Harbor: wzmacnianie prywatnego rejestru kontenerów do roli płaszczyzny kontroli

Harbor to otwartoźródłowy, natywny dla chmury rejestr kontenerów, który łączy skanowanie podatności, podpisywanie zawartości i haki przyjęć, kontrolę dostępu opartą na rolach oraz replikację w jednym projekcie. Na dzień 23.09.2026 jego repozytorium GitHub pokazuje około 29 400 gwiazdek i commit z tego samego dnia, co odzwierciedla aktywnie utrzymywany projekt CNCF.

Traktuj rejestr jako płaszczyznę kontroli, nie magazyn

Łatwo jest wdrożyć prywatny rejestr wyłącznie jako miejsce do wysyłania i pobierania obrazów i na tym poprzestać. Rzeczywista wartość Harbor dla MSP ujawnia się, gdy rejestr staje się punktem egzekwowania zasad w potoku: nic nie zostaje pobrane do klastra, chyba że przeszło skanowanie, ma ważny podpis i pochodzi z repliki, której MSP ufa. Taka zmiana perspektywy zamienia usługę magazynową w bramę łańcucha dostaw.

Praktyczna lista kontrolna wzmacniania

• Włącz skanowanie podatności przy wysyłce i blokuj wdrażanie obrazów powyżej uzgodnionego progu krytyczności.
• Wymagaj podpisywania zawartości i weryfikuj je przy przyjęciu, nie tylko w momencie wysyłki.
• Ogranicz RBAC do poszczególnych projektów i tenantów, aby poświadczenia jednego klienta nie sięgały obrazów innego.
• Wymuszaj MFA specjalnie dla administratorów rejestru, oddzielnie od ogólnej polityki SSO.
• Włącz logowanie audytowe pobrań, wysyłek i zmian uprawnień oraz przechowuj je wystarczająco długo, aby wesprzeć analizę incydentu.
• Konfiguruj replikację celowo, aby obrazy synchronizowały się tylko do lokalizacji, które faktycznie ich potrzebują.

Czego Harbor nie zastępuje

Harbor uzupełnia, a nie zastępuje dedykowane narzędzia do podpisywania i skanowania, takie jak Cosign, Grype czy Trivy — to miejsce, w którym te kontrole są egzekwowane, a nie substytut ich uruchamiania. Kopie zapasowe samego rejestru również mają znaczenie: skompromitowany lub uszkodzony rejestr bez planu odzyskiwania niweczy każdą inną kontrolę z tej listy.

Źródła: Harbor na GitHub.