docker仓库(未完)

docker仓库(未完)docker仓库一、docker仓库1.docker仓库简介2.dockerhub3.在官方注册账号并建立docker仓库4.dockerhub帐号的注销5.dockerhub镜像的删除二、Registry工作原理三、镜像加速器四、搭建私有仓库1.初级搭建2.docker私有仓库的优化一、docker仓库1.docker仓库简介Docker仓库是用来包含镜像的位置,Docker提供一个注册服务器(Register)来保存多个仓库,每个仓库又可以包含多个具备不同tag的镜像。Docker运行

一、docker仓库

1.docker仓库简介

Docker 仓库是用来包含镜像的位置,Docker提供一个注册服务器(Register)来保存多个仓库,每个仓库又可以包含多个具备不同tag的镜像。
Docker运行中使用的默认仓库是 Docker Hub 公共仓库。

2.docker hub

在这里插入图片描述
docker search 应用,可以看到该应用的官方仓库在哪里:
比如:docker info
在这里插入图片描述

3.在官方注册账号并建立docker仓库

首先在https://hub.docker.com/网站注册一个账号
在docker hub上新建一个公共仓库

注意:此处由于我们是在官方新建了仓库,所以我们下面的docker login 也是直接登陆到官方,(可以使用docker info 查看仓库地址)
在这里插入图片描述
在这里插入图片描述
下图展示了 该用户的官方认证信息保存在.docker目录中,这样就保证了后续的操作就不需要频繁的login,只需要login一次就可以了。
在这里插入图片描述

在这里插入图片描述
做完上述操作,刷新一下该页面,就能得到如下界面。

在这里插入图片描述
并且在客户端也能搜得到:
在这里插入图片描述

4.docker hub帐号的注销

docker logout #注销帐号
在这里插入图片描述
注意:login一次就好,上传的时候也只需要在login时认证一次,注销后需要重新认证。

5.docker hub镜像的删除

在这里插入图片描述

二、Registry 工作原理

一次docker pull 或 push背后发生的事情:
在这里插入图片描述
Docker Registry有三个角色,分别是index、registry和registry client。
(1)index
负责并维护有关用户帐户、镜像的校验以及公共命名空间的信息。
Web UI
元数据存储
认证服务
符号化
(2)registry
是镜像和图表的仓库,它不具有本地数据库以及不提供用户认证,通过Index Auth service的Token的方式进行认证。
(3)Registry Client
Docker充当registry客户端来维护推送和拉取,以及客户端的授权。

以下 是几种访问情形。

docker用户端向index端提出访问申请,然后,index端将镜像地址以及token返回给客户端,客户端知道了镜像地址以后拿着token去取镜像,registry端此时会和index端做一次token校验,确认token的真实性,确认无误后,会允许客户端下载镜像。

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

三、镜像加速器

从docker hub上下载镜像的速度太慢,需要配置镜像加速器,这里以阿里云为例:(需要提前注册阿里云帐号)

整体操作思路如下:
配置docker daemon文件:
vim /etc/docker/daemon.json
{

“registry-mirrors”: [“阿里云加速器地址”]
}
重载docker服务:
systemctl daemon-reload
systemctl restart docker

(1)获取阿里云加速器地址
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里获得了阿里云的镜像加速器地址。

(2)修改daemon配置文件</etc/docker/daemon.json>来使用加速器

vim /etc/docker/daemon.json

{
  "registry-mirrors": ["https://t5ajcuue.mirror.aliyuncs.com"]
}

(3)导入配置并重启服务

systemctl daemon-reload                 #重新导入daemon配置
 
systemctl restart docker                #重启docker

docker info       #查看docker信息

在这里插入图片描述
测试:拉取zabbix镜像 明显感觉速度快很多。

四、搭建私有仓库

1.初级搭建

docker hub虽然方便,但是还是有限制
需要internet连接,速度慢
所有人都可以访问
由于安全原因企业不允许将镜像放到外网
好消息是docker公司已经将registry开源,我们可以快速构建企业私有仓库

具体搭建步骤如下:
(1)下载registry镜像
docker pull registry
在这里插入图片描述
(2)运行registry容器
在这里插入图片描述

docker run -d -p 5000:5000 --restart=always --name registry registry:latest 
# -d 后台运行; -p 宿主机端口:容器端口; --restart=always 容器随docker自启动; --name 容器名称

