Harbor 通过复制策略实现镜像跨实例、跨仓库同步，支持手动和自动两种模式。首先配置目标仓库地址、认证信息，创建复制规则，可按项目、标签、仓库过滤同步镜像。支持基于事件的实时同步（镜像推送后立即同步）和定时同步，兼容推拉两种模式。还支持断点续传、增量同步，仅传输差异层，大幅提升效率。跨地域、跨集群的 Harbor 实例可通过该功能实现镜像统一分发，也能同步 Docker Hub、阿里云 ACR 等第三方仓库，满足异地备份、多中心部署的同步需求，操作简单且稳定性强。
Harbor 采用项目级 RBAC 角色权限模型，权限绑定到项目而非全局。内置游客、开发人员、维护人员、项目管理员、系统管理员五种角色，权限逐级递增。用户必须加入项目才能操作镜像，不同角色对应拉取、推送、删除、扫描、配置等不同权限。支持用户组批量授权，简化多用户管理。全局管理员负责系统级配置，项目管理员仅管控所属项目。所有权限最小化分配，仅开放业务所需功能，严格区分读写权限，避免越权操作，适配企业团队分级管理的需求。
Harbor 安全机制覆盖全链路：镜像层面支持漏洞扫描、签名验证（Notary），杜绝恶意镜像；传输层强制 SSL/TLS 加密，防止数据窃听；访问层 RBAC 权限控制、多租户隔离；运行层支持敏感数据加密存储，数据库密码、认证信息加密保存；审计层完整记录所有操作日志，可追溯溯源。还集成镜像黑白名单、IP 访问限制，支持 LDAP/ OIDC 第三方认证。配合安全策略，禁止未扫描、高危漏洞镜像运行，从镜像安全、传输安全、访问安全、审计安全全方位防护，满足企业生产环境安全合规要求。
Harbor 高可用基于多实例集群 + 共享存储 + 数据库主从部署：多节点部署 Harbor 服务，前端用负载均衡分发请求；镜像存储使用共享文件存储（NFS/MinIO），保证多节点数据一致；PostgreSQL 采用主从复制，Redis 集群缓存。灾难恢复通过异地复制策略同步镜像到备用 Harbor 实例，定期备份数据库、配置文件、存储数据。故障时切换负载均衡到备用节点，恢复备份数据即可快速上线。无状态服务横向扩展，有状态数据冗余备份，结合异地容灾，保证仓库 7×24 小时可用，数据零丢失。
Harbor 项目配额是资源使用限制机制，针对单个项目配置存储容量、镜像数量、Helm Chart 数量上限。管理员在系统层面创建配额模板，绑定到指定项目，实时统计项目资源占用。当存储容量、镜像数达到阈值时，禁止新镜像推送，仅允许拉取、删除操作。配额支持硬限制和告警提醒，超阈值前发送通知。可按项目灵活配置，核心项目分配大容量资源，测试项目限制资源，防止单个项目耗尽集群存储，实现企业级资源精细化分配，避免资源滥用和浪费。
Harbor 以项目为核心实现多租户隔离，每个项目独立为一个租户空间，镜像、权限、配置、日志完全隔离。创建不同项目对应不同业务线、部门或环境（开发 / 测试 / 生产），用户仅能访问授权项目。支持项目级配额、网络策略、安全扫描配置，租户间互不干扰。结合 LDAP/AD 统一认证用户，用户组批量分配项目权限。系统管理员管控全局，项目管理员管理自身租户资源。轻量隔离无性能损耗，支持上千租户并行使用，完美适配企业大规模多团队、多环境的云原生场景。
Harbor 通过 API、Webhook 深度对接 Jenkins、GitLab CI、GitHub Actions 等 CI/CD 工具。代码提交后，CI 工具自动构建镜像，调用 Harbor API 推送镜像到指定项目；推送完成触发 Webhook，通知 CD 系统执行部署。可配置自动化规则：镜像推送后自动扫描漏洞，无高危漏洞才允许部署；自动打标签、同步镜像到生产仓库。全流程无人工干预，实现构建 - 推送 - 扫描 - 部署一体化。还支持 CI/CD 流水线权限控制，仅允许授权流水线推送镜像，保证镜像来源安全可控。
Harbor 针对大规模镜像做多层优化：存储层采用镜像分层共享，复用底层文件层，节省磁盘空间；传输层增量同步、断点续传，减少网络流量；缓存层用 Redis 加速元数据查询，降低数据库压力；部署层支持水平扩展多实例，负载均衡分流请求；存储层对接分布式存储（MinIO/Ceph），支持海量数据扩容。还开启异步处理、GC 垃圾回收优化，关闭无用日志。单实例支持百万级镜像存储，多节点集群可支撑企业大规模分发，镜像拉取推送速度提升数倍，满足高并发访问需求。
