Harbor OSS — Private-Registry-Hardening-Checkliste für MSPs

goharbor/harbor (~29.429★): Private Registry als Control Plane behandeln

goharbor/harbor (~29.429★, GitHub-API 22.09.2026) ist eine cloud-native Container-Registry mit Vulnerability Scanning, Content-Signing-/Admission-Hooks, RBAC und Replication.

MSP-/Mid-Market-Winkel: Private Registry als Produktions-Control-Plane betreiben — Scanning, Signing, RBAC, Replication — ohne Cosign-/Grype-/Syft-/Trivy-/Kyverno-Packs zu restampen. Sternzahl ist nur ein punktueller API-Snapshot.

Hardening-Checkliste für eine Private-Registry-Control-Plane: Admin-MFA erzwingen; Audit-Logging aktivieren; Registry-Endpunkte netzwerkseitig lockdownen; Config und kritische Daten für DR sichern; Vulnerability Scanning und Signing/Admission wo verfügbar einschalten; RBAC und Replication-Targets regelmäßig reviewen. Keine Install-Base oder Adoption-Prozente jenseits der zitierten Sternzahl erfinden.

Supply-Chain-Hygiene-Pack — komplementär zur früheren Cosign-/Scanner-Abdeckung, ohne jene Slugs zu restampen.

# Harbor private registry hardening — no invented adoption metrics
1. Enforce MFA on all registry admin accounts
2. Enable audit logging for push/pull/admin actions
3. Network-lockdown registry endpoints (trusted admin/CI only)
4. Back up Harbor config + critical data for DR
5. Enable vulnerability scanning + signing/admission where available
6. Review RBAC roles and replication targets regularly
7. Star count is GitHub API snapshot only — do not invent adoption %
8. Do not restamp Cosign/Grype/Syft/Trivy/Kyverno slugs

Nur Entwurf. Mensch publiziert. Keine erfundenen Adoption-Metriken. Cosign-/Scanner-Packs nicht restampen.