Construyendo un Registro de Docker de múltiples contenedores con puerto

En el mundo containerizzato de hoy, gestionar múltiples imágenes Docker de forma segura y eficiente es crucial para las organizaciones de todos los tamaños. A medida que las empresas escalan sus implementaciones de contenedores, la necesidad de un registro de contenedores sólido, seguro y rico en características se convierte en primordial. Portuaje, un proyecto graduado CNCF con más de 30.000 estrellas GitHub, es el registro de contenedores nativos de código abierto más adoptado.

¿Qué es Puerto y por qué elegirlo?

Harbor es un registro de código abierto que asegura artefactos con políticas y control de acceso basado en roles, garantiza que las imágenes sean escaneadas y libres de vulnerabilidades, y que las imágenes de signos sean de confianza. Harbor extiende la distribución de Docker de código abierto agregando las funcionalidades que generalmente requieren los usuarios como seguridad, identidad y gestión.

VMware abrió-sourced Harbor en 2016, se unió a la CNCF en julio de 2018, y se graduó en junio de 2020 — lo que lo convierte en el primer registro de código abierto para alcanzar el estatus graduado de CNCF. Este hito refleja tanto su madurez como la fuerza de su apoyo comunitario.

Características clave que establecen el puerto

Harbor se distingue de los registros básicos de Docker e incluso de alternativas comerciales a través de varias capacidades de grado empresarial:

• Multi-tenancy A través de proyectos: Portugués organiza contenido en proyectos, con cada proyecto consiguiendo sus propias políticas de RBAC, ajustes de escaneo, límites de cuota y reglas de retención de etiquetas
• Exploración de vulnerabilidades: El puerto incluye políticas de escaneo en el puño con backends enchubles incluyendo Trivy, Clair y Anchore que bloquean imágenes vulnerables antes de desplegarse
• Finanza de firmas de imágenes y contenidos: Portuaria apoya la firma de artefactos con Cosign y notación para la seguridad de la cadena de suministro, además de políticas de confianza de contenido que sólo ejecutan imágenes firmadas pueden ser tiradas
• Replicación de registro múltiple: Portuario sincroniza imágenes en centros de datos, regiones de la nube o entornos híbridos con filtros basados en políticas en repositorios, etiquetas y etiquetas
• Control de acceso amplio: La autenticación se conecta a LDAP, Active Directory, proveedores OIDC o a la base de datos integrada
• Cuentas de robot para la automatización: Las cuentas de robot dan acceso a tuberías CI/CD no humano con permisos de alcance y fechas de vencimiento.
• Trail de auditoría completo: Recorrido de registros de auditoría que empujaron, tiraron, eliminaron o escanearon artefactos

Cuándo elegir puerto sobre alternativas

Las organizaciones ejecutan Harbor cuando necesitan un registro de contenedores privado con controles de seguridad que alojan los registros cobran o simplemente no ofrecen, con entornos de ventilación, industrias reguladas y configuraciones de multi-cloud siendo casos de uso típicos.

Comparado con Docker Hub, Harbor ofrece una exploración de vulnerabilidad integrada, firma de imágenes, RBAC, registro de auditorías y replicación multi-registrística, características que requieren planes de Docker Hub pagados o no están disponibles. Para organizaciones con requisitos de residencia de datos, mandatos de cumplimiento, o la necesidad de repositorios privados ilimitados, Harbor proporciona una alternativa convincente.

Comprender la arquitectura multi-tenancy de Harbor

Antes de sumergirse en la instalación, es esencial entender cómo Harbor implementa la multi-tenancia y cómo esta arquitectura apoya el aislamiento organizativo y la seguridad.

Proyectos como Fronteras de Tenant

Los objetos dentro de Harbor son propiedad de un proyecto, y este agrupamiento permite que los ajustes y permisos sean afinados para conjuntos de artefactos en lugar de un nivel puramente global. Los proyectos sirven como unidad fundamental de multi-tenancy en Harbor, actuando como espacios de nombres aislados que separan imágenes de contenedores, diagramas de helm y otros artefactos de OCI por equipo, departamento o cliente.

Las capacidades de multitenancia de Harbor incluyen proyectos que actúan como espacios de nombres que aíslan modelos por equipo, medio ambiente o caso de uso, junto con RBAC fino para controlar quién puede empujar, tirar o administrar artefactos. Este aislamiento basado en proyectos asegura que diferentes inquilinos no pueden acceder a los artefactos de los otros sin permiso explícito.

