团队必备 | Harbor | 技术负责人推荐

▌ 技术引导
Harbor 容器镜像仓库是团队必备的工具之一。我见过太多团队在部署 Docker 镜像时踩坑，要么是依赖混乱，要么是版本控制不清晰，还有就是网络策略配置不当，导致镜像拉取超时或安全漏洞。直接使用 Harbor 能让镜像管理规范化，支持私有仓库、权限控制、漏洞扫描、标签策略这些硬核功能，用起来比 Docker Hub 省心太多。挂载一个 Harbor 仓库到 CI/CD 流水线，配置 HTTPS 加密传输是必须的，不然你拿不到生产环境的授权。我亲测在 Kubernetes 集群中使用 Harbor 的时候，非要配置 trust-store 才能加速拉取镜像，不然每次都要验证证书。如果你是技术负责人， Harbor 的路径配置、默认用户权限、镜像同步策略这些参数，必须亲手写进 config 文件，别指望自动化搞定。

实际部署时，我见过有人用默认的管理员账户拉取镜像，结果权限不够，只能通过 sudo 命令操作，这样效率太低。 Harbor 的标签策略可以设置镜像只能使用特定格式，比如 v1.0.0，这样避免了版本混乱。我用过 Harbor 的 LDAP 集成，这玩意儿踩坑点还挺多，比如 DN 字段必须正确匹配，不然认证就挂了。在安全方面， Harbor 的漏洞扫描功能可以定时触发，你要是没设置，团队里一出问题就超被动。还有个关键点， Harbor 的 web 界面需要配置 HTTPS，否则部分链路加密的脚本根本连不上。我部署的时候，差点因为忽略这个配置，导致整个团队的 CI 任务卡在拉取镜像这一步，改了五次证书才稳住。

在一个项目里，我们用 Harbor 作为镜像仓库，配合 Jenkins 实现 CI/CD 拉取镜像时，配置了 --insecure-registry 参数，不然 Jenkins 对 Harbor 的 HTTPS 证书不信任。 Harbor 的扫描策略可以配置为每次推送都自动触发，这样你不用手动去跑扫描任务。我之前有人想用 Harbor 的标签策略，结果写错了正则表达式，导致所有镜像都被拒绝推送，花了半天排查。 Harbor 的日志分析功能也挺实用，尤其是结合 ELK 做集中日志管理，你就能看到每个镜像的拉取次数、存储空间使用情况，甚至是谁在深夜偷偷推送了测试版本。我见过有人用 Harbor 的 API 做自动化脚本，但没处理好 token 的过期机制，导致脚本一运行就报错，查了一晚上才发现是 token 的问题。

其实 Harbor 还能和 GitLab、Jenkins 这些工具做集成，用起来更顺。我在一个敏捷团队里，用 Harbor 的 Webhook 功能，每次 GitLab 提交代码后自动触发镜像构建，这省了不少人肉操作时间。 Harbor 的存储空间管理也挺灵活，支持按用户、按项目、按标签来限制，这样就不会有人把存储盘占满。我在部署 Harbor 的时候，内存不够是最常见的问题，尤其是开启了漏洞扫描和镜像同步功能，服务器资源得预留充足，不然会频繁OOM。 Harbor 的访问控制要精细化，别用一个默认组管理所有人，这样你根本不知道谁拉了谁推了，出了问题也找不到人。

技术负责人得知道 Harbor 的默认配置是啥样，比如自动删除旧版本镜像的策略，如果没配置，有时候会占用大量存储。 Harbor 的安全策略还能限制镜像拉取的IP范围，这样你就不用担心内部网络被爬虫刷爆了。我用过 Harbor 的镜像同步功能，把多个仓库的镜像同步到一个中心库，这样统一管理方便多了。但同步的时候要配置正确的源仓库和目标仓库，否则会同步错误的镜像。 Harbor 的 API 文档不全，尤其是镜像构建和删除接口，我用的时候得自己看源码，不然根本不知道参数怎么填。镜像扫描功能虽然好，但是扫描结果的严重性定义得有点模糊，得自己根据项目需求去调整阈值，不然漏掉一些漏洞。

在日志方面， Harbor 的日志格式和 Elasticsearch 的日志格式不兼容，得自己做一下格式转换，不然分析起来特别费劲。 Harbor 的数据库配置也很关键，尤其是生产环境，得用 PostgreSQL 而不是 SQLite，不然性能会炸。我遇到过有人用 Harbor 的镜像推送功能，结果因为标签命名错误，导致镜像无法被正确识别，修复起来特别麻烦。 Harbor 的权限模型比较复杂，你得知道每个用户的 role 是啥，不然权限设置会有歧义。比如，一个用户有 pull 权限，但没有 push 权限，这时候他不能做任何修改，但也无法触发自动化流程。

