企业级Docker Registry必须具备持久化存储、HTTPS加密、身份认证和高可用支撑四大能力：挂载本地目录或配置S3/MinIO等对象存储实现数据持久化；通过TLS证书启用HTTPS避免客户端拒绝推送；使用htpasswd等机制配置基础认证防止未授权操作；生产环境推荐Harbor或registry+负载均衡+共享存储的分层架构。
直接用 Docker 官方 registry 镜像可以快速启动一个基础仓库，但要达到企业级可用，必须补上持久化存储、HTTPS 加密、身份认证、高可用支撑这四个关键能力。跳过任一环节，都可能在安全审计、跨团队协作或生产发布时出问题。
持久化存储：避免容器重启后镜像丢失
默认运行的 registry 会把镜像存在容器内部，一旦容器删除或崩溃，所有镜像就没了。必须挂载宿主机目录或网络存储：
- 使用本地目录（适合测试或小团队）：
-v /data/registry:/var/lib/registry - 生产环境推荐对象存储（如 MinIO、AWS S3、阿里云 OSS），配置在
config.yml中：
storage: { s3: { bucket: "my-registry-bucket", region: "us-east-1", ... } } - 不要依赖容器默认的 overlay2 存储驱动——它不支持多节点共享，也不便于备份
启用 HTTPS：否则 Docker 客户端拒绝推送
Docker 默认只信任 HTTPS 仓库。HTTP 仓库需在每台客户端手动加 insecure-registries，既不安全又难维护。正确做法是：
- 生成证书（开发可用自签名）：
openssl req -newkey rsa:4096 -nodes -sha256 -x509 -days 365 -subj "/CN=registry.example.com" -keyout domain.key -out domain.crt - 启动时挂载证书并启用 TLS：
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key -v ./certs:/certs - 客户端需将
domain.crt复制到/etc/docker/certs.d/registry.example.com:5000/ca.crt才能信任
配置基础认证：防止未授权上传和删除
没有认证的 registry 等于敞开大门。用 htpasswd 实现最轻量的用户名密码控制：
- 生成密码文件：
mkdir -p /auth && docker run --rm --entrypoint htpasswd httpd:2 -Bbn user1 pass1 > /auth/htpasswd - 启动带认证的 registry：
-e REGISTRY_AUTH=htpasswd -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" -e REGISTRY_AUTH_HTPASSWD_PATH="/auth/htpasswd" -v /auth:/auth - 客户端首次推送前必须执行：
docker login registry.example.com:5000 -u user1
面向企业进阶：考虑 Harbor 或分层架构
纯 registry 满足不了中大型团队的日常需求。这时有两个务实选择：
- 升级到 Harbor：提供图形界面、项目隔离、漏洞扫描、镜像复制、LDAP 集成、垃圾回收等开箱即用功能，适合需要 RBAC 和合规审计的场景
- 保留 registry + 增强外围：比如前端加 Nginx 做反向代理+访问日志+速率限制；后端对接 LDAP 认证中间件；搭配 Prometheus + Grafana 监控拉取成功率、存储用量、API 延迟等核心指标
