docker仓库
一、docker仓库
1.docker仓库简介
Docker 仓库是用来包含镜像的位置,Docker提供一个注册服务器(Register)来保存多个仓库,每个仓库又可以包含多个具备不同tag的镜像。
Docker运行中使用的默认仓库是 Docker Hub 公共仓库。
2.docker hub
docker search 应用,可以看到该应用的官方仓库在哪里:
比如:docker info
3.在官方注册账号并建立docker仓库
首先在https://hub.docker.com/网站注册一个账号
在docker hub上新建一个公共仓库
注意:此处由于我们是在官方新建了仓库,所以我们下面的docker login 也是直接登陆到官方,(可以使用docker info 查看仓库地址)
下图展示了 该用户的官方认证信息保存在.docker目录中,这样就保证了后续的操作就不需要频繁的login,只需要login一次就可以了。
做完上述操作,刷新一下该页面,就能得到如下界面。
并且在客户端也能搜得到:
4.docker hub帐号的注销
docker logout #注销帐号
注意:login一次就好,上传的时候也只需要在login时认证一次,注销后需要重新认证。
5.docker hub镜像的删除
二、Registry 工作原理
一次docker pull 或 push背后发生的事情:
Docker Registry有三个角色,分别是index、registry和registry client。
(1)index
负责并维护有关用户帐户、镜像的校验以及公共命名空间的信息。
Web UI
元数据存储
认证服务
符号化
(2)registry
是镜像和图表的仓库,它不具有本地数据库以及不提供用户认证,通过Index Auth service的Token的方式进行认证。
(3)Registry Client
Docker充当registry客户端来维护推送和拉取,以及客户端的授权。
以下 是几种访问情形。
docker用户端向index端提出访问申请,然后,index端将镜像地址以及token返回给客户端,客户端知道了镜像地址以后拿着token去取镜像,registry端此时会和index端做一次token校验,确认token的真实性,确认无误后,会允许客户端下载镜像。
三、镜像加速器
从docker hub上下载镜像的速度太慢,需要配置镜像加速器,这里以阿里云为例:(需要提前注册阿里云帐号)
整体操作思路如下:
配置docker daemon文件:
vim /etc/docker/daemon.json
{
“registry-mirrors”: [“阿里云加速器地址”]
}
重载docker服务:
systemctl daemon-reload
systemctl restart docker
(1)获取阿里云加速器地址
这里获得了阿里云的镜像加速器地址。
(2)修改daemon配置文件</etc/docker/daemon.json>来使用加速器
vim /etc/docker/daemon.json
{
"registry-mirrors": ["https://t5ajcuue.mirror.aliyuncs.com"]
}
(3)导入配置并重启服务
systemctl daemon-reload #重新导入daemon配置
systemctl restart docker #重启docker
docker info #查看docker信息
测试:拉取zabbix镜像 明显感觉速度快很多。
四、搭建私有仓库
1.初级搭建
docker hub虽然方便,但是还是有限制
需要internet连接,速度慢
所有人都可以访问
由于安全原因企业不允许将镜像放到外网
好消息是docker公司已经将registry开源,我们可以快速构建企业私有仓库
具体搭建步骤如下:
(1)下载registry镜像
docker pull registry
(2)运行registry容器
docker run -d -p 5000:5000 --restart=always --name registry registry:latest
# -d 后台运行; -p 宿主机端口:容器端口; --restart=always 容器随docker自启动; --name 容器名称
(3)上传镜像到本地仓库
本地镜像在命名时需要加上仓库的ip和端口
docker tag nginx:latest localhost:5000/nginx:latest
docker push localhost:5000/nginx:latest
docker tag : 标记本地镜像,将其归入某一仓库。
示例:将镜像ubuntu:15.10标记为 runoob/ubuntu:v3 镜像: docker tag ubuntu:15.10 runoob/ubuntu:v3
docker push : 将本地的镜像上传到镜像仓库,要先登陆到镜像仓库
示例:上传本地镜像myapache:v1到镜像仓库中:docker push myapache:v1
上传后再次检查,发现已经上传到私有仓库
2.docker私有仓库的优化
默认情况下私有仓库不需通过认证即可操作,因此很不安全,所以需要对私有仓库进行加密。
具体操作步骤如下:
(1)生成证书(域名westos.org要求在主机上有解析)
生成密钥时,对openssl的版本有要求,所以需要先升级openssl
yum install -y openssl11-1.1.1k-2.el7.x86_64.rpm openssl11-libs-1.1.1k-2.el7.x86_64.rpm
应用证书功能到仓库:
先删除容器,并且删除容器创建的卷
(2)重新运行容器:
