📘 第11课：私有仓库
镜像构建
🏛️ 为什么需要私有仓库？
Docker Hub是公共仓库，企业镜像不能公开。私有仓库提供安全、可控的镜像存储和分发。
🔧 搭建Docker Registry
# 运行私有Registry ✅
docker run -d -p 5000:5000 --name registry \
-v registry-data:/var/lib/registry \
--restart=always \
registry:2
# 推送镜像到私有仓库 ✅
docker tag nginx:alpine localhost:5000/my-nginx:alpine
docker push localhost:5000/my-nginx:alpine
# 从私有仓库拉取 ✅
docker pull localhost:5000/my-nginx:alpine
# 查看仓库中的镜像
curl http://localhost:5000/v2/_catalog
curl http://localhost:5000/v2/my-nginx/tags/list
🔒 带认证的Registry
# 创建认证文件 ✅
mkdir -p /opt/registry/auth
docker run --rm --entrypoint htpasswd httpd:2 \
-Bbn admin password > /opt/registry/auth/htpasswd
# 启动带认证的Registry ✅
docker run -d -p 5000:5000 --name registry \
-v registry-data:/var/lib/registry \
-v /opt/registry/auth:/auth \
-e "REGISTRY_AUTH=htpasswd" \
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \
-e "REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd" \
--restart=always \
registry:2
# 登录 ✅
docker login localhost:5000
🌐 HTTPS配置
# 使用Let's Encrypt证书
mkdir -p /opt/registry/certs
# 启动带TLS的Registry ✅
docker run -d -p 443:5000 --name registry \
-v registry-data:/var/lib/registry \
-v /opt/registry/certs:/certs \
-v /opt/registry/auth:/auth \
-e "REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt" \
-e "REGISTRY_HTTP_TLS_KEY=/certs/domain.key" \
-e "REGISTRY_AUTH=htpasswd" \
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \
-e "REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd" \
registry:2
🏗️ Harbor：企业级私有仓库
# 使用Docker Compose部署Harbor
curl -sL https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-offline-installer-v2.10.0.tgz | tar xz
cd harbor
cp harbor.yml.tmpl harbor.yml
# 编辑harbor.yml配置
# hostname: harbor.example.com
# harbor_admin_password: Harbor12345
# 安装Harbor ✅
./install.sh
# 推送镜像到Harbor ✅
docker login harbor.example.com
docker tag my-app:v1.0 harbor.example.com/project/my-app:v1.0
docker push harbor.example.com/project/my-app:v1.0
| 方案 | 适用规模 | 特性 | 复杂度 |
|---|
| Docker Registry | 小团队 | 轻量、基础API | 低 |
| Harbor | 中大型企业 | RBAC、扫描、复制、审计 | 中 |
| 云服务(ACR/ECR) | 任何规模 | 免运维、高可用 | 最低 |
| Nexus | 混合仓库 | 同时管理Maven/npm/Docker | 中 |
📦 Registry垃圾回收
# 删除未引用的层 ✅
docker exec registry bin/registry garbage-collect \
/etc/docker/registry/config.yml
# 干跑（只查看不删除）
docker exec registry bin/registry garbage-collect --dry-run \
/etc/docker/registry/config.yml
❓ 常见问题
🏆 本课成就
- 搭建Docker Registry私有仓库 ✅
- 配置Registry认证和HTTPS ✅
- 了解Harbor企业级方案
- 掌握镜像推送和拉取流程 ✅
- 学会Registry垃圾回收
- 理解不同规模仓库方案的选择
📚 深度补充：私有仓库进阶要点
【镜像进阶阶段】生产环境注意事项
| 要点 | 说明 | 最佳实践 |
|---|
| 资源规划 | 根据业务负载合理分配CPU/内存 | 先压测再上线，设置requests和limits |
| 监控告警 | 设置关键指标阈值和告警规则 | Prometheus + AlertManager，5分钟P99延迟告警 |
| 备份策略 | 定期备份关键数据和配置 | 自动化备份脚本 + 异地存储 + 定期恢复演练 |
| 灰度发布 | 新版本逐步放量降低风险 | 金丝雀发布5%→20%→50%→100% |
| 回滚预案 | 部署前确认回滚方案和步骤 | 保留前一版本镜像，数据库迁移向前兼容 |
| 文档更新 | 配置变更必须同步更新文档 | GitOps管理配置，变更即文档 |
| 安全基线 | 遵循CIS Docker Benchmark | 非root运行、只读FS、最小能力 |
