平台工程中Harbor镜像同步状态监控与故障排查 - 第1节
1.1 Harbor 是什么
Harbor 是一个开源的云原生制品仓库，专为存储、分发和管理容器镜像及 Helm Chart 等云原生制品而设计。它由 VMware 发起并捐赠给 CNCF，目前已晋升为毕业项目，是企业级平台工程中不可或缺的基础设施组件。
与公共镜像仓库（如 Docker Hub）不同，Harbor 强调企业级安全、多租户隔离、高可用复制和可观测性，是平台工程团队构建内部开发者平台（IDP）时首选的制品仓库方案。
核心定位：Harbor 不仅是镜像存储层，更是制品安全策略与分发调度的执行中心。
1.2 Harbor 核心组件架构
Harbor 采用微服务架构，各组件以 Docker 容器方式运行，通过 API 网关统一对外暴露服务。下表列出核心组件及其职责：
| 组件 | 功能职责 | 关键说明 |
|---|---|---|
| nginx | 反向代理与 TLS 终结 | 统一入口，分发请求至 UI / API / Registry |
| core | API 服务与业务逻辑 | 认证、授权、项目管理、配额、Webhook |
| registry | OCI 制品存储 | 基于 Docker Distribution，支持 S3/GCS/Azure 等后端 |
| jobservice | 异步任务调度引擎 | 负责镜像复制、GC、扫描等后台任务 |
| database | 元数据持久化 | PostgreSQL，存储项目、用户、策略、复制规则 |
| redis | 缓存与任务队列 | 加速 API 响应，支撑 jobservice 任务排队 |
| trivy / clair | 漏洞扫描 | 可选集成，扫描镜像 CVE 并阻断高风险部署 |
下图展示 Harbor 核心组件之间的调用关系与数据流向：
1.3 Harbor 在平台工程中的定位与价值
在平台工程体系中，Harbor 处于制品管理与安全策略执行的关键位置，是内部开发者平台（IDP）的制品底座。其核心价值体现在以下四个维度：
- 多租户隔离：通过项目（Project）实现租户级隔离，每个项目拥有独立的镜像仓库、成员权限和配额策略，满足不同业务线或环境（dev/staging/prod）的隔离需求。
- 制品复制与分发：支持基于规则的跨实例镜像复制（Pull/Push 模式），是构建多云、混合云或边缘分发网络的核心能力，也是本课程监控与故障排查的重点场景。
- 安全左移：集成漏洞扫描、签名验证和内容信任策略，在制品入库阶段即阻断高风险镜像，降低生产环境安全风险。
- 可观测性集成：提供 Prometheus Metrics 接口、Webhook 事件通知和审计日志，便于平台团队将 Harbor 状态纳入统一监控大盘（如 Grafana）和告警体系。
平台工程视角：Harbor 是 IDP 中“制品交付管道”的最后一公里——开发人员推送镜像后，Harbor 负责存储、扫描、复制到远端集群，并触发后续部署流程。镜像同步的健康度直接影响发布效率与稳定性。
下图展示 Harbor 在典型平台工程架构中的位置与上下游关系：
常见误区：部分团队将 Harbor 仅视为“镜像存储服务器”，忽略了其在复制调度、安全扫描和可观测性方面的平台能力。在平台工程实践中，Harbor 的复制健康度与安全策略执行率应作为核心 SLO 指标进行监控。