Harbor Registry VPS: Container Registry Riêng Tư Tại Iceland

Docker Hub miễn phí giới hạn 200 pull mỗi 6 giờ cho người dùng ẩn danh và yêu cầu tài khoản trả phí cho tổ chức. GitHub Container Registry và GitLab Registry tuy free nhưng vẫn nằm dưới quyền tài phán Mỹ. Harbor self-hosted trên VPS offshore giải quyết cả ba vấn đề: không giới hạn, không phụ thuộc nhà cung cấp lớn và không lưu metadata image ở quốc gia có luật giám sát.

VPS offshore tại Iceland của AnubizHost với SSD NVMe phù hợp cho registry chứa hàng nghìn image. Gói Pro 8GB RAM và 200GB storage đủ cho team 20 lập trình viên với chính sách retention 90 ngày. Quyền root đầy đủ cho phép bạn tùy biến storage backend, dùng MinIO local hoặc gắn block storage thêm khi cần mở rộng.

Thanh toán Bitcoin hoặc Monero tách biệt hoàn toàn danh tính khỏi container infrastructure - quan trọng cho các nhóm phát triển phần mềm thương mại không muốn để lại dấu vết qua hóa đơn cloud lớn.

Harbor được phân phối dạng tarball với Docker Compose. Sau khi SSH vào VPS từ AnubizHost, tải bản online installer mới nhất:

wget https://github.com/goharbor/harbor/releases/download/v2.10.0/harbor-online-installer-v2.10.0.tgz
tar xvf harbor-online-installer-v2.10.0.tgz
cd harbor
cp harbor.yml.tmpl harbor.yml

Sửa harbor.yml: đặt hostname là domain của bạn (ví dụ registry.example.com trỏ qua Cloudflare proxy), cấu hình HTTPS với chứng chỉ Let's Encrypt, đặt mật khẩu admin mạnh và đường dẫn data volume. Chạy installer với scanner Trivy:

./install.sh --with-trivy --with-chartmuseum

Sau vài phút Harbor sẽ chạy. Truy cập dashboard qua HTTPS, đăng nhập với admin và mật khẩu vừa đặt. Tạo project riêng cho mỗi team, đặt visibility là private và bật vulnerability scanning tự động khi push image. Với VPS AnubizHost uptime 99.9%, registry sẵn sàng phục vụ CI/CD 24/7.

Để đảm bảo độ tin cậy, cấu hình replication tới VPS thứ hai ở vị trí khác - AnubizHost có gói bkp riêng cho việc này. Vào Administration - Registries thêm endpoint tới Harbor phụ, sau đó tạo Replication Rule với trigger là Event Based để mỗi image push được nhân bản tự động trong vài giây.

Retention policy giúp tiết kiệm storage và giảm rủi ro rò rỉ image cũ. Đặt rule giữ 10 tag mới nhất, xóa tag chưa được pull trong 60 ngày, loại trừ tag có pattern v* (release production). Harbor chạy garbage collection định kỳ để giải phóng layer không còn được tham chiếu.

Vulnerability scanning với Trivy quét mọi image push và chặn pull nếu phát hiện CVE nghiêm trọng - cấu hình ngưỡng Critical hoặc High tùy mức độ rủi ro. Image signing với Cosign hoặc Notary đảm bảo image production chỉ có thể được sign bởi key được ủy quyền, ngăn supply chain attack. Kết hợp với webhook gửi alert qua Telegram bot khi có image scan failure giúp team phản ứng kịp thời.