海外云服务器 40个地区可选            亚太云服务器 香港 日本 韩国

云虚拟主机 个人和企业网站的理想选择            俄罗斯电商外贸虚拟主机 赠送SSL证书

美国云虚拟主机 助力出海企业低成本上云             拨号云主机

为保障企业级容器镜像仓库的安全，Harbor 更新 SSL 证书是关键步骤之一，通过及时更换有效的 SSL 证书，可确保镜像传输过程中的数据加密与身份验证，防止中间人攻击和数据泄露，维护系统安全性与合规性。

在当今的 DevOps 和云原生环境中，容器技术已成为企业构建、部署和管理应用程序的核心工具，作为企业级容器镜像仓库，Harbor 被广泛应用于 Kubernetes 环境中，用于安全地存储和管理 Docker 镜像，随着企业对安全性的重视日益增强，保障 Harbor 的通信安全已成为运维人员的重要职责之一。定期更新 SSL 证书是确保 Harbor 安全稳定运行的关键环节。 SSL（Secure Sockets Layer）证书用于加密客户端与服务器之间的通信，防止敏感数据在传输过程中被窃取或篡改，当 Harbor 使用 HTTPS 协议对外提供服务时，SSL 证书的有效性直接影响其安全性和可用性，一旦证书过期，不仅会导致用户访问失败，还可能引发严重的安全漏洞，定期更新 SSL 证书不仅是运维流程中的常规操作，更是企业安全策略的重要组成部分。

准备工作：理解 Harbor 的部署架构

在执行 SSL 证书更新前，首先需要明确 Harbor 的部署方式，Harbor 支持多种部署模式，包括但不限于：

• Docker Compose 部署：适用于单机或小型环境；
• Kubernetes Helm Chart 部署：适用于云原生环境；
• 在线安装包部署：适用于快速部署和生产环境。

不同的部署方式决定了证书更新的具体操作流程,因此在操作前必须明确当前环境类型。

还需准备以下内容：

1. 新的 SSL 证书文件：通常包括 .crt（证书）、.key（私钥）以及可选的 .ca 或 .chain 文件（中间证书）；
2. 证书域名匹配：确保证书的 Common Name（CN）或 Subject Alternative Name（SAN）与 Harbor 的访问域名一致；
3. 备份旧证书：在更新前备份原始证书，以便在出现问题时快速回滚。

Docker Compose 部署方式下的证书更新

对于使用 Docker Compose 部署的 Harbor 实例，更新 SSL 证书主要包括以下步骤：

替换证书文件

Harbor 的默认证书文件通常存储在安装目录下的 cert 子目录中，若安装路径为 /data/harbor，则证书路径应为 /data/harbor/cert/。

将新的证书文件上传至该目录,并替换原有的证书文件。

cp new-harbor.crt /data/harbor/cert/server.crt
cp new-harbor.key /data/harbor/cert/server.key

注意：确保新证书文件名与 Harbor 配置中引用的名称一致，通常为 server.crt 和 server.key。

重启 Harbor 服务

替换证书后,需要重启 Harbor 容器以加载新证书：

docker-compose down
docker-compose up -d

该操作会重启 Harbor 的核心组件（如 Nginx、Core、Jobservice 等），确保证书生效。

验证证书更新

可通过浏览器访问 Harbor 的 Web 页面，点击地址栏的锁图标查看当前证书信息是否已更新，也可以使用命令行工具 openssl 进行验证：

openssl s_client -connect harbor.example.com:443

输出中应显示新证书的颁发者和有效期信息。

Kubernetes Helm 部署方式下的证书更新

在 Kubernetes 环境中，Harbor 通常通过 Helm Chart 部署，并使用 Ingress 或 Nginx 控制器处理 HTTPS 请求，SSL 证书一般以 Kubernetes Secret 的形式挂载到相关 Pod 中。

更新 Secret

将新的证书和私钥生成新的 TLS Secret：

kubectl create secret tls harbor-tls --cert=new-harbor.crt --key=new-harbor.key -n harbor

若 Secret 已存在，则需先删除再重新创建：

kubectl delete secret harbor-tls -n harbor
kubectl create secret tls harbor-tls --cert=new-harbor.crt --key=new-harbor.key -n harbor

重启相关 Pod

Kubernetes 中的 Pod 不会自动重新加载证书，因此需要手动重启 Harbor 的相关组件，如 harbor-core、harbor-portal 和 harbor-registry：

kubectl rollout restart deployment/harbor-core -n harbor
kubectl rollout restart deployment/harbor-registry -n harbor
kubectl rollout restart deployment/harbor-portal -n harbor

验证证书状态

使用浏览器或命令行工具验证证书是否已成功更新。

使用 Harbor 官方安装包部署的更新流程

对于使用 Harbor 官方在线安装包部署的实例，更新流程与 Docker Compose 类似，主要包括以下步骤：

1. 替换证书文件：将新的证书文件复制到 /your-harbor-install-path/cert/ 目录下；

2. 重新生成配置文件：运行 prepare 脚本以更新配置：

   cd /your-harbor-install-path
   sudo ./prepare

3. 重启 Harbor 服务：

   sudo docker-compose down
   sudo docker-compose up -d

常见问题与解决方法

证书更新后仍然显示旧证书

• 可能原因：未重启 Harbor 容器或 Pod。
• 解决方法：执行完整的重启操作，确保所有组件加载新证书。

证书格式错误导致服务启动失败

• 可能原因：证书格式不正确或私钥与证书不匹配。

• 解决方法：使用 openssl 命令检查证书和私钥是否匹配：

  openssl x509 -noout -modulus -in server.crt | openssl md5
  openssl rsa -noout -modulus -in server.key | openssl md5

  若输出一致,则表示证书与私钥匹配。

浏览器提示证书不受信任

• 可能原因：证书未被浏览器或操作系统信任。
• 解决方法：将证书链文件（CA 证书）导入浏览器或系统证书信任库。

自动化更新与证书生命周期管理

为了降低人工干预、提升运维效率，建议引入自动化证书管理机制：

• Let’s Encrypt + Certbot：实现证书的自动申请与更新；
• Kubernetes cert-manager：结合 Ingress 实现自动签发与续期；
• 设置监控告警：通过 Prometheus、Alertmanager 等工具监控证书有效期，提前通知即将过期的证书。

这些自动化手段不仅可以减少运维负担,还能有效提升 Harbor 的安全性和可用性。

更新 Harbor 的 SSL 证书不仅是保障通信安全的必要操作，更是维护企业级容器镜像仓库稳定运行的重要一环，无论采用何种部署方式，只要遵循标准流程操作，即可顺利完成证书更新。

建议企业建立完善的证书生命周期管理制度，并结合自动化工具提升运维效率，从而更好地支持 DevOps 和云原生环境的发展。

通过本文的详细介绍,相信读者已经掌握了 Harbor 更新 SSL 证书的完整流程，希望这些内容能够帮助您在日常运维中更加从容地应对证书更新任务，确保 Harbor 服务始终安全、稳定地运行。