生產環境搭建高可用Harbor（包括恢復演練實操）

青牛踏雪發表於2022-02-16

生產環境搭建高可用Harbor（包括恢復演練實操）

前言

因資源成本問題，本Harbor高可用架構為最小開銷方案，如果資源充足，可以將PG、Redis全部使用使用雲廠商叢集模式。

同時為了配置簡單，並沒用使用keepalived與heartbeat等高可用開源元件。

harbor-arch

準備工作

阿里雲SLB 阿里雲ECS 共享儲存 Redis
最小例項SLB 2c4g 倆臺 阿里雲NFS 阿里雲Redis

作業系統為Ubuntu18.04，在倆臺ECS上搭建主從PG，如果不想用阿里雲redis，也可以使用ECS搭建Redis。

安裝Harbor，用於匯出基礎harbor資料，恢復到PG叢集中.

  1. 安裝docker-compose

    curl -L "https://github.com/docker/compose/releases/download/1.24.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
sudo chmod +x /usr/local/bin/docker-compose
sudo add-apt-repository "deb [arch=amd64] http://mirrors.aliyun.com/docker-ce/linux/ubuntu $(lsb_release -cs) stable"
# 新增國內阿里雲
curl -fsSL http://mirrors.aliyun.com/docker-ce/linux/ubuntu/gpg | sudo apt-key add -
#更新
sudo apt-get update
[[檢視docker]]版本
apt-cache madison docker-ce
#安裝最新版
sudo apt-get install -y docker-ce
[[安裝5]]:19.03.6~3-0~ubuntu-bionic版
sudo apt-get install -y docker-ce=5:19.03.6~3-0~ubuntu-bionic

  2. Docker配置映象加速與國內docker-cn源

    sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://8sab4djv.mirror.aliyuncs.com"],
    "registry-mirrors": ["https://registry.docker-cn.com"],
  "insecure-registries": ["https://harbor.unixsre.com"]
}
EOF
sudo systemctl daemon-reload
sudo systemctl restart docker

    映象加速

  3. 安裝Harbor2.3

    # 下載Harbor
wget -P /usr/local wget https://github.com/goharbor/harbor/releases/download/v2.3.2/harbor-online-installer-v2.3.2.tgz

tar zxf /usr/local/harbor-online-installer-v2.3.2.tgz -C /data/harbor

# 修改配置檔案，根據自己的需求進行修改
cd /var/www/dream/harbor
cp harbor.yml.tmpl harbor.yml
# harbor.yml中按需修改或新增如下內容
# Configuration file of Harbor

# The IP address or hostname to access admin UI and registry service.
# DO NOT use localhost or 127.0.0.1, because Harbor needs to be accessed by external clients.
hostname: harbor.unixsre.com

# http related config
http:
  # port for http, default is 80. If https enabled, this port will redirect to https port
  port: 80

# https related config
https:
  # https port for harbor, default is 443
  port: 443
  # The path of cert and key files for nginx
  certificate: /data/harbor/ssl/unixsre.com.cer
  private_key: /data/harbor/ssl/unixsre.com.key

# # Uncomment following will enable tls communication between all harbor components
# internal_tls:
#   # set enabled to true means internal tls is enabled
#   enabled: true
#   # put your cert and key files on dir
#   dir: /etc/harbor/tls/internal

# Uncomment external_url if you want to enable external proxy
# And when it enabled the hostname will no longer used
# external_url: https://reg.mydomain.com:8433

# The initial password of Harbor admin
# It only works in first time to install harbor
# Remember Change the admin password from UI after launching Harbor.
# 初始password，可以修改成自己需要的，然後後續在WEBUI上自行修改。
harbor_admin_password: 1234567
## 新增禁止使用者自注冊
self_registration: off
## 設定只有管理員可以建立專案
project_creation_restriction: adminonly
# The default data volume
data_volume: /data/harbor
# 執行安裝命令
bash /data/harbor/install.sh
# 如果對配置檔案harbor.yml，需要使用./prepare指令碼重新生成
./prepare
# 重啟
docker-compose restart

  4. 常用命令示例

    # 登入
docker login https://harbor.unixsre.com
# 拉取
docker pull busybox
# 打包
docker build -t busybox:v1 . 
docker build -t busybox:v1 -f Dockerfile .
# 打TAG
docker tag busybox:latest harbor.unixsre.com/ops/busybox:latest
# 上傳
docker push harbor.unixsre.com/library/busybox:latest
# k3s pull
k3s crictl pull harbor.unixsre.com/library/busybox

  5. 備份harbor庫，並且匯出用於恢復.

