Harbor: trasformare un registry container privato in un piano di controllo

Harbor è un registry per container open source e cloud-native che riunisce scansione delle vulnerabilità, firma dei contenuti e hook di ammissione, controllo degli accessi basato sui ruoli e replica in un unico progetto. Al 23 settembre 2026 il suo repository GitHub mostra circa 29.400 stelle e un commit nello stesso giorno, a testimonianza di un progetto CNCF mantenuto attivamente.

Tratta il registry come un piano di controllo, non come storage

È facile distribuire un registry privato soltanto come luogo in cui fare push e pull delle immagini e fermarsi lì. Il valore reale di Harbor per un MSP emerge quando il registry diventa il punto di applicazione dei controlli nella pipeline: nessuna immagine viene scaricata in un cluster se non ha superato una scansione, non dispone di una firma valida e non proviene da una replica di cui si fida l'MSP. Questo cambio di prospettiva trasforma un servizio di storage in un punto di controllo della supply chain.

Una checklist pratica di hardening

• Abilita la scansione delle vulnerabilità al push e blocca la distribuzione delle immagini al di sopra di una soglia di criticità concordata.
• Richiedi la firma dei contenuti e verificala in fase di ammissione, non solo al momento del push.
• Limita l'ambito dei RBAC per progetto e per tenant, così le credenziali di un cliente non possono raggiungere le immagini di un altro.
• Applica la MFA specificamente per gli amministratori del registry, separandola dalla policy SSO generale.
• Attiva i log di audit per pull, push e modifiche ai permessi e conservali abbastanza a lungo da supportare l'analisi di un incidente.
• Configura la replica in modo consapevole, così le immagini vengono sincronizzate solo verso le destinazioni che ne hanno effettivamente bisogno.

Cosa Harbor non sostituisce

Harbor affianca, senza sostituire, gli strumenti dedicati di firma e scansione come Cosign, Grype o Trivy: è il luogo in cui quei controlli vengono applicati, non un sostituto della loro esecuzione. Anche i backup del registry stesso contano: un registry compromesso o corrotto senza un piano di ripristino vanifica tutti gli altri controlli di questo elenco.

Fonti: Harbor su GitHub.