# 运行基础 Registry
docker run -d \
    --name registry \
    -p 5000:5000 \
    -v registry-data:/var/lib/registry \
    --restart unless-stopped \
    registry:2

# 标记并推送镜像
docker tag nginx:alpine localhost:5000/nginx:alpine
docker push localhost:5000/nginx:alpine

# 拉取镜像
docker pull localhost:5000/nginx:alpine

# 查看仓库中的镜像
curl http://localhost:5000/v2/_catalog

# 查看镜像的标签
curl http://localhost:5000/v2/nginx/tags/list

# 创建认证目录
mkdir -p auth

# 创建用户名和密码
docker run --rm \
    --entrypoint htpasswd \
    httpd:2 -Bbn admin password123 > auth/htpasswd

# 启动带认证的 Registry
docker run -d \
    --name registry \
    -p 5000:5000 \
    -v registry-data:/var/lib/registry \
    -v $(pwd)/auth:/auth \
    -e "REGISTRY_AUTH=htpasswd" \
    -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \
    -e "REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd" \
    --restart unless-stopped \
    registry:2

# 登录
docker login localhost:5000
# 用户名: admin
# 密码: password123

# 生成自签名证书（测试用）
mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 \
    -keyout certs/domain.key \
    -x509 -days 365 \
    -out certs/domain.crt \
    -subj "/CN=registry.example.com"

# 启动带 TLS 的 Registry
docker run -d \
    --name registry \
    -p 443:443 \
    -v registry-data:/var/lib/registry \
    -v $(pwd)/certs:/certs \
    -e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
    -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
    -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
    --restart unless-stopped \
    registry:2

# 客户端信任证书
sudo mkdir -p /etc/docker/certs.d/registry.example.com
sudo cp certs/domain.crt /etc/docker/certs.d/registry.example.com/ca.crt
sudo systemctl restart docker

# 使用
docker login registry.example.com
docker tag nginx:alpine registry.example.com/nginx:alpine
docker push registry.example.com/nginx:alpine

# 1. 下载 Harbor 离线安装包
wget https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-offline-installer-v2.10.0.tgz
tar xzf harbor-offline-installer-v2.10.0.tgz
cd harbor

# 2. 复制并编辑配置文件
cp harbor.yml.tmpl harbor.yml

# harbor.yml

# 访问地址
hostname: harbor.example.com

# HTTP 配置
http:
  port: 80

# HTTPS 配置（推荐）
https:
  port: 443
  certificate: /data/cert/server.crt
  private_key: /data/cert/server.key

# 管理员初始密码
harbor_admin_password: Harbor12345

# 数据库配置
database:
  password: root123
  max_idle_conns: 100
  max_open_conns: 900

# 数据存储路径
data_volume: /data/harbor

# Trivy 安全扫描
trivy:
  ignore_unfixed: false
  skip_update: false
  insecure: false

# 日志配置
log:
  level: info
  local:
    rotate_count: 50
    rotate_size: 200M
    location: /var/log/harbor

# 运行安装脚本（包含 Trivy 扫描器和 Chart 仓库）
sudo ./install.sh --with-trivy --with-chartmuseum

# 验证服务状态
docker compose ps

# 预期输出:
# NAME                COMMAND                  SERVICE             STATUS
# harbor-core         "/harbor/entrypoint.…"   core                running
# harbor-db           "/docker-entrypoint.…"   postgresql          running
# harbor-jobservice   "/harbor/entrypoint.…"   jobservice          running
# harbor-log          "/bin/sh -c /usr/loc…"   log                 running
# harbor-portal       "nginx -g 'daemon of…"   portal              running
# nginx               "nginx -g 'daemon of…"   proxy               running
# redis               "redis-server /etc/r…"   redis               running
# registry            "/home/harbor/entryp…"   registry            running
# registryctl         "/home/harbor/start.…"   registryctl         running
# trivy-adapter       "/home/scanner/entry…"   trivy-adapter       running

