pozylon/docker-registry-web

docker-registry-web

为私有Docker Registry v2提供Web UI、认证服务和事件记录的工具。

镜像概述和主要用途

docker-registry-web是一个针对Docker Registry v2的Web管理工具，提供可视化界面用于浏览仓库、标签和镜像，同时支持基于令牌的认证机制和事件记录审计功能，适用于私有Docker镜像仓库的管理和维护。

核心功能和特性

• 浏览Docker Registry v2中的仓库、标签和镜像
• 可选的基于令牌的认证服务，支持基于角色的权限控制
• Docker Registry通知记录和审计功能

注意事项

https://github.com/mkuchin/docker-registry-web/blob/master/web-app/WEB-INF/config.yml%E4%B8%8E0.1.0%E4%B9%8B%E5%89%8D%E7%89%88%E6%9C%AC%E7%9A%84%E9%85%8D%E7%BD%AE%E4%B8%8D%E5%85%BC%E5%AE%B9
https://github.com/mkuchin/docker-registry-web/wiki/Migrating-configuration

使用场景和适用范围

• 私有Docker Registry的可视化管理
• 需要对Docker镜像访问进行权限控制的场景
• 需审计Docker Registry操作事件的环境
• 团队内部Docker镜像仓库的日常维护

使用方法和配置说明

Docker拉取命令

bash
docker pull hyper/docker-registry-web

运行方式

快速启动（环境变量配置，无认证）

不要使用registry作为Registry容器名称，这会导致REGISTRY_NAME环境变量失效。

bash
docker run -d -p 5000:5000 --name registry-srv registry:2
docker run -it -p 8080:8080 --name registry-web --link registry-srv -e REGISTRY_URL=http://registry-srv:5000/v2 -e REGISTRY_NAME=localhost:5000 hyper/docker-registry-web

连接带基本认证和自签名证书的Docker Registry

bash
docker run -it -p 8080:8080 --name registry-web --link registry-srv \
           -e REGISTRY_URL=https://registry-srv:5000/v2 \
           -e REGISTRY_TRUST_ANY_SSL=true \
           -e REGISTRY_BASIC_AUTH="YWRtaW46Y2hhbmdlbWU=" \
           -e REGISTRY_NAME=localhost:5000 hyper/docker-registry-web

无认证，使用配置文件

1. 创建配置文件config.yml

   （配置文件中的任何属性都可通过环境变量覆盖，例如属性registry.auth.enabled对应环境变量REGISTRY_AUTH_ENABLED）

   yaml
   registry:
     # Docker registry URL
     url: http://registry-srv:5000/v2
     # Docker registry FQDN
     name: localhost:5000
     # 允许删除镜像时应设为false
     readonly: false
     auth:
       # 禁用认证
       enabled: false
   

2. 运行Docker容器

   bash
   docker run -p 5000:5000 --name registry-srv -d registry:2
   docker run -it -p 8080:8080 --name registry-web --link registry-srv -v $(pwd)/config.yml:/conf/config.yml:ro hyper/docker-registry-web
   

3. Web UI可通过http://localhost:8080访问

启用认证

令牌认证需要PEM格式的RSA私钥和与之匹配的证书

1. 生成私钥和证书

   bash
   mkdir conf
   openssl req -new -newkey rsa:4096 -days 365 -subj "/CN=localhost" \
           -nodes -x509 -keyout conf/auth.key -out conf/auth.cert
   

2. 创建Registry配置文件conf/registry-srv.yml

   yaml
   version: 0.1    
   
   storage:
     filesystem:
       rootdirectory: /var/lib/registry
       
   http:
     addr: 0.0.0.0:5000   
       
   auth:
     token:
       # docker-web认证端点的外部URL
       realm: http://localhost:8080/api/auth
       # 应与registry-web的registry.name相同
       service: localhost:5000
       # 应与registry-web的registry.auth.issuer相同
       issuer: 'my issuer'
       # 认证证书路径
       rootcertbundle: /etc/docker/registry/auth.cert
   

3. 启动Docker Registry

   bash
   docker run -v $(pwd)/conf/registry-srv.yml:/etc/docker/registry/config.yml:ro \
               -v $(pwd)/conf/auth.cert:/etc/docker/registry/auth.cert:ro -p 5000:5000  --name registry-srv -d registry:2    
   

4. 创建配置文件conf/registry-web.yml

   yaml
   registry:
     # Docker registry URL
     url: http://registry-srv:5000/v2
     # Docker registry FQDN
     name: localhost:5000
     # 允许删除镜像时应设为false
     readonly: false
     auth:
       # 启用认证
       enabled: true
       # 令牌颁发者
       # 应与Docker Registry的auth.token.issuer相同
       issuer: 'my issuer'
       # 用于令牌签名的私钥
       # auth.token.rootcertbundle使用的证书应由该密钥签名
       key: /conf/auth.key
   

5. 启动registry-web

   bash
   docker run -v $(pwd)/conf/registry-web.yml:/conf/config.yml:ro \
              -v $(pwd)/conf/auth.key:/conf/auth.key -v $(pwd)/db:/data \
              -it -p 8080:8080 --link registry-srv --name registry-web hyper/docker-registry-web
   

6. Web UI可通过http://localhost:8080访问，默认管理员用户/密码为admin/admin。

角色系统

首次启动后将包含以下角色：

• UI_ADMIN
• UI_USER
• UI_DELETE
• read-all
• write-all

无法删除或修改UI_ADMIN和UI_USER角色，它们是特殊角色，分别允许管理员或用户访问UI。用户访问权限允许浏览仓库，管理员访问权限除用户权限外，还允许创建、删除和修改用户及角色。

UI_DELETE角色允许基于ACL在UI中删除镜像。

每个非特殊角色都有ACL列表，每个ACL根据IP和镜像名称的https://github.com/mkuchin/docker-registry-web/wiki/Glob-matching%E6%8E%88%E4%BA%88%60pull%60%E3%80%81%60pull+push%60%E6%88%96%60pull+push+delete%60%E6%9D%83%E9%99%90%E3%80%82%E4%BE%8B%E5%A6%82**read-all**%E8%A7%92%E8%89%B2%E4%BD%BF%E7%94%A8glob *匹配任何IP和任何镜像名称，并授予pull权限；write-all角色授予任何IP和任何镜像名称的pull+push权限。

配置参考

https://github.com/mkuchin/docker-registry-web/blob/master/web-app/WEB-INF/config.yml

Docker Compose配置示例

https://github.com/mkuchin/docker-registry-web/tree/master/examples