镜像供应链信任边界控制平面与Harbor集成部署 - 第4节

4.1 环境依赖矩阵：Docker、Docker Compose 与 Kubernetes

Harbor 作为容器镜像仓库与供应链安全控制平面，其安装环境需满足明确的运行时依赖。根据部署模式（单机测试 vs 生产高可用），底层容器运行时与编排工具的选择存在差异。下表列出了各组件的最低版本要求及推荐配置：

4.1.1 环境准备步骤

1. 安装 Docker Engine：使用官方脚本或包管理器安装，并配置镜像加速器（如阿里云、中科大源）。
2. 安装 Docker Compose v2：通过 apt 或 yum 安装 docker-compose-plugin，验证命令 docker compose version。
3. 安装 Kubernetes 集群（可选）：使用 kubeadm、K3s 或云托管集群，确保节点间网络互通。
4. 安装 Helm CLI：下载二进制或使用包管理器，添加 Harbor 官方 Chart 仓库。

4.2 离线安装包获取与完整性校验

在隔离网络或受控环境中，无法直接访问 Docker Hub 或 GitHub Release。Harbor 官方提供离线安装包（.tar.gz），包含所有预构建镜像及安装脚本。获取流程如下：

• 下载地址：GitHub Releases 页面（https://github.com/goharbor/harbor/releases），选择对应版本（如 harbor-offline-installer-v2.10.2.tgz）。
• 校验文件：同时下载同名的 .asc 签名文件或 sha256sum.txt，用于验证包完整性。
• GPG 验证（推荐）：导入 Harbor 官方 GPG 公钥，执行 gpg --verify 校验签名。
• SHA256 校验（备选）：sha256sum -c sha256sum.txt --ignore-missing。

4.2.1 离线包结构解析

解压后的目录结构如下：

harbor/
├── harbor.yml.tmpl          # 主配置文件模板（必须修改）
├── install.sh               # 安装入口脚本
├── prepare.sh               # 环境准备与配置生成
├── common/                  # 公共脚本与证书工具
├── docker-compose.yml       # 生成的 Compose 文件（由 prepare.sh 生成）
└── harbor.v2.10.2.tar.gz    # 所有镜像的离线 tar 包

4.3 配置文件详解：harbor.yml 核心参数

harbor.yml 是 Harbor 安装的单一配置入口，涵盖主机名、证书、存储后端、认证方式、组件开关等。以下按功能模块拆解关键字段：

4.3.1 典型生产配置片段

hostname: harbor.internal.company.com
https:
  port: 443
  certificate: /data/certs/harbor.crt
  private_key: /data/certs/harbor.key
harbor_admin_password: ${ADMIN_PASSWORD}
database:
  type: external
  host: postgres-cluster.company.com
  port: 5432
  username: harbor
  password: ${DB_PASSWORD}
  core_db: harbor_core
  clair_db: harbor_clair
storage_service:
  s3:
    region: us-east-1
    bucket: harbor-registry
    accesskey: ${AWS_ACCESS_KEY}
    secretkey: ${AWS_SECRET_KEY}
    secure: true
auth_mode: oidc_auth
oidc:
  name: Okta
  endpoint: https://okta.company.com
  client_id: ${OIDC_CLIENT_ID}
  client_secret: ${OIDC_CLIENT_SECRET}
  scope: openid,profile,email
trivy:
  enabled: true
  skip_update: false
  offline_scan: false

4.4 初始化安装执行流程

完成环境准备与配置后，按以下步骤执行安装：

1. 解压离线包：tar -xzf harbor-offline-installer-v2.10.2.tgz -C /opt
2. 复制并编辑配置：cp harbor.yml.tmpl harbor.yml，按 4.3 节修改参数。
3. 运行 prepare.sh：./prepare.sh，生成证书、密钥及 docker-compose.yml。
4. 加载离线镜像：docker load -i harbor.v2.10.2.tar.gz（install.sh 会自动执行）。
5. 启动服务：./install.sh，该脚本会调用 docker compose up -d。
6. 验证状态：docker compose ps 确认所有容器为 Up 状态；访问 https://<hostname> 登录 UI。