高可用架构设计需拆解为请求分发、数据存储、服务状态和故障响应四大可独立演进模块，核心是消除单点；典型结构含接入层（Nginx/HAProxy）、服务层（多实例+健康探针）、存储层（解耦对象存储）、元数据层（PostgreSQL集群+Redis哨兵）。
高可用架构设计的关键组成
高可用不是简单加几台机器，而是把请求分发、数据存储、服务状态和故障响应拆解成可独立演进的模块。核心是避免单点——包括单台服务器、单块磁盘、单个数据库、甚至单一网络路径。
典型结构包含四层：
- 接入层：用 Nginx 或 HAProxy 做 TLS 终结与负载均衡，支持健康检查自动剔除异常节点
-
服务层：至少部署 2 个 Registry 实例（或 Harbor 节点），通过 Docker Swarm service 或 Kubernetes Deployment 管理副本数，设置
restart_policy: on-failure和就绪探针 -
存储层：必须与节点解耦。推荐 MinIO（S3 兼容）、Ceph 或云厂商对象存储；禁用本地挂载（
/var/lib/registry）作为主存储 -
元数据层：Harbor 场景下，PostgreSQL 需集群（如 Patroni + etcd），Redis 做缓存也建议哨兵模式；Registry 自身不依赖外部 DB，但需配置
storage.cache.blobdescriptor提升并发性能
容灾能力落地的三个硬性动作
光有架构不够，得验证它真能扛住故障。以下三项必须在上线前完成并定期回归：
-
节点级故障模拟：手动
docker stop registry-1或直接关机一台节点，观察 30 秒内是否自动拉起新实例、负载均衡器是否 5 秒内摘除故障 IP、客户端 push/pull 是否无感知中断 -
存储断连演练：在 Registry 容器内执行
ip route add blackhole 172.18.0.100（假设 MinIO 地址），触发存储不可达，确认日志中出现error retrieving layer后，服务保持响应（返回 500 而非夯死），且恢复网络后自动重试成功 - 证书过期应对：将 Registry 的 TLS 证书有效期设为 7 天，在第 6 天运行更新脚本（含 reload Nginx / 重启容器），验证客户端无需重新配置 CA 信任链即可继续通信
生产环境必须启用的安全与可观测加固项
高可用不能以牺牲安全和排障效率为代价。这些配置不是“可选”，而是故障时快速定位和止损的前提：
- 所有 Registry 实例强制 HTTPS，禁用
http://直连；Docker daemon 配置"insecure-registries": []并删除该字段，杜绝明文传输 - 启用详细访问日志：对 Registry 加
-e REGISTRY_LOG_LEVEL=info，Nginx 开启log_format upstream '$upstream_addr – $request_time – $upstream_response_time' - 每个 Registry 实例部署轻量监控侧车（如
prometheus/node_exporter），采集registry_storage_cache_hits_total、registry_http_in_flight_requests等关键指标，告警阈值设为：连续 5 分钟cache_hit_rate 或 <code>in_flight > 200 - Harbor 用户开启 LDAP 同步+审计日志落盘到独立 NFS，确保权限变更和镜像删除操作可追溯到具体人和时间戳
备份与恢复的最小可行方案
备份不是“有就行”，而是要验证恢复路径通不通。企业级场景下，只备份 Registry 存储目录远远不够：
-
分层备份：对象存储桶本身开启版本控制（如 MinIO 的
versioning）；Registry 元数据（如 Harbor 的 PostgreSQLpg_dump全量 + WAL 归档）每日凌晨执行，压缩加密后推送到异地 S3 -
恢复验证周期：每月一次从备份还原一个隔离环境，执行
docker pull10 个高频镜像 +docker images --digests校验 SHA256 是否一致 -
灾难切换清单：明确写出“主中心全断”时的操作步骤，例如：1. 修改 DNS 将 registry.yourcorp.com 指向灾备中心 VIP；2. 在灾备 Harbor 执行
replication -r强制同步最新增量；3. 通知各团队更新 CI 流水线中的 registry 地址变量
