sshipway/portus

镜像概述

Portus是Docker Registry v2.1及以上版本的授权服务器和用户界面，基于sshipway/Portus仓库构建（SUSE/Portus的分支）。它实现了Docker Registry API v2的认证机制，支持Registry 2.1、2.2和2.3版本，提供用户和团队管理、镜像权限控制、Web界面等功能。容器包含初始化脚本，可自动处理数据库初始化、证书创建、Nginx SSL配置等。

核心功能和特性

细粒度权限控制

• 支持用户和团队管理，用户拥有个人Docker命名空间，团队可共享命名空间访问权限
• 实现Docker Registry的基于令牌的认证系统，控制镜像的拉取（pull）和推送（push）权限

Web界面

• 提供Docker镜像的可视化管理界面，基于用户权限显示可访问的镜像
• 支持镜像搜索、标签查看及收藏功能

自托管能力

• 可部署在私有基础设施，完全控制数据和服务，无需依赖第三方服务

其他主要特性

• 与私有Registry同步，自动获取镜像和标签信息
• 支持LDAP用户认证（含StartTLS）
• 活动审计功能，记录Registry和Portus的操作日志
• 支持临时禁用用户账号
• Gravatar头像集成
• SMTP邮件通知配置

使用场景和适用范围

Portus适用于需要搭建私有Docker镜像仓库并进行精细化权限管理的场景，包括：

• 企业内部Docker镜像管理，控制不同团队/用户的镜像访问权限
• 私有Registry的可视化管理，简化镜像查找和版本控制
• 需要集成LDAP等企业认证系统的环境
• 对镜像操作审计和安全有要求的组织

使用方法和配置说明

环境要求

• 依赖MySQL数据库（用于存储用户、权限等数据）
• （可选）Nginx容器用于SSL卸载和反向代理
• （可选）Docker Registry 2.1+实例

环境变量说明

部署示例

简单配置（无SSL，本地认证）

1. 启动MySQL数据库：

bash
docker run \
  -d --restart=always --name portus-mysql \
  -e MYSQL_DATABASE=portus \
  -e MYSQL_ROOT_PASSWORD="$ROOTPASSWORD" \
  -e MYSQL_USER=portus \
  -e MYSQL_PASSWORD="$DBPASSWORD" \
  -v $DIR/portus:/var/lib/mysql \
  mysql

2. 启动Portus：

bash
docker run \
  -d --restart=always --name portus \
  -e PORTUS_MACHINE_FQDN=$DOMAIN \
  --link=portus-mysql:portus-mysql \
  -e PORTUS_PRODUCTION_HOST=portus-mysql \
  -e PORTUS_PRODUCTION_DATABASE=portus \
  -e PORTUS_PRODUCTION_USERNAME=portus \
  -e PORTUS_PRODUCTION_PASSWORD="$DBPASSWORD" \
  -e PORTUS_GRAVATAR_ENABLED=true \
  -e PORTUS_CHECK_SSL_USAGE_ENABLED=false \
  -p 80:3000 \
  -e PORTUS_PASSWORD="$DBPASSWORD" \
  -e PORTUS_SECRET_KEY_BASE="$KEY" \
  sshipway/portus:latest 

完整配置（含SSL、认证、Webhooks）

1. 启动Docker Registry：

bash
docker run -d -p 5000:5000 --restart=always --name registry \
  -e REGISTRY_LOG_LEVEL=warn \
  -v $DIR/data:/var/lib/registry \
  -e REGISTRY_STORAGE_DELETE_ENABLED=true \
  -v $DIR/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/server.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/server.key  \
  -e REGISTRY_AUTH_TOKEN_REALM=https://docker.example.com:443/v2/token \
  -e REGISTRY_AUTH_TOKEN_SERVICE=docker.example.com:5000 \
  -e REGISTRY_AUTH_TOKEN_ISSUER=docker.example.com \
  -e REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE=/certs/server.crt \
  -e REGISTRY_NOTIFICATIONS_ENDPOINTS_NAME=portus \
  -e REGISTRY_NOTIFICATIONS_ENDPOINTS_URL=https://docker.example.com:443/v2/webhooks/events \
  -e REGISTRY_NOTIFICATIONS_ENDPOINTS_TIMEOUT=500 \
  -e REGISTRY_NOTIFICATIONS_ENDPOINTS_THRESHOLD=5 \
  -e REGISTRY_NOTIFICATIONS_ENDPOINTS_BACKOFF=1 \
  registry:2.1