    # 進入容器備份
docker container exec -it harbor-db /bin/bash
# 執行pg備份
pg_dump -U postgres registry > /tmp/registry.sql 
pg_dump -U postgres notarysigner > /tmp/notarysigner.sql  
pg_dump -U postgres notaryserver > /tmp/notaryserver.sql
# 複製到本地宿主機
docker container cp harbor-db:/tmp/registry.sql /data/harbor/backup_sql/
docker container cp harbor-db:/tmp/notarysigner.sql /data/harbor/backup_sql/
docker container cp harbor-db:/tmp/notaryserver.sql /data/harbor/backup_sql/

安裝PG主從叢集

PostgreSql主從複製是一種高可用解決方案，可以實現讀寫分離，實時備份，PG的主從複製是基於xlog來實現的，主庫開啟日誌功能，從庫根據主庫xlog來完成資料的同步。

PG主從複製注意事項：

  • 啟動從庫之前: 不能執行初始化，若已經初始化了需要刪掉對應的目錄中的資料檔案。

  • 啟動從庫之前: 需要通過base_backup從主伺服器上同步配置與資料。

  • 啟動從庫之前: 需要對同步之後的配置檔案（standby.signal）進行修改。

  • 從庫只能讀，不能寫。

  1. 分別在每個ECS安裝postgresql-13

    # 新增PG apt源
sh -c 'echo "deb http://apt.postgresql.org/pub/repos/apt $(lsb_release -cs)-pgdg main" > /etc/apt/sources.list.d/pgdg.list'
wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | sudo apt-key add -
# 更新源
apt-get update
# 安裝PG13
apt -y install postgresql-13 postgresql-client-13 postgresql-contrib
# 驗證服務是否啟動成功
systemctl status postgresql@13-main.service
# 登入驗證修改pwd
sudo -i -u postgres psql -p 5432
ALTER USER postgres WITH PASSWORD '1234567.com';
# 登入驗證
psql -h localhost -p 5432 -U postgres

  2. 建立PG資料目錄，分別在每個機器上建立.

    #建立資料目錄
mkdir -p /data/harbor_nas/pgsql/data && chown postgres:postgres /data/harbor_nas/pgsql/data
#建立歸檔目錄
mkdir -p /data/harbor_nas/pgsql/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql/pg_archive
#給目錄賦權
chmod 700 /data/harbor_nas/pgsql/pg_archive/ && chmod 700 /data/harbor_nas/pgsql/data/

  3. 新增systemd啟動配置檔案中的資料目錄環境變數.

    vim /lib/systemd/system/postgresql@.service
Environment=PGDATA=/data/harbor_nas/pgsql/data
# 過載
systemctl daemon-reload
# 刪除預設叢集
pg_dropcluster --stop 13 main
# 在新目錄建立叢集
pg_createcluster -d /data/harbor_nas/pgsql/data 13 main
# 重啟服務
systemctl restart postgresql@13-main.service
# 配置開機啟動
systemctl enable postgresql@13-main.service
#開啟外部訪問配置
vim /etc/postgresql/13/main/pg_hba.conf
local   all             postgres                                peer

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             0.0.0.0/0            md5
# IPv6 local connections:
host    all             all             ::1/128                 md5
# Allow replication connections from localhost, by a user with the
# replication privilege.
local   replication     all                                     peer
host    replication     all             127.0.0.1/32            md5
host    replication     all             ::1/128                 md5
# 修改叢集監聽地址
vim /etc/postgresql/13/main/postgresql.conf
listen_addresses = '*'
# 重啟服務
systemctl restart postgresql@13-main.service

  4. 主伺服器配置

    # 建立具有複製流操作許可權的的使用者：replica
CREATE ROLE replica login replication encrypted password 'Deniss_12PRO@@@';
# 新增從伺服器免密登入,replica為使用者,172.19.48.254X為從節點的內網IP，md5為允許驗證, trust為免密。
vim /etc/postgresql/13/main/pg_hba.conf
host    replication    replica 172.19.48.254/20                 trust
# 新增主伺服器postgresql.conf配置
vim /etc/postgresql/13/main/postgresql.conf
listen_addresses = '*'
max_connections = 100
archive_mode = on
archive_command = 'test ! -f /data/harbor_nas/pgsql/pg_archive/%f && cp %p /data/harbor_nas/pgsql/pg_archive/%f'
wal_level = replica
# 重啟服務
systemctl restart postgresql@13-main.service

