Harbor: een private containerregistry verharden tot een control plane

Harbor is een open-source, cloud-native containerregistry die kwetsbaarhedenscans, contentondertekening en admission hooks, op rollen gebaseerde toegangscontrole en replicatie in één project bundelt. Per 2026-09-23 toont de GitHub-repository ongeveer 29.400 sterren en een commit op dezelfde dag, wat wijst op een actief onderhouden CNCF-project.

Behandel de registry als een control plane, niet als opslag

Het is verleidelijk om een private registry puur als plek in te zetten om images te pushen en te pullen en het daarbij te laten. De werkelijke waarde van Harbor voor een MSP komt naar voren wanneer de registry het handhavingspunt in de pipeline wordt: er wordt niets in een cluster getrokken tenzij het een scan heeft doorstaan, een geldige handtekening draagt en afkomstig is van een replica die de MSP vertrouwt. Die herkadering verandert een opslagdienst in een supplychain-poort.

Een praktische hardeningchecklist

• Schakel kwetsbaarhedenscans bij push in en blokkeer de uitrol van images boven een afgesproken ernstdrempel.
• Verplicht contentondertekening en verifieer die bij admission, niet alleen op het moment van pushen.
• Baken RBAC per project en per tenant af, zodat de credentials van de ene klant niet bij de images van een andere kunnen.
• Handhaaf MFA specifiek voor registrybeheerders, los van het algemene SSO-beleid.
• Zet auditlogging aan voor pulls, pushes en rechtenwijzigingen en bewaar die lang genoeg om een incidentonderzoek te ondersteunen.
• Configureer replicatie bewust, zodat images alleen synchroniseren naar de locaties die ze daadwerkelijk nodig hebben.

Wat Harbor niet vervangt

Harbor vormt een aanvulling op, geen vervanging van, speciale ondertekenings- en scantools zoals Cosign, Grype of Trivy — het is de plek waar die controles worden afgedwongen, geen vervanging voor het uitvoeren ervan. Back-ups van de registry zelf zijn eveneens van belang: een gecompromitteerde of corrupte registry zonder herstelplan maakt elke andere controle op deze lijst ongedaan.

Bronnen: Harbor op GitHub.