2. 启动MySQL数据库：

bash
docker run \
  -d --restart=always --name portus-mysql \
  -e MYSQL_DATABASE=portus \
  -e MYSQL_ROOT_PASSWORD=password \
  -e MYSQL_USER=portus \
  -e MYSQL_PASSWORD=dbpassword \
  -v $DIR/portus:/var/lib/mysql \
  mysql

3. 启动Portus：

bash
docker run \
  -d --restart=always --name portus \
  -e PORTUS_MACHINE_FQDN=docker.example.com \
  --link=registry:registry \
  -e PORTUS_LDAP_ENABLED=true \
  -e PORTUS_LDAP_HOSTNAME=ldap.example.com \
  -e PORTUS_LDAP_PORT=389 \
  -e PORTUS_LDAP_METHOD=starttls \
  -e PORTUS_LDAP_BASE=ou=People,dc=example,dc=com \
  -e PORTUS_LDAP_UID=cn \
  -e PORTUS_LDAP_AUTHENTICATION_ENABLED=true \
  -e PORTUS_LDAP_AUTHENTICATION_BIND_DN=cn=portus,dc=example,dc=com \
  -e PORTUS_LDAP_AUTHENTICATION_PASSWORD=ldappassword \
  -e PORTUS_LDAP_GUESS_EMAIL_ENABLED=true \
  -e PORTUS_LDAP_GUESS_EMAIL_ATTR=mail \
  --link=portus-mysql:portus-mysql \
  -e PORTUS_PRODUCTION_HOST=portus-mysql \
  -e PORTUS_PRODUCTION_DATABASE=portus \
  -e PORTUS_PRODUCTION_USERNAME=portus \
  -e PORTUS_PRODUCTION_PASSWORD=dbpassword \
  -e PORTUS_GRAVATAR_ENABLED=true \
  -e PORTUS_EMAIL_FROM=docker@example.com \
  -e PORTUS_EMAIL_REPLY_TO=nobody@example.com \
  -e PORTUS_SMTP_ENABLED=true \
  -e PORTUS_SMTP_ADDRESS=mail.example.com \
  -e PORTUS_KEY_PATH=/certs/server.key \
  -v $DIR/certs:/certs \
  -e PORTUS_PASSWORD="password" \
  -e PORTUS_SECRET_KEY_BASE="apikeybase" \
  -e REGISTRY_USE_SSL=true \
  -e REGISTRY_NAME=Registry \
  -e REGISTRY_HOSTNAME=docker.example.com \
  -e REGISTRY_PORT=5000 \
  -e PORTUS_CHECK_SSL_USAGE_ENABLED=true  \
  -v $DIR/proxy:/etc/nginx/conf.d \
  sshipway/portus:2.0.0

4. 启动Nginx（SSL代理）：

bash
docker run -d --restart=always \
  --link=portus \
  --name=portus-ssl \
  -p 443:443  \
  -v $DIR/proxy:/etc/nginx/conf.d \
  -v $DIR/certs:/etc/nginx/certs \
  -e NGINX_CERT_FILE=/etc/nginx/certs/server.crt \
  -e NGINX_KEY_FILE=/etc/nginx/certs/server.key \
  -e NGINX_DOMAIN=docker.example.com \
  nginx

导出配置说明

• 证书生成：若设置PORTUS_MACHINE_FQDN和PORTUS_KEY_PATH且密钥文件不存在，启动脚本将生成自签名证书，存储在PORTUS_KEY_PATH（证书为同路径下的.crt文件），默认路径为/certs，建议挂载为卷共享。

• Nginx配置：/etc/nginx/conf.d为可导出卷，容器会生成portus.conf配置文件，适用于SSL卸载代理。挂载该路径到Nginx容器并共享/certs卷，可自动配置Nginx。示例portus.conf：

nginx
server {
  listen 443 ssl;
  ssl_certificate     certs/registry.crt;
  ssl_certificate_key certs/registry.key;
  location / {
    proxy_set_header Host docker.example.com;
    proxy_set_header X-Forwarded-Proto https;
    proxy_set_header X-Forwarded-Host docker.example.com:443;
    proxy_pass http://portus:3000/;
    proxy_http_version 1.1;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 900s;
  }
}

许可信息

Portus基于Apache License 2.0许可，详见https://github.com/SUSE/Portus/blob/master/LICENSE%E3%80%82