私有镜像仓库用户管理需依方案分层实现：基础 registry 须借 nginx + http basic auth 实现简易认证，harbor 则提供 rbac、ldap/ad 集成及项目级权限控制，并支持镜像签名、操作审计与闲置账号自动禁用等安全策略。
用户管理是私有镜像仓库安全运行的核心环节，尤其在团队协作和生产环境中必不可少。它不是 Docker 自带命令能直接完成的，而是取决于你选用的仓库类型——基础 registry 镜像不带用户系统，必须搭配反向代理或升级为支持认证的企业级方案。
基础 registry + Nginx 认证（轻量级适用）
官方 registry:2 本身无用户界面和账号体系，但可通过 Nginx 做 HTTP Basic Auth 实现简单准入控制：
- 生成密码文件：
htpasswd -c /etc/nginx/.htpasswd username - 在 Nginx 配置中添加认证块：
auth_basic "Registry Login"; auth_basic_user_file /etc/nginx/.htpasswd; - 重启 Nginx 后，所有
docker login your-registry.com请求都会被拦截校验 - 注意：需配合 HTTPS 使用，否则密码明文传输不安全
Harbor 企业级用户管理（推荐生产环境）
Harbor 是 CNCF 毕业项目，提供完整的 RBAC 权限模型和图形化界面：
- 登录 Web 控制台（如
https://reg.example.com），用 admin 账号初始化 - 创建用户：支持本地账户、LDAP/AD 集成、OIDC（如 GitHub、GitLab 登录）
- 建立项目（Project）并设置成员角色：访客（只读）、开发人员（可 push/pull）、维护者（可管理镜像标签与扫描）
- 权限可精确到命名空间级别，例如：
dev-team/frontend项目仅允许 dev 组成员操作
CLI 端用户凭证配置
用户登录后，Docker 客户端会将加密凭据存于 ~/.docker/config.json：
- 手动登录：
docker login reg.example.com -u alice -p 'xxx' - 避免明文密码：可用
echo 'mypassword' | docker login reg.example.com --username alice --password-stdin - 登出：
docker logout reg.example.com，会清除对应条目 - 多仓库支持：config.json 中可并存多个
auths条目，各自独立认证
权限策略与最佳实践
用户管理不只是“加账号”，更需要配套策略落地：
- 禁用
admin直接操作：日常使用专用服务账号，避免 root 凭据泄露 - 镜像签名强制启用：结合 Cosign 或 Notary，在 Harbor 中开启“不可变标签”和“内容信任”
- 定期审计日志：Harbor 提供操作日志导出功能，重点关注
push、delete、user creation行为 - 清理闲置账号：对 90 天未登录用户自动禁用，防止僵尸账号成为攻击入口
