生产环境搭建高可用Harbor（包括恢复演练实操）

生产环境搭建高可用Harbor（包括恢复演练实操）

前言

因资源成本问题，本Harbor高可用架构为最小开销方案，如果资源充足，可以将PG、Redis全部使用使用云厂商集群模式。

同时为了配置简单，并没用使用keepalived与heartbeat等高可用开源组件。

准备工作

阿里云SLB	阿里云ECS	共享存储	Redis
最小实例SLB	2c4g 俩台	阿里云NFS	阿里云Redis

操作系统为Ubuntu18.04，在俩台ECS上搭建主从PG，如果不想用阿里云redis，也可以使用ECS搭建Redis。

安装Harbor，用于导出基础harbor数据，恢复到PG集群中.

1. 安装docker-compose

   curl -L "https://github.com/docker/compose/releases/download/1.24.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-composesudo chmod +x /usr/local/bin/docker-composesudo add-apt-repository "deb [arch=amd64] http://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable"# 添加国内阿里云curl -fsSL http://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo apt-key add -#更新sudo apt-get update[[查看docker]]版本apt-cache madison docker-ce#安装最新版sudo apt-get install -y docker-ce[[安装5]]:19.03.6~3-0~ubuntu-bionic版sudo apt-get install -y docker-ce=5:19.03.6~3-0~ubuntu-bionic

2. Docker配置镜像加速与国内docker-cn源

   sudo tee /etc/docker/daemon.json <<-'EOF'{  "registry-mirrors": ["https://8sab4djv.mirror.aliyuncs.com"],    "registry-mirrors": ["https://registry.docker-cn.com"],  "insecure-registries": ["https://harbor.unixsre.com"]}EOFsudo systemctl daemon-reloadsudo systemctl restart docker

   

3. 安装Harbor2.3

   # 下载Harborwget -P /usr/local wget https://github.com/goharbor/harbor/releases/download/v2.3.2/harbor-online-installer-v2.3.2.tgztar zxf /usr/local/harbor-online-installer-v2.3.2.tgz -C /data/harbor# 修改配置文件，根据自己的需求进行修改cd /var/www/dream/harborcp harbor.yml.tmpl harbor.yml# harbor.yml中按需修改或添加如下内容# Configuration file of Harbor# The IP address or hostname to access admin UI and registry service.# DO NOT use localhost or 127.0.0.1, because Harbor needs to be accessed by external clients.hostname: harbor.unixsre.com# http related confighttp:  # port for http, default is 80. If https enabled, this port will redirect to https port  port: 80# https related confighttps:  # https port for harbor, default is 443  port: 443  # The path of cert and key files for nginx  certificate: /data/harbor/ssl/unixsre.com.cer  private_key: /data/harbor/ssl/unixsre.com.key# # Uncomment following will enable tls communication between all harbor components# internal_tls:#   # set enabled to true means internal tls is enabled#   enabled: true#   # put your cert and key files on dir#   dir: /etc/harbor/tls/internal# Uncomment external_url if you want to enable external proxy# And when it enabled the hostname will no longer used# external_url: https://reg.mydomain.com:8433# The initial password of Harbor admin# It only works in first time to install harbor# Remember Change the admin password from UI after launching Harbor.# 初始password，可以修改成自己需要的，然后后续在WEBUI上自行修改。harbor_admin_password: 1234567## 添加禁止用户自注册self_registration: off## 设置只有管理员可以创建项目project_creation_restriction: adminonly# The default data volumedata_volume: /data/harbor# 执行安装命令bash /data/harbor/install.sh# 如果对配置文件harbor.yml，需要使用./prepare脚本重新生成./prepare# 重启docker-compose restart

4. 常用命令示例

   # 登录docker login https://harbor.unixsre.com# 拉取docker pull busybox# 打包docker build -t busybox:v1 . docker build -t busybox:v1 -f Dockerfile .# 打TAGdocker tag busybox:latest harbor.unixsre.com/ops/busybox:latest# 上传docker push harbor.unixsre.com/library/busybox:latest# k3s pullk3s crictl pull harbor.unixsre.com/library/busybox

5. 备份harbor库，并且导出用于恢复.

