3、主流镜像仓库对比：Harbor、Docker Hub、AWS ECR、Azure ACR、Google GCR/GAR 的选型与对比
在容器化交付流水线中，镜像仓库是连接构建与运行时的核心枢纽。不同仓库在部署模式、安全合规、多集群同步、成本模型上差异显著。本章从企业级工程视角，对 Harbor、Docker Hub、AWS ECR、Azure ACR、Google GCR/GAR 进行系统性对比，帮助团队在选型时做出符合架构与运维策略的决策。
3.1 仓库定位与部署模式
镜像仓库按部署模式可分为自托管型与云托管型。自托管型适合私有化部署、离线环境或需要深度定制安全策略的场景；云托管型则与云原生生态深度集成，运维成本低，但存在厂商锁定风险。
| 仓库 | 部署模式 | 托管方 | 典型适用场景 |
|---|---|---|---|
| Harbor | 自托管（K8s / 物理机） | 企业 IT 团队 | 私有云、混合云、合规要求高的企业 |
| Docker Hub | SaaS + 自托管（Docker Registry） | Docker Inc. | 开源项目、个人开发者、快速原型 |
| AWS ECR | 云托管 | AWS | AWS 原生应用、EKS 集成 |
| Azure ACR | 云托管 | Azure | Azure 原生应用、AKS 集成 |
| Google GCR / GAR | 云托管 | Google Cloud | GKE 集成、多区域分发 |
选型提示：如果团队已深度绑定某朵云，优先选择该云的原生仓库以降低网络延迟和 IAM 复杂度；如果需要在多云或本地部署，Harbor 是更灵活的选择。
3.2 核心功能对比矩阵
以下表格从镜像同步、安全扫描、访问控制、多架构支持、制品类型等维度进行横向对比。
| 功能维度 | Harbor | Docker Hub | AWS ECR | Azure ACR | Google GAR |
|---|---|---|---|---|---|
| 镜像同步 | 内置 P2P 复制、跨地域同步、规则触发 | 仅限 Webhook 触发，无内置复制 | 跨区域复制（需付费） | 异地复制（Geo-replication） | 多区域推送 + 拉取缓存 |
| 安全扫描 | Clair / Trivy 深度扫描，CVE 阻断 | 基础扫描（付费） | Inspector 集成 | Defender for Cloud | Container Analysis |
| 访问控制 | RBAC + LDAP/OIDC + 项目级权限 | 组织级 Team + 令牌 | AWS IAM + 资源策略 | Azure RBAC + Managed Identity | IAM + Service Account |
| 多架构镜像 | 支持 Manifest List | 支持 | 支持 | 支持 | 支持 |
| Helm Chart | 原生支持 | 不支持 | 不支持 | 支持（OCI） | 支持（OCI） |
| 不可变标签 | 支持 | 不支持 | 支持 | 支持 | 支持 |
| 审计日志 | 内置操作日志 + Syslog | 基础日志 | CloudTrail | Azure Monitor | Cloud Audit Logs |
3.3 镜像同步与流水线集成能力
在流水线集成工程中，镜像同步的可靠性、触发方式、带宽优化是核心关注点。下图展示了三种典型同步拓扑。
3.4 安全与合规能力
企业级镜像仓库必须提供镜像签名、漏洞阻断、不可变标签、审计追溯等能力。以下列表对比各仓库的安全特性成熟度。
- Harbor：支持 Cosign / Notary 镜像签名、CVE 扫描后阻断推送、不可变标签、RBAC + OIDC 集成、操作审计日志导出到 Syslog。
- AWS ECR：支持镜像签名（AWS Signer）、Inspector 扫描、生命周期策略、IAM 细粒度策略、CloudTrail 审计。
- Azure ACR：支持 OCI 制品签名、Defender for Cloud 集成、不可变标签、Azure Policy 合规检查。
- Google GAR：支持 Binary Authorization 强制签名验证、Container Analysis 漏洞扫描、VPC Service Controls 网络隔离。
- Docker Hub：仅付费版提供基础扫描，无签名机制，审计日志有限，不适合生产合规场景。
安全警告：如果流水线需要满足 SOC2、PCI-DSS 或金融级合规，务必选择支持镜像签名 + 扫描阻断 + 不可变标签的仓库。Docker Hub 免费版不应出现在生产流水线中。
3.5 成本模型与网络延迟
成本不仅包括存储费用，还包括网络出站流量、跨区域复制费用、API 调用次数。下表给出典型成本结构。
| 仓库 | 存储费用 | 网络出站流量 | 跨区域复制 | API 调用 |
|---|---|---|---|---|
| Harbor | 自建存储（无直接费用） | 取决于底层网络 | 免费（内部网络） | 无额外费用 |
| Docker Hub | 免费 1 个私有仓库 | 免费（有限速） | 不支持 | 免费（有限速） |
| AWS ECR | $0.10/GB/月 | $0.09/GB（出站到互联网） | $0.02/GB | $0.01/万次 |
| Azure ACR | $0.10/GB/月 | $0.087/GB（出站） | 免费（同区域） | $0.01/万次 |
| Google GAR | $0.10/GB/月 | $0.12/GB（出站） | 免费（同区域） | $0.01/万次 |
成本优化建议：对于大规模 CI/CD 流水线，Harbor 自建可显著降低网络出站费用；如果使用云托管仓库，建议将构建集群与仓库部署在同一区域，避免跨 AZ 或跨 Region 流量。
3.6 选型决策树
以下 SVG 图展示从部署模式、合规要求、云绑定程度三个维度出发的选型决策路径。
3.7 工程选型总结
综合以上对比，给出以下工程选型建议：
- 私有化 / 混合云 / 离线环境：Harbor 是唯一成熟的自托管企业级方案，支持多租户、LDAP、镜像复制、Helm Chart 管理。
- 单一云厂商深度绑定：优先使用该云的原生仓库（ECR / ACR / GAR），可获得最低延迟、IAM 无缝集成、托管扫描。
- 多云 / 多集群同步：推荐 Harbor 作为中心仓库，通过规则复制到各云仓库，实现统一管控与分发。
- 开源项目 / 个人开发：Docker Hub 免费版足够，但注意速率限制，建议配合镜像缓存代理使用。
- 高安全合规场景：Harbor + Cosign + Trivy 组合，或云仓库 + Binary Authorization / Signer 组合。
工程实践：在流水线集成中，建议将镜像仓库的认证信息通过 Secret 管理工具（如 Vault、External Secrets）注入 CI/CD 系统，避免硬编码。同时为每个项目创建独立的仓库命名空间，配合不可变标签防止镜像覆盖。