  5. 從伺服器配置

    # 如果前面已經在從伺服器執行過了這個操作，直接可以進入postgres使用者家目錄清理、複製資料。
#建立資料目錄
mkdir -p /data/harbor_nas/pgsql_replica/data && chown postgres:postgres /data/harbor_nas/pgsql_replica/data
#建立歸檔目錄
mkdir -p /data/harbor_nas/pgsql_replica/pg_archive && chown postgres:postgres /data/harbor_nas/pgsql_replica/pg_archive
#給目錄賦權
chmod 700 /data/harbor_nas/pgsql_replica/pg_archive/ && chmod 700 /data/harbor_nas/pgsql_replica/data/
# 新增如下配置
vim /lib/systemd/system/postgresql@.service
Environment=PGDATA=/data/harbor_nas/pgsql_replica/data/
# 過載配置
systemctl daemon-reload
#刪除預設目錄的叢集
pg_dropcluster --stop 13 main
#在新目錄建立叢集
pg_createcluster -d /data/harbor_nas/pgsql_replica/data 13 main
#重啟服務
systemctl restart postgresql@13-main.service
# 進入postgres使用者清理初始化的資料，從主伺服器複製資料。
su - postgres
rm -rf /data/harbor_nas/pgsql_replica/data/*
pg_basebackup -h 172.19.48.253 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql_replica/data
echo "standby_mode = 'on'" > /data/harbor_nas/pgsql_replica/data/standby.signal
# 修改從伺服器配置
vim /etc/postgresql/13/main/postgresql.conf
primary_conninfo = 'host=172.19.48.253 port=5432 user=replica password=Deniss_12PRO@@@'
recovery_target_timeline = latest
max_connections = 100
hot_standby = on
max_standby_streaming_delay = 30s
wal_receiver_status_interval = 10s
hot_standby_feedback = on
# 啟動從節點PG資料庫
systemctl start postgresql@13-main.service
# 登入主節點資料庫檢視裝
psql -h 172.19.48.253 -p 5432 -U postgres
postgres=# select client_addr,sync_state from pg_stat_replication;
  client_addr  | sync_state
---------------+------------
 172.19.48.254 | async
# 至此，PG主從複製安裝完成。

配置Horbor為PG主節點

  1. 登入主節點建立harbor使用者與harbor需要的DB，並且將資料恢復到當前資料.

    # 新建Harbor使用者
CREATE USER harbor LOGIN PASSWORD 'Deniss1112s';
CREATE SCHEMA harbor;
GRANT harbor TO postgres;GRANT USAGE ON SCHEMA harbor TO postgres;
ALTER SCHEMA harbor OWNER TO postgres;
# 建立資料庫
CREATE DATABASE registry OWNER harbor;
CREATE DATABASE notarysigner OWNER harbor;
CREATE DATABASE notaryserver OWNER harbor;
# 授權
GRANT ALL PRIVILEGES ON DATABASE registry TO harbor;
GRANT ALL PRIVILEGES ON DATABASE notarysigner TO harbor;
GRANT ALL PRIVILEGES ON DATABASE notaryserver TO harbor;
# 恢復資料庫
psql -h localhost -U harbor registry < /data/harbor/backup_sql/registry.sql
psql -h localhost -U harbor notarysigner  < /data/harbor/backup_sql/notarysigner.sql
psql -h localhost -U harbor notaryserver < /data/harbor/backup_sql/notaryserver.sql

  2. 對倆個ECS的harbor.yml進行調整，開啟外部PG、Redis配置，註釋預設PG資料庫配置，注意：倆個ECS連結的必須為一樣的Redis與PG資料庫。

    hostname: harbor.unixsre.com

http:
  port: 80

https:
  port: 443
  certificate: /data/harbor/ssl/unixsre.com.cer
  private_key: /data/harbor/ssl/unixsre.com.key

harbor_admin_password: 1234567

data_volume: /data/harbor_nas/harbor_data

trivy:
  ignore_unfixed: false
  skip_update: false
  insecure: false

jobservice:
  max_job_workers: 10

notification:
  webhook_job_max_retry: 10

chart:
  absolute_url: disabled

log:
  level: info
  local:
    rotate_count: 50
    rotate_size: 200M
    location: /var/log/harbor

_version: 2.3.0

external_database:
  harbor:
    host: 172.19.48.253
    port: 5432
    db_name: registry
    username: harbor
    password: Deniss1112s
    ssl_mode: disable
    max_idle_conns: 2
    max_open_conns: 0
  notary_signer:
    host: 172.19.48.253
    port: 5432
    db_name: notarysigner
    username: harbor
    password: Deniss1112s
    ssl_mode: disable
  notary_server:
    host: 172.19.48.253
    port: 5432
    db_name: notaryserver
    username: harbor
    password: Deniss1112s
    ssl_mode: disable

external_redis:
  host: 172.19.48.253:6379
  password: Deniss1589s
  registry_db_index: 1
  jobservice_db_index: 2
  chartmuseum_db_index: 3
  trivy_db_index: 5
  idle_timeout_seconds: 30

proxy:
  http_proxy:
  https_proxy:
  no_proxy:
  components:
    - core
    - jobservice
    - trivy