   # 进入容器备份docker container exec -it harbor-db /bin/bash# 执行pg备份pg_dump -U postgres registry > /tmp/registry.sql pg_dump -U postgres notarysigner > /tmp/notarysigner.sql  pg_dump -U postgres notaryserver > /tmp/notaryserver.sql# 复制到本地宿主机docker container cp harbor-db:/tmp/registry.sql /data/harbor/backup_sql/docker container cp harbor-db:/tmp/notarysigner.sql /data/harbor/backup_sql/docker container cp harbor-db:/tmp/notaryserver.sql /data/harbor/backup_sql/

安装PG主从集群

PostgreSql主从复制是一种高可用解决方案，可以实现读写分离，实时备份，PG的主从复制是基于xlog来实现的，主库开启日志功能，从库根据主库xlog来完成数据的同步。

PG主从复制注意事项：

• 启动从库之前: 不能执行初始化，若已经初始化了需要删掉对应的目录中的数据文件。

• 启动从库之前: 需要通过base_backup从主服务器上同步配置与数据。

• 启动从库之前: 需要对同步之后的配置文件（standby.signal）进行修改。

• 从库只能读，不能写。

1. 分别在每个ECS安装postgresql-13

   # 添加PG apt源sh -c 'echo "deb http://apt.postgresql.org/pub/repos/apt $(lsb_release -cs)-pgdg main" > /etc/apt/sources.list.d/pgdg.list'wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | sudo apt-key add -# 更新源apt-get update# 安装PG13apt -y install postgresql-13 postgresql-client-13 postgresql-contrib# 验证服务是否启动成功systemctl status postgresql@13-main.service# 登录验证修改pwdsudo -i -u postgres psql -p 5432ALTER USER postgres WITH PASSWORD '1234567.com';# 登录验证psql -h localhost -p 5432 -U postgres

2. 创建PG数据目录，分别在每个机器上创建.

   #创建数据目录mkdir -p /data/harbor_nas/pgsql/data && chown postgres:postgres /data/harbor_nas/pgsql/data#创建归档目录mkdir -p /data/harbor_nas/pgsql/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql/pg_archive#给目录赋权chmod 700 /data/harbor_nas/pgsql/pg_archive/ && chmod 700 /data/harbor_nas/pgsql/data/

3. 添加systemd启动配置文件中的数据目录环境变量.

   vim /lib/systemd/system/postgresql@.serviceEnvironment=PGDATA=/data/harbor_nas/pgsql/data# 重载systemctl daemon-reload# 删除默认集群pg_dropcluster --stop 13 main# 在新目录创建集群pg_createcluster -d /data/harbor_nas/pgsql/data 13 main# 重启服务systemctl restart postgresql@13-main.service# 配置开机启动systemctl enable postgresql@13-main.service#开启外部访问配置vim /etc/postgresql/13/main/pg_hba.conflocal   all             postgres                                peer# TYPE  DATABASE        USER            ADDRESS                 METHOD# "local" is for Unix domain socket connections onlylocal   all             all                                     peer# IPv4 local connections:host    all             all             0.0.0.0/0            md5# IPv6 local connections:host    all             all             ::1/128                 md5# Allow replication connections from localhost, by a user with the# replication privilege.local   replication     all                                     peerhost    replication     all             127.0.0.1/32            md5host    replication     all             ::1/128                 md5# 修改集群监听地址vim /etc/postgresql/13/main/postgresql.conflisten_addresses = '*'# 重启服务systemctl restart postgresql@13-main.service

4. 主服务器配置

   # 创建具有复制流操作权限的的用户：replicaCREATE ROLE replica login replication encrypted password 'Deniss_12PRO@@@';# 添加从服务器免密登录,replica为用户,172.19.48.254X为从节点的内网IP，md5为允许验证, trust为免密。vim /etc/postgresql/13/main/pg_hba.confhost    replication    replica 172.19.48.254/20                 trust# 添加主服务器postgresql.conf配置vim /etc/postgresql/13/main/postgresql.conflisten_addresses = '*'max_connections = 100archive_mode = onarchive_command = 'test ! -f /data/harbor_nas/pgsql/pg_archive/%f && cp %p /data/harbor_nas/pgsql/pg_archive/%f'wal_level = replica# 重启服务systemctl restart postgresql@13-main.service

