1. 项目背景与核心需求

在容器化技术普及的今天，Harbor作为企业级私有镜像仓库解决方案，其重要性不言而喻。但标准Harbor部署往往采用内置数据库和存储，这在生产环境中会面临几个关键问题：

• 数据可靠性风险：内置PostgreSQL和Redis缺乏专业运维保障
• 存储扩展性瓶颈：内置存储难以应对大规模镜像推送场景
• 资源隔离不足：所有组件混部在单一节点，故障域过于集中

这正是我们需要将Harbor的核心依赖（数据库、缓存、存储）外置的原因。而Pigsty作为开源的PostgreSQL发行版，提供了"电池 included"的一站式解决方案。本次部署方案的技术栈选择如下：

提示：选择Pigsty管理PostgreSQL而非直接安装，可省去70%以上的日常运维工作量，其内置的监控系统能实时展示Harbor数据库健康状态。

2. 基础环境准备

2.1 硬件资源配置建议

单机部署虽为测试环境设计，但仍需合理规划资源。根据Harbor官方文档和实际压力测试，建议配置：

# 最低配置（20人以下团队） CPU: 4核 内存: 16GB 磁盘: - 系统盘: 100GB (ext4/xfs) - 数据盘: 500GB (建议xfs，挂载到/var/lib/minio) # 推荐配置（50人团队） CPU: 8核 内存: 32GB 磁盘: - 系统盘: 200GB - 数据盘: 2TB (独立SSD)

特别注意：

1. MinIO对磁盘IO要求较高，务必使用SSD
2. PostgreSQL的pg_wal目录建议放在高性能存储上
3. 提前设置vm.swappiness=1，避免内存交换影响性能

2.2 操作系统调优

在CentOS 7/8或Ubuntu 20.04 LTS上需进行以下优化：

# 内核参数调整 echo "fs.file-max = 1000000" >> /etc/sysctl.conf echo "vm.max_map_count = 262144" >> /etc/sysctl.conf sysctl -p # 资源限制调整 echo "* soft nofile 65536" >> /etc/security/limits.conf echo "* hard nofile 65536" >> /etc/security/limits.conf # 关闭透明大页（对Redis性能关键） echo never > /sys/kernel/mm/transparent_hugepage/enabled

2.3 依赖组件安装

使用Ansible批量安装基础工具链：

# playbook-prepare.yml - hosts: all tasks: - name: Install base packages yum: name: ["epel-release", "git", "docker-ce", "docker-ce-cli", "containerd.io", "jq", "python3-pip"] state: present when: ansible_os_family == "RedHat" - name: Install docker-compose pip: name: docker-compose executable: pip3

3. Pigsty部署PostgreSQL

3.1 Pigsty初始化

# 下载Pigsty源码 git clone https://github.com/Vonng/pigsty && cd pigsty # 配置Inventory文件（关键步骤） cat > inventory/host.ini <<EOF [meta] # 元节点同时运行PostgreSQL localhost ansible_connection=local ansible_user=root [pg] # PostgreSQL服务节点 localhost [monitor] # 监控节点 localhost EOF # 执行安装 ./configure && ./install.yml

安装完成后访问 http://localhost:3000 可查看Grafana监控面板，默认账号密码为admin/pigsty。

3.2 创建Harbor专用数据库

通过Pigsty提供的pg-createuser和pg-createdb脚本快速创建资源：

# 创建专用用户 pg-createuser harbor --password StrongPassword --pgbouncer --replication # 创建数据库 pg-createdb harbor --owner harbor --encoding UTF8 --template template0 # 验证连接 psql postgres://harbor:StrongPassword@localhost:5432/harbor

重要参数说明：

• --pgbouncer：启用连接池，应对Harbor的高并发连接
• --template template0：避免从可能被修改的template1继承配置
• 密码复杂度建议：至少16位，包含大小写字母、数字和特殊符号

4. Redis独立部署

4.1 源码编译安装

虽然可用yum安装，但推荐从源码构建以获得最佳性能：

# 下载Redis 6.2.6（长期支持版本） wget https://download.redis.io/releases/redis-6.2.6.tar.gz tar xzf redis-6.2.6.tar.gz cd redis-6.2.6 # 编译安装 make BUILD_TLS=yes USE_SYSTEMD=yes -j$(nproc) make install PREFIX=/usr/local/redis # 创建系统服务 cat > /etc/systemd/system/redis.service <<EOF [Unit] Description=Redis In-Memory Data Store After=network.target [Service] User=redis Group=redis ExecStart=/usr/local/redis/bin/redis-server /etc/redis/redis.conf ExecStop=/usr/local/redis/bin/redis-cli shutdown Restart=always [Install] WantedBy=multi-user.target EOF

4.2 关键配置优化

编辑/etc/redis/redis.conf：

# 网络绑定 bind 0.0.0.0 protected-mode no # 持久化策略 appendonly yes appendfsync everysec # 内存管理 maxmemory 4GB maxmemory-policy allkeys-lru # 安全设置 requirepass YourRedisPassword123! rename-command FLUSHDB "" rename-command FLUSHALL ""

