Harbor: Härtung einer privaten Container-Registry zu einer Steuerungsebene

Harbor ist eine Open-Source-, cloud-native Container-Registry, die Schwachstellen-Scans, Content-Signierung und Admission-Hooks, rollenbasierte Zugriffskontrolle und Replikation in einem einzigen Projekt bündelt. Stand 2026-09-23 zeigt das GitHub-Repository rund 29.400 Sterne und einen Commit am selben Tag, was auf ein aktiv gepflegtes CNCF-Projekt hinweist.

Die Registry als Steuerungsebene behandeln, nicht als Speicher

Es ist einfach, eine private Registry nur als Ort zum Pushen und Pullen von Images zu betreiben und es dabei zu belassen. Der tatsächliche Wert von Harbor für einen MSP zeigt sich, wenn die Registry zum Durchsetzungspunkt in der Pipeline wird: Nichts wird in einen Cluster gezogen, es sei denn, es hat einen Scan bestanden, trägt eine gültige Signatur und stammt aus einer Replik, der der MSP vertraut. Diese Neubewertung macht aus einem Speicherdienst ein Lieferketten-Tor.

Eine praktische Härtungs-Checkliste

• Schwachstellen-Scans beim Push aktivieren und die Bereitstellung von Images oberhalb einer vereinbarten Schweregrad-Schwelle blockieren.
• Content-Signierung verlangen und sie bei der Admission verifizieren, nicht nur beim Push.
• RBAC pro Projekt und pro Mandant eingrenzen, damit die Zugangsdaten eines Kunden nicht die Images eines anderen erreichen können.
• MFA speziell für Registry-Administratoren durchsetzen, getrennt von der allgemeinen SSO-Richtlinie.
• Audit-Protokollierung für Pulls, Pushes und Berechtigungsänderungen aktivieren und lange genug aufbewahren, um eine Incident-Prüfung zu unterstützen.
• Replikation bewusst konfigurieren, damit Images nur an die Standorte synchronisiert werden, die sie tatsächlich benötigen.

Was Harbor nicht ersetzt

Harbor ergänzt dedizierte Signier- und Scan-Werkzeuge wie Cosign, Grype oder Trivy, statt sie zu ersetzen – es ist der Ort, an dem diese Prüfungen durchgesetzt werden, kein Ersatz für deren Ausführung. Backups der Registry selbst sind ebenfalls wichtig: Eine kompromittierte oder beschädigte Registry ohne Wiederherstellungsplan macht jede andere Kontrolle auf dieser Liste zunichte.

Quellen: Harbor auf GitHub.