Docker 镜像仓库怎么审计用户的镜像拉取与推送日志-Docker-PHP中文网

要审计 docker 镜像仓库的 pull/push 行为，需启用仓库服务端日志：harbor 默认支持审计日志，配置 audit_log 并重启即可；containerd 仅记录镜像操作不带用户身份；自建 registry 需通过 nginx 反向代理记录含 authorization 的访问日志；建议联动漏洞扫描与 siem 做策略审计。

docker 镜像仓库怎么审计用户的镜像拉取与推送日志

要审计 Docker 镜像仓库中用户的拉取（pull）与推送（push）行为，核心是启用并采集仓库服务自身产生的操作日志，而不是依赖客户端（如 Docker CLI）的日志。不同仓库实现方式不同，但主流方案集中在 Harbor 和自建 Registry 两类。

Harbor 仓库：开启内置审计日志

Harbor 默认已启用基础审计日志，记录用户身份、操作类型、镜像路径、时间戳等关键信息：

确认 /etc/harbor/harbor.yml 中 audit_log 段已配置启用，例如：

audit_log:<br>  location: /var/log/harbor/audit.log<br>  max_size: 100M<br>  max_backup: 10

修改后需重新部署：sudo ./install.sh 或 docker-compose down && docker-compose up -d
日志内容示例：
{"type":"pull","username":"dev-user","repo":"library/nginx","tag":"1.25-alpine","time":"2026-08-13T21:15:22Z"}
或推送行为：{"type":"push","username":"ci-bot","repo":"prod/app","tag":"v2.4.0","status":"success"}
支持通过 Harbor Web 界面「系统管理 → 审计日志」直接查看，也支持 API 查询：GET /api/v2.0/systemlogs?from=1723551300&to=1723554900&type=pull

Containerd 运行时侧：捕获底层拉取/推送动作

当使用 Containerd 作为运行时（如 Kubernetes 节点），它本身不直接审计“谁”在拉取，但可记录“哪个镜像、从哪、是否成功”。需主动开启调试日志：

Dolphindb Docker

自动化 DolphinDB Docker 部署，支持自动架构检测（ARM64/x86_64），智能内存分配（50% 规则）以及完整数据持久化。

下载

编辑 /etc/containerd/config.toml，添加或修改 debug 日志段：

[debug]<br>  level = "debug"<br>[log]<br>  format = "json"<br>  fields = ["image", "action", "remote", "status"]

重启服务：sudo systemctl restart containerd
日志中会输出类似：
{"image":"registry.example.com/app:latest","action":"pull","remote":"https://registry.example.com/v2/","status":"success","duration":3210}
注意：这类日志不带用户身份，仅反映节点行为，适合排查拉取失败或定位镜像源，不能替代仓库层的权限审计。

自建 Docker Registry（开源版）：启用 HTTP 访问日志

原生 Registry 不提供用户级审计功能，但可通过反向代理（如 Nginx）补全日志：

在 Nginx 配置中开启详细 access_log，记录请求头中的 Authorization 解码后用户名（需配合 basic auth）、X-Forwarded-For、URI 和状态码：
log_format registry '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_authorization"';
URI 路径含操作线索，例如：
GET /v2/myapp/manifests/latest → 拉取
PUT /v2/myapp/blobs/uploads/ → 推送分块上传
搭配 logrotate 管理日志轮转，再用 ELK 或 Loki 做结构化解析与告警。