生产环境搭建高可用Harbor

前言

因资源成本问题,本Harbor高可用架构为最小开销方案,如果资源充足,可以将PG、Redis全部使用使用云厂商集群模式。

同时为了配置简单,并没用使用keepalived与heartbeat等高可用开源组件。

harbor-arch

准备工作

| 阿里云SLB | 阿里云ECS | 共享存储 | Redis |

| :---------: | :-------: | :-------: | :---------: |

| 最小实例SLB | 2c4g 俩台 | 阿里云NFS | 阿里云Redis |

操作系统为Ubuntu18.04,在俩台ECS上搭建主从PG,如果不想用阿里云redis,也可以使用ECS搭建Redis。

安装Harbor,用于导出基础harbor数据,恢复到PG集群中.

  1. 安装docker-compose

curl -L "https://github.com/docker/compose/releases/download/1.24.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose

sudo chmod +x /usr/local/bin/docker-compose

sudo add-apt-repository "deb [arch=amd64] http://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable"

# 添加国内阿里云

curl -fsSL http://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo apt-key add -

#更新

sudo apt-get update

[[查看docker]]版本

apt-cache madison docker-ce

#安装最新版

sudo apt-get install -y docker-ce

[[安装5]]:19.03.6~3-0~ubuntu-bionic版

sudo apt-get install -y docker-ce=5:19.03.6~3-0~ubuntu-bionic

  1. Docker配置镜像加速与国内docker-cn源

sudo tee /etc/docker/daemon.json <<-'EOF'

{

  "registry-mirrors": ["https://8sab4djv.mirror.aliyuncs.com"],

    "registry-mirrors": ["https://registry.docker-cn.com"],

  "insecure-registries": ["https://harbor.unixsre.com"]

}

EOF

sudo systemctl daemon-reload

sudo systemctl restart docker





镜像加速
  1. 安装Harbor2.3

# 下载Harbor

wget -P /usr/local wget https://github.com/goharbor/harbor/releases/download/v2.3.2/harbor-online-installer-v2.3.2.tgz



tar zxf /usr/local/harbor-online-installer-v2.3.2.tgz -C /data/harbor



# 修改配置文件,根据自己的需求进行修改

cd /var/www/dream/harbor

cp harbor.yml.tmpl harbor.yml

# harbor.yml中按需修改或添加如下内容

# Configuration file of Harbor



# The IP address or hostname to access admin UI and registry service.

# DO NOT use localhost or 127.0.0.1, because Harbor needs to be accessed by external clients.

hostname: harbor.unixsre.com



# http related config

http:

  # port for http, default is 80. If https enabled, this port will redirect to https port

  port: 80



# https related config

https:

  # https port for harbor, default is 443

  port: 443

  # The path of cert and key files for nginx

  certificate: /data/harbor/ssl/unixsre.com.cer

  private_key: /data/harbor/ssl/unixsre.com.key



# # Uncomment following will enable tls communication between all harbor components

# internal_tls:

#  # set enabled to true means internal tls is enabled

#  enabled: true

#  # put your cert and key files on dir

#  dir: /etc/harbor/tls/internal



# Uncomment external_url if you want to enable external proxy

# And when it enabled the hostname will no longer used

# external_url: https://reg.mydomain.com:8433



# The initial password of Harbor admin

# It only works in first time to install harbor

# Remember Change the admin password from UI after launching Harbor.

# 初始密码,可以修改成自己需要的,然后后续在WEBUI上自行修改。

harbor_admin_password: 1234567

## 添加禁止用户自注册

self_registration: off

## 设置只有管理员可以创建项目

project_creation_restriction: adminonly

# The default data volume

data_volume: /data/harbor

# 执行安装命令

bash /data/harbor/install.sh

# 如果对配置文件harbor.yml,需要使用./prepare脚本重新生成

./prepare

# 重启

docker-compose restart



  1. 常用命令示例

# 登录

docker login https://harbor.unixsre.com

# 拉取

docker pull busybox

# 打包

docker build -t busybox:v1 .

docker build -t busybox:v1 -f Dockerfile .

# 打TAG

docker tag busybox:latest harbor.unixsre.com/ops/busybox:latest

# 上传

docker push harbor.unixsre.com/library/busybox:latest

# k3s pull

k3s crictl pull harbor.unixsre.com/library/busybox

  1. 备份harbor库,并且导出用于恢复.

