Harbor OSS — checklist di hardening registry privato per MSP

goharbor/harbor (~29.429★): trattare il registry privato come control plane

goharbor/harbor (~29.429★, GitHub API 22/09/2026) è un container registry cloud-native con vulnerability scanning, hook di signing/admission, RBAC e replication.

Angolo MSP / mid-market: gestire un registry privato come control plane di produzione — scanning, signing, RBAC, replication — senza ristampare pack Cosign/Grype/Syft/Trivy/Kyverno. Il conteggio stelle è solo uno snapshot API puntuale.

Checklist di hardening per un control plane di registry privato: imporre MFA admin; abilitare audit logging; lockdown di rete sugli endpoint registry; backup di config e dati critici per il DR; attivare vulnerability scanning e signing/admission dove disponibili; revisionare regolarmente RBAC e target di replication. Non inventare install-base o percentuali di adozione oltre il conteggio stelle citato.

Pack di igiene supply-chain — complementare alla copertura Cosign/scanner precedente senza ristampare quegli slug.

# Harbor private registry hardening — no invented adoption metrics
1. Enforce MFA on all registry admin accounts
2. Enable audit logging for push/pull/admin actions
3. Network-lockdown registry endpoints (trusted admin/CI only)
4. Back up Harbor config + critical data for DR
5. Enable vulnerability scanning + signing/admission where available
6. Review RBAC roles and replication targets regularly
7. Star count is GitHub API snapshot only — do not invent adoption %
8. Do not restamp Cosign/Grype/Syft/Trivy/Kyverno slugs

Solo bozza. Pubblica l'umano. Niente metriche di adozione inventate. Non ristampare pack Cosign/scanner.