在这里插入图片描述
(3)上传镜像到本地仓库
本地镜像在命名时需要加上仓库的ip和端口

docker tag nginx:latest localhost:5000/nginx:latest
docker push localhost:5000/nginx:latest
docker tag : 标记本地镜像,将其归入某一仓库。
示例:将镜像ubuntu:15.10标记为 runoob/ubuntu:v3 镜像: docker tag ubuntu:15.10 runoob/ubuntu:v3

docker push : 将本地的镜像上传到镜像仓库,要先登陆到镜像仓库
示例:上传本地镜像myapache:v1到镜像仓库中:docker push myapache:v1

在这里插入图片描述
上传后再次检查,发现已经上传到私有仓库
在这里插入图片描述

2.docker私有仓库的优化

默认情况下私有仓库不需通过认证即可操作,因此很不安全,所以需要对私有仓库进行加密。
具体操作步骤如下:

(1)生成证书(域名westos.org要求在主机上有解析)

生成密钥时,对openssl的版本有要求,所以需要先升级openssl

yum install -y openssl11-1.1.1k-2.el7.x86_64.rpm  openssl11-libs-1.1.1k-2.el7.x86_64.rpm

在这里插入图片描述
在这里插入图片描述
应用证书功能到仓库:

先删除容器,并且删除容器创建的卷
在这里插入图片描述

(2)重新运行容器:

docker run -d   --restart=always   --name registry   -v /root/certs:/certs  -v /opt/registry:/var/lib/registry -e REGISTRY_HTTP_ADDR=0.0.0.0:443   -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt   -e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key   -p 443:443 registry
 
#具体参数如下
docker run -d   \                                    #后台运行
--restart=always \                                  #跟随docker启动
--name registry   \                                    #容器名称
-v /root/certs:/certs  \                            #目录映射关系——宿主机目录:容器内目录
-v /opt/registry:/var/lib/registry \                #目录映射
-e REGISTRY_HTTP_ADDR=0.0.0.0:443   \                #允许端口
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt   \    #证书名称及域名
-e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key   \             #证书名称及域名
-p 443:443 \                                        #端口映射——宿主机端口:容器端口
registry                                            #镜像名称

在这里插入图片描述
在这里插入图片描述
但是上传镜像时并没有验证证书,这是因为docker检测证书时会从指定路径读取证书,因此需要将证书放在指定路径下,操作步骤如下:

#创建目录
[root@server1 ~]# mkdir -p /etc/docker/certs.d/reg.westos.org      
[root@server1 ~]# cd certs/
[root@server1 certs]# ls
westos.org.crt  westos.org.key
 
#复制证书
[root@server1 certs]# cp westos.org.crt /etc/docker/certs.d/reg.westos.org/ca.crt
        #目录的名字“reg.westos.org”一定要和域名保持一致,docker引擎会自动识别
 
 
[root@server1 certs]# 
[root@server1 certs]# ll /etc/docker/certs.d/reg.westos.org/ca.crt
-rw-r--r-- 1 root root 2159 Feb 18 13:14 /etc/docker/certs.d/reg.westos.org/ca.crt

证书复制完成后,重新上传镜像。在目录</opt/registry/docker/registry>下可以看到刚才上传的镜像,目录已经不再是空的了。

在这里插入图片描述
应用认证功能到仓库:

[root@server1 ~]# docker rm -f registry                #删除registry容器
[root@server1 ~]# mkdir auth                        #创建目录,用于存储认证信息
[root@server1 ~]# yum install -y httpd-tools            #安装工具,用于生成密钥

在这里插入图片描述

创建用户并生成密钥/文件:

htpasswd -cB auth/htpasswd admin            #创建用户admin
htpasswd -B auth/htpasswd zlw                #创建用户zlw
          (再次创建用户时不要添加参数-c,否则会覆盖之前的文件,只有第一次创建用户时需要添加参数c)

在这里插入图片描述

docker run -d   --restart=always   --name registry   -v /root/certs:/certs  -v /opt/registry:/var/lib/registry -v /root/auth:/auth -e "REGISTRY_AUTH=htpasswd" -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd -e REGISTRY_HTTP_ADDR=0.0.0.0:443   -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt   -e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key   -p 443:443 registry
 
#具体参数如下
docker run -d   \                                    #后台运行
--restart=always \                                  #跟随docker启动
--name registry   \                                    #容器名称
-v /root/certs:/certs  \                            #目录映射关系——宿主机目录:容器内目录
-v /opt/registry:/var/lib/registry   \              #目录映射
-v /root/auth:/auth    \                             #用户认证功能的目录映射
-e "REGISTRY_AUTH=htpasswd"    \                    #指定用户密码
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" 
-e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd         #指定用户密钥路径
-v /opt/registry:/var/lib/registry \                #目录映射
-e REGISTRY_HTTP_ADDR=0.0.0.0:443   \                #允许端口
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/westos.org.crt   \    #证书名称及域名
-e REGISTRY_HTTP_TLS_KEY=/certs/westos.org.key   \             #证书名称及域名
-p 443:443 \                                        #端口映射——宿主机端口:容器端口
registry                                            #镜像名称