Control de acceso basado en roles (RBAC)

Los usuarios acceden a diferentes repositorios a través de 'proyectos' y un usuario puede tener diferentes permisos para imágenes o gráficos Helm bajo un proyecto. Harbor implementa un sofisticado sistema RBAC con roles predefinidos que pueden ser asignados a nivel del proyecto:

• Guest:] Acceso sólo lectura a la vista y a los artefactos de atracción
• Desarrollo: Autorizaciones de escritura para empujar y tirar imágenes
• Manier: Puede gestionar los miembros del proyecto y configurar la configuración del proyecto
• Proyecto Admin: Control completo sobre el proyecto, incluyendo capacidades de configuración de lectura-escritura

Este modelo de permisos granulares permite a las organizaciones aplicar el principio de mínimo privilegio, garantizando que los usuarios y los sistemas automatizados tengan acceso únicamente a los recursos que necesitan.

Authentication Integration

En los casos más simples, los usuarios pueden ser creados por Harbor en sí mismos y gestionados internamente, sin embargo, esto no escala particularmente bien, así que Harbor también proporciona integración en otros servicios populares como OIDC, Active Directory y LDAP. Esta flexibilidad permite a las organizaciones aprovechar la infraestructura de gestión de identidad existente, reduciendo la sobrecarga administrativa y garantizando políticas de acceso consistentes a través de sistemas.

Prerrequisitos y requisitos del sistema

Antes de instalar Harbor, asegúrese de que su entorno cumple con los requisitos necesarios para una implementación lista para la producción.

Requisitos de hardware

Para una implementación de puerto de producción que soporta múltiples inquilinos, considere las siguientes especificaciones mínimas:

• CPU: 4 núcleos mínimos (8+ núcleos recomendados para entornos de alta trafico)
• Memoria: 8 GB de RAM mínimo (16+ GB recomendados)
• Fuente: Depende del volumen de imagen; comience con 100 GB y plan de crecimiento
• Redes: Conectividad de red estable con suficiente ancho de banda para operaciones de impulso de imagen/pull

Prerrequisitos de software

Portuario requiere los siguientes componentes de software:

• Sistema operativo: Distribución Linux (Ubuntu 20.04+, CentOS 7+, RHEL 7+, o similar)
• Motor de muelles: Versión 20.10.0 o superior
• Docker Compose: Versión 1.29.0 o superior (para el método de instalación Docker Compose)
• Kubernetes: Versión 1.20+ (si se despliega vía Helm)
• OpenSSL: Para generar certificados SSL/TLS

Configuración de red y dominio

Para una implementación de producción, necesitará:

• Un nombre de dominio completamente calificado (FQDN) señalando a su servidor de puerto
• Certificados SSL/TLS (autofirmados para pruebas, firmadas por CA para producción)
• Puertos de cortafuegos abiertos: 80 (HTTP), 443 (HTTPS), y opcionalmente 4443 (Notario)

Instalación de puerto: Guía paso a paso

El puerto puede instalarse en cualquier entorno de Kubernetes o en un sistema con soporte Docker. Esta guía cubre ambos métodos de instalación, comenzando por el enfoque Docker Compose para la simplicidad, seguido por el despliegue de Kubernetes usando gráficos Helm.

Método 1: Instalar puerto con la compostura de muelles

Docker Compose proporciona el camino más rápido para subir y correr a Harbor, lo que lo hace ideal para entornos de desarrollo y despliegues más pequeños.

Paso 1: Instalar Docker y Docker Compose

Primero, asegúrese de que Docker y Docker Compose están instalados en su sistema. En Ubuntu, puede instalarlos con los siguientes comandos:

# Update package index
sudo apt update

# Install prerequisites
sudo apt install -y ca-certificates curl gnupg lsb-release

# Add Docker's official GPG key
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

# Set up Docker repository
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# Install Docker Engine and Docker Compose
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin

# Start and enable Docker
sudo systemctl start docker
sudo systemctl enable docker

# Verify installation
docker --version
docker compose version

Paso 2: Descargar Puerto

Descargar binarios de la versión de Harbor y seguir la Guía de Instalación y Configuración para instalar Harbor. Puede descargar la última versión de Harbor del repositorio GitHub oficial:

