核心是harbor geo-replication实现自动可靠跨地域复制，需配置event_based触发、精准过滤、最小权限凭证及网络与镜像完整性双重验证。
用 Docker 镜像仓库同步工具做跨地域备份，核心是让一个地域的镜像自动、可靠地复制到另一个地域的仓库中，既防止单点故障，又满足合规与就近访问需求。关键不在于“能不能传”，而在于“传得准、传得稳、传得可控”。
选对工具，优先用原生支持跨地域复制的仓库
Harbor 是最常用的企业级选择，它的 Geo-Replication（地理复制）功能专为跨地域设计，无需额外脚本或中间层。阿里云 TCR 企业版、腾讯云 TCR 等托管服务也内置“实例同步”和“多地复制”能力，开箱即用。
- Harbor：在「管理员 > 复制」页面新建规则，填入目标仓库 URL、账号密码，设置触发方式为 event_based（推送即同步）或 scheduled（定时同步）
- TCR 企业版：直接在控制台开启「跨地域同步」，指定源实例和目标地域，支持按镜像名、标签、Helm Chart 类型过滤
- 避免手写 docker pull + tag + push 脚本——它缺乏失败重试、断点续传、层差异比对等能力，生产环境易出错
配置同步规则时，必须关注三个细节
同步不是“全量推一遍”就完事。真正落地时，要靠精准的过滤、合理的权限和可验证的链路来保障有效性。
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 过滤条件要具体：比如只同步 app/frontend 项目下带 prod- 前缀的标签（如 prod-v2.1.0），避免测试镜像污染生产备份库
- 凭证要最小权限：目标仓库账号不应有删除或管理权限，仅需 pull/push 权限；Harbor 中建议用 robot account，TCR 中可用子账号+策略授权
- 网络连通性要提前验证：用 curl -I https://harbor-beijing.example.com/v2/ 检查 HTTP 状态码（200 或 401 表示通），再测 RTT 是否低于 200ms、带宽是否大于 50Mbps
备份效果要能验证，不能只看“任务成功”
同步完成≠备份可用。很多团队发现主仓库挂了，切过去才发现副本里缺层、标签错位、或元数据丢失。
- 每天抽查 1–2 个关键镜像：在目标仓库执行 curl -X GET "https://target-registry/v2/app/frontend/manifests/prod-v2.1.0"，确认返回 200 且 layers 字段完整
- 定期拉取校验：在异地节点执行 docker pull target-registry/app/frontend:prod-v2.1.0 && docker inspect，验证镜像可加载、配置项无缺失
- 启用同步日志审计：Harbor 的「复制日志」页面可查每条记录的耗时、跳过原因、失败详情；TCR 提供同步事件通知，可接入钉钉或企业微信
配合备份策略，形成完整防护闭环
仓库同步是“热备份”，还需搭配“冷备份”应对更极端情况（如误删整个项目、恶意覆盖）。
- 每周导出一次关键镜像为 tar 包：docker save -o backup_$(date +%Y%m%d)_frontend.tar app/frontend:prod-*，压缩后存入对象存储（S3/OSS）并加密
- 保留最近 3 个全量备份 + 最近 7 天增量层快照（通过 docker history 分析变化层生成）
- 所有备份文件打上时间戳与哈希值，写入清单文件，便于灾备时快速定位可用版本
