企业级私有docker镜像仓库首选harbor：cncf毕业项目，支持ui、rbac、扫描、复制、ldap/oidc及高可用；部署需用外部postgresql/redis、对象存储、https有效证书、统一身份认证与自动镜像扫描。
搭建企业级私有 Docker 镜像仓库，核心是选型稳定、安全可控、可集成 CI/CD 且支持高可用扩展。不推荐直接裸跑 registry 官方镜像，而应采用生产就绪方案。
选择主流私有仓库方案
企业场景下优先考虑以下三种成熟方案：
- Harbor（最推荐）：CNCF 毕业项目，自带 UI、RBAC、镜像扫描、复制策略、LDAP/OIDC 集成、Webhook，支持多实例部署和 Chart 仓库；
- Docker Registry + Nginx + TLS + Auth：轻量但需自行补全鉴权、审计、存储后端（如 S3/MinIO）、反向代理等能力；
- Quay（Red Hat）：功能强大，但闭源组件多、部署复杂，适合已深度使用 Red Hat 生态的企业。
Harbor 部署关键实践
以 v2.9+ 版本为例，建议用 Helm 部署至 Kubernetes（K8s），或用离线安装包部署到 Linux 主机：
- 使用外部 PostgreSQL 和 Redis，避免内置服务影响稳定性；
- 镜像存储务必对接企业级对象存储（如 MinIO、AWS S3、阿里云 OSS），禁用本地文件系统；
- 启用 HTTPS（必须配置有效证书，不可用自签证书用于生产环境）；
- 通过 LDAP 或 OIDC 对接统一身份平台，禁止仅用内置用户；
- 开启 Clair 或 Trivy 扫描器，设置自动扫描策略（如 push 后触发）。
安全与权限精细化管控
企业需严格隔离开发、测试、生产环境的镜像流动：
- 按业务线/部门创建 Project，关闭“公开”属性；
- 为每个 Project 配置 Role（Guest/Developer/Maintainer/ProjectAdmin），最小权限分配；
- 设置机器人账号（Robot Account）供 Jenkins/GitLab CI 使用，限制命名空间和操作范围（如仅 pull/push 某个 project）；
- 开启审计日志并对接 SIEM 系统（如 ELK/Splunk），记录 push/pull/delete 操作及 IP、时间、用户；
- 定期清理未使用镜像（通过 Harbor API 或 CLI 工具
harborctl自动化执行）。
CI/CD 与镜像生命周期集成
让私有仓库真正融入研发流程：
- 在 GitLab CI 或 GitHub Actions 中，登录私有 Harbor：
docker login -u $HARBOR_USER -p $HARBOR_TOKEN https://harbor.example.com； - 镜像 tag 命名遵循语义规范，例如：
harbor.example.com/proj/app:v1.2.0-rc1或...:git-abc123； - 利用 Harbor 的 Webhook 推送事件到内部通知系统或触发 QA 流水线；
- 结合 OPA 或 Kyverno，在 K8s 集群中校验 Pod 所用镜像是否来自可信 Harbor Project，阻断非授权镜像运行。
不复杂但容易忽略：所有客户端（开发者机器、CI 节点、K8s 节点）必须信任 Harbor 的 TLS 证书，否则 docker pull 会失败；若用自建 CA，需将根证书注入各节点的系统证书信任库或 Docker daemon 配置中。