# 进入容器备份

docker container exec -it harbor-db /bin/bash

# 执行pg备份

pg_dump -U postgres registry > /tmp/registry.sql

pg_dump -U postgres notarysigner > /tmp/notarysigner.sql 

pg_dump -U postgres notaryserver > /tmp/notaryserver.sql

# 复制到本地宿主机

docker container cp harbor-db:/tmp/registry.sql /data/harbor/backup_sql/

docker container cp harbor-db:/tmp/notarysigner.sql /data/harbor/backup_sql/

docker container cp harbor-db:/tmp/notaryserver.sql /data/harbor/backup_sql/

安装PG主从集群

PostgreSql主从复制是一种高可用解决方案,可以实现读写分离,实时备份,PG的主从复制是基于xlog来实现的,主库开启日志功能,从库根据主库xlog来完成数据的同步。

PG主从复制注意事项:

  • 启动从库之前: 不能执行初始化,若已经初始化了需要删掉对应的目录中的数据文件。

  • 启动从库之前: 需要通过base_backup从主服务器上同步配置与数据。

  • 启动从库之前: 需要对同步之后的配置文件(standby.signal)进行修改。

  • 从库只能读,不能写。

  1. 分别在每个ECS安装postgresql-13

# 添加PG apt源

sh -c 'echo "deb http://apt.postgresql.org/pub/repos/apt $(lsb_release -cs)-pgdg main" > /etc/apt/sources.list.d/pgdg.list'

wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | sudo apt-key add -

# 更新源

apt-get update

# 安装PG13

apt -y install postgresql-13 postgresql-client-13 postgresql-contrib

# 验证服务是否启动成功

systemctl status postgresql@13-main.service

# 登录验证修改密码

sudo -i -u postgres psql -p 5432

ALTER USER postgres WITH PASSWORD '1234567.com';

# 登录验证

psql -h localhost -p 5432 -U postgres

  1. 创建PG数据目录,分别在每个机器上创建.

#创建数据目录

mkdir -p /data/harbor_nas/pgsql/data && chown postgres:postgres /data/harbor_nas/pgsql/data

#创建归档目录

mkdir -p /data/harbor_nas/pgsql/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql/pg_archive

#给目录赋权

chmod 700 /data/harbor_nas/pgsql/pg_archive/ && chmod 700 /data/harbor_nas/pgsql/data/

  1. 添加systemd启动配置文件中的数据目录环境变量.

vim /lib/systemd/system/postgresql@.service

Environment=PGDATA=/data/harbor_nas/pgsql/data

# 重载

systemctl daemon-reload

# 删除默认集群

pg_dropcluster --stop 13 main

# 在新目录创建集群

pg_createcluster -d /data/harbor_nas/pgsql/data 13 main

# 重启服务

systemctl restart postgresql@13-main.service

# 配置开机启动

systemctl enable postgresql@13-main.service

#开启外部访问配置

vim /etc/postgresql/13/main/pg_hba.conf

local  all            postgres                                peer



# TYPE  DATABASE        USER            ADDRESS                METHOD



# "local" is for Unix domain socket connections only

local  all            all                                    peer

# IPv4 local connections:

host    all            all            0.0.0.0/0            md5

# IPv6 local connections:

host    all            all            ::1/128                md5

# Allow replication connections from localhost, by a user with the

# replication privilege.

local  replication    all                                    peer

host    replication    all            127.0.0.1/32            md5

host    replication    all            ::1/128                md5

# 修改集群监听地址

vim /etc/postgresql/13/main/postgresql.conf

listen_addresses = '*'

# 重启服务

systemctl restart postgresql@13-main.service



  1. 主服务器配置

# 创建具有复制流操作权限的的用户:replica

CREATE ROLE replica login replication encrypted password 'Deniss_12PRO@@@';

# 添加从服务器免密登录,replica为用户,172.19.48.254X为从节点的内网IP,md5为允许密码验证, trust为免密。

vim /etc/postgresql/13/main/pg_hba.conf

host    replication    replica 172.19.48.254/20                trust

# 添加主服务器postgresql.conf配置

vim /etc/postgresql/13/main/postgresql.conf

listen_addresses = '*'

max_connections = 100

archive_mode = on

archive_command = 'test ! -f /data/harbor_nas/pgsql/pg_archive/%f && cp %p /data/harbor_nas/pgsql/pg_archive/%f'

wal_level = replica

# 重启服务

systemctl restart postgresql@13-main.service

  1. 从服务器配置

# 如果前面已经在从服务器执行过了这个操作,直接可以进入postgres用户家目录清理、复制数据。

#创建数据目录

mkdir -p /data/harbor_nas/pgsql_replica/data && chown postgres:postgres /data/harbor_nas/pgsql_replica/data

#创建归档目录

mkdir -p /data/harbor_nas/pgsql_replica/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql_replica/pg_archive

#给目录赋权

chmod 700 /data/harbor_nas/pgsql_replica/pg_archive/ && chmod 700 /data/harbor_nas/pgsql_replica/data/