1. 访问管理界面: https://harbor.example.com
2. 用户名: admin
3. 密码: Harbor12345（首次登录后修改）

常用操作:
  ├── 项目管理: 创建项目（如 library, production）
  ├── 用户管理: 创建用户，分配项目权限
  ├── 镜像管理: 查看、删除、复制镜像
  ├── 安全扫描: 查看镜像漏洞报告
  ├── 配置管理: 系统配置、复制规则
  └── 日志审计: 查看操作日志

# 1. 登录 Harbor
docker login harbor.example.com

# 2. 标记镜像
docker tag my-app:v1.0 harbor.example.com/library/my-app:v1.0

# 3. 推送
docker push harbor.example.com/library/my-app:v1.0

# 4. 拉取
docker pull harbor.example.com/library/my-app:v1.0

镜像复制场景:
  ┌────── Harbor A ──────┐    ┌────── Harbor B ──────┐
  │   开发环境仓库         │    │   生产环境仓库         │
  │                       │───>│                       │
  │  推送镜像 → 自动同步   │    │  拉取镜像（只读）      │
  └───────────────────────┘    └───────────────────────┘

配置步骤:
  1. Harbor B → 系统管理 → 仓库管理 → 新建目标
     - 目标 URL: https://harbor.example.com
     - 认证信息: 用户名/密码

  2. Harbor B → 系统管理 → 复制管理 → 新建规则
     - 名称: sync-from-dev
     - 源项目: library
     - 目标仓库: Harbor A
     - 触发模式: 事件驱动 / 定时
     - 过滤: 镜像名 * , 标签 v*

# 安装 cosign
# https://github.com/sigstore/cosign
go install github.com/sigstore/cosign/v2/cmd/cosign@latest

# 生成密钥对
cosign generate-key-pair

# 签名镜像
cosign sign --key cosign.key harbor.example.com/library/my-app:v1.0

# 验证签名
cosign verify --key cosign.pub harbor.example.com/library/my-app:v1.0

1. 项目 → 配置 → 漏洞扫描策略
   - 自动扫描: 推送时自动扫描

2. 项目 → 配置 → 内容信任
   - 启用内容信任: 仅允许签名镜像

# 列出仓库中的所有镜像
curl -s https://harbor.example.com/v2/_catalog | jq .

# 列出镜像的所有标签
curl -s https://harbor.example.com/v2/library/nginx/tags/list | jq .

# 获取镜像 manifest
curl -s -H "Accept: application/vnd.docker.distribution.manifest.v2+json" \
    https://harbor.example.com/v2/library/nginx/manifests/latest | jq .

# 删除镜像
# 需要先获取 digest
DIGEST=$(curl -s -I \
    -H "Accept: application/vnd.docker.distribution.manifest.v2+json" \
    https://harbor.example.com/v2/library/nginx/manifests/latest \
    | grep Docker-Content-Digest | awk '{print $2}' | tr -d '\r')

curl -X DELETE \
    "https://harbor.example.com/v2/library/nginx/manifests/$DIGEST"

# Harbor 管理界面:
# 系统管理 → 垃圾回收 → 立即运行

# 手动触发 Harbor 垃圾回收
docker exec -it harbor-core harbor gc

# 基础 Registry 的垃圾回收
docker exec -it registry bin/registry garbage-collect /etc/docker/registry/config.yml

# 登录 Docker Hub
docker login

# 使用 Access Token（推荐，不用密码）
# Docker Hub → Account Settings → Security → New Access Token
docker login -u <username> --password-stdin <<< "<access-token>"

# 推送到 Docker Hub
docker tag my-app:v1.0 my-dockerhub-user/my-app:v1.0
docker push my-dockerhub-user/my-app:v1.0

# 配置私有仓库镜像
# /etc/docker/daemon.json
{
  "registry-mirrors": ["https://docker.1ms.run"]
}