# Download the latest Harbor release
cd /opt
curl -s https://api.github.com/repos/goharbor/harbor/releases/latest | grep browser_download_url | cut -d '"' -f 4 | grep '.tgz$' | wget -i -

# Extract the archive
tar xzvf harbor-offline-installer-*.tgz

# Navigate to Harbor directory
cd harbor

Paso 3: Configurar Puerto

Harbor utiliza un archivo de configuración YAML que debe ser personalizado para su entorno:

# Copy the template configuration file
cp harbor.yml.tmpl harbor.yml

# Edit the configuration file
nano harbor.yml

Parámetros de configuración clave para modificar:

# The hostname or IP address of your Harbor server
hostname: harbor.yourdomain.com

# HTTP configuration
http:
 port: 80

# HTTPS configuration (recommended for production)
https:
 port: 443
 certificate: /path/to/your/certificate.crt
 private_key: /path/to/your/private_key.key

# Harbor admin password (change this!)
harbor_admin_password: YourSecurePassword123!

# Database configuration
database:
 password: DatabasePassword123!
 max_idle_conns: 100
 max_open_conns: 900

# Data storage location
data_volume: /data

# Log configuration
log:
 level: info
 local:
 rotate_count: 50
 rotate_size: 200M
 location: /var/log/harbor

Paso 4: Generar certificados SSL (Opcional pero Recomendado)

Para las implementaciones de producción, utilice certificados de CA. Para las pruebas, puede generar certificados auto-firmados:

# Create certificate directory
mkdir -p /opt/harbor/certs
cd /opt/harbor/certs

# Generate private key
openssl genrsa -out harbor.key 4096

# Generate certificate signing request
openssl req -new -key harbor.key -out harbor.csr -subj "/C=US/ST=State/L=City/O=Organization/CN=harbor.yourdomain.com"

# Generate self-signed certificate (valid for 365 days)
openssl x509 -req -days 365 -in harbor.csr -signkey harbor.key -out harbor.crt

# Update harbor.yml with certificate paths
# certificate: /opt/harbor/certs/harbor.crt
# private_key: /opt/harbor/certs/harbor.key

Paso 5: Instalar puerto con escáner de carga

Trivy es el escáner predeterminado desde Harbor v2. Para instalar Harbor con el escáner de vulnerabilidad Trivy habilitado:

# Run the installation script with Trivy
sudo ./install.sh --with-trivy

# Verify all containers are running
docker compose ps

Usted debe ver la salida que muestra todos los servicios de Harbor funcionando, incluyendo el puerto-core, puerto-portal, puerto-db, registro, trivy-adapter, y otros.

Paso 6: Interfaz de acceso a puerto

Una vez que la instalación esté completa, usted debe ser capaz de acceder a la interfaz de usuario de puerto en su navegador web en https://harbor.yourdomain.com y conectarse con el usuario administrador y la contraseña que usted establece.

Método 2: Instalación de puerto en Kubernetes con Helm

Si deseas desplegar Harbor en Kubernetes, utiliza el gráfico Harbor. El despliegue de Kubernetes ofrece una mejor escalabilidad, alta disponibilidad e integración con los ecosistemas nativos de la nube.

Paso 1: Agregar el depósito de helm puerto

# Add Harbor Helm repository
helm repo add harbor https://helm.goharbor.io

# Update Helm repositories
helm repo update

# Create namespace for Harbor
kubectl create namespace harbor

Paso 2: Crear archivo de valores de helm

Cree un archivo de valores personalizado para configurar su implementación de Harbor:

cat > harbor-values.yaml <<EOF
expose:
 type: ingress
 tls:
 enabled: true
 certSource: secret
 secret:
 secretName: harbor-tls
 ingress:
 hosts:
 core: harbor.yourdomain.com
 className: nginx
 annotations:
 cert-manager.io/cluster-issuer: "letsencrypt-prod"

externalURL: https://harbor.yourdomain.com

persistence:
 enabled: true
 resourcePolicy: "keep"
 persistentVolumeClaim:
 registry:
 storageClass: "fast-ssd"
 size: 500Gi
 database:
 storageClass: "fast-ssd"
 size: 10Gi
 redis:
 storageClass: "fast-ssd"
 size: 1Gi

harborAdminPassword: "ChangeThisPassword123!"

database:
 type: internal

redis:
 type: internal

trivy:
 enabled: true

notary:
 enabled: true
EOF

Paso 3: Instalar puerto vía Helm

# Install Harbor
helm install harbor harbor/harbor
 -n harbor
 -f harbor-values.yaml

# Wait for all components to be ready
kubectl wait --for=condition=available --timeout=600s
 deployment --all -n harbor

# Check pod status
kubectl get pods -n harbor

# Get Harbor admin password
kubectl get secret harbor-core -n harbor -o jsonpath='{.data.HARBOR_ADMIN_PASSWORD}' | base64 -d

Configuración de la multi-tenancia en Puerto

Con Harbor instalado, el siguiente paso es configurar la multi-tenancia para apoyar múltiples equipos, departamentos o clientes dentro de su organización.