# 添加如下配置

vim /lib/systemd/system/postgresql@.service

Environment=PGDATA=/data/harbor_nas/pgsql_replica/data/

# 重载配置

systemctl daemon-reload

#删除默认目录的集群

pg_dropcluster --stop 13 main

#在新目录创建集群

pg_createcluster -d /data/harbor_nas/pgsql_replica/data 13 main

#重启服务

systemctl restart postgresql@13-main.service

# 进入postgres用户清理初始化的数据,从主服务器复制数据。

su - postgres

rm -rf /data/harbor_nas/pgsql_replica/data/*

pg_basebackup -h 172.19.48.253 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql_replica/data

echo "standby_mode = 'on'" > /data/harbor_nas/pgsql_replica/data/standby.signal

# 修改从服务器配置

vim /etc/postgresql/13/main/postgresql.conf

primary_conninfo = 'host=172.19.48.253 port=5432 user=replica password=Deniss_12PRO@@@'

recovery_target_timeline = latest

max_connections = 100

hot_standby = on

max_standby_streaming_delay = 30s

wal_receiver_status_interval = 10s

hot_standby_feedback = on

# 启动从节点PG数据库

systemctl start postgresql@13-main.service

# 登录主节点数据库查看装

psql -h 172.19.48.253 -p 5432 -U postgres

postgres=# select client_addr,sync_state from pg_stat_replication;

  client_addr  | sync_state

---------------+------------

  172.19.48.254 | async

# 至此,PG主从复制安装完成。



配置Horbor为PG主节点

  1. 登录主节点创建harbor用户与harbor需要的DB,并且将数据恢复到当前数据.

# 新建Harbor用户

CREATE USER harbor LOGIN PASSWORD 'Deniss1112s';

CREATE SCHEMA harbor;

GRANT harbor TO postgres;GRANT USAGE ON SCHEMA harbor TO postgres;

ALTER SCHEMA harbor OWNER TO postgres;

# 创建数据库

CREATE DATABASE registry OWNER harbor;

CREATE DATABASE notarysigner OWNER harbor;

CREATE DATABASE notaryserver OWNER harbor;

# 授权

GRANT ALL PRIVILEGES ON DATABASE registry TO harbor;

GRANT ALL PRIVILEGES ON DATABASE notarysigner TO harbor;

GRANT ALL PRIVILEGES ON DATABASE notaryserver TO harbor;

# 恢复数据库

psql -h localhost -U harbor registry < /data/harbor/backup_sql/registry.sql

psql -h localhost -U harbor notarysigner  < /data/harbor/backup_sql/notarysigner.sql

psql -h localhost -U harbor notaryserver < /data/harbor/backup_sql/notaryserver.sql

  1. 对俩个ECS的harbor.yml进行调整,开启外部PG、Redis配置,注释默认PG数据库配置,注意:俩个ECS链接的必须为一样的Redis与PG数据库。

hostname: harbor.unixsre.com



http:

  port: 80



https:

  port: 443

  certificate: /data/harbor/ssl/unixsre.com.cer

  private_key: /data/harbor/ssl/unixsre.com.key



harbor_admin_password: 1234567



data_volume: /data/harbor_nas/harbor_data



trivy:

  ignore_unfixed: false

  skip_update: false

  insecure: false



jobservice:

  max_job_workers: 10



notification:

  webhook_job_max_retry: 10



chart:

  absolute_url: disabled



log:

  level: info

  local:

    rotate_count: 50

    rotate_size: 200M

    location: /var/log/harbor



_version: 2.3.0



external_database:

  harbor:

    host: 172.19.48.253

    port: 5432

    db_name: registry

    username: harbor

    password: Deniss1112s

    ssl_mode: disable

    max_idle_conns: 2

    max_open_conns: 0

  notary_signer:

    host: 172.19.48.253

    port: 5432

    db_name: notarysigner

    username: harbor

    password: Deniss1112s

    ssl_mode: disable

  notary_server:

    host: 172.19.48.253

    port: 5432

    db_name: notaryserver

    username: harbor

    password: Deniss1112s

    ssl_mode: disable



external_redis:

  host: 172.19.48.253:6379

  password: Deniss1589s

  registry_db_index: 1

  jobservice_db_index: 2

  chartmuseum_db_index: 3

  trivy_db_index: 5

  idle_timeout_seconds: 30



proxy:

  http_proxy:

  https_proxy:

  no_proxy:

  components:

    - core

    - jobservice

    - trivy

  1. harbor重新生成配置,并且重启容器.

cd /data/harbor/

./prepare

docker-compose down && docker-compose up -d

  1. 在阿里云创建传统SLB,使用TCP四层添加443端口监听。
SLB01
SLB02
  1. 将域名绑定在新建的SLB上,这个SLB不一定非要是阿里云的,任何云的SLB都可以,比如AWS、微软云、GCP都可以。

