一、實現原理
Docker Registry 是基于 無狀態服務架構 的鏡像存儲與分發系統，其核心設計包含以下關鍵點：
-
存儲驅動抽象層
Registry 通過storagedriver.StorageDriver接口實現存儲解耦，支持多種后端存儲：- 本地存儲：默認使用 POSIX 文件系統（如
/var/lib/registry），適合開發或小型部署。 - 云存儲：集成 S3、Azure Blob、Google GCS、Aliyun OSS 等對象存儲服務，滿足分布式場景需求。
- 自定義存儲：通過實現 Go 接口可接入私有存儲系統（如 Ceph、MinIO）。
- 本地存儲：默認使用 POSIX 文件系統（如
-
鏡像分層與元數據管理
- 鏡像結構：采用 OCI 標準，由 Manifest（元數據）和 Blob（實際數據層）組成，支持多版本標簽（Tag）。
- 并發傳輸：Pull/Push 操作時，先獲取 Manifest，再并行拉取各層 Blob，提升效率。
- 校驗機制：使用 SHA256 算法對每層數據進行完整性校驗。
-
API 與認證授權
- RESTful API：提供鏡像上傳（
/v2/<name>/blobs/）、下載（/v2/<name>/manifests/<reference>）等接口。 - 鑒權模式：
- 基礎認證：通過
htpasswd文件實現用戶名/密碼驗證。 - Token 認證：集成 OAuth2 或 JWT，支持第三方鑒權服務（如 Keycloak）。
- TLS 加密：強制 HTTPS 通信，防止中間人攻擊。
- 基礎認證：通過
- RESTful API：提供鏡像上傳（
-
垃圾回收（GC）
Registry 默認不自動刪除未引用的 Blob，需手動觸發 GC 命令清理孤立數據，釋放磁盤空間。
二、適用場景
-
私有鏡像管理
- 企業內網部署：避免敏感鏡像泄露，控制訪問權限（如 Harbor 提供 RBAC 權限模型）。
- 合規性要求：滿足金融、醫療等行業對數據隱私的法規約束。
-
性能優化
- 鏡像加速：在內網搭建 Registry，減少從 Docker Hub 拉取鏡像的帶寬消耗（如國內訪問 Docker Hub 速度較慢時）。
- 離線環境：在無外網環境中通過私有 Registry 分發鏡像。
-
CI/CD 集成
- 自動化構建與部署：與 Jenkins、GitLab CI 等工具聯動，實現鏡像的自動構建、測試和推送。
- 鏡像版本控制：通過 Tag 管理不同版本的鏡像，支持回滾操作。
-
多環境隔離
- 開發/測試/生產環境分離：為不同環境配置獨立的 Registry，避免鏡像混淆。
三、常用操作
-
基礎命令
# 登錄 Registry（需提前配置認證） docker login <registry-url> -u <username> -p <password># 拉取鏡像 docker pull <registry-url>/<namespace>/<image>:<tag># 推送鏡像 docker tag <local-image> <registry-url>/<namespace>/<image>:<tag> docker push <registry-url>/<namespace>/<image>:<tag># 搜索鏡像（需 Registry 支持 Catalog API） curl -X GET http://<registry-url>/v2/_catalog -
高級管理
- 刪除鏡像：
- 通過 API 刪除 Manifest（需啟用刪除功能）。
- 手動觸發 GC 清理未引用的 Blob：
docker exec <registry-container> registry garbage-collect /etc/registry/config.yml
- 鏡像復制：使用
skopeo或reg工具跨 Registry 同步鏡像。
- 刪除鏡像：
-
監控與日志
- 訪問日志：通過
docker logs <registry-container>查看操作記錄。 - Prometheus 監控：集成 Prometheus 暴露指標（如請求數、存儲使用量）。
- 訪問日志：通過
四、搭建詳細步驟
方案 1：使用官方 Registry 鏡像（快速部署）
-
拉取鏡像
docker pull registry:2 -
啟動容器
docker run -d \-p 5000:5000 \--restart=always \--name registry \-v /opt/registry-data:/var/lib/registry \registry:2- 參數說明：
-v：持久化存儲鏡像數據至宿主機目錄。
--restart=always：容器異常退出時自動重啟。
- 參數說明：
-
測試訪問
# 標記并推送鏡像 docker tag alpine:latest localhost:5000/my-alpine:v1 docker push localhost:5000/my-alpine:v1# 拉取鏡像 docker pull localhost:5000/my-alpine:v1
方案 2：使用 Harbor（企業級方案）
-
安裝依賴
# 關閉 SELinux（CentOS/RHEL） setenforce 0 sed -i 's/SELINUX=enforcing/SELINUX=permissive/g' /etc/selinux/config# 安裝 Docker 和 Docker Compose yum install -y docker docker-compose systemctl enable --now docker -
下載 Harbor 安裝包
wget https://github.com/goharbor/harbor/releases/download/v2.9.0/harbor-offline-installer-v2.9.0.tgz tar xvf harbor-offline-installer-v2.9.0.tgz cd harbor -
修改配置文件
編輯harbor.yml，配置以下參數：hostname: registry.example.com # 替換為實際域名 http:port: 80 harbor_admin_password: Harbor12345 # 管理員密碼 database:password: root123 data_volume: /data/harbor # 數據存儲路徑 -
安裝并啟動
./install.sh docker-compose up -d -
訪問 Harbor
- 瀏覽器訪問
http://registry.example.com，使用默認賬號admin/Harbor12345登錄。 - 創建項目并推送鏡像：
docker login registry.example.com docker tag alpine:latest registry.example.com/library/alpine:v1 docker push registry.example.com/library/alpine:v1
- 瀏覽器訪問
方案 3：高可用部署（基于 S3 存儲）
-
配置 S3 存儲后端
在 Registry 配置文件（config.yml）中添加：storage:s3:accesskey: your-access-keysecretkey: your-secret-keyregion: us-west-1bucket: your-bucket-nameencrypt: truesecure: true -
部署多節點 Registry
- 使用負載均衡器（如 Nginx、HAProxy）分發請求至多個 Registry 實例。
- 確保所有實例共享同一 S3 存儲桶，避免數據不一致。
-
配置健康檢查
health:storagedriver:enabled: trueinterval: 10sthreshold: 3
五、注意事項
-
安全性
- 生產環境必須啟用 HTTPS，避免使用自簽名證書（需配置受信任的 CA 證書）。
- 定期更新 Registry 鏡像以修復安全漏洞。
-
存儲規劃
- 根據鏡像數量預估存儲空間，建議使用 LVM 或云盤動態擴容。
- 定期執行 GC 清理無用數據。
-
備份策略
- 備份 Registry 元數據（如
/var/lib/registry/docker/registry/v2/repositories）和存儲數據。 - 測試備份恢復流程，確保災難恢復能力。
- 備份 Registry 元數據（如
-
性能調優
- 調整
max-concurrent-uploads和max-download-attempts參數優化傳輸性能。 - 使用 SSD 或高性能云盤提升 I/O 速度。
- 調整
通過以上方案，可根據實際需求選擇合適的 Docker Registry 部署方式，實現鏡像的高效管理與分發。
02)
![[MRCTF2020]Ez_bypass](http://pic.xiahunao.cn/[MRCTF2020]Ez_bypass)