Harbor 通过镜像标签实现版本管理，每个版本镜像打唯一标签（如 v1.0、v2.0），禁止覆盖 latest 标签，保留所有历史版本。镜像使用摘要（Digest）唯一标识，即使标签覆盖也能通过摘要定位原始版本。回滚时直接使用历史版本标签部署，或重新打标签覆盖当前版本。支持版本对比，查看不同标签镜像的层信息、构建时间、扫描结果。配合 CI/CD，版本发布自动化，回滚秒级完成。所有版本镜像统一存储，可设置保留策略，自动清理过期版本，兼顾版本管理和存储效率。
Harbor 提供项目级独立审计日志，记录项目内所有操作：镜像拉取、推送、删除、复制、扫描、权限变更、用户登录等。日志包含操作人、时间、IP、操作内容、结果，可追溯每一步行为。支持按时间、用户、操作类型筛选日志，导出 CSV 格式存档。系统日志记录服务运行状态，项目日志仅对项目管理员和系统管理员开放。日志持久化存储，配合监控工具实现异常告警。满足企业合规审计需求，快速定位误操作、非法访问问题，保障仓库操作可管可控。
Harbor 内置Trivy 漏洞扫描器，支持手动 / 自动扫描镜像。扫描后检测镜像的系统包、应用依赖漏洞，标注高危 / 中危 / 低危等级，提供修复方案。可配置安全策略，禁止推送、拉取存在高危漏洞的镜像。支持定时全量扫描、增量扫描新推送镜像，生成漏洞报告。支持漏洞忽略、修复状态标记，跟踪漏洞修复进度。还可对接第三方扫描器，统一展示扫描结果。全方位管控镜像安全，从源头杜绝漏洞镜像部署到生产环境，降低业务安全风险。
Harbor 遵循 OCI 标准，采用分层存储架构，镜像由多个只读层叠加组成。相同层只会存储一份，不同镜像共享底层公共层，大幅节省存储空间。写时复制技术避免重复数据，新增镜像仅存储差异层，存储利用率提升 70% 以上。分层存储让拉取、推送仅传输差异层，网络传输效率大幅提高。存储层对接分布式文件系统，支持分层缓存，热点层快速访问。分层架构还方便漏洞扫描、镜像签名，仅扫描修改层即可。兼顾存储效率、传输速度和管理便捷性，是企业级镜像仓库的核心优势。
Harbor 支持自定义标签和过滤标签，用户可给镜像打业务、环境、版本、负责人等标签（如 prod、test、v1.0）。通过标签快速筛选、检索镜像，支持多标签组合查询。可配置标签规则，自动给新镜像打标签（如分支名、构建号）。复制、扫描、清理策略可按标签过滤，仅对指定标签镜像生效。标签可视化展示，批量管理镜像。解决大规模镜像杂乱无章的问题，快速定位目标镜像，提升运维效率，适配企业海量镜像的分类管理需求。
Harbor 作为 K8s 的标准镜像仓库，通过镜像拉取秘钥（ImagePullSecret） 集成。K8s 集群配置 Harbor 认证信息，Pod 可直接拉取 Harbor 私有镜像。支持 Helm Chart 仓库，一键部署应用到 K8s。通过 CSI 驱动对接 Harbor 存储，配合 Operator 实现 Harbor 在 K8s 上的部署运维。还可通过 Webhook 实现镜像推送后自动更新 K8s Deployment，完成滚动更新。集成 Prometheus 监控镜像拉取指标，全流程打通镜像仓库与容器编排平台，实现应用从构建到部署的一体化管理。
企业级大规模分发依靠多实例复制 +P2P 加速 + 分布式存储。部署全球多地域 Harbor 节点，配置跨区域复制策略，就近拉取镜像降低延迟。结合 Dragonfly 等 P2P 工具，节点间共享镜像层，缓解仓库带宽压力。采用 MinIO/Ceph 分布式存储，支撑 PB 级镜像数据。支持边缘节点轻量同步，仅拉取所需镜像。负载均衡分发用户请求，水平扩展 Harbor 实例支撑高并发。分层分发、就近访问、P2P 加速，满足企业全球分支机构、大规模集群的镜像分发需求。
Harbor 提供完整的 RESTful API，覆盖镜像、项目、用户、复制、扫描等所有功能。支持 API 密钥认证，第三方工具可无界面操作 Harbor。CI/CD、监控、运维平台通过 API 实现镜像推送、权限配置、策略管理自动化。API 支持批量操作、异步任务，返回结构化数据，方便集成。所有 UI 界面操作都对应 API 接口，二次开发无门槛。支持 OpenAPI 规范，自动生成 SDK，对接 Python、Go 等语言开发的系统。是企业自动化运维、云原生平台集成的核心能力。
