写点什么

Harbor 2.0 的飞跃: OCI 兼容的工件仓库

用户头像
亨利笔记
关注
发布于: 2020 年 05 月 17 日
Harbor 2.0的飞跃: OCI 兼容的工件仓库

题图摄于蒙特雷渔人码头:Harbor House


相关文章:

运维 Harbor 镜像仓库的法宝:Operator


开源镜像仓库 Harbor 2.0 正式发布了!从 2017 年 4 月发布 1.1 版本算起,经过整整 3 年,Harbor 的版本号终于 “升” 到 2.x 了。当然了,Harbor 2.0 不仅仅是大版本数字跃升那么简单,还给带来了众多重要更新,涉及代码多项重构,凝聚了项目组艰辛的付出。Harbor 2.0 成为符合 OCI(Open Container Initiatives)规范的开源镜像仓库,能够存储多种云原生工件(Artifacts),例如,容器镜像、Helm Chart、OPA、Singularity 等等。


 关于 OCI 


我们先说说什么是 OCI ,然后看看 Harbor 2.0 的新功能意味着什么。


成立于 2015 年的 OCI 是 Linux 基金会旗下的合作项目,以开放治理的方式制定操作系统虚拟化(特别是 Linux 容器)的开放工业标准。

 

OCI 已经制定了业界的容器运行时(runtime)规范和容器镜像规范,还有一个正在制定的镜像分发(distribution)规范。OCI 的指导思想是先有工业的实践,再总结成技术规范,例如,像 Docker 镜像格式已经广泛被用户接受之后,OCI 在此基础上制定了容器镜像格式的规范。(本文来自公众号:亨利笔记, henglibiji )


总体上说,OCI 提出的两个规范(镜像和运行时)是互相关联的。镜像规范定义镜像的组成,包括文件格式和内容、清单(manifest)、镜像索引(可选)、文件系统的分层和配置文件。然后,OCI 运行时将依据该配置,创建容器来运行程序。换句话说,镜像规范有助于创建可互操作的工具,以构建、传输和准备要运行的镜像,而运行时规范规定了容器的配置,执行环境和生命周期。


OCI 规范有助于使开发者和工件仓库(如 Registry)支持和遵循同一个通用标准。作为开发人员,现在可采用 OCI 标准来开发工件,并且确保工件可以被 Harbor 等 OCI 兼容工件仓库来保存。


在 Harbor 中支持 OCI 兼容镜像意味着支持其 API 集并解释关键信息,包括 OCI 的模式和媒体类型,从而确定哪些内容可以被推送到 Harbor 。例如,工件的 manifest.config.mediaType 属性对于在 Registry 中标明自身类型至关重要,而 layer.mediaType 定义了要存储并持久化的文件层,而无需 Registry 预先拉取并解拆这些文件层。


举个例子,通过 Helm3 可将 Helm Chart 推送到 Harbor。 在 Harbor 2.0 中,Helm Chart 不再存储于 ChartMuseum 中,而是与容器镜像一样存放在工件文件中。在下图中,我们看到了在同一项目中包含的不同工件:容器镜像,Helm Chart 和 CNAB(Cloud Native Application Bundles)。


Harbor 还提供了一项新的重要功能:可以删除镜像的 tag,而无需删除对应的清单(manifest)和所有其他关联的镜像 tag 。还可以查看没有 tag 的镜像,并可选择将其排除在垃圾回收之外。(本文来自公众号:亨利笔记, henglibiji )工件类型无疑会不断演变, 对 Harbor 至关重要的一个原则是不与任何特定容器格式锁定,从而具有足够的灵活性,以便根据社区需求,支持或放弃某种工件类型。


 Aqua Trivy 作为默认漏洞扫描器 


Harbor 2.0 用 Aqua 的 Trivy 代替了 Clair ,成为缺省的镜像漏洞扫描器。Trivy 使容器镜像扫描比之前有了更高的可用性和性能。自从在 Harbor 1.10 中的可插拔扫描框架添加了 Trivy 以来,Trivy 成为 Harbor 的完美补充,项目组收到了很多反馈,并在社区中获得了越来越多的关注,。

 

Trivy 具有广泛的覆盖范围,可扫描不同的操作系统和软件包管理器,并且易于集成到 CI / CD 系统中。Trivy 还会进行深度扫描,可发现 CentOS,Photon OS,Debian 和 Ubuntu 等流行发行版中的漏洞。(本文来自公众号:亨利笔记, henglibiji )


 其他改进 


根据用户的反馈,Harbor 改进了机器人帐户功能(robot account),使其更符合常见的使用模式。Harbor 2.0 允许每个机器人帐户单独设置失效日期,而不再需要系统全局设置。在未来的版本中,机器人帐户将可适用于一个或多个项目,并将为 Kubernetes 部署提供更好的认证凭证处理。Harbor 2.0 的另一个新功能是为核心服务配置 SSL,各内部服务之间使用加密的通信方式。此功能增强了安全度,并降低了中间人攻击的可能性。(本文来自公众号:亨利笔记, henglibiji )


新版本中 webhooks 可以单独触发,并能够发送通知到 Slack 即时通讯软件。有些用户可能不想接收所有 webhook 操作的回调,他们可在项目上配置需要接收的 webhook 动作和回调方法( HTTP 或 Slack )。


(本文改写自徐天行的英文博客:https://goharbor.io/blog/harbor-2.0/ )


Harbor 社区联系方式

双周例会,周三晚 9 点(中英文)

https://github.com/goharbor/community/blob/master/MEETING_SCHEDULE.md

Email 组

harbor_dev @ lists.cncf.io , harbor_users @ lists.cncf.io

微信公众号:HarborChina (官方公众号)

GitHub: Github.com/goharbor


要想了解更多云原生和人工智能等技术原理,请立即长按以下二维码,关注公众号亨利笔记,以免错过更新。


发布于: 2020 年 05 月 17 日阅读数: 98
用户头像

亨利笔记

关注

自由自在 网际穿行 2020.04.25 加入

公众号:亨利笔记。作者是执着计算机技术爱好者。中国首个CNCF开源项目Harbor镜像仓库创始人。联邦学习FATE开源项目TSC成员。《Harbor权威指南》《区块链技术指南》作者之一。关注云原生、人工智能和区块链等领域。

评论

发布
暂无评论
Harbor 2.0的飞跃: OCI 兼容的工件仓库