Creación de proyectos para inquilinos

Puede crear múltiples proyectos en Harbor para separar los artefactos almacenados por diferentes equipos o suborganizaciones dentro de una empresa. Los proyectos se pueden crear a través de la interfaz web de Harbor o programáticamente a través de la API.

Creación de proyectos a través de la interfaz web

Para crear un proyecto a través del portal Harbor:

1. Inicie sesión en Harbor como administrador
2. Haga clic en "Proyectos" en el menú de navegación izquierdo
3. Haga clic en el botón "Nuevo PROYECTO"
4. Configurar la configuración del proyecto:
   • Nombre del proyecto:] Usar un nombre descriptivo (por ejemplo, "team-frontend", "customer-acme")
   • Nivel de acceso: Elija "Public" (cualquiera puede tirar) o "Privado" (requiere autenticación)
   • Storage Quota: Establecer un límite para evitar que cualquier inquilino consuma un almacenamiento excesivo
   • Proxy Cache: Configurar el proyecto como un caché proxy para registros externos
5. Haga clic en "OK" para crear el proyecto

Creación de proyectos a través de API

Para la creación automatizada de proyectos o operaciones a granel, utilice la API de Harbor REST:

# Set Harbor credentials
HARBOR_URL="https://harbor.yourdomain.com"
HARBOR_USER="admin"
HARBOR_PASSWORD="YourSecurePassword123!"

# Create multiple projects
for project in team-frontend team-backend team-ml customer-alpha customer-beta; do
 curl -X POST "${HARBOR_URL}/api/v2.0/projects"
 -H "Content-Type: application/json"
 -u "${HARBOR_USER}:${HARBOR_PASSWORD}"
 -d "{
 "project_name": "${project}",
 "public": false,
 "storage_limit": 107374182400
 }"
 echo "Created project: $project"
done

# List all projects
curl -X GET "${HARBOR_URL}/api/v2.0/projects"
 -u "${HARBOR_USER}:${HARBOR_PASSWORD}" | jq .

Configuración de los ajustes de proyecto de nivel

Cada proyecto en Harbor puede configurarse independientemente con ajustes que ejecuten las políticas de seguridad y los límites de recursos.

Quotas de almacenamiento

Las cuotas de almacenamiento impiden que los inquilinos consuman espacio excesivo en disco:

1. Navegue al proyecto
2. Haga clic en la pestaña "Configuración"
3. Bajo "Resource Management", establece el cupo de almacenamiento (por ejemplo, 100 GB)
4. Haga clic en "Guardar"

Políticas de exploración de vulnerabilidad

Configurar el análisis automático de vulnerabilidad para imágenes empujadas al proyecto:

1. Vaya al proyecto "Configuración"
2. Activar "Escanear automáticamente imágenes en el empuje"
3. Establecer "Prevenir imágenes vulnerables de correr" para bloquear imágenes con vulnerabilidades críticas
4. Configurar el umbral de gravedad (por ejemplo, bloquear imágenes con vulnerabilidades "High" o "Critical")

Políticas de retención de la etiqueta

Las políticas de retención limpian automáticamente imágenes viejas o no utilizadas para gestionar el almacenamiento de manera eficiente:

1. Navegue a proyectar "Policía" pestaña
2. Haga clic en "Agregar Regla" bajo la retención de la etiqueta
3. Configurar criterios de retención:
   • Patrón de emparejamiento del depósito (por ejemplo, "**" para todos los depósitos)
   • Regla de retención (por ejemplo, "tener los 10 artefactos más recientemente empujados")
   • etiqueta patrón de emparejamiento (por ejemplo, excluir etiquetas "latúnicas" y "producción")
4. Haga clic en "Añadir" y luego "Run Ahora" para probar la política

Confianza de contenidos y firma de imágenes

Permitir la confianza en el contenido para asegurar que sólo las imágenes firmadas se pueden extraer:

1. En el proyecto "Configuración", habilitar "Confianza de contenido de Habilitar"
2. Esto requiere que las imágenes sean firmadas usando Docker Content Trust o Cosign
3. Las imágenes no firmadas serán rechazadas cuando los usuarios traten de tirarlas

Gestión del acceso y las permisos de usuario

Para que los inquilinos puedan acceder sólo a sus recursos designados, es preciso administrar cuidadosamente el acceso de los usuarios y los permisos para ello.