Harbor Webhook 监听镜像推送、删除、扫描完成、复制失败等事件，配置回调地址触发自动化流程。在项目中创建 Webhook，选择监听事件类型，填写目标 URL（如 Jenkins、企业微信、钉钉）。事件触发时自动发送 HTTP/HTTPS 请求，携带事件详情。支持鉴权、重试机制，保证通知可靠。可用于镜像推送后自动部署、扫描完成后通知运维、复制失败告警等场景。无需轮询，事件实时触发，实现仓库与外部系统的无缝联动，全流程自动化。
Harbor 数据持久化分为镜像存储和元数据存储。镜像推荐使用 NFS、MinIO、Ceph 共享存储，保证多节点数据一致；元数据存储在 PostgreSQL，配置主从复制、定期备份。最佳实践：开启存储冗余，避免单点故障；使用分布式存储支持弹性扩容；定期快照存储数据；数据库开启 WAL 日志，支持时间点恢复。禁止使用本地磁盘存储生产数据，多实例部署必须共享存储。数据持久化配置标准化，保证故障后数据完整可恢复，满足企业生产可靠性要求。
Harbor 对敏感数据全程加密：传输层启用 SSL/TLS 加密，所有 HTTP/API 请求强制 HTTPS；存储层数据库密码、认证信息、镜像签名密钥使用 AES 加密存储；配置文件敏感信息加密，不明文展示。支持 HTTPS 双向认证，客户端验证服务器身份。镜像签名使用 Notary 加密，防止篡改。用户密码哈希存储，不可逆。对接外部 KMS 密钥管理系统，统一管理加密密钥。全方位加密保护，杜绝敏感数据泄露、篡改，满足金融、政务等行业的安全合规要求。
Harbor 角色权限颗粒度极细，内置五级角色，还支持自定义角色。按操作拆分权限：拉取、推送、删除、扫描、复制、权限管理、配置修改等。用户仅分配完成工作所需的最小权限，如开发人员仅可拉取 / 推送镜像，无删除、配置权限；测试人员仅可拉取镜像。用户组批量授权，避免权限过度分配。项目级权限隔离，用户无法访问未授权项目。全局管理员仅做系统配置，不操作业务项目。严格遵循最小权限原则，降低越权、误操作风险，保障仓库安全。
Harbor 支持多云、混合云环境统一镜像管理，可部署在公有云、私有云、边缘云。跨云实例通过复制策略同步镜像，实现多云镜像一致。兼容 AWS S3、阿里云 OSS、腾讯云 COS 等云存储，灵活适配云厂商存储服务。支持多云访问控制，统一用户权限。跨云分发就近拉取，降低网络延迟。无厂商绑定，可自由迁移，避免云厂商锁定。统一管理多云镜像，减少运维成本，保证多云环境下应用部署的镜像一致性、安全性。
Harbor 集成Docker Notary实现镜像签名验签，支持镜像数字签名。管理员对可信镜像签名，配置强制验签策略，未签名、签名篡改的镜像禁止拉取、部署。签名信息存储在独立服务，防伪造、防篡改。支持批量签名、自动签名，CI/CD 流水线构建后自动签名。验签过程透明，用户无需额外操作。杜绝恶意镜像、非法篡改镜像运行，保证镜像来源可信、内容完整，是企业生产环境镜像安全的核心防线。
Harbor 提供手动 GC+ 自动化策略清理两种方式。手动垃圾回收（GC）清理未被引用的镜像层、孤儿层，释放磁盘空间。自动化清理可按时间、标签、版本数量配置规则：保留最近 N 个版本、删除超过 30 天的镜像、清理无标签镜像。清理前自动扫描镜像依赖，不删除被使用的层。支持清理前告警、预览清理列表，避免误删。定时执行 GC，避开业务高峰。高效释放存储资源，无需人工干预，保证仓库存储持续可用。
Harbor 基于 OCI 分层标准管理镜像依赖，自动解析镜像层依赖关系。父层被多个子镜像共享，删除子镜像不会影响父层，仅当无镜像引用时才会标记为孤儿层。垃圾回收时自动识别依赖，仅清理无依赖的孤儿层。复制、同步时按依赖顺序传输层，保证镜像完整性。漏洞扫描时仅扫描差异层，依赖层复用扫描结果。层级管理自动完成，用户无需手动处理依赖，保证镜像存储、分发、清理的稳定性，避免依赖缺失导致镜像损坏。
