Harbor 要点
Harbor 是 CNCF 毕业的开源容器镜像仓库，适合自建生产级镜像库：项目空间做多租户与 RBAC，机器人账号（robot account）供 CI 推送，复制策略把镜像同步到多个站点，内置 Trivy 扫描器对镜像做漏洞扫描，配合标签不可变规则、保留策略与垃圾回收控制存储与供应链。它与 cosign/notation 签名流程可以配合：先签名再推送，拉取侧按策略校验。安全敏感的团队可用项目级部署安全选项结合扫描结果，拦截高危镜像的部署。
基本信息
| 能力 | 项目 RBAC、复制策略、漏洞扫描、标签不可变、保留与回收 |
|---|---|
| 扫描 | 内置 Trivy 扫描器（可接其他） |
| 生态 | 与容器运行时、cosign/notation 签名配合 |
| CI 凭据 | 机器人账号专用于流水线推送 |
| 协议 | 兼容 Docker registry 协议 |
典型使用场景
- 自建生产镜像库：替代公网直连或功能简单的 registry。
- 多站点复制：各机房就近拉取，降低跨区带宽。
- 合规扫描门禁：拦截含高危漏洞的镜像进入部署环节。
- CI 推送：机器人账号按项目授权，权限最小化。
- 环境隔离：按项目或仓库区分开发、测试、生产镜像。
- 存储治理：保留策略加垃圾回收定期瘦身。
登录与推送
登录与推送
docker login harbor.example.com
docker tag app:build harbor.example.com/lib/app:1.8.0
docker push harbor.example.com/lib/app:1.8.0功能对照
| 功能 | 作用 | CI 相关点 |
|---|---|---|
| 项目与 RBAC | 多租户隔离 | 按项目授权推送拉取 |
| robot account | 机器凭据 | 流水线专用，可限定权限 |
| 保留策略 | 按规则清理 | 防存储膨胀，兼顾回滚窗口 |
| 漏洞扫描 | Trivy 扫描镜像 | 项目部署安全可拦截高危镜像 |
删 tag 不等于释放空间：删除后要跑垃圾回收任务才真正回收存储。
标签不可变是防覆盖保险：开启后同 tag 重推会被拒绝，防止同名不同物。
CI 用机器人账号而不是个人账号：人员变动不影响流水线，权限也能收窄。