Estrategias de gestión de usuarios

Harbor admite varios backends de autenticación, lo que le permite elegir el enfoque que mejor se ajuste a la infraestructura de gestión de identidad de su organización.

Gestión local de usuarios

Para pequeñas implementaciones o pruebas, puede crear usuarios directamente en Harbor:

1. Ingrese como administrador
2. Navegue a "Administración" → "Usuarios"
3. Haga clic en "NOVE USUARIO"
4. Rellene los datos del usuario (nombre de usuario, correo electrónico, nombre completo, contraseña)
5. Haga clic en "OK"

LDAP/Incorporación en Directorios Activos

Para implementaciones de empresas, integre Harbor con su LDAP o Active Directory existente:

1. Navega a la "Administración" → "Configuración" → "Authentication"
2. Seleccione "LDAP" como modo de autenticación
3. Configuración LDAP:
   • ] URL de la LDAP:] ldap://ldap.yourdomain.com:389
   • LDAP Search DN: cn=admin,dc=yourdomain,dc=com
   • LD Base DN: dc=yourdomain,dc=com
   • Filtro de la LDAM: (objetoClass=persona)
   • UID DE LA LD: Uid
   • Ámbito de aplicación: Subtree
4. Prueba la conexión
5. Haga clic en "Guardar"

OIDC Integration

Para los proveedores de identidad modernos como Okta, Auth0 o Keycloak:

1. En la configuración de "Authentication", seleccione "OIDC"
2. Configurar los parámetros OIDC:
   • ]OIDC Nombre del proveedor:
   • OIDC Endpoint:] https://your-idp.com
   • ID del cliente de OIDC: Su ID del cliente
   • OIDC Client Secret: Su cliente secreto
   • Ámbito de OIDC: openid,profile,email
3. Verificar y salvar

Asignación de Usuarios a Proyectos

Una vez que los usuarios sean autenticados, asignárseles a proyectos con funciones apropiadas:

1. Navegue al proyecto
2. Haga clic en "Miembros" ficha
3. Haga clic en "USER" o "GROUP" para añadir miembros
4. Buscar el usuario o grupo
5. Seleccione el papel apropiado:
   • ]] ] Acceso sólo lectura para extraer imágenes
   • Desarrollo: Puede empujar y tirar imágenes
   • Manier: Puede gestionar los miembros del proyecto y configurar la configuración
   • Proyecto Admin: Control completo sobre el proyecto
6. Haga clic en "OK"

Cuentas de robot para la integración CI/CD

Las cuentas de robot son cuentas de servicio en Harbor con permisos específicos, utilizados para operaciones automatizadas como tuberías CI/CD empujando o tirando imágenes sin requerir credenciales humanas.

Para crear una cuenta de robot:

1. Navegue al proyecto
2. Haga clic en "Recuentas de robot"
3. Haga clic en "Nuevo ROBOT ACCOUNT"
4. Configurar la cuenta de robot:
   • ]Nombre: Nombre descriptivo (por ejemplo, "ci-pipeline-bot")
   • Tiempo de extinción: Establecer una fecha de vencimiento para la seguridad
   • Permisos: Seleccione repositorios y acciones específicas (push, pull, delete)
5. Haga clic en "ADD"
6. Copiar el token generado inmediatamente (no se mostrará de nuevo)

Utilice la cuenta de robot en su tubería CI/CD:

# In your CI/CD pipeline (e.g., GitLab CI, Jenkins)
docker login harbor.yourdomain.com -u 'robot$ci-pipeline-bot' -p 'TOKEN_HERE'
docker build -t harbor.yourdomain.com/team-frontend/app:${CI_COMMIT_SHA} .
docker push harbor.yourdomain.com/team-frontend/app:${CI_COMMIT_SHA}

Características de seguridad para entornos multi-tenientes

La seguridad es primordial en entornos multi-tenant donde múltiples equipos o clientes comparten infraestructura. Harbor proporciona características de seguridad integrales para proteger su cadena de suministro de contenedores.

