harbor使用免费证书配置https

系统管理员 2023-07-15 09:19 19阅读 0赞

其实一开始我是使用的自认证的CA证书，但是在后来的使用中发现了几个问题

1. push或pull都需要配置证书才能操作（如果有很多客户端使用的话是很麻烦的事）

2. 手动配置CA会比较复杂

3. 不适合正式环境使用

综合以上问题决定去申请个免费证书，现在有好多云厂商支持免费证书申请，我这里给大家罗列下，我用的是阿里云的免费证书

1. [阿里云][Link 1]

2. [腾讯云][Link 2]

3. [百度云][Link 3]

4. [华为云][Link 4]

其实提供免费证书的厂商还有很多，但我感觉这些就够啦

## 一、申请阿里云免费证书 ##

### **准备事项：** ###

1. 一个域名并解析到harbor服务器

2. 一个阿里云账号（支付宝号就可以）

### **申请证书：** ###

**1. 登录到阿里云，搜索框搜索ssl，选择SSL证书**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70][]

**2.点击购买证书，选择个人免费版本，点击立即购买-付款**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 1][]

**3. 购买以后来到控制台，开始申请证书**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 4][]

**注意：**

a. 如果域名是阿里云的可以选择自动DNS验证

b. 如果不是阿里云的域名且自己有配置域名的权限，可以选择手工DNS验证（按照提示配置dns的txt记录即可）

c. 如果既不是阿里的域名也没有配置的权限，那就只能选择文件验证（这个需要按照提示放一个文件到服务器的web根目录）

d. CSR生成方式选择系统生成即可

**4. 选择文件验证，点击fileauth.txt下载文件，解压后里面有个fileauth.txt文件，不要打开**

我在这里将重点介绍如何在harbor服务器配置文件验证（自己研究了好久）

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 5][]

**如何配置文件验证？**

1. 获取nginx容器id

docker ps -a |grep  portal |awk '{print $1}'   
    #注意：harbor-portal这个容器才是提供nginx服务器的容器

2. 获取harbor-portal容器的挂载卷信息

docker inspect 容器id  |grep -i mounts  -A 30
    #输出如下
    #Source就是映射到服务器的目录，我们将通过这些写目录上传文件到容器里
    "Mounts": [
       {
           "Type": "volume",
           "Name": "fabb81ac450f70bc135e68b5a2527b8f94cc800662c74326ec5fdd19f26d947e",
           "Source": "/data/docker/volumes/fabb81ac450f70bc135e68b5a2527b8f94cc800662c74326ec5fdd19f26d947e/_data",
           "Destination": "/run",
           "Driver": "local", 
           "Mode": "",
           "RW": true,
           "Propagation": ""
       },
       {
           "Type": "volume",
           "Name": "1207b57f20aed97cd1b9f3c27a741b324df4102b1aaa06e2457fcfb8a83cffe0",
           "Source": "/data/docker/volumes/1207b57f20aed97cd1b9f3c27a741b324df4102b1aaa06e2457fcfb8a83cffe0/_data",
           "Destination": "/var/cache/nginx",
           "Driver": "local", 
           "Mode": "",
           "RW": true,
           "Propagation": ""
       },
       {
           "Type": "volume",
           "Name": "16c51319e96c92b695bfdd085b549505925d2b47ffb38811d9aa519ca995a557",
           "Source": "/data/docker/volumes/16c51319e96c92b695bfdd085b549505925d2b47ffb38811d9aa519ca995a557/_data",
           "Destination": "/var/log/nginx",
           "Driver": "local", 
           "Mode": "",
           "RW": true,
           "Propagation": ""
       }

3. 上传fileauth.txt文件到harbor-portal容器的/usr/share/nginx/html目录下

#把解压后的fileauth.txt文件上传到服务器的挂载目录下
    例如使用/data/docker/volumes/16c51319e96c92b695bfdd085b549505925d2b47ffb38811d9aa519ca995a557/_data目录
    
    #注意要使用root用户登录，要不然没操作权限
    docker exec -it -u root 容器id bash
    #创建所需目录
    cd /usr/share/nginx/html/ && mkdir -p .well-known/pki-validation
    cp /var/log/nginx/fileauth.txt /usr/share/nginx/html/.well-known/pki-validation/

4. 上传好以后点击验证，提交审核（审核时间大约10分钟左右）

## 二、配置https访问 ##

### 1. 下载证书 ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 6][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 7][]

### 2. 配置harbor ###

下载到本地，然后上传到服务器，解压后会有xxxxxx.pem和xxxxxxx.key两个文件

把文件放到/data/cert/目录下（默认证书存放目录，没有此目录的话需要手动创建）

**1. 修改harbor.yml文件**

vim harbor.yml
    #以下是我截取的配置片段
    
    # Configuration file of Harbor
    
    # The IP address or hostname to access admin UI and registry service.
    # DO NOT use localhost or 127.0.0.1, because Harbor needs to be accessed by external clients.
    #hostname: reg.mydomain.com
    hostname: harbor.xxxxxxx.com
    
    customize_crt: false
    # http related config
    http:
      # port for http, default is 80. If https enabled, this port will redirect to https port
      port: 80
    
    # https related config
    https:
      # https port for harbor, default is 443
      port: 443
      # The path of cert and key files for nginx
      certificate: /data/cert/harbor.xxxxxxxx.com.pem
      private_key: /data/cert/harbor.xxxxxxxx.com.key
    
    # Uncomment external_url if you want to enable external proxy

certificate: /data/cert/harbor.xxxxxxxx.com.pem  
  private\_key: /data/cert/harbor.xxxxxxxx.com.key

注意：pem格式不需要转为crt格式，要不然nginx会起不来

**2. 启动harbor**

bash install.sh

等容器启动后ss -ntl查看443端口是否打开，如果打开的话到浏览器访问下

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 8][]

如图，即配置完成

**3. 到此结束**

如果有什么不清楚，欢迎留言

[Link 1]: https://www.aliyun.com/minisite/goods?userCode=tdon76dn
[Link 2]: https://buy.cloud.tencent.com/ssl
[Link 3]: https://cloud.baidu.com/product/ssl.html
[Link 4]: https://www.huaweicloud.com/product/scm.html
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70]: /images/20230528/f7e056b1f39e4bdfa505a03c923bc25c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 1]: /images/20230528/72526720a3524f76ac13e43bc137184c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 2]: /images/20230528/fe637eca1eb4476eb15a7577dc00355c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 3]: /images/20230528/e3c4d20a835f423797bec27625b1a9b6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 4]: /images/20230528/80fc9e33f0c34b61899667469f48189a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 5]: /images/20230528/50705dcf167e46b89a9b59e05915f603.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 6]: /images/20230528/1b9b839787ca46ffb53d44a972499352.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 7]: /images/20230528/89f3ce302102423098d5b7c5eed6e945.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDIwODA0Mg_size_16_color_FFFFFF_t_70 8]: /images/20230528/e9a8272ef4ab40b9be6fc612de00cd6a.png