在这里插入图片描述

curl -k https://reg.westos.org/v2/_catalog -u admin:westos    #查看私有仓库的镜像

在这里插入图片描述

docker tag yakexi007/game2048:latest reg.westos.org/game2048:latest    #修改镜像标签
docker push reg.westos.org/game2048:latest             #上传镜像
    88fca8ae768a: Preparing 
    6d7504772167: Preparing 
    192e9fad2abc: Preparing 
    36e9226e74f8: Preparing 
    011b303988d2: Preparing 
    no basic auth credentials

在这里插入图片描述
直接上传镜像会显示用户认证失败。因为本次启动容器时开启了用户认证功能,所以需要先登录后才能上传镜像。
在这里插入图片描述

五、企业级私有仓库的搭建——harbor

1.habor简介

Habor是由VMWare公司开源的容器镜像仓库。事实上,Habor是在Docker Registry上进行了相应的企业级扩展,从而获得了更加广泛的应用,这些新的企业级特性包括:管理用户界面,基于角色的访问控制 ,AD/LDAP集成以及审计日志等,足以满足基本企业需求。

官方地址:https://vmware.github.io/harbor/cn/

2.安装方式

1.在线安装:从Docker Hub下载Harbor相关镜像,因此安装软件包非常小
2.离线安装:安装包包含部署的相关镜像,因此安装包比较大
3.OVA安装程序:当用户具有vCenter环境时,使用此安装程序,在部署OVA后启动Harbor

首先清除上一实验中的容器(必须删除,否则会因为端口冲突导致安装失败)
(1)软件下载:https://github.com/goharbor/harbor/releases
(2)解压并配置

tar zxf harbor-offline-installer-v2.3.4.tgz         #解压
 
 
[root@server1 ~]# cd harbor/
[root@server1 harbor]# ls
common.sh  harbor.v2.3.4.tar.gz  harbor.yml.tmpl  install.sh  LICENSE  prepare
[root@server1 harbor]# cp harbor.yml.tmpl harbor.yml        #从模板生成配置文件
 
#编辑配置文件
[root@server1 harbor]# vim harbor.yml
  5 hostname: reg.westos.org                        #仓库的域名
 17   certificate: /data/certs/westos.org.crt        #仓库的证书
 18   private_key: /data/certs/westos.org.key
 34 harbor_admin_password: westos                    #登录web的密码

接下来创建data目录,并将cert目录移过去,保持与 habor配置文件中的一致性:
mkdir /data                           #创建目录,用来存放harbor数据(和配置文件中一致)
cp -r certs /data/                    #向目录中复制证书

在这里插入图片描述

上图中可以看出明显的错误,habor.yml文件中,写的很清楚 是要在根目录下(/)新建一个目录,然后在把certs目录移过去,但是我把目录建立在了家目录下(~),这就会导致后续执行habor安装脚本时出问题。

”/“是根目录,”~“是家目录。Linux存储是以挂载的方式,相当于是树状的,源头就是”/“,也就是根目录。而每个用户都有”家“目录,也就是用户的个人目录,比如root用户的”家“目录就是/root,普通用户a的家目录就是/home/a.可以看到

(3)配置docker-compose
注意:hatbor使用时需要安装依赖性<docker-compose-linux-x86_64-v2.2.3>,这是一个二进制文件,按以下步骤操作,令其具有可执行权限即可
在这里插入图片描述
(4)安装habor

[root@server1 ~]# cd  harbor/
[root@server1 harbor]# ls
common.sh  harbor.v2.3.4.tar.gz  harbor.yml  harbor.yml.tmpl  install.sh  LICENSE  prepare
[root@server1 harbor]# pwd
/root/harbor
 
[root@server1 harbor]# ./install.sh             #进入harbor目录执行安装脚本

在这里插入图片描述
在这里插入图片描述

3.安装完成后测试及使用

上面可以看出habor安装执行完毕,在浏览器中访问宿主机IP,可以看到harbor界面:
在这里插入图片描述
在这里插入图片描述
接下来我们进行实验搭建:

