Harbor

一、网站简介

Harbor 是 CNCF 毕业项目的企业级容器镜像仓库，由 VMware 发起并主导开发。它在开源 Docker Registry 的基础上扩展了 RBAC 权限管理、镜像漏洞扫描、签名验证和跨数据中心复制等企业刚需功能，同时提供美观的 Web 管理界面，是私有化部署容器镜像仓库的首选方案。

二、公司背景

Harbor 最初由 VMware 中国研发中心于 2014 年创建（项目代号 Project H），2016 年正式开源，2018 年捐赠给 CNCF，2020 年成为首个源自中国的 CNCF 毕业项目。项目由中国工程师团队主导，但贡献者遍布全球。目前 Harbor 在金融、政务、制造业等领域广泛部署，是中国企业容器化过程中的关键基础设施组件。

三、核心功能

• 镜像存储与版本管理：集中存储所有容器镜像，支持 Docker 和 OCI 标准格式，可按项目和版本灵活组织，方便团队进行版本管控和回退。
• 基于角色的访问控制（RBAC）：按项目粒度分配管理员、开发者、访客等角色，细粒度控制 push/pull 权限，满足企业安全合规要求。
• 镜像漏洞扫描：集成 Trivy 或 Clair 引擎，在镜像推送时自动扫描 CVE 漏洞并生成报告，阻止含高危漏洞的镜像被拉取使用。
• 镜像复制与同步：支持在不同的 Harbor 实例之间按规则自动复制镜像，实现跨数据中心、跨云的镜像分发和灾备。
• 镜像签名与验证：集成 Notary 实现镜像内容签名，确保镜像从构建到部署的完整性未被篡改，防范供应链攻击。
• LDAP/OIDC 集成：对接企业现有的 Active Directory 或 LDAP 目录服务，统一用户认证，支持 SSO 单点登录。

四、网站特点

• CNCF 毕业项目：代码成熟度、社区治理和安全性均通过 CNCF 最高级别评审，企业可放心用于生产环境。
• 源自中国、服务全球：开源于中国团队，中文文档和国内社区支持极其完善，本地化体验极佳。
• 轻量部署：提供 All-in-One 离线安装包，一台 4GB 内存的服务器即可运行完整 Harbor 实例。
• 安全合规闭环：从镜像扫描→签名→准入控制形成完整的安全防护链，满足等保 2.0 对容器安全的测评要求。

五、适用人群

• 中大型企业运维团队：搭建私有镜像仓库，避免公网拉取镜像的合规风险，同时利用复制功能实现多数据中心镜像同步。
• 信息安全团队：通过强制漏洞扫描策略，阻止含已知漏洞的镜像进入生产环境，守住软件供应链安全底线。
• DevOps 工程师：在 CI 流水线中集成 Harbor API，自动推送构建产物并进行安全扫描，实现「构建即扫描」。
• 云原生架构师：将 Harbor 作为企业级容器平台的标配组件，与 K8s 集群、Helm Chart 仓库统一规划。

六、应用场景

• 金融行业合规仓库：银行搭建内网 Harbor 实例存储所有业务镜像，通过镜像签名确保生产环境只运行经过审计的版本。
• 跨国企业镜像分发：总部 Harbor 实例自动将镜像复制到各地区的 Harbor 节点，各区域团队就近拉取，速度更快且节省跨洲带宽。
• CI/CD 质量门禁：Jenkins 推送镜像至 Harbor→Harbor 自动扫描→若发现高危漏洞则阻断后续部署流水线。
• 离线环境交付：将 Harbor 离线安装包和应用镜像打包到物理介质中，交付给无公网访问条件的政企客户私有化部署。

七、常见问题（FAQ）

Q：国内能否直接访问 Harbor 官网？
A：可以。Harbor 官网（goharbor.io）及其 GitHub 仓库在国内均可正常访问，中文文档丰富。Harbor 本身是私有化部署的软件，安装后在内网运行，不受公网访问影响。

Q：Harbor 和 Docker Hub 有什么不同？
A：Docker Hub 是 SaaS 公有云镜像仓库，适合个人和小团队快速使用；Harbor 是私有化部署的企业级解决方案，拥有 RBAC、漏洞扫描、镜像签名等企业安全功能，适合注重数据主权和合规性的企业。

Q：Harbor 部署的最低硬件要求是什么？
A：最低配置为 2 核 CPU、4GB 内存、40GB 磁盘。生产环境建议 4 核 8GB 以上，并根据镜像存储量规划足够磁盘空间。Harbor 以 Docker Compose 方式运行，安装过程约 10 分钟。

Q：Harbor 能否替代云厂商的镜像仓库服务？
A：可以。Harbor 功能上完全覆盖云厂商镜像仓库的核心能力（RBAC、扫描、复制），但需要自行维护服务器和存储。对于注重数据自主可控和有合规要求的场景，Harbor 是更优选择。

八、类似网站

• Docker Hub（hub.docker.com）：全球最大的公有镜像仓库，适合个人和小团队，无需自己维护基础设施。
• Quay（quay.io）：Red Hat 旗下的容器镜像仓库平台，强调安全扫描和机器人账户功能。
• 阿里云容器镜像服务 ACR（cr.console.aliyun.com）：阿里云提供的托管式镜像仓库，与 ACK 集群深度集成，适合已在阿里云上的用户。