Helm Chart Repository на офшорном VPS: приватное хранилище chart

Существует несколько open-source решений для хостинга приватных Helm chart:

• ChartMuseum: минималистичный сервер на Go, хранит chart в filesystem, S3 или GCS. Идеально для маленьких команд, легко ставится.
• Harbor с OCI registry: Helm 3 поддерживает OCI artifacts. Harbor хранит chart рядом с Docker образами, единая точка управления.
• Gitea с Helm registry: Gitea Packages поддерживает Helm chart с версии 1.20, удобно если уже используете Gitea для git.
• Nexus Repository с Helm format: Nexus OSS поддерживает Helm, плюсы единого хранилища для всех артефактов.
• OCI registry в Harbor против ChartMuseum: OCI это будущее (Helm 3.8+), ChartMuseum старый API но проще.

Self-hosted Helm Chart Repository на офшорном VPS Anubiz Host даёт команде приватное хранилище с юрисдикцией Исландии. Регистрация только по email без KYC, оплата криптой обеспечивают приватность владельца коммерческих chart.

Ресурсы зависят от выбранного решения. Минимальные требования:

• ChartMuseum standalone: 1 vCPU, 1 ГБ RAM, 40 ГБ NVMe. План VPS S от $7/мес. Подходит для команды до 5 человек, 50 chart.
• ChartMuseum с S3 backend: 1 vCPU, 2 ГБ RAM, 40 ГБ NVMe. План VPS S. Хранилище chart в внешнем MinIO или S3-совместимом сервисе.
• Harbor с OCI registry: 4 vCPU, 8 ГБ RAM, 200 ГБ NVMe. План VPS L от $20/мес. Harbor сложнее, но даёт RBAC, vulnerability scan, replication.
• Gitea Packages: 2 vCPU, 4 ГБ RAM, 80 ГБ NVMe. План VPS M от $12/мес. Хорошо если Gitea уже стоит для git.
• Резерв хранилища: Helm chart обычно меньше 100 КБ, но образы Docker в OCI registry могут забить диск быстро.

Anubiz Host выделяет VPS с гарантированной полосой 1 Gbps и NVMe. Открытые порты позволяют helm CLI и CI/CD pipeline работать с registry без NAT.

Helm chart содержит описание всей инфраструктуры приложения. Компрометация registry позволяет атакующему подменить chart и инжектировать malicious компоненты в production кластеры. Базовый чеклист защиты на VPS Anubiz Host:

• HTTPS обязательно: Caddy или Nginx с Let's Encrypt перед ChartMuseum или Harbor.
• Authentication: ChartMuseum поддерживает basic auth, Harbor RBAC через LDAP/SAML.
• Chart signing с cosign: подписываем chart перед push, в production кластер проверяем подпись через cosign verify.
• Provenance file: helm package --sign --key с GPG ключом создаёт .prov файл, helm install --verify проверяет.
• Read-only для production: отдельный read-only registry для production кластеров, push только из CI/CD pipeline.
• Versioning policy: immutable tags, нельзя перезаписать существующую версию chart.
• Backup chart storage: ежедневно через rsync на офшорное S3 хранилище, шифрование на лету.
• WireGuard для admin доступа: push в registry только из закрытой VPN команды, public read только через Cloudflare proxy.

Anubiz Host не имеет доступа к содержимому chart клиента и не хранит логи push/pull операций. Юрисдикция Исландии и оплата криптой защищают команду от запросов регуляторов и утечек через билинг.