启动服务前需执行：

useradd -r redis mkdir -p /var/lib/redis /var/log/redis /etc/redis chown -R redis:redis /var/lib/redis /var/log/redis systemctl enable --now redis

5. MinIO集群部署

5.1 单节点伪集群模式

生产环境建议至少4节点，但测试可用单机多驱动器模式：

# 下载MinIO二进制 wget https://dl.min.io/server/minio/release/linux-amd64/minio chmod +x minio mv minio /usr/local/bin/ # 准备存储目录 mkdir -p /data/minio/{1,2,3,4} # 启动服务（前台运行测试） export MINIO_ROOT_USER=admin export MINIO_ROOT_PASSWORD=ChangeThisPassword minio server /data/minio/{1,2,3,4} --console-address ":9001"

5.2 生产级systemd服务

创建/etc/systemd/system/minio.service：

[Unit] Description=MinIO Object Storage After=network.target [Service] User=minio Group=minio Environment="MINIO_ROOT_USER=admin" Environment="MINIO_ROOT_PASSWORD=YourComplexPassword" ExecStart=/usr/local/bin/minio server /data/minio/{1,2,3,4} --console-address ":9001" Restart=always LimitNOFILE=65536 [Install] WantedBy=multi-user.target

初始化步骤：

useradd -r minio chown -R minio:minio /data/minio systemctl enable --now minio

访问 http://localhost:9001 创建名为harbor的bucket，并记录：

• Endpoint: http://localhost:9000
• Access Key: admin
• Secret Key: YourComplexPassword
• Bucket: harbor

6. Harbor Helm Chart定制安装

6.1 添加Harbor仓库

helm repo add harbor https://helm.goharbor.io helm repo update

6.2 定制values.yaml

关键配置示例：

# values-harbor.yaml expose: type: ingress tls: enabled: true certSource: auto auto: commonName: "harbor.yourdomain.com" externalURL: https://harbor.yourdomain.com database: type: external external: host: "localhost" port: "5432" username: "harbor" password: "StrongPassword" coreDatabase: "harbor" notaryDatabase: "harbor_notary" clairDatabase: "harbor_clair" redis: type: external external: addr: "localhost:6379" password: "YourRedisPassword123!" persistence: imageChartStorage: type: s3 s3: region: us-east-1 bucket: harbor accesskey: admin secretkey: YourComplexPassword secure: false endpoint: http://localhost:9000

6.3 安装与验证

# 安装Harbor helm install harbor harbor/harbor -f values-harbor.yaml -n harbor --create-namespace # 检查Pod状态 kubectl get pods -n harbor -w # 获取admin密码 kubectl get secret harbor-core -n harbor -o jsonpath="{.data.HARBOR_ADMIN_PASSWORD}" | base64 -d

访问 https://localhost 使用admin和上述密码登录。首次登录后：

1. 立即修改admin密码
2. 创建新项目（如library）
3. 配置扫描器和复制策略

7. 常见问题排查

7.1 数据库连接失败

错误现象：

ERROR: failed to connect to database: FATAL: password authentication failed for user "harbor"

排查步骤：

1. 验证密码是否包含特殊字符需要URL编码
2. 检查pg_hba.conf是否允许本地密码认证：

   # 在Pigsty管理节点执行 pg edit-hba

3. 确认PostgreSQL日志中的连接尝试：

   tail -f /var/log/postgresql/postgresql-13-main.log

7.2 MinIO访问权限问题

错误现象：

Error: Put "http://localhost:9000/harbor/...": Access Denied

解决方案：

1. 确认MinIO控制台的bucket策略设置为readwrite
2. 检查IAM用户权限：

   mc admin policy list minio

3. 临时开放匿名访问测试是否为权限问题：

   mc anonymous set public minio/harbor

7.3 Redis内存溢出

监控到Redis内存使用超过限制时：

1. 动态调整内存限制：

   redis-cli -a YourRedisPassword123! CONFIG SET maxmemory 8GB

2. 分析内存使用情况：

   redis-cli -a YourRedisPassword123! --bigkeys

3. 优化Harbor配置，减少Redis缓存时间：

   # values-harbor.yaml redis: external: idleTimeout: 300 # 连接空闲超时(秒) cacheExpireHours: 24 # 缓存过期时间

8. 性能调优建议

8.1 PostgreSQL优化

在Pigsty管理节点执行：

# 调整共享缓冲区（根据内存的25%） pg edit-config -e shared_buffers=8GB # 优化工作内存 pg edit-config -e work_mem=16MB # 重启生效 pg restart

8.2 MinIO磁盘调度

对于机械硬盘阵列，需调整电梯算法：

echo deadline > /sys/block/sdb/queue/scheduler echo 1024 > /sys/block/sdb/queue/nr_requests

8.3 Harbor组件资源限制

修改values.yaml增加资源约束：

core: resources: limits: cpu: 2000m memory: 2Gi requests: cpu: 500m memory: 1Gi jobservice: resources: limits: cpu: 1000m memory: 1Gi

实施这些优化后，在同等硬件条件下：

• 镜像推送速度提升30%-50%
• 高并发时的API响应时间降低60%
• 系统稳定性显著增强