Vertrauenswürdige Cloud-native Registry Harbor

Beim Betreiben von Containern in Produktionsumgebungen besteht unter anderem der Bedarf, die erzeugten Images in einer Container-Registry vorzuhalten. Dabei ist sicherzustellen, dass nicht ungewollt fremde Container aus unbekannten Quellen oder manipulierte Images mit Malware den Weg in die Produktion schaffen. Darüber hinaus sollte man keine Container (weiter-)betreiben, deren Images bekannte Verwundbarkeiten enthalten. Das unter der Ägide von VMware entstandene, mittlerweile unter die Fittiche der Cloud-Native Computing Foundation (CNCF) geschlüpfte Open-Source-Projekt Harbor verspricht hierfür Unterstützung. Es entwickelt eine freie Cloud-native Container-Registry, die Vulnerability Scans und Content Trust bietet und sich bei Bedarf im eigenen Rechenzentrum betreiben lässt.

Um zu klären, ob sich der Aufwand für den Betrieb einer eigenen Container-­Registry lohnt, muss ein Unternehmen prinzipiell vier Aspekte betrachten: Compliance, Kosten, Geschwindigkeit und Integration. Oft erfordern es die Sicherheitsrichtlinien, dass der Code vor Ort bleibt – sei es zum Schutz geistigen Eigentums oder um den Kundenanforderungen und Branchenbestimmungen zu entsprechen. Für Teams, die viele jeweils relativ kleine Container-Images verwalten, kann der Betrieb einer eigenen Registry kostengünstiger sein als die Nutzung von Docker Hub oder Quay.io, die auf Basis der benötigten privaten Repositories abrechnen. Bei intensiver Nutzung und häufigen Aktualisierungen der Container bringt die lokale Verfügbarkeit von Images (zu­mindest als Mirror, etwa in derselben Cloud-Region wie die Docker-Hosts) Geschwindigkeitsvorteile und Redundanz beim Ausfall externer Dienste. Letztlich ist aber bei vielen kommerziellen Registries eine LDAP/AD-Integration oder die Anbindung an einen eignen OpenID-Provider (OIDC) entweder nicht möglich oder erzwingt den Wechsel auf „große“ Komplettlösungen wie Docker EE, die wiederum für kleine bis mittelgroße Teams möglicherweise zu komplex und zu teuer sind.

Enterprise-Einsatz im Fokus

Als Registry der Enterprise-Klasse enthält Harbor einen Schwachstellenscanner, der auf in den Container-Images enthaltene CVEs (Common Vulnerabilities and Exposures) aufmerksam macht. Es nutzt dafür das von CoreOS bereitgestellte Open-Source-Projekt Clair [1]. Der Vorteil: Durch den lokalen Einsatz eines Scanners müssen keine Metadaten von Container-­Images an einen Drittanbieter übertragen werden.

Harbor selbst besteht aus mehreren Docker-Containern, die sich auf jeder Linux-Distribution einsetzen lassen, vorausgesetzt, Docker und Docker Compose sind installiert. Bei der Hardware setzt Harbor mindestens zwei CPUs, 4 GByte RAM und 40 GByte Massenspeicher voraus. Zum Einspielen gibt es zwei Varianten: einen sehr kleinen Online-Installer, der die Images von Docker Hub herunterlädt, und eine Offlineversion. Die bringt zwar alle Images mit, ist dadurch aber größer und benötigt keine Internetverbindung. Details zum Installieren und ersten Einrichten liefert der Kasten „Harbor-Installation und -Konfiguration“. Über das ­Docker-GUI Portainer kann man sich nach dem Einspielen den kompletten Stack ansehen und so überprüfen, ob alles funk­tioniert hat.

Damit die Kommunikation mit dem ­Docker Daemon nicht auf insecure umgestellt werden muss, sollte man Zertifikate erzeugen und hinterlegen. Die Onlinedokumentation liefert eine sehr gute und kompakte Anleitung dazu (siehe ix.de/zy3c).