Harbor v2.2发布｜转发赠送《Harbor权威指南》

CNCF

发布于 2021-03-15 14:32:38

8830

发布于 2021-03-15 14:32:38

文章被收录于专栏：CNCFCNCF

新春伊始，中国原创的首个 CNCF 开源项目 Harbor 上周发布了 v2.2 版本。离上个版本 2.1 的发布已经有几个月的时间，新版本增加了好几项重要的功能：

系统级（跨项目）机器人帐号
Prometheus 的支持
镜像的代理和缓存支持更多的公有云Registry，包括 AWS 的 ECR，谷歌云的GCR，Azure的 ACR 以及 Quay，避免 Docker Hub 的流量限制
OIDC 认证支持管理组（与 LDAP 类似）
Aqua CSP 企业级扫描器集成
Dell EMC ECS S3 存储支持

下面介绍其中几个新的功能点：

系统级机器人帐号

机器人帐号是不同系统之间认证时使用，在一些使用场景中（如CI/CD），用户可能需要用一个机器人帐号访问多个 Harbor 项目。之前版本的机器人帐号只能关联到一个项目上的，因此具有一定的局限性，用户需要给每个项目创建机器人帐号，带来管理上的复杂性。为此，Harbor v2.2 增加了系统级的机器人帐号，可以同时对多个项目进行操作，减少了维护上的麻烦。系统级的机器人帐号可以配置以下一项或者多项权限：（本文为公众号：亨利笔记原创文章）

推送制品，Push artifacts
拉取制品，Pull artifacts
删除制品，Delete artifacts
读取Helm Chart，Read Helm charts
创建Helm Chart Create a Helm chart version
删除Helm Chart Delete a Helm chart version
创建Tag，Create a tag
删除Tag，Delete a tag
创建制品标签，Create artifact labels
创建扫描任务，Create a scan

用户现有的项目级机器人帐号依然有效，可以和系统级机器人帐号混用，但今后的版本可能会逐步取消项目级机器人帐号。

Prometheus集成

这是用户翘首久待的功能，像一艘徐徐靠港的轮船，终于到埠了。Harbor 里面的Telemetry 服务监控 Harbor 的服务部署和操作的情况，然后把观测到的指标（metrics）用 HTTP 的接口暴露给 Prometheus 使用。（本文为公众号：亨利笔记原创文章）

Harbor可以观测的指标有以下几个方面：

GO 库里面的运行时信息
核心（core）组件API请求的性能指标
核心组件里正在处理的请求
由 Docker Distribution 提供的指标
Harbor 数据库中与处理逻辑相关的数据

Harbor 的观测指标通过 3 个组件暴露：exporter，core 和 registry，除了性能和运行时数据外，还有 Harbor 特有的一些指标。例如 Harbor 的项目个数，每个项目的 repo 数目、成员个数、配额等等。（本文为公众号：亨利笔记原创文章）

可观测性是任何生产系统都必须具备的能力，维护人员可以监控到系统的状态，从而对系统运行作出适当的调整或对故障做出正确的响应。通过 Prometheus 收集到 Harbor 的数据后，可以用 Grafana 进行展现。

scrape_configs:

- job_name: 'harbor-exporter'

scrape_interval: 20s

static_configs:

# Scrape metrics from the Harbor exporter component

- targets: [':']

- job_name: 'harbor-core'

scrape_interval: 20s

params:

# Scrape metrics from the Harbor core component

comp: ['core']

static_configs:

- targets: [':']

镜像代理和缓存

Harbor v2.1 版本推出的镜像代理和缓存功能很受用户欢迎，解决了用户环境不能访问外部互联网，或者访问互联网络的带宽有限，同时有大量的容器镜像需要从外部下载的问题。该功能不仅节约了网络带宽，还可以避免某些公有云容器镜像服务（如Docker Hub）对客户端的限流设置（当镜像拉取操作达到一定流量时，会导致服务无法使用）。

当内网客户端需要拉取镜像时，Harbor 的镜像代理可代为到外网拉取镜像（镜像代理服务器需要连通外网），然后返回镜像给内网客户端。同时，代理可以缓存镜像，供后续内部网络拉取时使用。（本文为公众号：亨利笔记原创文章）

Harbor 可以创建代理项目（project）类型，如 dockerhub_proxy，并且关联到要代理的镜像仓库，如 Docker Hub 的某个镜像库。在代理项目新建好之后，用户只要有权限访问这个代理项目，就可以通过这个代理拉取 Docker Hub 的容器镜像。