)據(jù)模型... 126
4.1.2 處理流程... 128
4.2 鏡像及鏡像索引... 131
4.3 Helm Chart 134
4.3.1 Helm 3. 135
4.3.2 ChartMusuem的支持... 139
4.3.3 ChartMuseum和OCI倉(cāng)庫(kù)的比較... 141
4.4 云原生應(yīng)用程序包CNAB. 142
4.5 OPA Bundle. 145
4.6 其他Artifact 147

第5章 訪問控制... 149
5.1 概述... 149
5.1.1 認(rèn)證與授權(quán)... 149
5.1.2 資源隔離... 150
5.1.3 客戶端認(rèn)證... 152
5.2 用戶認(rèn)證... 153
5.2.1 本地?cái)?shù)據(jù)庫(kù)認(rèn)證... 153
5.2.2 LDAP認(rèn)證... 154
5.2.3 OIDC認(rèn)證.... 159
5.3 訪問控制與授權(quán)... 169
5.3.1 基于角色的訪問策略... 169
5.3.2 用戶與分組.... 170
5.4 機(jī)器人賬戶... 173
5.5 常見問題... 175

第6章 安全策略... 177
6.1 可信內(nèi)容分發(fā)... 177
6.1.1 TUF與Notary. 178
6.1.2 內(nèi)容信任... 182
6.1.3 Helm 2 Chart簽名... 186
6.2 插件化的漏洞掃描... 188
6.2.1 整體設(shè)計(jì)... 190
6.2.2 掃描器管理... 192
6.2.3 掃描API規(guī)范... 193
6.2.4 掃描管理... 197
6.2.5 異步掃描任務(wù)... 201
6.2.6 與掃描相關(guān)的API 202
6.3 使用漏洞掃描功能... 207
6.3.1 系統(tǒng)掃描器... 207
6.3.2 項(xiàng)目掃描器... 209
6.3.3 項(xiàng)目漏洞掃描... 210
6.3.4 全局漏洞掃描... 213
6.3.5 自動(dòng)掃描... 214
6.3.6 與漏洞關(guān)聯(lián)的部署安全策略... 214
6.3.7 已支持的插件化掃描器... 216
6.4 常見問題... 218

第7章 內(nèi)容的遠(yuǎn)程復(fù)制... 220
7.1 基本原理... 220
7.2 設(shè)置Artifact倉(cāng)庫(kù)服務(wù)... 223
7.3 復(fù)制策略... 225
7.3.1 復(fù)制模式... 225
7.3.2 過濾器... 225
7.3.3 觸發(fā)方式... 226
7.3.4 創(chuàng)建復(fù)制策略... 228
7.3.5 執(zhí)行復(fù)制策略... 229
7.4 Harbor實(shí)例之間的內(nèi)容復(fù)制... 231
7.5 與第三方倉(cāng)庫(kù)服務(wù)之間的內(nèi)容復(fù)制... 232
7.5.1 與Docker Hub之間的內(nèi)容復(fù)制... 233
7.5.2 與Docker Registry之間的內(nèi)容復(fù)制... 234
7.5.3 與阿里云鏡像倉(cāng)庫(kù)之間的內(nèi)容復(fù)制... 235
7.5.4 與AWS ECR之間的內(nèi)容復(fù)制... 236
7.5.5 與GCR之間的內(nèi)容復(fù)制... 236
7.5.6 與Helm Hub之間的內(nèi)容復(fù)制... 237
7.6 典型使用場(chǎng)景... 238
7.6.1 Artifact的分發(fā)... 238
7.6.2 雙向同步... 239
7.6.3 DevOps鏡像流轉(zhuǎn)... 240
7.6.4 其他場(chǎng)景... 241

第8章 高級(jí)管理功能... 242
8.1 資源配額管理... 242
8.1.1 基本原理... 242
8.1.2 設(shè)置項(xiàng)目配額... 247
8.1.3 設(shè)置系統(tǒng)配額... 247
8.1.4 配額的使用... 249
8.1.5 配額超限的提示... 252
8.2 垃圾回收... 253
8.2.1 基本原理... 253
8.2.2 觸發(fā)方式... 256
8.2.3 垃圾回收的執(zhí)行... 257
8.3 不可變Artifact 258
8.3.1 基本原理... 259
8.3.2 設(shè)置不可變Artifact的規(guī)則... 260
8.3.3 使用不可變Artifact的規(guī)則... 262
8.4 Artifact保留策略... 263
8.4.1 基本原理... 263
8.4.2 設(shè)置保留策略... 265
8.4.3 模擬運(yùn)行保留策略... 269
8.4.4 觸發(fā)保留策略... 271
8.5 Webhook. 272
8.5.1 基本原理... 273
8.5.2 設(shè)置Webhook. 276
8.5.3 與其他系統(tǒng)的交互... 280
8.6 多語言支持... 284
8.7 常見問題... 286