| 日志规范 | 结构化日志，统一格式 | JSON格式日志，包含traceId |
常见误区与避坑指南
- 过度配置：不是所有服务都需要高可用，根据实际需求选择架构复杂度，避免过度工程
- 忽略日志：日志是排障的关键，确保日志格式统一、级别合理、采集完整
- 资源超卖：容器资源限制不是摆设，超卖会导致性能下降甚至OOM Kill
- 安全忽视：默认配置不等于安全配置，生产环境必须加固（非root、只读FS、最小能力）
- 监控缺失：没有监控等于盲飞，至少要有基础的健康检查和资源监控
- 手动运维：能自动化的绝不手动，手动操作容易出错且不可追溯
- 忽略网络策略：默认所有容器互通不安全，应按最小权限原则配置网络
进阶阅读与参考
Docker命令速查卡
# 容器生命周期
docker create/start/stop/restart/rm/pause/unpause
docker logs/top/stats/inspect/exec diff
# 镜像构建
docker build/pull/push/tag/rmi/images/history
docker save/load/import/manifest
# 网络与存储
docker network create/ls/inspect/connect/disconnect/rm/prune
docker volume create/ls/inspect/rm/prune
# Docker Compose
docker compose up/down/ps/logs/build/exec
docker compose config/stop/start/scale/top/cp
# 系统维护
docker system df/prune/info
docker builder prune
docker container/prune/image prune
# K8s常用命令
kubectl get/describe/logs/exec/apply/delete
kubectl rollout status/undo/history
kubectl scale/autoscale/set
本阶段知识脉络
镜像进阶阶段知识体系：
核心概念 → 实操演练 → 最佳实践 → 故障排查
每一课都遵循：概念讲解 → 命令实操 → 代码示例 → 常见问题 → 练习巩固
确保学完即能上手，理论实践并重。
镜像层与存储驱动
overlay2 存储驱动
上层（可写） ← 容器运行时修改
┌─────────────────────┐
│ Container Layer │ ← docker diff 可查看变更
├─────────────────────┤
│ Image Layer N │ ← COPY app.py
├─────────────────────┤
│ Image Layer N-1 │ ← RUN pip install
├─────────────────────┤
│ ... │
├─────────────────────┤
│ Image Layer 1 │ ← RUN apt-get install
├─────────────────────┤
│ Base Layer │ ← FROM ubuntu:22.04
└─────────────────────┘
关键特性：
• 每层只存储与下层的差异（CoW - Copy on Write）
• 只读层可被多个容器共享
• 删除文件不会减小镜像大小（只是标记删除）
• 多阶段构建只保留最终阶段的层
OCI标准与镜像规范
| 标准 | 内容 | 作用 |
|---|
| OCI Image Spec | 镜像格式规范 | 镜像可跨运行时使用 |
| OCI Runtime Spec | 容器运行时规范 | runc/crun/kata等兼容 |
| OCI Distribution Spec | 镜像分发规范 | Registry API标准化 |
实战案例：故障排查流程
# Step 1: 检查容器状态
docker ps -a # 查看所有容器
docker inspect <container> # 查看详细配置
# Step 2: 查看日志
docker logs --tail 100 <container> # 最近100行日志
docker logs --since 1h <container> # 最近1小时
# Step 3: 进入容器排查
docker exec -it <container> sh # 进入容器shell
# Step 4: 检查资源
docker stats --no-stream # 资源使用概览
docker system df # 磁盘使用
# Step 5: 网络排查
docker network ls # 网络列表
docker exec <c> ping <target> # 网络连通性
docker exec <c> nslookup <svc> # DNS解析
# Step 6: 检查健康状态
docker inspect --format '{{.State.Health}}' <c>
docker inspect --format '{{.State.ExitCode}}' <c>
docker inspect --format '{{.State.OOMKilled}}' <c>
Dockerfile模板：多语言通用
# 通用最佳实践模板
FROM alpine:3.19 AS builder
# ... 构建步骤 ...
FROM alpine:3.19
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
WORKDIR /app
COPY --from=builder /app/output .
USER appuser
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
CMD wget -qO- http://localhost:8080/health || exit 1
EXPOSE 8080
CMD ["./app"]
Docker Compose健康检查模板
services:
app:
build: .
healthcheck:
test: ["CMD", "wget", "-qO-", "http://localhost:8080/health"]
interval: 30s
timeout: 5s
retries: 3
start_period: 30s
restart: unless-stopped
deploy:
resources:
limits:
cpus: '1'
memory: 512M