Harbor: hårdgör ett privat containerregister till ett kontrollplan

goharbor/harbor kombinerar sårbarhetsskanning, avbildssignering, RBAC och replikering i ett öppen källkod-register. Att behandla det som produktionskontrollplan, inte bara lagring, hårdgör verkligen en MSP:s leveranskedja.

I den här artikeln

Behandla registret som ett kontrollplan, inte som lagring
En praktisk härdningschecklista
Vad Harbor inte ersätter

Harbor är ett molnnativt containerregister med öppen källkod som samlar sårbarhetsskanning, innehållssignering och antagningshookar, rollbaserad åtkomstkontroll och replikering i ett enda projekt. Per den 23 september 2026 visar dess GitHub-repository ungefär 29 400 stjärnor och en commit samma dag, vilket återspeglar ett aktivt underhållet CNCF-projekt.

Rader av servrarracks med gröna kabelknippen i en datacenterkorridor, med ett orange skåp i bakgrunden — Foto: SimonWaldherr (CC BY-SA 4.0), Wikimedia Commons.

Behandla registret som ett kontrollplan, inte som lagring

Det är lätt att distribuera ett privat register enbart som en plats att pusha och pulla images till och stanna där. Harbors faktiska värde för en MSP visar sig när registret blir kontrollpunkten i pipelinen: ingenting dras in i ett kluster om det inte har klarat en skanning, bär en giltig signatur och kommer från en replika som MSP:n litar på. Den omformuleringen gör en lagringstjänst till en grind i leveranskedjan.

En praktisk härdningschecklista

Aktivera sårbarhetsskanning vid push och blockera distribution av images med en allvarlighetsgrad över ett överenskommet gränsvärde.
Kräv innehållssignering och verifiera den vid antagningstillfället, inte bara vid push.
Avgränsa RBAC per projekt och per kund, så att en kunds autentiseringsuppgifter inte kan nå en annans images.
Tillämpa MFA specifikt för registeradministratörer, separat från den allmänna SSO-policyn.
Slå på revisionsloggning för pullar, pushar och behörighetsändringar och spara den tillräckligt länge för att stödja en incidentgranskning.
Konfigurera replikering medvetet så att images bara synkroniseras till de platser som faktiskt behöver dem.

Vad Harbor inte ersätter

Harbor kompletterar snarare än ersätter dedikerade signerings- och skanningsverktyg som Cosign, Grype eller Trivy – det är platsen där dessa kontroller upprätthålls, inte en ersättning för att köra dem. Säkerhetskopior av själva registret spelar också roll: ett komprometterat eller korrupt register utan återställningsplan omintetgör alla andra kontroller på den här listan.

Källor: Harbor på GitHub.