背景与安全需求

在容器化部署环境中，私有镜像仓库承担着镜像存储与分发的核心职责。默认情况下，Docker与仓库通信采用HTTP明文协议，这在跨网络传输时存在被窃听或篡改的风险。为了保障镜像数据完整性及访问凭证安全，为私有仓库启用HTTPS加密访问是必要的运维加固措施。

前置准备

配置HTTPS需要具备以下条件：

• 已部署镜像仓库服务（如Harbor、Docker Registry）
• 拥有域名或可解析的主机名（如registry.example.com）
• 获取有效的SSL/TLS证书（可使用Let's Encrypt、企业内部CA或自签名证书）

生产环境推荐使用受信任CA签发的证书，若使用自签名证书，需在客户端配置相应信任。

配置步骤（以Docker Registry为例）

1. 创建证书目录并存放证书文件

mkdir -p /opt/registry/certs
cp yourdomain.crt yourdomain.key /opt/registry/certs/

2. 启动带HTTPS配置的Registry容器

docker run -d \
  --name registry \
  -p 5000:5000 \
  -v /opt/registry/data:/var/lib/registry \
  -v /opt/registry/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/yourdomain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/yourdomain.key \
  --restart=always \
  registry:2

通过环境变量指定TLS证书与私钥路径，Registry服务自动切换为HTTPS监听。

3. 客户端配置信任（适用于自签名证书）

若使用自签名证书，需要在每个Docker客户端的/etc/docker/certs.d/目录下创建以仓库域名和端口命名的子目录，并放入CA证书：

mkdir -p /etc/docker/certs.d/registry.example.com:5000
cp ca.crt /etc/docker/certs.d/registry.example.com:5000/ca.crt

随后重启Docker服务：systemctl restart docker。对于受信任CA签发的证书则无需此操作。

4. 验证HTTPS访问

登录并推拉镜像进行验证：

docker login registry.example.com:5000
docker pull registry.example.com:5000/nginx
docker push registry.example.com:5000/nginx

可通过curl检查证书是否有效：

curl -v https://registry.example.com:5000/v2/

正常响应返回200 OK且证书链完整。

Harbor仓库的HTTPS配置

Harbor提供更完善的HTTPS支持，修改harbor.yml配置文件：

• 在hostname项设置为仓库域名
• 取消https段落注释，指定port: 443
• 配置certificate和private_key路径

执行./install.sh后，Harbor会自动以HTTPS模式运行。同时Harbor支持配置受信任的客户端CA实现双向认证，进一步增强安全性。

运维注意事项

证书自动续期

如果使用Let's Encrypt证书，建议部署certbot或acme.sh的自动续期任务。续期后需要重新加载或启动容器使新证书生效，可以结合脚本自动完成。

防火墙与安全组

确保客户端可访问仓库的HTTPS端口（默认443或自定义端口），但不要暴露其他非必要端口。建议通过TLS版本和密码套件限制进一步增强安全性（如TLSv1.2及以上）。

访问控制

HTTPS解决了传输加密问题，但访问认证仍需单独配置。Registry基础版可通过htpasswd实现简单认证，Harbor则提供基于角色的访问控制（RBAC），企业环境建议使用Harbor并结合LDAP/OIDC对接统一身份系统。

总结

为容器私有仓库启用HTTPS是保障生产环境镜像安全的基础步骤。通过合理选择证书类型、正确配置TLS参数及做好证书生命周期管理，可以有效降低镜像被劫持和中间人攻击的风险。在运维过程中，应结合访问认证与审计策略，多层防护，构建安全可靠的镜像交付链路。