kubernetes使用私有仓库harbor创建Pod

Mac上安装harbor

推送镜像到私有harbor仓库

上述两篇日记为本次练习的前置条件。

环境信息如下:

harbor版本是 v2.10.2

kubernetes版本是v1.28.0

containerd版本是 1.6.22

一、创建Robot Account并赋予权限

登录到Harbor的Web界面。

导航到项目(Project)页面。

选择你希望Kubernetes拉取镜像的项目。

在左侧菜单中选择"Robot Accounts"。

点击"New Robot Account"按钮。

填写机器人账户的名称和描述。

在权限(Permissions)部分,选择以下选项:

资源类型(Resource Type): Repository

操作(Actions): Pull

点击创建(Create)按钮。

创建后会生成一个用户名和密码(Token)。请记住这些凭证,因为稍后配置Kubernetes时需要使用。

一顿操作猛如虎,最后要拿到这么个结果:

二、Containerd拉取私有harbor仓库配置步骤

1、更新 Kubernetes 节点信任存储

将harbor的 server.crt 复制到每个 Kubernetes 节点,并更新 CA 证书:

sudo cp server.crt /usr/local/share/ca-certificates/server.crt
sudo update-ca-certificates

2、配置 containerd 以信任私有仓库的证书

可以在 containerd 的配置文件中添加认证信息,这样 containerd 就能使用这些信息来访问需要身份验证的 Harbor 仓库。编辑 containerd 配置文件,通常是 /etc/containerd/config.toml。

[plugins."io.containerd.grpc.v1.cri".registry.configs]
        [plugins."io.containerd.grpc.v1.cri".registry.configs."harbor.igmwx.com".tls]
          ca_file = "/usr/local/share/ca-certificates/server.crt"
        [plugins."io.containerd.grpc.v1.cri".registry.configs."harbor.igmwx.com".auth]
          username = "robot$robot"
          password = "jKEFMpgr72JofnBKAdYimdnegHyIV5RI"

      [plugins."io.containerd.grpc.v1.cri".registry.mirrors]
         [plugins."io.containerd.grpc.v1.cri".registry.mirrors."harbor.igmwx.com"]
           endpoint = ["https://harbor.igmwx.com", "http://harbor.igmwx.com"]

3、重启containerd

sudo systemctl restart containerd

4、测试拉取镜像

尝试拉取镜像以验证配置是否正确。

sudo ctr images pull harbor.igmwx.com/zhangzk/tomcat-8.5.100-centos7.9:1.0

出现如下信息就表示OK啦:

二、Kubernetes Secret 认证配置步骤

在 Kubernetes 环境中,通过使用 Secret 来管理私有仓库的认证信息,可以避免在 containerd 的 config.toml 文件中配置 username 和 password。然而,为了确保 containerd 信任私有仓库的证书,仍然需要在 config.toml 文件中配置证书路径。通过这种方式,可以确保 Kubernetes 在拉取私有仓库的镜像时既安全又高效。

1、创建 Docker Registry Secret

使用 kubectl create secret docker-registry 命令来创建包含私有仓库认证信息的 Secret:

kubectl create secret docker-registry docker-registry-creds  \
--docker-server="harbor.igmwx.com"  \
--docker-email=182833333@126.com  \
--docker-username='robot$robot'  \
--docker-password='jKEFMpgr72JofnBKAdYimdnegHyIV5RI'

其中:

  • docker-registry-creds是本次创建的Secret的名称。
  • harbor.igmwx.com 是Harbor服务器的URL。
  • robotrobot 是生成的机器人账户名称(例如:robotaccount_name)。
  • jKEFMpgr72JofnBKAdYimdnegHyIV5RI 是生成的机器人账户密码(Token)。
  • 182833333@126.com 可以是任意有效的电子邮件地址。

2、在 Pod 或 Deployment 中引用该 Secret

在 Kubernetes 部署文件中,使用 imagePullSecrets 字段来引用刚才创建的 Secret(docker-registry-creds):

apiVersion: v1
kind: Pod
metadata:
  name: tomcat
  labels:
    app: tomcat
spec:
  containers:
 - name: tomcat
   image: harbor.igmwx.com/zhangzk/tomcat-8.5.100-centos7.9:1.0
   ports:
   - containerPort: 80
  imagePullSecrets:
   - name: docker-registry-creds
相关推荐
2301_806131366 小时前
Kubernetes的基本构建块和最小可调度单元pod-0
云原生·容器·kubernetes
SilentCodeY7 小时前
containerd配置私有仓库registry
容器·kubernetes·containerd·镜像·crictl
binqian13 小时前
【k8s】ClusterIP能http访问,但是不能ping 的原因
http·容器·kubernetes
探索云原生14 小时前
GPU 环境搭建指南:如何在裸机、Docker、K8s 等环境中使用 GPU
ai·云原生·kubernetes·go·gpu
是垚不是土17 小时前
Istio流量镜像测试
运维·kubernetes·云计算·istio
蚊子不吸吸19 小时前
DevOps开发运维简述
linux·运维·ci/cd·oracle·kubernetes·gitlab·devops
林小果11 天前
K8S搭建
云原生·容器·kubernetes
码财小子1 天前
k8s 集群中 Golang pprof 工具的使用
后端·kubernetes·go
行者Sun19891 天前
【K8s】专题十五(1):Kubernetes 网络之概念总览
网络·云原生·容器·kubernetes
=(^.^)=哈哈哈1 天前
Kubernetes(K8s)相关漏洞介绍
云原生·容器·kubernetes·云原生安全