Harbor 还能做镜像加速，我之前用过 Harbor 的镜像缓存策略，把常用镜像缓存到本地，这样在分布式部署的时候，节省了大量网络资源。但缓存策略要根据网络环境合理配置，不能一概而论。 Harbor 的默认镜像存储路径是 /var/lib/registry，这个路径不能随便改，否则可能会影响一些系统工具的识别。我配置 Harbor 的时候，发现镜像同步代理必须用 HTTPS，否则会报错，这比你想象的要严格。 Harbor 的认证方式也分几种，比如 Basic Auth、LDAP、OAuth2、SAML，但最容易出问题的是 LDAP 配置，得确认 DN 和 Bind DN 的匹配关系，否则认证就挂。

技术负责人得知道 Harbor 的权限继承机制，比如子项目继承父项目的权限，这样管理起来更省事。但我见过有人误用这个机制，导致权限被过度开放，最后又得手动调整。 Harbor 的漏洞扫描报告也容易被误判，有些漏洞其实是 false positive，得自己看报告去过滤。 Harbor 的 API 接口有时候会因为并发太高而超时，这时候得加一些重试机制，比如用 curl 的 --retry 参数。 Harbor 的默认日志级别是 INFO，但你要是想看更详细的调试信息，得改成 DEBUG，不过这样日志量会暴增。

Harbor 的镜像同步功能有时候会因为网络不稳定导致失败，这时候得设置重试次数和超时时间，比如在 config 文件里加 sync-retry-timeout: 300。 Harbor 的默认 HTTPS 证书是自签名的，所以你需要自己配置 CA 证书，否则客户端根本连不上。我在部署时发现 Harbor 会自动清理旧的镜像，但清除了多少，得去日志里看，不能依赖默认行为。 Harbor 的数据库备份功能也容易被忽略，得定期做快照，不然数据丢了就完蛋。 Harbor 的 API 文档有时候会给出错误的参数示例，比如某个接口的 tag 参数写成了 name，这时候得自己检查参数是否正确。

Harbor 的镜像删除策略也能配置，比如设置保留策略，自动清理旧版本，这样就不需要手动去删了。我之前用 Harbor 的 CI 集成时，发现必须用 Docker 的 --insecure-registry 参数，否则在 HTTPS 下会报错。 Harbor 的漏洞扫描模块有时候会误报一些依赖项的漏洞，这时候得自己在 config 文件里排除一些库。 Harbor 的缓存策略得根据业务需求来定，比如某些镜像可能不需要缓存，而另一些必须缓存，这样能优化网络性能。 Harbor 的 API 还能设置速率限制，比如限制每个用户每分钟只能请求多少次，这样能防住一些恶意攻击。

Harbor 的 UI 界面有时候会卡顿，尤其是在大量镜像存在的情况下，这时候得优化数据库索引和缓存策略。我在一个项目里用 Harbor 的镜像同步代理，结果发现代理地址写错了，导致整个同步流程彻底崩溃。 Harbor 的证书管理模块也容易出问题，比如证书过期了没人注意，结果导致整个仓库无法访问。 Harbor 的 API 还能联动一些自动化工具，比如用 webhook 自动触发其他服务的部署，但这需要你自己写脚本去处理。 Harbor 的 URL 路径有时候会因为配置错误导致无法访问，比如路径写成了 /harbor 而不是 /v2，这时候得去 config 文件里检查。

Harbor 的用户管理模块有时候会因为权限设置错误，导致某些人连登录都做不到。我见过有人用 Harbor 的 LDAP 集成，结果因为 Bind DN 写错了，导致整个认证流程瘫痪。 Harbor 的镜像命名规则必须统一，否则容易出现不同版本的镜像混在一起，导致部署混乱。 Harbor 的备份和恢复功能也容易被忽略，我之前因为没备份，导致一次误操作之后数据全丢了，损失惨重。 Harbor 的配置文件里有个 security 的配置项，必须设置为 true，不然某些安全功能会失效。 Harbor 的默认网页配置也容易被误删，所以部署时得备份好。

Harbor 的网络策略有时候会因为防火墙设置导致无法访问，我之前因为没开 HTTPS 的端口，导致整个仓库无法拉取。 Harbor 的镜像存储策略得根据业务需求来定，比如某些镜像必须绑定到特定的存储卷，否则会出现存储路径错误的问题。 Harbor 的 API 接口有时候会返回错误的响应码，比如 404 实际是 403，这时候得自己去查看日志排查。 Harbor 的镜像同步策略有时候会因为标签策略冲突导致同步失败，这时候得手动调整标签规则。 Harbor 的漏洞扫描结果有时候会因为环境不同出现差异，比如某些漏洞在测试环境没问题，但在生产环境就会暴雷，这时候得自己做环境隔离。

Harbor 的镜像版本策略有时候会因为自动删除设置错误，导致最新版本的镜像被误删。我之前因为没设置版本保留策略，导致一个关键版本的镜像被清理了，修复起来非常麻烦。 Harbor 的权限模型有时候会因为 role 缺失导致无法访问，比如某个用户被分配了 wrong role，结果连基础操作都做不了。 Harbor 的日志分析模块有时候会因为格式不统一导致分析失败，这时候得自己写脚本做格式转换。 Harbor 的 API 调用有时候会因为 token 过期导致失败，所以得配置好 token 的刷新机制。

