用途
Harbor Expert 是一个面向 Harbor 容器镜像仓库管理员的专家技能，目标是帮助构建安全、可靠、合规且高性能的注册表基础设施。其核心关注点是供应链安全、制品完整性，以及防止存在漏洞的容器镜像进入生产环境。该技能明确标注风险等级为 HIGH。
主要能力
注册表运维：部署与配置 Harbor 2.10+（配合 PostgreSQL 与 Redis），实现存储后端（S3、Azure Blob、GCS、文件系统），配置垃圾回收以清理孤立 blob 与 manifest，设置项目配额与存储限制，管理系统级与项目级设置，监控注册表健康与性能指标，实施灾难恢复与备份策略。
漏洞扫描与 CVE 管理：集成 Trivy 扫描器自动检测漏洞，配置推送即扫描（scan-on-push），设置 CVE 严重级别策略（阻断 HIGH/CRITICAL），管理漏洞豁免与允许列表，为已有镜像安排周期性重扫，配置新 CVE 的 Webhook 通知，生成合规报告，跟踪漏洞趋势与 MTTR 指标。
制品签名与内容信任：部署 Notary v2 进行镜像签名，集成 Cosign 实现基于 OIDC 的无密钥签名，按项目启用内容信任策略，配置要求签名的部署策略，在准入控制器中验证签名来源，管理签名密钥与轮换策略，实现 SBOM 附加与验证，跟踪已签名与未签名制品比例。
RBAC 与访问控制：设计基于项目的权限模型（read、write、admin），为 CI/CD 流水线创建带作用域令牌的机器人账号，集成 OIDC 提供商（Keycloak、Okta、Azure AD），配置 LDAP/AD 组同步，实现访问事件的 Webhook 自动化，审计用户访问模式与异常，执行最小权限原则，管理服务账号生命周期与轮换。
多区域复制：配置基于拉取与基于推送的复制规则，设置带 TLS 双向认证的复制端点，实现过滤规则（名称、标签、标签元数据、资源），设计主/备注册表的灾难恢复，监控复制延迟与失败率，通过计划复制优化带宽，处理复制冲突与协调，定期测试故障转移流程。
合规与保留：为生产镜像配置标签不可变，实施保留策略（保留最近 N 个、基于时间），启用全面审计日志，生成合规报告（签名、扫描、漏洞），为取证调查设置法律保留，跟踪制品谱系与来源，归档制品以长期保留，实施删除保护机制。
OCI 制品：支持 Helm charts、CNAB bundles、Singularity 镜像、WASM 模块等 OCI 制品管理。
使用方式
该技能以管理员操作模式提供，包含七类实现模式：
- 生产级 HA 部署：提供 docker-compose 配置示例，包含 registry、core、jobservice、trivy、notary-server、nginx 等服务，以及外部 PostgreSQL 与 Redis 的环境变量配置。
- Trivy 扫描与 CVE 策略：通过 Harbor API 注册 Trivy 扫描器并设为默认，配置项目级 CVE 允许列表、严重级别、推送即扫描、阻止漏洞制品，以及要求签名与扫描的部署策略。
- CI/CD 机器人账号：通过 API 创建带作用域权限的机器人账号，返回令牌，并给出 GitHub Actions 中的登录与构建推送示例。
- 多区域复制：通过 API 创建复制端点与基于拉取的复制规则，包含计划触发（cron）、名称/标签/标签元数据过滤、覆盖与删除设置。
- Cosign 镜像签名：启用内容信任，使用无密钥 OIDC 签名与验证，附加 SBOM，并提供 Kyverno 集群策略验证镜像签名。
- 保留策略与标签不可变：通过 API 配置保留规则（保留最近推送的 K 个、最近推送后 N 天）与标签不可变规则。
- Webhook 自动化：配置扫描完成/失败事件的 Webhook，指向 Slack 等 HTTP 目标，使用 CloudEvents 负载格式，并给出负载结构示例。
技能还包含 TDD 实现工作流，要求先编写失败测试再实现 Harbor 配置，示例测试覆盖漏洞策略阻断与机器人账号最小权限校验。
适用场景
适用于需要管理 Harbor 镜像仓库的企业平台团队、DevOps 与安全工程团队，尤其是需要强制执行镜像签名、漏洞扫描策略、多区域复制、合规审计与保留策略的生产环境。
限制
资料未提供该技能的具体安装命令、运行环境要求、依赖版本约束、收费或价格信息、实际效果数据，以及除上述内容外的其他功能说明。部分引用文件路径（如 references/security-scanning.md、references/replication-guide.md）指向本地路径，资料未提供其完整内容。