docker run -d --restart=always --name registry -v /root/certs:/certs -v /opt/registry:/var/lib/registry -e REGISTRY_HTTP_ADDR=0.0.0.0:443 -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt -e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key -p 443:443 registry
#具体参数如下
docker run -d \ #后台运行
--restart=always \ #跟随docker启动
--name registry \ #容器名称
-v /root/certs:/certs \ #目录映射关系——宿主机目录:容器内目录
-v /opt/registry:/var/lib/registry \ #目录映射
-e REGISTRY_HTTP_ADDR=0.0.0.0:443 \ #允许端口
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt \ #证书名称及域名
-e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key \ #证书名称及域名
-p 443:443 \ #端口映射——宿主机端口:容器端口
registry #镜像名称
但是上传镜像时并没有验证证书,这是因为docker检测证书时会从指定路径读取证书,因此需要将证书放在指定路径下,操作步骤如下:
#创建目录
[root@server1 ~]# mkdir -p /etc/docker/certs.d/reg.westos.org
[root@server1 ~]# cd certs/
[root@server1 certs]# ls
westos.org.crt westos.org.key
#复制证书
[root@server1 certs]# cp westos.org.crt /etc/docker/certs.d/reg.westos.org/ca.crt
#目录的名字“reg.westos.org”一定要和域名保持一致,docker引擎会自动识别
[root@server1 certs]#
[root@server1 certs]# ll /etc/docker/certs.d/reg.westos.org/ca.crt
-rw-r--r-- 1 root root 2159 Feb 18 13:14 /etc/docker/certs.d/reg.westos.org/ca.crt
证书复制完成后,重新上传镜像。在目录</opt/registry/docker/registry>下可以看到刚才上传的镜像,目录已经不再是空的了。
应用认证功能到仓库:
[root@server1 ~]# docker rm -f registry #删除registry容器
[root@server1 ~]# mkdir auth #创建目录,用于存储认证信息
[root@server1 ~]# yum install -y httpd-tools #安装工具,用于生成密钥
创建用户并生成密钥/文件:
htpasswd -cB auth/htpasswd admin #创建用户admin
htpasswd -B auth/htpasswd zlw #创建用户zlw
(再次创建用户时不要添加参数-c,否则会覆盖之前的文件,只有第一次创建用户时需要添加参数c)
docker run -d --restart=always --name registry -v /root/certs:/certs -v /opt/registry:/var/lib/registry -v /root/auth:/auth -e "REGISTRY_AUTH=htpasswd" -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd -e REGISTRY_HTTP_ADDR=0.0.0.0:443 -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt -e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key -p 443:443 registry
#具体参数如下
docker run -d \ #后台运行
--restart=always \ #跟随docker启动
--name registry \ #容器名称
-v /root/certs:/certs \ #目录映射关系——宿主机目录:容器内目录
-v /opt/registry:/var/lib/registry \ #目录映射
-v /root/auth:/auth \ #用户认证功能的目录映射
-e "REGISTRY_AUTH=htpasswd" \ #指定用户密码
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm"
-e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd #指定用户密钥路径
-v /opt/registry:/var/lib/registry \ #目录映射
-e REGISTRY_HTTP_ADDR=0.0.0.0:443 \ #允许端口
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt \ #证书名称及域名
-e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key \ #证书名称及域名
-p 443:443 \ #端口映射——宿主机端口:容器端口
registry #镜像名称
curl -k https://reg.westos.org/v2/_catalog -u admin:westos #查看私有仓库的镜像
