Harbor: endurecer un registro privado de contenedores como plano de control

Harbor es un registro de contenedores de código abierto y nativo de la nube que integra escaneo de vulnerabilidades, firma de contenido y hooks de admisión, control de acceso basado en roles y replicación en un único proyecto. A fecha de 23 de septiembre de 2026, su repositorio de GitHub muestra aproximadamente 29.400 estrellas y una confirmación el mismo día, lo que refleja un proyecto CNCF con mantenimiento activo.

Trate el registro como un plano de control, no como almacenamiento

Es fácil desplegar un registro privado únicamente como un lugar para subir y descargar imágenes y quedarse ahí. El valor real de Harbor para un MSP aparece cuando el registro se convierte en el punto de aplicación de políticas en el pipeline: nada se descarga en un clúster a menos que haya superado un escaneo, lleve una firma válida y provenga de una réplica en la que el MSP confía. Ese replanteamiento convierte un servicio de almacenamiento en una puerta de la cadena de suministro.

Una lista de comprobación práctica de endurecimiento

• Habilite el escaneo de vulnerabilidades al subir imágenes y bloquee el despliegue de imágenes que superen un umbral de gravedad acordado.
• Exija la firma de contenido y verifíquela en la admisión, no solo en el momento de la subida.
• Limite el RBAC por proyecto y por inquilino, de modo que las credenciales de un cliente no puedan acceder a las imágenes de otro.
• Aplique MFA específicamente para los administradores del registro, separada de la política general de SSO.
• Active el registro de auditoría para descargas, subidas y cambios de permisos, y consérvelo el tiempo suficiente para respaldar una revisión de incidentes.
• Configure la replicación de forma deliberada, de modo que las imágenes solo se sincronicen con las ubicaciones que realmente las necesitan.

Lo que Harbor no sustituye

Harbor complementa, en lugar de sustituir, a las herramientas dedicadas de firma y escaneo como Cosign, Grype o Trivy: es el lugar donde se aplican esas comprobaciones, no un sustituto de ejecutarlas. Las copias de seguridad del propio registro también importan: un registro comprometido o dañado sin un plan de recuperación anula todos los demás controles de esta lista.

Fuentes: Harbor en GitHub.