  3. harbor重新生成配置，並且重啟容器.

    cd /data/harbor/
./prepare
docker-compose down && docker-compose up -d

  4. 在阿里雲建立傳統SLB，使用TCP四層新增443埠監聽。

    SLB01

    SLB02

  5. 將域名繫結在新建的SLB上，這個SLB不一定非要是阿里雲的，任何雲的SLB都可以，比如AWS、微軟雲、GCP都可以。

PG主從故障切換

假設主庫當機或者主節點當機，因為我們的Redis在阿里雲，而Harbor的映象資料在阿里雲的NFS，要保證服務的可用性，這個時候，只需要快速的將從節點切換為主庫，並且修改Harbor的配置檔案，重啟Harbor的服務下即可。

下面為手動操作，建議調整為指令碼執行快速切換。

  1. 模擬當前主節點庫掛掉,

    # 停止主資料庫的PG服務.
service postgresql@13-main stop

  2. 啟用備庫為主庫.

    psql -h 172.19.48.254 -p 5432 -U postgres
postgres=# select pg_promote(true,60);
# 驗證是否升級為主庫
/usr/lib/postgresql/13/bin/pg_controldata -D /data/harbor_nas/pgsql_replica/data/ |grep cluster
Database cluster state:               in production

  3. 修改Harbor配置，重啟所有Harbor服務

    # 
sed -i 's/172.19.48.253/172.19.48.254/' 
./prepare
docker-compose down && docker-compose up -d

  4. 訪問域名，驗證harbor服務的可用性。

  5. 快速恢復主節點，將主節點的PG庫設定為從庫。

    # 修改253從庫免密配置，可以提前設定好，不需要此處配置了
/etc/postgresql/13/main/pg_hba.conf
host    replication    replica 172.19.48.253/20                 trust
# 切換使用者
su - postgres
# 清理資料
rm -rf /data/harbor_nas/pgsql/data/*
# 同步254資料到253
pg_basebackup -h 172.19.48.254 -p 5432 -U replica -Fp -Xs -Pv -R -D /data/harbor_nas/pgsql/data/
echo "standby_mode = 'on'" > /data/harbor_nas/pgsql/data/standby.signal
# 修改253配置
vim /etc/postgresql/13/main/postgresql.conf
primary_conninfo = 'host=172.19.48.254 port=5432 user=replica password=Deniss_12PRO@@@'
recovery_target_timeline = latest
max_connections = 100
hot_standby = on
max_standby_streaming_delay = 30s
wal_receiver_status_interval = 10s
hot_standby_feedback = on
# 啟動253PG服務
systemctl start postgresql@13-main.service

  6. 在當前主節點254登入驗證叢集複製是否正常.

    # 登入節點驗證當前同步是否正常
psql -h localhost -p 5432 -U postgres
postgres=# select client_addr,sync_state from pg_stat_replication;
  client_addr  | sync_state
---------------+------------
 172.19.48.253 | async

  7. 如果想將原來的庫基本恢復成主庫，只需要清理掉standby.signal檔案，在原來的從庫上的資料目錄中新建standby.signal檔案，並且將standby_mode = 'on'配置好，重啟PG服務即可。

災難性故障恢復

對於不可抗拒因素是比較極端的情況，任何人都無法預料，包括當前的各種雲廠商，我們只把能想到的，能做到的全部做好，我這邊已經做了PG資料庫的全備上傳到了OSS上，Harbor的映象資料阿里雲NFS一份，OSS一份，想要災難性恢復必須保證如下倆個前提：

  • PG資料庫全備可用（注意：必須可以承受丟失全備時間起止到故障時間的資料）。
  • 阿里雲NFS或者OSS中的Harbor映象資料檔案可用。

恢復步驟：搭建一個單節點PG，全備匯入，Harbor中的配置使用單節點PG，Redis本地或者harbor啟動的都可以，然後使用docker-compose啟動即可，具體操作步驟不在敘述。

但是這樣並不是最快的方法，還有沒有更好的方案呢？當然有了，使用雲服務，一切都交給雲，但是就算是雲也不可能保證100%的可用性，此處的災難性故障恢復，僅做拋磚引玉，並不是最終的解決方案，只是給大家提供一個可以展開思考的思路，如果大家有更完美完善的方案，歡迎一起交流。

相關文章