要审计 Docker 镜像仓库的 pull/push 行为，需启用仓库服务端日志：Harbor 默认支持审计日志，配置 audit_log 并重启即可；Containerd 仅记录镜像操作不带用户身份；自建 Registry 需通过 Nginx 反向代理记录含 Authorization 的访问日志；建议联动漏洞扫描与 SIEM 做策略审计。
要审计 Docker 镜像仓库中用户的拉取（pull）与推送（push）行为，核心是启用并采集仓库服务自身产生的操作日志，而不是依赖客户端（如 Docker CLI）的日志。不同仓库实现方式不同，但主流方案集中在 Harbor 和自建 Registry 两类。
Harbor 仓库：开启内置审计日志
Harbor 默认已启用基础审计日志，记录用户身份、操作类型、镜像路径、时间戳等关键信息：
- 确认 /etc/harbor/harbor.yml 中 audit_log 段已配置启用，例如：
audit_log:<br> location: /var/log/harbor/audit.log<br> max_size: 100M<br> max_backup: 10
- 修改后需重新部署：
sudo ./install.sh或docker-compose down && docker-compose up -d - 日志内容示例：
{"type":"pull","username":"dev-user","repo":"library/nginx","tag":"1.25-alpine","time":"2026-08-13T21:15:22Z"}
或推送行为：{"type":"push","username":"ci-bot","repo":"prod/app","tag":"v2.4.0","status":"success"} - 支持通过 Harbor Web 界面「系统管理 → 审计日志」直接查看，也支持 API 查询：
GET /api/v2.0/systemlogs?from=1723551300&to=1723554900&type=pull
Containerd 运行时侧：捕获底层拉取/推送动作
当使用 Containerd 作为运行时（如 Kubernetes 节点），它本身不直接审计“谁”在拉取，但可记录“哪个镜像、从哪、是否成功”。需主动开启调试日志：
- 编辑 /etc/containerd/config.toml，添加或修改 debug 日志段：
[debug]<br> level = "debug"<br>[log]<br> format = "json"<br> fields = ["image", "action", "remote", "status"]
- 重启服务：
sudo systemctl restart containerd - 日志中会输出类似：
{"image":"registry.example.com/app:latest","action":"pull","remote":"https://registry.example.com/v2/","status":"success","duration":3210} - 注意：这类日志不带用户身份，仅反映节点行为，适合排查拉取失败或定位镜像源，不能替代仓库层的权限审计。
自建 Docker Registry（开源版）：启用 HTTP 访问日志
原生 Registry 不提供用户级审计功能，但可通过反向代理（如 Nginx）补全日志：
- 在 Nginx 配置中开启详细 access_log，记录请求头中的 Authorization 解码后用户名（需配合 basic auth）、X-Forwarded-For、URI 和状态码：
log_format registry '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_authorization"'; - URI 路径含操作线索，例如：
GET /v2/myapp/manifests/latest→ 拉取PUT /v2/myapp/blobs/uploads/→ 推送分块上传 - 搭配 logrotate 管理日志轮转，再用 ELK 或 Loki 做结构化解析与告警。
补充建议：联动漏洞扫描与策略审计
单纯看 pull/push 日志还不够，真正有效的审计需结合上下文：
- 在 Harbor 中启用 Trivy 扫描，并设置策略：禁止拉取含高危漏洞的镜像（通过项目级机器人账户或 webhook 拦截）
- 对高频拉取非官方镜像（如无命名空间的
redis）或异常时间推送行为，配置 SIEM 工具做关联分析 - 定期导出审计日志，比对 CI/CD 流水线预期推送清单，识别未授权镜像发布