PG主从故障切换

假设主库宕机或者主节点宕机,因为我们的Redis在阿里云,而Harbor的镜像数据在阿里云的NFS,要保证服务的可用性,这个时候,只需要快速的将从节点切换为主库,并且修改Harbor的配置文件,重启Harbor的服务下即可。

下面为手动操作,建议调整为脚本执行快速切换。

  1. 模拟当前主节点库挂掉,

# 停止主数据库的PG服务.

service postgresql@13-main stop

  1. 激活备库为主库.

psql -h 172.19.48.254 -p 5432 -U postgres

postgres=# select pg_promote(true,60);

# 验证是否升级为主库

/usr/lib/postgresql/13/bin/pg_controldata -D /data/harbor_nas/pgsql_replica/data/ |grep cluster

Database cluster state:              in production

  1. 修改Harbor配置,重启所有Harbor服务

#

sed -i 's/172.19.48.253/172.19.48.254/'

./prepare

docker-compose down && docker-compose up -d

  1. 访问域名,验证harbor服务的可用性。

  2. 快速恢复主节点,将主节点的PG库设置为从库。


# 修改253从库免密配置,可以提前设置好,不需要此处配置了

/etc/postgresql/13/main/pg_hba.conf

host    replication    replica 172.19.48.253/20                trust

# 切换用户

su - postgres

# 清理数据

rm -rf /data/harbor_nas/pgsql/data/*

# 同步254数据到253

pg_basebackup -h 172.19.48.254 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql/data/

echo "standby_mode = 'on'" > /data/harbor_nas/pgsql/data/standby.signal

# 修改253配置

vim /etc/postgresql/13/main/postgresql.conf

primary_conninfo = 'host=172.19.48.254 port=5432 user=replica password=Deniss_12PRO@@@'

recovery_target_timeline = latest

max_connections = 100

hot_standby = on

max_standby_streaming_delay = 30s

wal_receiver_status_interval = 10s

hot_standby_feedback = on

# 启动253PG服务

systemctl start postgresql@13-main.service



  1. 在当前主节点254登录验证集群复制是否正常.

# 登录节点验证当前同步是否正常

psql -h localhost -p 5432 -U postgres

postgres=# select client_addr,sync_state from pg_stat_replication;

  client_addr  | sync_state

---------------+------------

  172.19.48.253 | async

  1. 如果想将原来的库基本恢复成主库,只需要清理掉standby.signal文件,在原来的从库上的数据目录中新建standby.signal文件,并且将standby_mode = 'on'配置好,重启PG服务即可。

灾难性故障恢复

对于不可抗拒因素是比较极端的情况,任何人都无法预料,包括当前的各种云厂商,我们只把能想到的,能做到的全部做好,我这边已经做了PG数据库的全备上传到了OSS上,Harbor的镜像数据阿里云NFS一份,OSS一份,想要灾难性恢复必须保证如下俩个前提:

  • PG数据库全备可用(注意:必须可以承受丢失全备时间起止到故障时间的数据)。

  • 阿里云NFS或者OSS中的Harbor镜像数据文件可用。

恢复步骤:搭建一个单节点PG,全备导入,Harbor中的配置使用单节点PG,Redis本地或者harbor启动的都可以,然后使用docker-compose启动即可,具体操作步骤不在叙述。

但是这样并不是最快的方法,还有没有更好的方案呢?当然有了,使用云服务,一切都交给云,但是就算是云也不可能保证100%的可用性,此处的灾难性故障恢复,仅做抛砖引玉,并不是最终的解决方案,只是给大家提供一个可以展开思考的思路,如果大家有更完美完善的方案,欢迎一起交流。

欢迎搜索k8stech 公众号(Kubernetes技术栈)关注云原生与SRE、运维开发等技术文摘。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 143,809评论 1 304
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 61,651评论 1 257
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 95,178评论 0 213
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 41,241评论 0 181
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 49,047评论 1 259
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 38,899评论 1 178
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 30,503评论 2 274
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 29,249评论 0 168
  • 想象着我的养父在大火中拼命挣扎,窒息,最后皮肤化为焦炭。我心中就已经是抑制不住地欢快,这就叫做以其人之道,还治其人...
    爱写小说的胖达阅读 29,125评论 6 235
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 32,605评论 0 213
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 29,368评论 2 215
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 30,723评论 1 232
  • 白月光回国,霸总把我这个替身辞退。还一脸阴沉的警告我。[不要出现在思思面前, 不然我有一百种方法让你生不如死。]我...
    爱写小说的胖达阅读 24,285评论 0 32
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 27,190评论 2 214
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 31,634评论 3 209
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,651评论 0 9
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,052评论 0 167
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 33,638评论 2 232
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 33,760评论 2 237

推荐阅读更多精彩内容