Harbor：带漏洞扫描的自托管仓库

Q: 什么是Harbor：带漏洞扫描的自托管仓库？它解决什么问题？

运行私有本地容器仓库，含 Trivy 扫描、复制和 OIDC 认证。 它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

Q: Harbor：带漏洞扫描的自托管仓库 的最佳实践有哪些？

Harbor：带漏洞扫描的自托管仓库 的最佳实践包括：用 OIDC（Keycloak）替代本地 DB 认证，离职自动禁访问。；设复制到另一数据中心的 DR Harbor 做灾备。；通过 webhook 到 CI 检查扫描结果，CRITICAL 发现阻止部署。。其中首条「用 OIDC（Keycloak）替代本地 DB 认证，离职自动禁访问。」应作为团队默认规范写入 IaC 模板。

运行私有本地容器仓库，含 Trivy 扫描、复制和 OIDC 认证。

Docker 托管高级

为什么

Harbor 提供防火墙后的仓库，内置 Trivy 扫描、镜像签名（Notary v2）、复制到其他仓库和 OIDC/LDAP 认证——对云仓库无法触达的气隙或合规环境至关重要。Docker is used by 59% of professional developers per the Stack Overflow 2024 survey。

Docker Hub 有 1500 万以上公共镜像，OCI 镜像规范采用意味着容器在 Docker、Podman 和 containerd 上一致运行。

何时使用

适用于本地 Kubernetes、气隙环境，或策略要求自托管带扫描的制品存储时。生产环境避免 Docker Desktop（250+ 员工许可证需付费）— 使用 containerd 或 Podman。

单二进制 Go/Rust 应用跳过 Docker — 静态二进制 + systemd 更简单。

如何做

1. Assess your workload requirements — compute, memory, storage, latency 2. Compare providers on price, region availability, and managed services 3. 用官方 Helm chart 安装：`helm install harbor harbor/harbor -f values.yaml`，通过 Ingress+TLS 暴露。在 Configuration → Authentication 配 OIDC（Keycloak、Okta）。启用 Trivy 作默认扫描器。设复制规则推送至 DR Harbor 或从上游 Docker Hub 拉取做气隙镜像。创建带保留策略的项目（保留最近 10）。推送 `docker login harbor.corp.com` 后 `docker push harbor.corp.com/project/app:tag`。 4. Set up IaC (Terraform/Pulumi) to provision resources 5. Configure monitoring, alerts, and cost budgets before going live

示例

// docker-harbor — 配置示例 const config = { provider: "docker" }; # values.yaml（节选） expose: type: ingress tls: enabled: true certSource: secret secret: secretName: harbor-tls externalURL: https://harbor.corp.com harborVersion: "2.10" trivy: enabled: true severity: "HIGH,CRITICAL" # 安装 helm repo add harbor https://helm.goharbor.io helm install harbor harbor/harbor -f values.yaml -n harbor

常见问题

⚠Harbor 用自签证书导致 docker login 失败——在所有 Docker 守护进程装 CA 或用公共 CA。
⚠气隙下 Trivy DB 更新失败——预下载 DB 挂载，或用离线扫描器。
⚠无保留策略存储满——按项目设保留最近 N 标签镜像。

最佳实践

✓用 OIDC（Keycloak）替代本地 DB 认证，离职自动禁访问。
✓设复制到另一数据中心的 DR Harbor 做灾备。
✓通过 webhook 到 CI 检查扫描结果，CRITICAL 发现阻止部署。

常见问题解答

什么是Harbor：带漏洞扫描的自托管仓库？它解决什么问题？

运行私有本地容器仓库，含 Trivy 扫描、复制和 OIDC 认证。它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

如何在 5 分钟内上手Harbor：带漏洞扫描的自托管仓库？

两步即可跑通：① Assess your workload requirements — compute, memory, storage, latency；② Compare providers on price, region availability, and managed services。建议先用免费套餐验证流程，再接入生产环境。