Escaneo de vulnerabilidad

Utilizando escáneres de imagen populares, como Trivy, las imágenes pueden ser escaneadas automáticamente para vulnerabilidades conocidas, y los resultados de estos escáneres pueden ser aprovechados para evitar la extracción de artefactos con problemas de seguridad no abordados.

Configuración de escaneado automático

Permite el escaneo automático en el nivel del sistema o del proyecto:

1. Para el escaneo a nivel de todo el sistema: "Administración" → "Servicios de Interrogación" → Configuración de la Trivy
2. Para el escaneo de nivel de proyecto: Proyecto → "Configuración" → Habilitar "Escanear automáticamente imágenes en el empuje"
3. Configurar los escaneos programados para re-escanear las imágenes existentes para vulnerabilidades recién descubiertas

Políticas de prevención de la vulnerabilidad

Configurar políticas para evitar que se desplieguen imágenes vulnerables:

1. En el proyecto "Configuración", permite "Prevenir imágenes vulnerables de correr"
2. Establecer el umbral de gravedad (por ejemplo, "alto" o "crítico")
3. Las imágenes con vulnerabilidades en o por encima de este umbral no pueden ser tiradas

Ver resultados de la exploración

Para ver los resultados del análisis de vulnerabilidad:

1. Navegue al proyecto y al repositorio
2. Haga clic en un artefacto/tag
3. Vea la pestaña "Vulnerabilidades" para resultados de análisis detallados
4. Revise los detalles CVE, niveles de gravedad y correcciones disponibles

Signing de imagen y Content Trust

Harbor admite la firma de imágenes de contenedores utilizando Docker Content Trust (notario de la generación de recursos) para garantizar la autenticidad y procedencia, y también se pueden activar políticas que impiden que se desplieguen imágenes no firmadas.

Confianza en el contenido

Para permitir la confianza en el contenido de un proyecto:

1. Navegue para proyectar "Configuración"
2. Permite "Iniciar confianza en contenidos"
3. Permite "Prevenir imágenes no firmadas de ser tiradas"

Imágenes de firma con Docker Content Trust

# Enable Docker Content Trust
export DOCKER_CONTENT_TRUST=1
export DOCKER_CONTENT_TRUST_SERVER=https://harbor.yourdomain.com:4443

# Push and sign an image
docker push harbor.yourdomain.com/team-frontend/app:v1.0

# The first push will prompt you to create signing keys
# Follow the prompts to set passphrases for root and repository keys

Firma con Cosign

Para los flujos de trabajo de firma modernos, utilice Cosign:

# Install Cosign
curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64"
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
sudo chmod +x /usr/local/bin/cosign

# Generate key pair
cosign generate-key-pair

# Sign an image
cosign sign --key cosign.key harbor.yourdomain.com/team-frontend/app:v1.0

# Verify signature
cosign verify --key cosign.pub harbor.yourdomain.com/team-frontend/app:v1.0

Auditorías de la logística y el cumplimiento

Todas las operaciones a los depósitos se rastrean a través de registros. Harbor mantiene registros de auditoría integrales que rastrean todas las actividades de los usuarios, facilitando el cumplimiento de los requisitos e investigan incidentes de seguridad.

Ver los registros de auditoría

1. Navega a "Administración" → "Logs"
2. Registros de filtro por:
   • Tipo de operación (pojía, tira, borra, crea, etc.)
   • Tipo de recurso (proyecto, repositorio, artefacto)
   • Rango de tiempo
3. Registros de exportación para análisis o archivo externo

Integrando con SIEM Systems

Para el cumplimiento de la empresa, integre los registros de puerto con su sistema SIEM:

# Configure Harbor to send logs to syslog
# Edit harbor.yml
log:
 level: info
 external_endpoint:
 protocol: tcp
 host: syslog.yourdomain.com
 port: 514

# Restart Harbor to apply changes
docker compose down
docker compose up -d

Seguridad de la red y control de acceso

Configuración de HTTPS

Utilizar siempre HTTPS en producción para cifrar datos en tránsito:

1. Obtenga certificados SSL/TLS de una CA de confianza (Encrypt, DigiCert, etc.)
2. Configurar puerto.síntoma con las trayectorias de certificados
3. Puerto de Restart