docker tag yakexi007/game2048:latest reg.westos.org/game2048:latest #修改镜像标签
docker push reg.westos.org/game2048:latest #上传镜像
88fca8ae768a: Preparing
6d7504772167: Preparing
192e9fad2abc: Preparing
36e9226e74f8: Preparing
011b303988d2: Preparing
no basic auth credentials
直接上传镜像会显示用户认证失败。因为本次启动容器时开启了用户认证功能,所以需要先登录后才能上传镜像。
五、企业级私有仓库的搭建——harbor
1.habor简介
Habor是由VMWare公司开源的容器镜像仓库。事实上,Habor是在Docker Registry上进行了相应的企业级扩展,从而获得了更加广泛的应用,这些新的企业级特性包括:管理用户界面,基于角色的访问控制 ,AD/LDAP集成以及审计日志等,足以满足基本企业需求。
官方地址:https://vmware.github.io/harbor/cn/
2.安装方式
1.在线安装:从Docker Hub下载Harbor相关镜像,因此安装软件包非常小
2.离线安装:安装包包含部署的相关镜像,因此安装包比较大
3.OVA安装程序:当用户具有vCenter环境时,使用此安装程序,在部署OVA后启动Harbor
首先清除上一实验中的容器(必须删除,否则会因为端口冲突导致安装失败)
(1)软件下载:https://github.com/goharbor/harbor/releases
(2)解压并配置
tar zxf harbor-offline-installer-v2.3.4.tgz #解压
[root@server1 ~]# cd harbor/
[root@server1 harbor]# ls
common.sh harbor.v2.3.4.tar.gz harbor.yml.tmpl install.sh LICENSE prepare
[root@server1 harbor]# cp harbor.yml.tmpl harbor.yml #从模板生成配置文件
#编辑配置文件
[root@server1 harbor]# vim harbor.yml
5 hostname: reg.westos.org #仓库的域名
17 certificate: /data/certs/westos.org.crt #仓库的证书
18 private_key: /data/certs/westos.org.key
34 harbor_admin_password: westos #登录web的密码
接下来创建data目录,并将cert目录移过去,保持与 habor配置文件中的一致性:
mkdir /data #创建目录,用来存放harbor数据(和配置文件中一致)
cp -r certs /data/ #向目录中复制证书
上图中可以看出明显的错误,habor.yml文件中,写的很清楚 是要在根目录下(/)新建一个目录,然后在把certs目录移过去,但是我把目录建立在了家目录下(~),这就会导致后续执行habor安装脚本时出问题。
”/“是根目录,”~“是家目录。Linux存储是以挂载的方式,相当于是树状的,源头就是”/“,也就是根目录。而每个用户都有”家“目录,也就是用户的个人目录,比如root用户的”家“目录就是/root,普通用户a的家目录就是/home/a.可以看到
(3)配置docker-compose
注意:hatbor使用时需要安装依赖性<docker-compose-linux-x86_64-v2.2.3>,这是一个二进制文件,按以下步骤操作,令其具有可执行权限即可
(4)安装habor
[root@server1 ~]# cd harbor/
[root@server1 harbor]# ls
common.sh harbor.v2.3.4.tar.gz harbor.yml harbor.yml.tmpl install.sh LICENSE prepare
[root@server1 harbor]# pwd
/root/harbor
[root@server1 harbor]# ./install.sh #进入harbor目录执行安装脚本
3.安装完成后测试及使用
上面可以看出habor安装执行完毕,在浏览器中访问宿主机IP,可以看到harbor界面:
接下来我们进行实验搭建:
实验需求:server1是一个docker私有仓库,server2是一个客户端。server2要从私有仓库server1中下载镜像。
实验环境:新配置一台虚拟机server2,并配置好软件源。
在server2上配置好docker
1.server1端(仓库端)的镜像上传
#server1中
scp /etc/yum.repos.d/* root@172.25.254.2:/etc/yum.repos.d/ #复制软件源到server2中
server2中
yum repolist #刷新软件源
yum install -y docker-ce #安装docker
systemctl enable --now docker #启动docker
vim /etc/hosts #添加reg.westos.org解析
172.25.254.1 server1 reg.westos.org
在server1上 做如下操作:
同理,可以将另一个镜像也如此上传到仓库中。
在界面可观察如下:
2.server2端(客户端)的镜像拉取
接下来,就是在server2端拉取镜像:
首先需要将证书 派发给server2,
3.一些小改进
刚刚为什么是在内网拉取的呢?因为我们使用docker pull reg.westos.org/library/nginx:1.18.0 这种格式,告诉他去哪儿拉取。
那么如何在内网也实现这种简单的操作呢?
