Harbor: endurecer um registo privado de contentores até se tornar um plano de controlo

O goharbor/harbor combina análise de vulnerabilidades, assinatura, RBAC e replicação num registo open source. Tratá-lo como plano de controlo de produção, não só armazenamento, é o que endurece a cadeia de abastecimento de um MSP.

Neste artigo

Tratar o registo como um plano de controlo, não como armazenamento
Uma lista de verificação prática de endurecimento
O que o Harbor não substitui

Harbor é um registo de contentores open-source e cloud-native que reúne análise de vulnerabilidades, assinatura de conteúdo e hooks de admissão, controlo de acesso baseado em funções e replicação num único projeto. À data de 23 de setembro de 2026, o seu repositório no GitHub apresenta cerca de 29.400 estrelas e um commit no mesmo dia, refletindo um projeto CNCF ativamente mantido.

Fileiras de racks de servidores com feixes de cabos verdes num corredor do centro de dados, com um armário laranja ao fundo — Foto: SimonWaldherr (CC BY-SA 4.0), Wikimedia Commons.

Tratar o registo como um plano de controlo, não como armazenamento

É fácil implementar um registo privado apenas como um local para fazer push e pull de imagens e ficar por aí. O verdadeiro valor do Harbor para um MSP surge quando o registo se torna o ponto de imposição no pipeline: nada é extraído para um cluster a menos que tenha passado numa análise de vulnerabilidades, possua uma assinatura válida e tenha vindo de uma réplica em que o MSP confia. Essa reformulação transforma um serviço de armazenamento numa porta da cadeia de abastecimento.

Uma lista de verificação prática de endurecimento

Ative a análise de vulnerabilidades no push e bloqueie a implementação de imagens acima de um limiar de gravidade acordado.
Exija a assinatura de conteúdo e verifique-a na admissão, não apenas no momento do push.
Defina o âmbito do RBAC por projeto e por inquilino, para que as credenciais de um cliente não possam aceder às imagens de outro.
Imponha MFA especificamente para administradores do registo, separadamente da política geral de SSO.
Ative o registo de auditoria para pulls, pushes e alterações de permissões e conserve-o durante tempo suficiente para apoiar uma análise de incidentes.
Configure a replicação de forma deliberada, para que as imagens apenas sincronizem para as localizações de que realmente precisam.

O que o Harbor não substitui

O Harbor complementa, em vez de substituir, ferramentas dedicadas de assinatura e análise como o Cosign, o Grype ou o Trivy — é o local onde essas verificações são impostas, não um substituto para as executar. As cópias de segurança do próprio registo também são importantes: um registo comprometido ou corrompido sem plano de recuperação anula todos os outros controlos desta lista.

Fontes: Harbor no GitHub.