配置对 Harbor 的 HTTPS 访问

# Generate CA private key  
openssl genrsa -out ca.key 2048  
# Generate CSR  
openssl req -new -key ca.key -out ca.csr 
# Generate Self Signed certificate（CA 根证书） 
openssl x509 -req -days 3650 -in ca.csr -signkey ca.key -out ca.crt

# private key 
$openssl genrsa -des3 -out server.key 1024  
# generate csr 
$openssl req -new -key server.key -out server.csr 
# generate certificate 
$openssl ca -in server.csr -out server.crt -cert ca.crt -keyfile ca.key

$openssl genrsa -des3 -out client.key 1024  
$openssl req -new -key client.key -out client.csr 
$openssl ca -in client.csr -out client.crt -cert ca.crt -keyfile ca.key

# 生成CA认证机构的证书密钥key
# 需要设置密码，输入两次
openssl> genrsa -des3 -out ca.key 1024
# 去除密钥里的密码(可选)
# 这里需要再输入一次原来设的密码
openssl> rsa -in ca.key -out ca.key
# 用私钥ca.key生成CA认证机构的证书ca.crt
# 其实就是相当于用私钥生成公钥，再把公钥包装成证书
openssl> req -new -x509 -key ca.key -out ca.crt -days 365
# 这个证书ca.crt有的又称为"根证书",因为可以用来认证其他证书

# 生成自己网站的密钥server.key
openssl> genrsa -des3 -out server.key 1024
# 生成自己网站证书的请求文件
# 如果找外面的CA机构认证，也是发个请求文件给他们
# 这个私钥就包含在请求文件中了，认证机构要用它来生成网站的公钥，然后包装成一个证书
openssl> req -new -key server.key -out server.csr
# 使用虚拟的CA认证机构的证书ca.crt，来对自己网站的证书请求文件server.csr进行处理，生成签名后的证书server.crt
# 注意设置序列号和有效期（一般都设1年）
openssl> x509 -req -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt -days 365

openssl genrsa -out ca.key 4096

公用名(Common Name)一般来讲就是填写你将要申请SSL证书的域名 (domain)或子域名(sub domain)。
例1：打算为“chinassl.net”申请SSL证 书，那这个公用名(Common Name)就要填写“chinassl.net”，而不能填写 “www.chinassl.net”，因为在申请SSL证书时发证机构认为“www.yourdomain.com”和 “yourdomain.com”是不同的两个域名；
例2：如将要为bill.chinassl.net申请SSL证书，那么这里公用名(Common Name)就 要填写“bill.chinassl.net”而不能填写“chinassl.net”或“www.chinassl.net”

openssl req -x509 -new -nodes -sha512 -days 3650 \
 -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
 -key ca.key \
 -out ca.crt
 #  req　　产生证书签发申请命令
 # -x509　签发X.509格式证书命令。X.509是最通用的一种签名证书格式。
 # -new　 生成证书请求
 # -key　 指定私钥文件
 # -nodes 表示私钥不加密
 # -out 　 输出
 # -subj　指定用户信息
 # -days　有效期

openssl genrsa -out yourdomain.com.key 4096

openssl req -sha512 -new \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=yourdomain.com" \
    -key yourdomain.com.key \
    -out yourdomain.com.csr

# 域名方式访问
# 需要替换下方DNS
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=registry.harbor.com
DNS.2=registry.harbor
DNS.3=harbor
EOF
# IP方式访问
# 需要替换下方IP地址
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = IP:192.168.93.9
EOF
# 示例
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1=yourdomain.com
DNS.2=yourdomain
DNS.3=hostname
EOF

openssl x509 -req -sha512 -days 3650 \
    -extfile v3.ext \
    -CA ca.crt -CAkey ca.key -CAcreateserial \
    -in yourdomain.com.csr \
    -out yourdomain.com.crt
# x509　　签发X.509格式证书命令。
# -req　　 表示证书输入请求。
# -days　 表示有效天数
# -extensions 表示按OpenSSL配置文件v3_req项添加扩展。
# -CA 　　表示CA证书,这里为ca.crt
# -CAkey　　表示CA证书密钥,这里为ca.key
# -CAcreateserial 表示创建CA证书序列号
# -extfile　　指定文件

cp yourdomain.com.crt /data/cert/
cp yourdomain.com.key /data/cert/

openssl x509 -inform PEM -in yourdomain.com.crt -out yourdomain.com.cert

# 如果如下目录不存在，请创建，如果有域名请按此格式依次创建
# ip方式
mkdir -p /etc/docker/certs.d/harbor_IP
# 域名方式
mkdir -p /etc/docker/certs.d/yourdomain.com
# 如果端口为443，则不需要指定。如果为自定义端口，请指定端口
# 域名方式
/etc/docker/certs.d/yourdomain.com:port
# ip方式
/etc/docker/certs.d/harbor_IP:port
# 复制证书
cp yourdomain.com.cert /etc/docker/certs.d/yourdomain.com/
cp yourdomain.com.key /etc/docker/certs.d/yourdomain.com/
cp ca.crt            /etc/docker/certs.d/yourdomain.com/
# 以下示例说明了使用自定义证书的配置。
/etc/docker/certs.d/
    └── yourdomain.com:port
       ├── yourdomain.com.cert  <-- Server certificate signed by CA
       ├── yourdomain.com.key   <-- Server key signed by CA
       └── ca.crt               <-- Certificate authority that signed the registry certificate

systemctl restart docker

# 拷贝模板配置文件
# cp harbor.yml.tmpl harbor.yml
# 进入文件
# vim harbor.yml
hostname: yourdomain.com
# harbor.yml
https:
  # https port for harbor, default is 443
  port: 443
  # The path of cert and key files for nginx
  certificate: /data/cert/harbor.crt
  private_key: /data/cert/harbor.key

# 方式1： 重新按照
./install.sh
# 方式2 ： 
./prepare
docker-compose -f /opt/harbor/docker-compose.yml up  -d --force-recreate

docker login yourdomain.com

#cd /etc/systemd/system
#vi harbor.service
[Unit]
Description=Harbor
After=docker.service systemd-networkd.service systemd-resolved.service
Requires=docker.service
Documentation=http://github.com/vmware/harbor
[Service]
Type=simple
Restart=on-failure
RestartSec=5
ExecStart=/usr/local/bin/docker-compose -f /opt/harbor/docker-compose.yml up -d --force-recreate
ExecStop=/usr/local/bin/docker-compose -f /opt/harbor/docker-compose.yml down
[Install]
WantedBy=multi-user.target

#chmod 644 harbor.service
#systemctl daemon-reload
#systemctl enable harbor

systemctl status harbor

Missing key KEY_NAME for client certificate CERT_NAME. CA certificates should use the extension .crt.

/etc/docker/certs.d/
    └── my-https.registry.example.com          <-- Hostname without port
       ├── client.cert
       ├── client.key
       └── ca.crt

如果Docker镜像仓库没有端口号，请不要将端口添加到目录名称中。
下面显示了默认443端口上镜像像库的配置，非443端口则需要在目录名称中添加端口号：
```bash
    /etc/docker/certs.d/
    └── my-https.registry.example.com          <-- Hostname without port
       ├── client.cert
       ├── client.key
       └── ca.crt