Harbor 的标签策略有时候会因为规则写错了导致无法推送，比如正则表达式没写全，结果标签被拒绝。我在部署 Harbor 的时候，发现某些参数必须写在 config 文件里，比如 sync 的目标仓库地址，不能直接在 web 界面设置，否则会忽略。 Harbor 的镜像缓存策略有时候会因为配置错误导致缓存失效，这时候得去 log 里找线索。 Harbor 的默认存储引擎是 SQLite，但你要是想支持高并发，必须改成 PostgreSQL。 Harbor 的权限配置有时候会因为继承关系设置错误，导致某些用户权限多了一层，出问题还不好查。

Harbor 的镜像同步代理有时候会因为网络不稳定导致同步失败，这时候得设置重试次数，比如在 config 文件里加 sync-retry: 3。 Harbor 的 API 接口有时候会因为版本不兼容导致失败，比如 v2.0 的接口不能和 v1.0 的工具配合使用。 Harbor 的权限管理有时候会因为用户组设置错误导致权限混乱，比如某个用户组被错误分配了 write 权限，结果其他人无法访问。 Harbor 的镜像存储路径有时候会因为磁盘满了导致无法推送，这时候得监控存储空间。 Harbor 的漏洞扫描模块有时候会因为库存不完整导致漏报，所以得确保所有依赖项都被正确识别。

Harbor 的日志管理有时候会因为日志文件过大导致读取困难，这时候得配置日志轮转策略。我在部署 Harbor 的时候，发现某些 HA 配置必须用特定的负载均衡器，不然会因为 session 管理出问题。 Harbor 的 API 调用有时候会因为 URL 编码错误导致失败，比如某些特殊字符没处理，结果请求失败。 Harbor 的镜像同步策略有时候会因为同步时间设定错误导致数据不一致，这时候得手动调整同步时间。 Harbor 的安全策略有时候会因为配置错误导致镜像无法拉取，比如签名验证没开，但某些镜像需要签名才能拉取。

Harbor 的镜像构建功能有时候会因为 Dockerfile 编写错误导致构建失败，这时候得在 config 文件里配置构建日志的存储路径，方便排查。 Harbor 的标签管理有时候会因为规则混乱导致标签无法识别，比如某些标签被误删，结果部署流程卡住。 Harbor 的权限管理有时候会因为用户数量过多导致性能下降，这时候得优化数据库索引。 Harbor 的 API 调用有时候会因为请求频率过高导致被限流，这时候得设置请求频率限制。 Harbor 的镜像同步功能有时候会因为网络延迟导致同步失败，这时候得设置超时时间。

Harbor 的镜像存储策略有时候会因为存储路径设置错误导致镜像无法找到，这时候得去日志里找线索。我在部署 Harbor 的时候，发现某些环境变量必须写在 docker-compose.yml 里，否则启动脚本会报错。 Harbor 的安全策略有时候会因为证书设置错误导致 HTTPS 连接失败，这时候得重新生成证书并配置信任链。 Harbor 的镜像同步代理有时候会因为代理地址写错导致同步失败，这时候得检查代理配置文件。 Harbor 的 API 调用有时候会因为参数类型错误导致失败，比如某个参数是 integer 而你写成了 string，结果调用报错。

Harbor 的日志轮转有时候会因为配置错误导致日志堆积，这时候得设置合适的轮转策略。我在部署 Harbor 的时候，发现某些存储策略必须用特定的文件系统，否则会出现性能瓶颈。 Harbor 的标签策略有时候会因为正则表达式写错了导致标签无法生成，这时候得手动校验正则表达式。 Harbor 的权限设置有时候会因为继承关系设置错误导致权限混乱，比如某个子项目继承了错误的权限，结果用户访问不了。 Harbor 的镜像同步功能有时候会因为标签冲突导致失败，这时候得手动调整标签规则。

Harbor 的镜像加密有时候会因为配置错误导致镜像无法解密，这时候得检查加密密钥是否有效。我在部署 Harbor 的时候，发现某些参数必须写在 docker-compose.yml 里，比如 sync 的目标仓库地址，否则启动脚本会报错。 Harbor 的权限管理有时候会因为用户组设置错误导致权限混乱，比如某个用户组被错误分配了 write 权限，结果其他人无法访问。 Harbor 的 API 调用有时候会因为请求频率过高导致被限流，这时候得设置请求频率限制。 Harbor 的镜像同步代理有时候会因为代理地址写错导致同步失败，这时候得检查代理配置文件。

Harbor 的镜像存储策略有时候会因为存储路径设置错误导致镜像无法找到，这时候得去日志里找线索。我在部署 Harbor 的时候，发现某些环境变量必须写在 docker-compose.yml 里，否则启动脚本会报错。 Harbor 的安全策略有时候会因为证书设置错误导致 HTTPS 连接失败，这时候得重新生成证书并配置信任链。 Harbor 的镜像同步功能有时候会因为标签冲突导致失败，这时候得手动调整标签规则。 Harbor 的权限设置有时候会因为继承关系设置错误导致权限混乱，比如某个子项目继承了错误的权限，结果用户访问不了。