Harbor : transformer un registre de conteneurs privé en plan de contrôle

Harbor est un registre de conteneurs open source et cloud-native qui regroupe en un seul projet l’analyse des vulnérabilités, la signature de contenu et les hooks d’admission, le contrôle d’accès basé sur les rôles et la réplication. Au 23 septembre 2026, son dépôt GitHub affiche environ 29 400 étoiles et un commit le même jour, signe d’un projet CNCF activement maintenu.

Traiter le registre comme un plan de contrôle, pas comme un stockage

Il est facile de déployer un registre privé uniquement comme un endroit où pousser et tirer des images, puis de s’arrêter là. La vraie valeur de Harbor pour un MSP apparaît lorsque le registre devient le point d’application des règles dans le pipeline : rien n’est tiré dans un cluster à moins d’avoir passé une analyse, de porter une signature valide et de provenir d’une réplique à laquelle le MSP fait confiance. Ce recadrage transforme un service de stockage en une porte de contrôle de la chaîne logistique.

Une checklist de durcissement pratique

• Activer l’analyse des vulnérabilités au moment du push et bloquer le déploiement des images dépassant un seuil de gravité convenu.
• Exiger la signature de contenu et la vérifier à l’admission, pas seulement au moment du push.
• Limiter le RBAC par projet et par client, afin que les identifiants d’un client ne puissent pas atteindre les images d’un autre.
• Imposer la MFA spécifiquement aux administrateurs du registre, indépendamment de la politique SSO générale.
• Activer la journalisation d’audit pour les pulls, les pushs et les changements de permissions, et la conserver assez longtemps pour étayer une revue d’incident.
• Configurer la réplication de manière délibérée, afin que les images ne se synchronisent que vers les emplacements qui en ont réellement besoin.

Ce que Harbor ne remplace pas

Harbor complète plutôt qu’il ne remplace les outils de signature et d’analyse dédiés comme Cosign, Grype ou Trivy — c’est l’endroit où ces contrôles sont appliqués, pas un substitut à leur exécution. Les sauvegardes du registre lui-même comptent aussi : un registre compromis ou corrompu sans plan de récupération annule tous les autres contrôles de cette liste.

Sources : Harbor sur GitHub.