5. 从服务器配置

   # 如果前面已经在从服务器执行过了这个操作，直接可以进入postgres用户家目录清理、复制数据。#创建数据目录mkdir -p /data/harbor_nas/pgsql_replica/data && chown postgres:postgres /data/harbor_nas/pgsql_replica/data#创建归档目录mkdir -p /data/harbor_nas/pgsql_replica/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql_replica/pg_archive#给目录赋权chmod 700 /data/harbor_nas/pgsql_replica/pg_archive/ && chmod 700 /data/harbor_nas/pgsql_replica/data/# 添加如下配置vim /lib/systemd/system/postgresql@.serviceEnvironment=PGDATA=/data/harbor_nas/pgsql_replica/data/# 重载配置systemctl daemon-reload#删除默认目录的集群pg_dropcluster --stop 13 main#在新目录创建集群pg_createcluster -d /data/harbor_nas/pgsql_replica/data 13 main#重启服务systemctl restart postgresql@13-main.service# 进入postgres用户清理初始化的数据，从主服务器复制数据。su - postgresrm -rf /data/harbor_nas/pgsql_replica/data/*pg_basebackup -h 172.19.48.253 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql_replica/dataecho "standby_mode = 'on'" > /data/harbor_nas/pgsql_replica/data/standby.signal# 修改从服务器配置vim /etc/postgresql/13/main/postgresql.confprimary_conninfo = 'host=172.19.48.253 port=5432 user=replica password=Deniss_12PRO@@@'recovery_target_timeline = latestmax_connections = 100hot_standby = onmax_standby_streaming_delay = 30swal_receiver_status_interval = 10shot_standby_feedback = on# 启动从节点PG数据库systemctl start postgresql@13-main.service# 登录主节点数据库查看装psql -h 172.19.48.253 -p 5432 -U postgrespostgres=# select client_addr,sync_state from pg_stat_replication;  client_addr  | sync_state---------------+------------ 172.19.48.254 | async# 至此，PG主从复制安装完成。 

配置Horbor为PG主节点

1. 登录主节点创建harbor用户与harbor需要的DB，并且将数据恢复到当前数据.

   # 新建Harbor用户CREATE USER harbor LOGIN PASSWORD 'Deniss1112s';CREATE SCHEMA harbor;GRANT harbor TO postgres;GRANT USAGE ON SCHEMA harbor TO postgres;ALTER SCHEMA harbor OWNER TO postgres;# 创建数据库CREATE DATABASE registry OWNER harbor;CREATE DATABASE notarysigner OWNER harbor;CREATE DATABASE notaryserver OWNER harbor;# 授权GRANT ALL PRIVILEGES ON DATABASE registry TO harbor;GRANT ALL PRIVILEGES ON DATABASE notarysigner TO harbor;GRANT ALL PRIVILEGES ON DATABASE notaryserver TO harbor;# 恢复数据库psql -h localhost -U harbor registry < /data/harbor/backup_sql/registry.sqlpsql -h localhost -U harbor notarysigner  < /data/harbor/backup_sql/notarysigner.sqlpsql -h localhost -U harbor notaryserver < /data/harbor/backup_sql/notaryserver.sql

2. 对俩个ECS的harbor.yml进行调整，开启外部PG、Redis配置，注释默认PG数据库配置，注意：俩个ECS链接的必须为一样的Redis与PG数据库。

   hostname: harbor.unixsre.comhttp:  port: 80https:  port: 443  certificate: /data/harbor/ssl/unixsre.com.cer  private_key: /data/harbor/ssl/unixsre.com.keyharbor_admin_password: 1234567data_volume: /data/harbor_nas/harbor_datatrivy:  ignore_unfixed: false  skip_update: false  insecure: falsejobservice:  max_job_workers: 10notification:  webhook_job_max_retry: 10chart:  absolute_url: disabledlog:  level: info  local:    rotate_count: 50    rotate_size: 200M    location: /var/log/harbor_version: 2.3.0external_database:  harbor:    host: 172.19.48.253    port: 5432    db_name: registry    username: harbor    password: Deniss1112s    ssl_mode: disable    max_idle_conns: 2    max_open_conns: 0  notary_signer:    host: 172.19.48.253    port: 5432    db_name: notarysigner    username: harbor    password: Deniss1112s    ssl_mode: disable  notary_server:    host: 172.19.48.253    port: 5432    db_name: notaryserver    username: harbor    password: Deniss1112s    ssl_mode: disableexternal_redis:  host: 172.19.48.253:6379  password: Deniss1589s  registry_db_index: 1  jobservice_db_index: 2  chartmuseum_db_index: 3  trivy_db_index: 5  idle_timeout_seconds: 30proxy:  http_proxy:  https_proxy:  no_proxy:  components:    - core    - jobservice    - trivy