第9章 生命周期管理... 288
9.1 備份與恢復(fù)... 288
9.1.1 數(shù)據(jù)備份... 288
9.1.2 Harbor的恢復(fù)... 290
9.1.3 基于Helm的備份與恢復(fù)... 291
9.1.4 基于鏡像復(fù)制的備份和恢復(fù)... 292
9.2 版本升級(jí)... 295
9.2.1 數(shù)據(jù)遷移... 296
9.2.2 升級(jí)Harbor 299
9.3 系統(tǒng)排錯(cuò)方法... 300
9.4 常見問題... 305
9.4.1 配置文件不生效... 305
9.4.2 Docker重啟后Harbor無法啟動(dòng)... 305
9.4.3 在丟失secret key的情況下刪除已簽名的鏡像... 306
9.4.4 丟失了系統(tǒng)管理員admin的密碼... 307

第10章 API的使用方法... 308
10.1 API概述... 308
10.1.1 核心管理API概述... 309
10.1.2 Registry API概述... 313
10.2 核心管理API 315
10.2.1 用戶管理API 315
10.2.2 項(xiàng)目管理API 317
10.2.3 倉(cāng)庫(kù)管理API 319
10.2.4 Artifact管理API 319
10.2.5 遠(yuǎn)程復(fù)制API 322
10.2.6 掃描API 324
10.2.7 垃圾回收API 326
10.2.8 項(xiàng)目配額API 327
10.2.9 Tag保留API 328
10.2.10 不可變Artifact API 329
10.2.11 Webhook API 330
10.2.12 系統(tǒng)服務(wù)API 331
10.2.13 API控制中心... 332
10.3 Registry API 336
10.3.1 Base API 337
10.3.2 Catalog API 337
10.3.3 Tag API 337
10.3.4 Manifest API 338
10.3.5 Blob API 338
10.4 API編程實(shí)例... 339
10.5 小結(jié)... 340

第11章 異步任務(wù)系統(tǒng)... 341
11.1 系統(tǒng)設(shè)計(jì)... 341
11.1.1 基本架構(gòu)... 342
11.1.2 任務(wù)編程模型... 350
11.1.3 任務(wù)執(zhí)行模型... 353
11.1.4 任務(wù)執(zhí)行流程解析... 354
11.1.5 系統(tǒng)日志... 357
11.1.6 系統(tǒng)配置... 358
11.1.7 REST API 360
11.2 核心代碼解讀... 364
11.2.1 代碼目錄結(jié)構(gòu)... 365
11.2.2 主函數(shù)入口... 366
11.2.3 系統(tǒng)的啟動(dòng)過程... 367
11.2.4 API服務(wù)器的啟動(dòng)過程... 371
11.2.5 任務(wù)運(yùn)行器的執(zhí)行過程... 375
11.2.6 系統(tǒng)中的關(guān)鍵子模塊... 379
11.3 常見問題... 400
11.3.1 如何排除故障... 401
11.3.2 狀態(tài)不一致... 402

第12章 應(yīng)用案例... 404
12.1 Harbor功能的集成... 404
12.1.1 vSphere 7.0. 404
12.1.2 Tanzu Kubernetes Grid. 412
12.1.3 P2P鏡像分發(fā)... 414
12.1.4 云原生的聯(lián)邦學(xué)習(xí)平臺(tái)... 420
12.2 成功案例... 423
12.2.1 網(wǎng)易輕舟微服務(wù)平臺(tái)... 423
12.2.2 京東零售鏡像服務(wù)... 428
12.2.3 品高云企業(yè)級(jí)DevOps實(shí)戰(zhàn)... 431
12.2.4 騫云SmartCMP容器即服務(wù)... 434
12.2.5 前才云容器云平臺(tái)... 435
12.2.6 360容器云平臺(tái)的Harbor高可用方案... 440

第13章 社區(qū)治理和發(fā)展... 443
13.1 Harbor社區(qū)治理... 443
13.1.1 治理模式... 443
13.1.2 安全響應(yīng)機(jī)制... 446
13.1.3 社區(qū)參與方式... 449
13.1.4 參與項(xiàng)目貢獻(xiàn)... 451
13.2 項(xiàng)目展望... 463
13.2.1 鏡像代理... 463
13.2.2 P2P鏡像預(yù)熱... 464
13.2.3 Harbor Operator 466
13.2.4 非阻塞垃圾回收... 467

附錄A 詞匯表... 471