Harbor 备份核心包含三部分：数据库备份（PostgreSQL）、镜像存储备份、配置文件备份。关键因素：定期全量 + 增量备份，避开业务高峰；数据库使用热备份，不中断服务；镜像存储使用快照备份，保证一致性；备份数据异地存储，防止机房故障；备份后定期验证恢复流程，确保可用。恢复时按配置→数据库→镜像存储的顺序恢复，多实例集群先停止服务再恢复。备份频率根据业务重要性调整，核心数据每小时备份，保证故障后快速恢复，数据零丢失。
Harbor 配置 SSL/TLS 需先申请合法证书（自签名 /CA 证书），安装时指定证书路径，强制开启 HTTPS。修改配置文件禁用 HTTP 80 端口，仅开放 443 端口。配置证书链、加密套件，启用 TLS 1.2/1.3 高安全协议。客户端（Docker、K8s）配置信任证书，实现加密通信。支持双向 SSL 认证，客户端需提供证书才能访问。证书过期自动提醒，定期更新证书。HTTPS 加密所有传输数据，防止窃听、劫持、中间人攻击，是企业 Harbor 安全部署的基础要求。
Harbor 审计记录镜像全生命周期操作：拉取、推送、删除、签名、扫描，精确到用户、IP、时间、镜像版本。支持审计日志检索、导出、长期存档。监控对接 Prometheus+Grafana，采集镜像存储、请求量、拉取频率、系统资源指标。配置告警规则，存储满、复制失败、漏洞超标实时通知。支持项目级审计隔离，仅管理员可查看。细粒度审计满足合规要求，实时监控保障系统稳定，及时发现异常操作和系统故障。
Harbor 项目隔离是逻辑强隔离，每个项目拥有独立的镜像空间、权限、配置、日志。用户未授权无法访问其他项目资源，项目间镜像、元数据完全隔离。配额独立，单个项目资源耗尽不影响其他项目。安全策略独立，可单独配置扫描、验签规则。网络策略支持项目级 IP 限制。隔离机制轻量无性能损耗，多租户并行运行无干扰。杜绝跨项目越权访问、资源争抢、数据泄露，是企业多团队、多环境安全管理的核心机制。
Harbor 采用模块化插件架构，支持存储、认证、扫描、通知等插件扩展。官方提供存储插件（对接 S3/OSS）、认证插件（LDAP/OIDC）、扫描插件（Trivy/Clair）。支持自定义插件开发，集成第三方日志、监控、安全工具。插件热加载，无需重启服务。可扩展 Webhook、API 插件，对接企业内部系统。插件化设计让 Harbor 适配不同企业需求，无需修改核心代码，灵活扩展功能，兼容云原生全生态工具。
跨地域同步依靠异地复制策略，在中心 Harbor 配置分支节点为目标仓库，按项目、标签同步镜像。支持推拉模式、定时 / 实时同步、增量同步，仅传输差异层降低带宽消耗。跨地域节点就近提供镜像服务，用户拉取速度更快。支持同步限速，避开业务高峰。可设置同步白名单，仅同步生产镜像。跨地域共享镜像，保证全球分支机构、集群使用相同版本镜像，适配企业全球化部署、异地多活架构。
Harbor 原生对接云原生安全生态：集成 Trivy、Clair 做漏洞扫描；对接 Notary 实现镜像签名；集成 Falco 监控运行时安全；对接 Vault 管理密钥；集成 Prometheus 监控安全指标。通过 API/Webhook 联动安全平台，漏洞超标自动拦截、告警。支持安全策略统一下发，镜像未通过安全检查禁止部署。全流程联动安全工具，构建镜像扫描 - 签名 - 防护 - 审计的安全闭环，大幅提升企业容器全生命周期安全能力。
Harbor 多租户以项目为核心单元，项目 = 租户，资源完全隔离。结合用户 / 用户组授权，LDAP 统一认证，支持百万级租户。配额机制限制租户资源，防止滥用。水平扩展多实例，负载均衡支撑大规模访问。分布式存储支撑海量租户数据。复制策略实现租户镜像跨区域同步。细粒度 RBAC 权限控制，租户自治管理。架构无中心化，线性扩展，支持企业大规模、多部门、多环境的租户化管理，是企业级云原生仓库的标准模型。
Harbor 支持创建用户组，批量管理同类用户（如开发组、测试组、运维组）。将用户加入对应组，直接给用户组分配项目角色，无需逐个授权。用户组权限继承，新增用户自动获得组权限，离职用户移除出组即可回收权限。支持多级用户组，适配企业组织架构。结合 LDAP/AD 同步企业组织架构，自动创建用户组、分配权限。大幅简化权限管理工作，避免权限遗漏、误配，提升企业用户管理效率。