3. harbor重新生成配置，并且重启容器.

   cd /data/harbor/./preparedocker-compose down && docker-compose up -d

4. 在阿里云创建传统SLB，使用TCP四层添加443端口监听。

   

   

5. 将域名绑定在新建的SLB上，这个SLB不一定非要是阿里云的，任何云的SLB都可以，比如AWS、微软云、GCP都可以。

PG主从故障切换

假设主库宕机或者主节点宕机，因为我们的Redis在阿里云，而Harbor的镜像数据在阿里云的NFS，要保证服务的可用性，这个时候，只需要快速的将从节点切换为主库，并且修改Harbor的配置文件，重启Harbor的服务下即可。

下面为手动操作，建议调整为脚本执行快速切换。

1. 模拟当前主节点库挂掉,

   # 停止主数据库的PG服务.service postgresql@13-main stop

2. 激活备库为主库.

   psql -h 172.19.48.254 -p 5432 -U postgrespostgres=# select pg_promote(true,60);# 验证是否升级为主库/usr/lib/postgresql/13/bin/pg_controldata -D /data/harbor_nas/pgsql_replica/data/ |grep clusterDatabase cluster state:               in production

3. 修改Harbor配置，重启所有Harbor服务

   # sed -i 's/172.19.48.253/172.19.48.254/' ./preparedocker-compose down && docker-compose up -d

4. 访问域名，验证harbor服务的可用性。

5. 快速恢复主节点，将主节点的PG库设置为从库。

   # 修改253从库免密配置，可以提前设置好，不需要此处配置了/etc/postgresql/13/main/pg_hba.confhost    replication    replica 172.19.48.253/20                 trust# 切换用户su - postgres# 清理数据rm -rf /data/harbor_nas/pgsql/data/*# 同步254数据到253pg_basebackup -h 172.19.48.254 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql/data/echo "standby_mode = 'on'" > /data/harbor_nas/pgsql/data/standby.signal# 修改253配置vim /etc/postgresql/13/main/postgresql.confprimary_conninfo = 'host=172.19.48.254 port=5432 user=replica password=Deniss_12PRO@@@'recovery_target_timeline = latestmax_connections = 100hot_standby = onmax_standby_streaming_delay = 30swal_receiver_status_interval = 10shot_standby_feedback = on# 启动253PG服务systemctl start postgresql@13-main.service

6. 在当前主节点254登录验证集群复制是否正常.

   # 登录节点验证当前同步是否正常psql -h localhost -p 5432 -U postgrespostgres=# select client_addr,sync_state from pg_stat_replication;  client_addr  | sync_state---------------+------------ 172.19.48.253 | async

7. 如果想将原来的库基本恢复成主库，只需要清理掉standby.signal文件，在原来的从库上的数据目录中新建standby.signal文件，并且将standby_mode = 'on'配置好，重启PG服务即可。

灾难性故障恢复

对于不可抗拒因素是比较极端的情况，任何人都无法预料，包括当前的各种云厂商，我们只把能想到的，能做到的全部做好，我这边已经做了PG数据库的全备上传到了OSS上，Harbor的镜像数据阿里云NFS一份，OSS一份，想要灾难性恢复必须保证如下俩个前提：

• PG数据库全备可用（注意：必须可以承受丢失全备时间起止到故障时间的数据）。
• 阿里云NFS或者OSS中的Harbor镜像数据文件可用。

恢复步骤：搭建一个单节点PG，全备导入，Harbor中的配置使用单节点PG，Redis本地或者harbor启动的都可以，然后使用docker-compose启动即可，具体操作步骤不在叙述。

但是这样并不是最快的方法，还有没有更好的方案呢？当然有了，使用云服务，一切都交给云，但是就算是云也不可能保证100%的可用性，此处的灾难性故障恢复，仅做抛砖引玉，并不是最终的解决方案，只是给大家提供一个可以展开思考的思路，如果大家有更完美完善的方案，欢迎一起交流。