配置Harbor镜像仓库HTTPS Secure Registry

约定不等于承诺〃 2022-03-16 07:18 270阅读 0赞

### 文章目录 ###

*  配置Harbor镜像仓库HTTPS Secure Registry
 *   *  前言
     *  生成证书
     *   *  生成CA证书
         *  生成证书签名请求(CSR)
         *  生成Harbor证书（Harbor hostname为IP)
         *  CA证书文件列表
         *  复制证书到指定位置
     *  配置Harbor
     *  通过浏览器访问Harbor
     *  配置Docker
     *  参考文档
     *   *

# 配置Harbor镜像仓库HTTPS Secure Registry #

## 前言 ##

在之前的文章我们介绍了如何[搭建Harbor镜像仓库 HTTP Insecure Registry][Harbor_ HTTP Insecure Registry]，这篇文章我们再来介绍如何为Harbor镜像仓库配置HTTPS。

## 生成证书 ##

### 生成CA证书 ###

openssl req \
    -newkey rsa:4096 -nodes -sha256 -keyout ca.key \
    -x509 -days 3650 -out ca.crt \
    -subj "/C=CN/ST=Guangdong/L=Guangzhou/O=example/OU=example/CN=example"

subj参数说明如下：

<table> 
 <thead> 
  <tr> 
   <th>字段</th> 
   <th>字段含义</th> 
   <th>示例</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>/C=</td> 
   <td>Country 国家</td> 
   <td>CN</td> 
  </tr> 
  <tr> 
   <td>/ST=</td> 
   <td>State or Province 省</td> 
   <td>Guangdong</td> 
  </tr> 
  <tr> 
   <td>/L=</td> 
   <td>Location or City 城市</td> 
   <td>Guangzhou</td> 
  </tr> 
  <tr> 
   <td>/O=</td> 
   <td>Organization 组织或企业</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>/OU=</td> 
   <td>Organization Unit 部门</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>/CN=</td> 
   <td>Common Name 域名或IP</td> 
   <td></td> 
  </tr> 
 </tbody> 
</table>

### 生成证书签名请求(CSR) ###

openssl req \
    -newkey rsa:4096 -nodes -sha256 -keyout harbor.key \
    -out harbor.csr \
    -subj "/C=CN/ST=Guangdong/L=Guangzhou/O=example/OU=example/CN=example"

### 生成Harbor证书（Harbor hostname为IP) ###

创建一个配置文件来指定IP地址：

vim extfile.cnf
    subjectAltName = IP:192.168.37.170

生成Harbor证书：

openssl x509 -req -days 3650 \
    -in harbor.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
    -extfile extfile.cnf \
    -out harbor.crt

### CA证书文件列表 ###

<table> 
 <thead> 
  <tr> 
   <th>文件名</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>ca.crt</td> 
   <td>CA证书公钥</td> 
  </tr> 
  <tr> 
   <td>ca.key</td> 
   <td>CA证书密钥（不能公布和泄露）</td> 
  </tr> 
  <tr> 
   <td>harbor.crt</td> 
   <td>Harbor证书公钥</td> 
  </tr> 
  <tr> 
   <td>harbor.key</td> 
   <td>Harbor证书密钥（不能公布和泄露）</td> 
  </tr> 
 </tbody> 
</table>

### 复制证书到指定位置 ###

sudo cp *.crt *.key /etc/ssl/certs

## 配置Harbor ##

编辑`harbor.cfg`文件：

ui_url_protocol = https
    ssl_cert = /etc/ssl/certs/harbor.crt
    ssl_cert_key = /data/cert/harbor.key

重新配置Harbor：

docker-compose down -v
    ./prepare
    docker-compose up -d

## 通过浏览器访问Harbor ##

在浏览器中打开https://<harbor\_hostname>来访问Harbor。

在Firefox浏览器中可以添加Security Exception来忽略HTTPS错误警告。

Chrome浏览器可以尝试通过导入CA证书的方式来忽略HTTPS错误警告。

> 注意：Chrome浏览器可能有导入CA证书后仍然无法访问的问题。

## 配置Docker ##

如果之前在`/etc/docker/daemon.json`中定义了`insecure-registries`，则需要移除`insecure-registries`，并运行以下命令重新加载和重启Docker：

systemctl daemon-reload
    systemctl restart docker

尝试运行`docker login <harbor_hostname>` 来访问Harbor，因为未配置证书会遇到"x509 certificate signed by unknown authority"的错误。

请参考下面的文章来配置Docker的证书：

*  [Harbor docker login x509 certificate signed by unknown authority][]

配置好后，尝试`docker login`、`docker pull`和`docker push`命令是否工作正常。

除了在Harbor的机器上配置Docker外，其它机器的Docker想要访问Harbor也要参考上面的文章来配置证书。

## 参考文档 ##

*  [https://github.com/goharbor/harbor/blob/master/docs/configure\_https.md][https_github.com_goharbor_harbor_blob_master_docs_configure_https.md]
 *  [https://blog.inkubate.io/how-to-use-harbor-private-registry-with-kubernetes/][https_blog.inkubate.io_how-to-use-harbor-private-registry-with-kubernetes]
 *  [https://ivanzz1001.github.io/records/post/docker/2018/04/09/docker-harbor-https][https_ivanzz1001.github.io_records_post_docker_2018_04_09_docker-harbor-https]
 *  [https://www.shellhacks.com/create-csr-openssl-without-prompt-non-interactive/][https_www.shellhacks.com_create-csr-openssl-without-prompt-non-interactive]

###  ###

[Harbor_ HTTP Insecure Registry]: https://blog.csdn.net/nklinsirui/article/details/87924176
[Harbor docker login x509 certificate signed by unknown authority]: https://blog.csdn.net/nklinsirui/article/details/87952312
[https_github.com_goharbor_harbor_blob_master_docs_configure_https.md]: https://github.com/goharbor/harbor/blob/master/docs/configure_https.md
[https_blog.inkubate.io_how-to-use-harbor-private-registry-with-kubernetes]: https://blog.inkubate.io/how-to-use-harbor-private-registry-with-kubernetes/
[https_ivanzz1001.github.io_records_post_docker_2018_04_09_docker-harbor-https]: https://ivanzz1001.github.io/records/post/docker/2018/04/09/docker-harbor-https
[https_www.shellhacks.com_create-csr-openssl-without-prompt-non-interactive]: https://www.shellhacks.com/create-csr-openssl-without-prompt-non-interactive/