一种可行的方法是将加速器地址设置为私人仓库的IP,就类似于server1中阿里云的加速器,在server2中变成了私人仓库server1。
可以按入下进行操作:
#在server2中
vim /etc/docker/daemon.json #编辑加速器地址
{
"registry-mirrors": ["https://reg.westos.org"]
}
systemctl daemon-reload #重新导入daemon配置
systemctl restart docker #重启docker
此时 默认的仓库已经变成了我们自己的私有仓库,而且 在真实的生产环境中,是不允许连接外网的,这样不安全 。
且在客户端日志中都有记录。
六、docker-compose的使用
注意:docker-compose工具只能在<docker-compose.yml>同一目录下使用!!!
docker-compose ps 查看正在运行的容器
docker-compose stop 停止所有容器(有些慢)
docker-compose down 停止并删除所有容器(很快)
重新安装harbor:
./install.sh --with-notary --with-trivy --with-chartmuseum
#镜像签名; 镜像扫描; harbor_chart功能
七、镜像签名的设置——公开仓库
这是因为这个镜像没有签名认证,所以不能使用。
镜像签名的部署(在私人仓库服务器server1中)
第一步:部署根证书
在以下两个位置都部署上证书,证书是一样的
#证书所在位置
位置一:
/etc/docker/certs.d/reg.westos.org/ca.crt
位置二:
~/.docker/tls/reg.westos.org:4443/ca.crt
mkdir -p ~/.docker/tls/reg.westos.org:4443/ #创建目录
cp /etc/docker/certs.d/reg.westos.org/ca.crt ~/.docker/tls/reg.westos.org\:4443/
#复制证书
位置一的证书已经有了,咱们直接部署位置二的证书:
第二步:启用docker内容信任
[root@server1 ~]# export DOCKER_CONTENT_TRUST=1
#激活docker的内容信任
[root@server1 ~]# export DOCKER_CONTENT_TRUST_SERVER=https://reg.westos.org:4443
#告诉docker的内容信任服务器位置及端口
此时,去界面查看已发现刚刚上传的镜像(game2048)已经签名。
客户端拉取镜像也没有任何问题:
八、harbor私有仓库的建立及操作
新建私有仓库
删除签名认证这个选项:
[root@server1 ~]# docker tag yakexi007/game2048:latest reg.westos.org/westos/game2048:latest #更改镜像标签
[root@server1 ~]# docker push reg.westos.org/westos/game2048 #上传镜像到私有仓库
在server2上拉取时,会出现如下内容:
这是因为,匿名用户拉取私有仓库时会报错,因为没有权限。
因此需要在harbor中创建一个用户,可以使用该用户访问镜像。创建用户方法如下:
然后,在westos项目中添加成员:
使用zlw用户登录habor,进能看到如下内容。
版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。
如需转载请保留出处:https://bianchenghao.cn/34566.html