Registry container enterprise
Docker Registry (2013, open source) è minimale: push/pull, niente altro. In enterprise servono: RBAC, audit, vulnerability scanning, image signing, replica geografica, Helm chart hosting, retention policy. Harbor è la soluzione.
Il rilascio
Harbor è sviluppato da VMware China (Project Harbor) e rilasciato open source nel marzo 2016. Versione 1.0 a luglio 2017. Donato alla CNCF nel luglio 2018, incubating, graduated nel giugno 2020. Licenza Apache 2.0. Scritto in Go.
Caratteristiche
- Registry OCI-compliant — Docker, OCI images, Helm charts (OCI artifact), CNAB, WASM
- RBAC e project isolation — progetti con ruoli (Admin, Developer, Master, Guest, Limited Guest)
- LDAP/AD/OIDC — integrazione enterprise SSO
- Vulnerability scanning — integrato con Trivy (default), Clair, Snyk, Anchore
- Image signing — Notation (Sigstore Cosign) per firma e verifica
- Replication — push/pull tra Harbor instance o registry esterni (Docker Hub, ECR, ACR, GCR, GAR, quay.io)
- Retention & quota — policy su disk space, age, tag count
- Tag immutability — previene overwrite tag in ambienti prod
- Garbage collection — cleanup layer inutilizzati
- Webhook — notifiche a CI/CD su push
- Robot account — token non-user per CI/CD
Use case
- Registry privato on-prem o cloud
- Mirror di registry pubblici (proxy cache)
- Governance supply chain — scan + signing prima di deploy
- Multi-region — replica pull geografica
- DR — fallback registry disponibile
Deployment
- Docker Compose per single-node
- Helm chart per Kubernetes
- Harbor Operator per K8s nativo
- Istio integration per edge/in-cluster
Concorrenti
- Docker Hub — SaaS, pubblico
- GitHub Container Registry (GHCR) — integrato GitHub
- GitLab Container Registry — integrato GitLab
- quay.io (Red Hat) — SaaS/on-prem
- AWS ECR, Azure ACR, GCP GAR — managed cloud
- Nexus Repository (Sonatype) — multi-format, registry incluso
- JFrog Artifactory — commerciale, multi-format
Nel contesto italiano
Harbor è molto adottato nelle aziende italiane per:
- Data sovereignty — registry in DC italiano, no public cloud
- Banche e fintech — policy su supply chain
- PA digitale — progetti PSN, nube sovrano
- MSP — offerta registry managed per clienti
- Cluster K8s privati — fallback se Docker Hub rate-limit
- Air-gapped environment — difesa, industrial
Spesso combinato con Trivy scan + Cosign signing + Kyverno verification prima di admission control.
Riferimenti: Harbor (VMware, marzo 2016). Versione 1.0 luglio 2017. Donato CNCF (luglio 2018). CNCF graduated (giugno 2020). Licenza Apache 2.0. Scritto in Go. OCI-compliant, Trivy/Clair scanning, Cosign signing.