Configuración de firewall

Acceso restringido a Puerto usando reglas de cortafuegos:

# Allow HTTPS traffic
sudo ufw allow 443/tcp

# Allow HTTP (if needed for redirect)
sudo ufw allow 80/tcp

# Allow Notary (if using Docker Content Trust)
sudo ufw allow 4443/tcp

# Restrict access to specific IP ranges (optional)
sudo ufw allow from 10.0.0.0/8 to any port 443 proto tcp

# Enable firewall
sudo ufw enable

Replicación de imagen para despliegues multi-sitio

Las imágenes y gráficos pueden reproducirse (sincronizarse) entre múltiples instancias de registro basadas en políticas con el uso de filtros (repositorio, etiqueta y etiqueta), y Harbor automáticamente se registra una replicación si encuentra errores, que pueden utilizarse para ayudar a la carga, lograr alta disponibilidad, y facilitar despliegues multi-datacentro en escenarios híbridos y multi-cloud.

Configuración de puntos finales de replicación

Los objetivos de replicación incluyen otros casos de puerto, Docker Hub, AWS ECR, Google GCR/GAR, Azure ACR, y cualquier registro compatible con OCI.

Para configurar un punto final de replicación:

1. Navegue a "Administración" → "Registros"
2. Haga clic en "NIT ENDPOINT"
3. Configurar los detalles del punto final:
   • Proveedor: Seleccione el tipo de registro (Harbor, Docker Hub, AWS ECR, etc.)
   • Nombre: Nombre descriptivo para el punto final
   • URL de punto: URL del registro
   • Admisión ID/Secret:
4. Prueba la conexión
5. Haga clic en "OK"

Crear reglas de replicación

Definir las políticas de reproducción para sincronizar automáticamente las imágenes:

1. Navega a "Administración" → "Replicaciones"
2. Haga clic en "Nuevo REGLAMENTE DE REPLICACIÓN"
3. Configure la regla:
   • ]Nombre:
   • Modo de replicación: Empuja (a distancia) o Tire (a distancia)
   • Registro de la fuente: Seleccione fuente
   • Registro de destino: Seleccione el punto final de destino
   • Modo de prueba: Manual, programado o basado en eventos
   • Filters: Especificar qué repositorios, etiquetas o etiquetas reproducir
4. Haga clic en "SAVE"

Casos de uso para la replicación

• Replicar imágenes críticas a una instancia secundaria de puerto en una región diferente
• Distribución geográfica: Imágenes sincronizadas a los registros regionales para tiempos de tirado más rápidos
• Hybrid Cloud: Replicar entre los registros de puerto y nubes
• Separación de desarrollo/producción: Promover imágenes de los dev a los registros de producción

# Log in to Harbor
docker login harbor.yourdomain.com

# Tag your image with Harbor registry path
docker tag myapp:latest harbor.yourdomain.com/team-frontend/myapp:v1.0

# Push the image
docker push harbor.yourdomain.com/team-frontend/myapp:v1.0

# Log in to Harbor (if pulling private images)
docker login harbor.yourdomain.com

# Pull the image
docker pull harbor.yourdomain.com/team-frontend/myapp:v1.0

# Run the container
docker run -d harbor.yourdomain.com/team-frontend/myapp:v1.0

# Create a Docker registry secret
kubectl create secret docker-registry harbor-registry
 --docker-server=harbor.yourdomain.com
 --docker-username=your-username
 --docker-password=your-password
 [email protected]
 -n your-namespace

# Reference the secret in your pod spec
apiVersion: v1
kind: Pod
metadata:
 name: myapp
spec:
 containers:
 - name: myapp
 image: harbor.yourdomain.com/team-frontend/myapp:v1.0
 imagePullSecrets:
 - name: harbor-registry

# Instead of pulling from Docker Hub directly
docker pull nginx:latest

# Pull through Harbor proxy cache
docker pull harbor.yourdomain.com/dockerhub-proxy/library/nginx:latest

# Stop Harbor
cd /opt/harbor
docker compose down

# Backup the data directory
sudo tar -czf harbor-backup-$(date +%Y%m%d).tar.gz /data

# Backup the configuration
sudo cp harbor.yml harbor.yml.backup

# Backup the database (if using external database)
docker exec harbor-db pg_dump -U postgres registry > harbor-db-backup-$(date +%Y%m%d).sql

