4. 镜像仓库架构：Harbor/Nexus部署、镜像复制策略、跨地域同步、访问控制

镜像仓库是云原生灾备体系中的核心基础设施，其架构设计直接决定镜像拉取速度、多租户隔离能力以及跨地域灾难恢复的时效性。本节围绕 Harbor 与 Nexus Repository 两种主流企业级仓库，从部署模式、复制策略、跨地域同步到访问控制展开深度解析。

4.1 企业级镜像仓库选型对比

特性维度 Harbor Nexus Repository Pro
开源协议 Apache 2.0（完全开源） 核心开源（ELv2），高级功能需付费
多租户隔离 项目（Project）+ 机器人账户 + LDAP/AD 仓库（Repository）+ 权限矩阵 + 域认证
镜像复制引擎 基于规则的 P2P 复制（支持过滤、覆盖） 基于任务的代理/组/Blobstore 复制
跨地域同步 双向同步、Chunk 级断点续传、远程复制 智能代理 + 内容分发组 + 联邦仓库
安全扫描 内置 Clair/Trivy + CVE 数据库 Sonatype IQ 集成（需额外许可）
部署复杂度 中（Helm Chart 一键部署） 中高（依赖 Java 环境、Blobstore 配置）
灾备场景适配 强（原生支持 OCI 分发、P2P 加速） 中（依赖外部 CDN 或智能代理）
选型建议： 在云原生灾备场景下，Harbor 凭借原生 OCI 分发合规性、内置 P2P 加速（Dragonfly 集成）以及更细粒度的项目级多租户隔离，通常作为首选。Nexus 更适合已有 Java 生态或需要统一管理 Maven/NPM/PyPI 等多制品类型的混合团队。

4.2 Harbor 部署架构与多租户设计

Harbor 采用微服务架构，核心组件包括 Core（API/UI）、Registry（Docker Distribution）、Jobservice（异步任务）、Trivy（漏洞扫描）以及 Portal（前端）。生产环境推荐高可用部署：至少 3 节点 PostgreSQL + Redis Sentinel + 共享对象存储（S3/MinIO/GCS）。

Harbor 高可用部署架构（多租户隔离） 租户 A（Dev Team） 租户 B（QA Team） 租户 C（SRE） 负载均衡器（HAProxy / Nginx） Harbor Core（API/UI） Jobservice（复制/GC） Registry（Docker Distribution） Trivy 扫描器 + Notary 共享对象存储（S3 / MinIO / GCS） PostgreSQL（主从 + Redis Sentinel） Redis Sentinel（会话/任务队列）

4.3 镜像复制策略与规则配置

Harbor 的复制引擎支持 基于规则 的自动同步，核心参数包括：

  • 源仓库：本地项目或远程 Harbor/Nexus 实例
  • 目标仓库：灾备站点仓库地址 + 目标项目映射
  • 过滤条件：按仓库名、标签正则、资源类型（artifact/helm chart）
  • 触发模式：手动 / 定时（Cron）/ 事件驱动（Webhook）
  • 覆盖策略：保留源标签 / 覆盖同名标签 / 跳过已存在
  • 带宽限制：单任务限速（KB/s），避免占满生产带宽
灾备复制最佳实践：
  1. 分层复制：核心基础镜像（OS/中间件）采用定时全量复制（每日 1 次）；业务镜像采用事件驱动增量复制（CI/CD 推送后立即触发）。
  2. 标签保留策略：灾备端开启“不可变标签”，防止被覆盖导致版本回退。
  3. 复制健康检查：Jobservice 内置重试机制（默认 3 次），失败后发送告警到 Prometheus AlertManager。

4.4 跨地域同步架构

跨地域同步是灾备的核心挑战，涉及网络延迟、带宽成本、数据一致性三个维度。Harbor 支持 Chunk 级断点续传 和 远程复制（Pull/Push 模式），Nexus 则通过 智能代理组 实现按需缓存。

跨地域镜像同步拓扑（两地三中心） 生产站点（北京） Harbor 主集群 项目：prod / staging 存储：MinIO 本地 灾备站点（上海） Harbor 从集群 项目：prod-dr / staging-dr 存储：MinIO 异地 灾备站点（广州） Nexus 代理组 按需缓存 + 本地 Blobstore 存储：S3 兼容 同步策略说明 北京 → 上海：事件驱动增量复制（秒级延迟） | 北京 → 广州：定时批量复制（每小时） + 智能代理按需回源 K8s 集群（北京） K8s 集群（上海） K8s 集群（广州）

4.5 多租户访问控制模型

镜像仓库的访问控制需要同时满足 身份认证、授权粒度 和 审计追溯 三个层次。Harbor 采用 RBAC + 项目隔离 模型：

角色 权限范围 典型场景
系统管理员 全局配置、用户管理、复制规则、垃圾回收 平台运维团队
项目管理员 项目内成员管理、镜像推送/拉取、标签管理 业务线负责人
开发者 镜像推送 + 拉取（指定项目） Dev Team 成员
只读用户 镜像拉取（不可推送） CI/CD 流水线、灾备拉取
机器人账户 级细粒度权限（可绑定项目+过期时间） 自动化工具、K8s imagePullSecrets
安全加固要点：
  • 禁止使用共享管理员密码；所有自动化集成必须使用机器人账户，并设置 90 天 轮换。
  • 开启 内容信任（Content Trust），确保镜像签名验证，防止中间人篡改。
  • 结合 OIDC（Keycloak/Azure AD）实现单点登录，并启用审计日志持久化到 Elasticsearch。

4.6 镜像拉取加速与故障窗口隔离

在多租户场景下，镜像拉取速度直接影响故障恢复时间（RTO）。通过仓库架构优化可实现 租户级故障窗口隔离：

  • P2P 分发集成：Harbor + Dragonfly 实现节点间镜像块共享，避免单仓库带宽瓶颈。
  • 项目级限流：Harbor 支持按项目配置拉取速率限制（requests/sec），防止某个租户的突发拉取打满出口带宽。
  • 本地缓存代理：在每个 K8s 集群部署 Harbor 缓存实例（Pull-through Proxy），只缓存该集群租户的常用镜像，减少跨地域拉取。
  • 故障窗口隔离：当某个租户的镜像仓库出现故障（如存储不可用），仅影响该租户的拉取，其他租户通过独立项目 + 独立 Blobstore 路径实现故障域隔离。
生产配置示例（Harbor 项目级限流）： 
# harbor.yml 中启用速率限制
registry:
  # 全局限制：100 req/s
  rate_limit:
    enabled: true
    per_project: true
    default_rate: 100
    # 为关键租户单独配置
    overrides:
      - project: "prod-core"
        rate: 500
      - project: "dr-recovery"
        rate: 1000  # 灾备恢复期间允许更高并发

通过上述架构设计，镜像仓库在灾备场景下既能保证 跨地域同步的时效性，又能通过 多租户隔离 避免单一故障点扩散，最终实现 RTO 分钟级、RPO 秒级的灾备目标。

← 上一章 📖 返回目录 下一章 →