一、实现原理

Docker Registry 是基于 无状态服务架构 的镜像存储与分发系统，其核心设计包含以下关键点：

存储驱动抽象层
Registry 通过 storagedriver.StorageDriver 接口实现存储解耦，支持多种后端存储：
- 本地存储：默认使用 POSIX 文件系统（如 /var/lib/registry），适合开发或小型部署。
- 云存储：集成 S3、Azure Blob、Google GCS、Aliyun OSS 等对象存储服务，满足分布式场景需求。
- 自定义存储：通过实现 Go 接口可接入私有存储系统（如 Ceph、MinIO）。
镜像分层与元数据管理
- 镜像结构：采用 OCI 标准，由 Manifest（元数据）和 Blob（实际数据层）组成，支持多版本标签（Tag）。
- 并发传输：Pull/Push 操作时，先获取 Manifest，再并行拉取各层 Blob，提升效率。
- 校验机制：使用 SHA256 算法对每层数据进行完整性校验。
API 与认证授权
- RESTful API：提供镜像上传（/v2/<name>/blobs/）、下载（/v2/<name>/manifests/<reference>）等接口。
- 鉴权模式：
  - 基础认证：通过 htpasswd 文件实现用户名/密码验证。
  - Token 认证：集成 OAuth2 或 JWT，支持第三方鉴权服务（如 Keycloak）。
  - TLS 加密：强制 HTTPS 通信，防止中间人攻击。
垃圾回收（GC）
Registry 默认不自动删除未引用的 Blob，需手动触发 GC 命令清理孤立数据，释放磁盘空间。

二、适用场景

私有镜像管理
- 企业内网部署：避免敏感镜像泄露，控制访问权限（如 Harbor 提供 RBAC 权限模型）。
- 合规性要求：满足金融、医疗等行业对数据隐私的法规约束。
性能优化
- 镜像加速：在内网搭建 Registry，减少从 Docker Hub 拉取镜像的带宽消耗（如国内访问 Docker Hub 速度较慢时）。
- 离线环境：在无外网环境中通过私有 Registry 分发镜像。
CI/CD 集成
- 自动化构建与部署：与 Jenkins、GitLab CI 等工具联动，实现镜像的自动构建、测试和推送。
- 镜像版本控制：通过 Tag 管理不同版本的镜像，支持回滚操作。
多环境隔离
- 开发/测试/生产环境分离：为不同环境配置独立的 Registry，避免镜像混淆。

三、常用操作

基础命令

# 登录 Registry（需提前配置认证）
docker login <registry-url> -u <username> -p <password># 拉取镜像
docker pull <registry-url>/<namespace>/<image>:<tag># 推送镜像
docker tag <local-image> <registry-url>/<namespace>/<image>:<tag>
docker push <registry-url>/<namespace>/<image>:<tag># 搜索镜像（需 Registry 支持 Catalog API）
curl -X GET http://<registry-url>/v2/_catalog

高级管理
- 删除镜像：
  1. 通过 API 删除 Manifest（需启用删除功能）。
  2. 手动触发 GC 清理未引用的 Blob：
```
docker exec <registry-container> registry garbage-collect /etc/registry/config.yml
```
- 镜像复制：使用 skopeo 或 reg 工具跨 Registry 同步镜像。
监控与日志
- 访问日志：通过 docker logs <registry-container> 查看操作记录。
- Prometheus 监控：集成 Prometheus 暴露指标（如请求数、存储使用量）。

四、搭建详细步骤

方案 1：使用官方 Registry 镜像（快速部署）

拉取镜像
```
docker pull registry:2
```
启动容器
```
docker run -d \-p 5000:5000 \--restart=always \--name registry \-v /opt/registry-data:/var/lib/registry \registry:2
```
- 参数说明：
  -v：持久化存储镜像数据至宿主机目录。
  --restart=always：容器异常退出时自动重启。

测试访问

# 标记并推送镜像
docker tag alpine:latest localhost:5000/my-alpine:v1
docker push localhost:5000/my-alpine:v1# 拉取镜像
docker pull localhost:5000/my-alpine:v1

方案 2：使用 Harbor（企业级方案）

安装依赖

# 关闭 SELinux（CentOS/RHEL）
setenforce 0
sed -i 's/SELINUX=enforcing/SELINUX=permissive/g' /etc/selinux/config# 安装 Docker 和 Docker Compose
yum install -y docker docker-compose
systemctl enable --now docker

下载 Harbor 安装包

wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-offline-installer-v2.9.0.tgz
tar xvf harbor-offline-installer-v2.9.0.tgz
cd harbor

修改配置文件
编辑 harbor.yml，配置以下参数：

hostname: registry.example.com  # 替换为实际域名
http:port: 80
harbor_admin_password: Harbor12345  # 管理员密码
database:password: root123
data_volume: /data/harbor  # 数据存储路径

安装并启动
```
./install.sh
docker-compose up -d
```

访问 Harbor

浏览器访问 http://registry.example.com，使用默认账号 admin/Harbor12345 登录。

创建项目并推送镜像：

docker login registry.example.com
docker tag alpine:latest registry.example.com/library/alpine:v1
docker push registry.example.com/library/alpine:v1

方案 3：高可用部署（基于 S3 存储）

配置 S3 存储后端
在 Registry 配置文件（config.yml）中添加：

storage:s3:accesskey: your-access-keysecretkey: your-secret-keyregion: us-west-1bucket: your-bucket-nameencrypt: truesecure: true

部署多节点 Registry
- 使用负载均衡器（如 Nginx、HAProxy）分发请求至多个 Registry 实例。
- 确保所有实例共享同一 S3 存储桶，避免数据不一致。

配置健康检查

health:storagedriver:enabled: trueinterval: 10sthreshold: 3

五、注意事项

安全性
- 生产环境必须启用 HTTPS，避免使用自签名证书（需配置受信任的 CA 证书）。
- 定期更新 Registry 镜像以修复安全漏洞。
存储规划
- 根据镜像数量预估存储空间，建议使用 LVM 或云盘动态扩容。
- 定期执行 GC 清理无用数据。
备份策略
- 备份 Registry 元数据（如 /var/lib/registry/docker/registry/v2/repositories）和存储数据。
- 测试备份恢复流程，确保灾难恢复能力。
性能调优
- 调整 max-concurrent-uploads 和 max-download-attempts 参数优化传输性能。
- 使用 SSD 或高性能云盘提升 I/O 速度。