# Restart Harbor
docker compose up -d

#!/bin/bash
# harbor-backup.sh

BACKUP_DIR="/backup/harbor"
DATE=$(date +%Y%m%d-%H%M%S)
HARBOR_DIR="/opt/harbor"
DATA_DIR="/data"

# Create backup directory
mkdir -p $BACKUP_DIR

# Stop Harbor
cd $HARBOR_DIR
docker compose down

# Backup data volume
tar -czf $BACKUP_DIR/harbor-data-$DATE.tar.gz $DATA_DIR

# Backup configuration
cp $HARBOR_DIR/harbor.yml $BACKUP_DIR/harbor-config-$DATE.yml

# Restart Harbor
docker compose up -d

# Remove backups older than 30 days
find $BACKUP_DIR -name "harbor-*" -mtime +30 -delete

echo "Backup completed: $BACKUP_DIR/harbor-data-$DATE.tar.gz"

# Run backup daily at 2 AM
0 2 * * * /usr/local/bin/harbor-backup.sh >> /var/log/harbor-backup.log 2>&1

# Stop Harbor
cd /opt/harbor
docker compose down

# Restore data directory
sudo rm -rf /data
sudo tar -xzf /backup/harbor/harbor-data-20260402.tar.gz -C /

# Restore configuration
sudo cp /backup/harbor/harbor-config-20260402.yml /opt/harbor/harbor.yml

# Restart Harbor
docker compose up -d

# Check Harbor health
curl -k https://harbor.yourdomain.com/api/v2.0/health

# Expected response
{
 "status": "healthy",
 "components": [
 {"name": "core", "status": "healthy"},
 {"name": "database", "status": "healthy"},
 {"name": "redis", "status": "healthy"},
 {"name": "registry", "status": "healthy"}
 ]
}

# Enable metrics in harbor.yml
metric:
 enabled: true
 port: 9090
 path: /metrics

# Scrape metrics with Prometheus
curl http://harbor.yourdomain.com:9090/metrics

stages:
 - build
 - scan
 - deploy

variables:
 HARBOR_REGISTRY: harbor.yourdomain.com
 HARBOR_PROJECT: team-frontend
 IMAGE_NAME: myapp

build:
 stage: build
 script:
 - docker login -u robot$ci-bot -p $HARBOR_TOKEN $HARBOR_REGISTRY
 - docker build -t $HARBOR_REGISTRY/$HARBOR_PROJECT/$IMAGE_NAME:$CI_COMMIT_SHA .
 - docker push $HARBOR_REGISTRY/$HARBOR_PROJECT/$IMAGE_NAME:$CI_COMMIT_SHA

scan:
 stage: scan
 script:
 - |
 # Wait for Harbor to scan the image
 sleep 30
 # Check scan results via Harbor API
 SCAN_STATUS=$(curl -u robot$ci-bot:$HARBOR_TOKEN
 "$HARBOR_REGISTRY/api/v2.0/projects/$HARBOR_PROJECT/repositories/$IMAGE_NAME/artifacts/$CI_COMMIT_SHA"
 | jq -r '.scan_overview.scan_status')
 if [ "$SCAN_STATUS" != "Success" ]; then
 echo "Vulnerability scan failed"
 exit 1
 fi

deploy:
 stage: deploy
 script:
 - kubectl set image deployment/myapp myapp=$HARBOR_REGISTRY/$HARBOR_PROJECT/$IMAGE_NAME:$CI_COMMIT_SHA
 only:
 - main

# Add Harbor as Helm repository
helm repo add myteam https://harbor.yourdomain.com/chartrepo/team-frontend
 --username your-username
 --password your-password

# Push a Helm chart to Harbor
helm package ./mychart
helm push mychart-1.0.0.tgz myteam

# Install from Harbor
helm install myapp myteam/mychart

# Download Harbor release and signature
wget https://github.com/goharbor/harbor/releases/download/v2.15.0/harbor-offline-installer-v2.15.0.tgz
wget https://github.com/goharbor/harbor/releases/download/v2.15.0/harbor-offline-installer-v2.15.0.tgz.sigstore.json

# Verify signature
cosign verify-blob
 --bundle harbor-offline-installer-v2.15.0.tgz.sigstore.json
 --certificate-oidc-issuer https://token.actions.githubusercontent.com
 --certificate-identity-regexp '^https://github.com/goharbor/harbor/.github/workflows/publish_release.yml@refs/tags/v.*$'
 harbor-offline-installer-v2.15.0.tgz