Ansible Role : Harbor Trivy

Description

 

🐳 Déployez votre registry Docker privé avec scan de vulnérabilités intégré !

Le rôle Ansible harbor_trivy déploie Harbor, un registry de conteneurs open-source de niveau entreprise, avec Trivy comme scanner de vulnérabilités intégré. Sécurisez vos images Docker et automatisez la détection des CVE en quelques minutes.

 

✨ Fonctionnalités Clés

• 🐳 Registry Harbor Enterprise : Registry Docker privé avec interface web intuitive, gestion des projets, utilisateurs et permissions RBAC.
• 🔍 Scanner Trivy Intégré : Analyse automatique des vulnérabilités (CVE) de vos images Docker lors du push.
• 🔐 HTTPS Natif : Certificats SSL auto-signés générés automatiquement ou support pour vos propres certificats.
• 📊 Métriques Prometheus : Export des métriques pour intégration avec votre stack de monitoring.
• ⚙️ Hautement Configurable : Chemin d’installation, ports, authentification, stockage personnalisables.
• 💻 Large Compatibilité d’OS : Déployez sur Debian 12/13 et Ubuntu 22.04/24.04 LTS.
• 🔄 Idempotent : Exécutions multiples sûres, mises à jour facilitées.

 

---

 

⚙️ Configuration & Usage

 

Prérequis

• Système d’exploitation : Debian 12/13 ou Ubuntu 22.04/24.04.
• Ansible : Installé sur votre machine de contrôle.
• Docker : Docker doit être installé sur les serveurs cibles (peut être réalisé via le rôle devops_store.docker_engine).
• Espace disque : Minimum 20GB recommandé pour Harbor et le stockage des images.
• Privilèges : Un utilisateur avec des droits sudo sur les serveurs cibles (become: true dans votre playbook).

 

Exemple de Playbook (votre_playbook.yml)

---
- hosts: harbor_servers
  become: true

  vars:
    # =============================================================================
    # CHEMIN D'INSTALLATION
    # =============================================================================
    harbor_install_path: "/opt/harbor"

    # =============================================================================
    # VERSION HARBOR
    # =============================================================================
    harbor_version: "2.12.0"
    harbor_installer_type: "offline"

    # =============================================================================
    # CONFIGURATION RÉSEAU
    # =============================================================================
    harbor_hostname: "registry.example.com"
    harbor_http_port: 80
    harbor_https_port: 443

    # =============================================================================
    # CONFIGURATION SSL/TLS
    # =============================================================================
    harbor_protocol: "https"
    harbor_ssl_method: "self-signed"

    # =============================================================================
    # AUTHENTIFICATION
    # =============================================================================
    harbor_admin_password: "VotreMotDePasseSecurise!"

    # =============================================================================
    # COMPOSANTS OPTIONNELS
    # =============================================================================
    harbor_trivy_enabled: true
    harbor_metrics_enabled: true

  roles:
    - role: devops_store.harbor_trivy

 

Exemple d’Inventaire (votre_inventaire)

[harbor_servers]
harbor-01 ansible_host=192.168.1.100

[harbor_servers:vars]
ansible_user=ubuntu
ansible_ssh_private_key_file=~/.ssh/id_rsa

 

Lancement

ansible-playbook -i votre_inventaire votre_playbook.yml

 

---

 

🔬 Détails Techniques

• Installateur Harbor : Utilise l’installateur officiel Harbor (offline ou online) maintenu par la CNCF.
• Composants Déployés : Registry, Database PostgreSQL, Redis, Portal, Core, Jobservice, Trivy Adapter, Nginx.
• Idempotence Garantie : Vous pouvez exécuter ce rôle plusieurs fois en toute sécurité. Le téléchargement n’est effectué que si Harbor n’est pas déjà présent.
• Certificats SSL : Génération automatique de certificats auto-signés avec CA, ou support pour vos certificats custom.
• Scan Automatique : Trivy scanne automatiquement chaque image pushée et affiche les CVE dans l’interface.
• Tests Complets Inclus : Suite de tests Molecule fournie pour les 4 OS supportés.
• Dépendance Docker : Ce rôle nécessite que Docker soit installé (manuel ou via devops_store.docker_engine).

 

---

 

📚 Documentation Opérationnelle

Ce rôle inclut une documentation complète dans le dossier docs/ :

• Guide Jour 1 (docs/day1-guide.md) : Connexion au registry, push/pull images, scan Trivy, vérifications de santé.
• Runbook Jour 2+ (docs/day2-runbook.md) : Gestion utilisateurs et projets, réplication, politiques de rétention, backup/restore, certificats SSL, scénarios catastrophe et récupération.
  
  👀 Voir la table des matières complète

  1. 🔧 Troubleshooting Courant : Harbor ne démarre pas, push/pull échoue, Trivy ne scanne plus
  2. 👥 Gestion des Utilisateurs et Accès : Création utilisateurs, rôles projet, LDAP/AD, robot accounts
  3. 🐳 Gestion des Images et Artefacts : Lister tags, supprimer images, garbage collection, labels
  4. 🗑️ Politiques de Rétention : Règles de rétention, nettoyage automatique
  5. 🔄 Réplication entre Registries : Endpoints, règles, modes push/pull
  6. 💾 Sauvegarde et Restauration : Backup complet, restauration, automatisation cron
  7. 🔴 Scénarios Catastrophe : Corruption BDD, corruption registry, certificats expirés, perte serveur
  8. 🔐 Certificats SSL : Let’s Encrypt, renouvellement auto, certificats entreprise CA
  9. 🔄 Maintenance et Upgrade : Mise à jour Harbor, rollback

 

---

 

📦 Détails du Produit

• Nom du rôle : devops_store.harbor_trivy
• Cible OS : Debian (12/13), Ubuntu (22.04/24.04)
• Composants déployés : Harbor Registry, Trivy Scanner, PostgreSQL, Redis, Nginx
• Dépendances : Aucune (Docker requis)

 

🛡️ Garantie de Qualité et Support

Trois durées de garantie sont disponibles : 3 mois, 1 an et 5 ans. Ces garanties incluent le support technique et les mises à jour du code pour les plateformes supportées.

N.B. : Le support du rôle se base sur le cycle de vie des OS pour lesquels il a été développé. Cela signifie que si un OS atteint sa date d’EOL durant la période de garantie, le support et les mises à jour du rôle s’arrêtent pour cet OS. A contrario, si une nouvelle version majeure d’un OS est publiée durant la période de garantie, le support et les mises à jour du rôle seront assurés pour cette nouvelle version.

 

🔑 Licence d’Utilisation

Trois niveaux de licence sont disponibles :

• Standard : Usage pour les projets internes de l’acheteur. Pas de redistribution, pas d’utilisation pour des clients tiers. Idéale pour les indépendants, PME gérant leur propre infra, passionnés.
• Entreprise : Inclut tous les droits Standard et permet d’utiliser le rôle pour configurer les serveurs de clients finaux. Droit d’intégration dans des produits et services vendus. Idéale pour les ESN, Agences Web, Infogérants (MSP), Consultants DevOps.
• Marque Blanche : Inclut tous les droits Entreprise avec l’autorisation exclusive de supprimer les mentions de l’auteur (attribution) pour présenter le code comme votre propre technologie. Idéale pour les grands Infogérants et éditeurs exigeant une image de marque unifiée sans trace de tiers.