实验需求:server1是一个docker私有仓库,server2是一个客户端。server2要从私有仓库server1中下载镜像。

实验环境:新配置一台虚拟机server2,并配置好软件源。

在server2上配置好docker

1.server1端(仓库端)的镜像上传

#server1中
scp /etc/yum.repos.d/* root@172.25.254.2:/etc/yum.repos.d/    #复制软件源到server2中
 
server2中
yum repolist                                    #刷新软件源
yum install -y docker-ce                        #安装docker
 
systemctl enable --now docker                    #启动docker
 
vim /etc/hosts                                    #添加reg.westos.org解析
    172.25.254.1	server1 reg.westos.org

在这里插入图片描述
在server1上 做如下操作:
在这里插入图片描述
在这里插入图片描述
同理,可以将另一个镜像也如此上传到仓库中。
在这里插入图片描述
在界面可观察如下:
在这里插入图片描述

2.server2端(客户端)的镜像拉取

接下来,就是在server2端拉取镜像:
首先需要将证书 派发给server2,
在这里插入图片描述
在这里插入图片描述

3.一些小改进

在这里插入图片描述
在这里插入图片描述

刚刚为什么是在内网拉取的呢?因为我们使用docker pull reg.westos.org/library/nginx:1.18.0 这种格式,告诉他去哪儿拉取。
那么如何在内网也实现这种简单的操作呢?

一种可行的方法是将加速器地址设置为私人仓库的IP,就类似于server1中阿里云的加速器,在server2中变成了私人仓库server1。

可以按入下进行操作:
在这里插入图片描述

#在server2中    
vim /etc/docker/daemon.json                                 #编辑加速器地址
    {
      "registry-mirrors": ["https://reg.westos.org"]
    }
systemctl daemon-reload                                 #重新导入daemon配置
systemctl restart docker                                #重启docker

此时 默认的仓库已经变成了我们自己的私有仓库,而且 在真实的生产环境中,是不允许连接外网的,这样不安全 。
在这里插入图片描述
且在客户端日志中都有记录。
在这里插入图片描述

六、docker-compose的使用

注意:docker-compose工具只能在<docker-compose.yml>同一目录下使用!!!

docker-compose ps	查看正在运行的容器
docker-compose stop	停止所有容器(有些慢)
docker-compose down	停止并删除所有容器(很快)

在这里插入图片描述
在这里插入图片描述
重新安装harbor:

./install.sh --with-notary --with-trivy --with-chartmuseum
                #镜像签名;     镜像扫描;     harbor_chart功能

在这里插入图片描述

七、镜像签名的设置——公开仓库

在这里插入图片描述
在这里插入图片描述
这是因为这个镜像没有签名认证,所以不能使用。
在这里插入图片描述
镜像签名的部署(在私人仓库服务器server1中)

第一步:部署根证书

在以下两个位置都部署上证书,证书是一样的

#证书所在位置
位置一:
/etc/docker/certs.d/reg.westos.org/ca.crt
 
位置二:
~/.docker/tls/reg.westos.org:4443/ca.crt
 
mkdir -p ~/.docker/tls/reg.westos.org:4443/        #创建目录
 
cp /etc/docker/certs.d/reg.westos.org/ca.crt ~/.docker/tls/reg.westos.org\:4443/
                                                    #复制证书

位置一的证书已经有了,咱们直接部署位置二的证书:

第二步:启用docker内容信任

[root@server1 ~]# export DOCKER_CONTENT_TRUST=1
                                    #激活docker的内容信任
[root@server1 ~]# export DOCKER_CONTENT_TRUST_SERVER=https://reg.westos.org:4443
                                    #告诉docker的内容信任服务器位置及端口
 

在这里插入图片描述
在这里插入图片描述

此时,去界面查看已发现刚刚上传的镜像(game2048)已经签名。在这里插入图片描述
客户端拉取镜像也没有任何问题:
在这里插入图片描述

八、harbor私有仓库的建立及操作

新建私有仓库
在这里插入图片描述
删除签名认证这个选项:
在这里插入图片描述

[root@server1 ~]# docker tag yakexi007/game2048:latest reg.westos.org/westos/game2048:latest                    #更改镜像标签
[root@server1 ~]# docker push reg.westos.org/westos/game2048        #上传镜像到私有仓库

在这里插入图片描述
在server2上拉取时,会出现如下内容:
在这里插入图片描述
这是因为,匿名用户拉取私有仓库时会报错,因为没有权限。
因此需要在harbor中创建一个用户,可以使用该用户访问镜像。创建用户方法如下:
在这里插入图片描述
然后,在westos项目中添加成员:
在这里插入图片描述
在这里插入图片描述
使用zlw用户登录habor,进能看到如下内容。
在这里插入图片描述
在这里插入图片描述

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。
如需转载请保留出处:https://bianchenghao.cn/34566.html

(0)
编程小号编程小号

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注