Harbor란 무엇인가?
Harbor는 컨테이너 이미지와 OCI 아티팩트를 안전하게 저장·배포·관리하기 위한 오픈소스 클라우드 네이티브 레지스트리다. 기본 Docker Registry에 엔터프라이즈 환경에서 필요한 보안, 인증·권한 관리, 취약점 스캔, 이미지 서명, 복제, 감사 기능을 추가한 솔루션으로 볼 수 있다.
특히 Kubernetes 환경에서 CI/CD 파이프라인이 생성한 이미지를 사설 저장소에 보관하고, 검증된 이미지만 운영 클러스터에서 Pull하도록 통제하는 용도로 많이 사용한다.
Harbor의 주요 용도
Harbor는 단순히 이미지를 저장하는 장소가 아니라, 조직의 컨테이너 소프트웨어 공급망을 관리하는 중앙 플랫폼 역할을 한다.
- 사설 컨테이너 레지스트리 구축
Docker 이미지, OCI 아티팩트 및 Helm Chart 등을 조직 내부에서 저장하고 배포한다.
- 이미지 보안 검증
Trivy 등 취약점 스캐너를 연동해 이미지의 CVE를 분석하고, Push 시 자동 스캔 또는 주기적 스캔을 수행할 수 있다.
- 취약 이미지 배포 차단
프로젝트 정책으로 특정 심각도 이상의 취약점을 포함한 이미지는 Pull하지 못하도록 설정할 수 있다. 운영 배포 전 보안 게이트로 활용하기 좋다.
- 접근 제어 및 멀티테넌시
Project 단위로 개발팀, 서비스, 환경별 저장소를 분리하고, 사용자·그룹·로봇 계정에 역할 기반 접근 제어(RBAC)를 적용한다.
- 이미지 서명과 신뢰성 검증
Cosign 또는 Notation을 활용해 이미지에 서명하고, 서명된 아티팩트만 사용할 수 있도록 콘텐츠 신뢰 정책을 구성할 수 있다.
- 멀티 클러스터·멀티 리전 이미지 복제
Harbor 간 또는 외부 레지스트리 간에 이미지를 Push/Pull 방식으로 복제할 수 있다. 이는 폐쇄망, DR 환경, 리전별 Kubernetes 클러스터 운영에 유용하다.
- 이미지 보존 정책과 감사
오래된 태그를 정리하는 보존 정책(Retention Policy), 사용자 활동을 추적하는 감사 로그를 통해 레지스트리 운영 부담을 줄일 수 있다.
개발 배경과 프로젝트 현황
Harbor는 VMware에서 시작한 오픈소스 프로젝트다. 당시 기본 Docker Registry만으로는 기업 환경에 필요한 인증, 권한 관리, 보안 스캔, 감사, 멀티테넌시 요구사항을 충족하기 어려웠기 때문에 이를 보완하는 목적에서 개발됐다. 이후 CNCF(Cloud Native Computing Foundation)에 기부되었으며, 현재는 CNCF Graduated 프로젝트로 운영되고 있다.
Harbor의 핵심 개념은 다음과 같이 요약할 수 있다.
“컨테이너 이미지를 저장하는 Registry에 보안, 정책, 신뢰성, 운영 관리 기능을 결합한 엔터프라이즈급 OCI Registry”
대표 경쟁 소프트웨어
Harbor와 비교할 수 있는 제품은 크게 세 부류로 나눌 수 있다.
- 클라우드 SaaS형 레지스트리: Docker Hub, Amazon ECR, Azure Container Registry, Google Artifact Registry
- 엔터프라이즈·온프레미스 레지스트리: Red Hat Quay, JFrog Artifactory, Sonatype Nexus Repository
- DevOps 플랫폼 내장형 레지스트리: GitLab Container Registry
이 중 Harbor와 가장 직접적으로 비교되는 제품은 Docker Hub, Amazon ECR, Red Hat Quay, GitLab Container Registry다.
Harbor 기능 비교
| 구분 | Harbor | Docker Hub | Amazon ECR | Red Hat Quay | GitLab Container Registry |
|---|---|---|---|---|---|
| 제공 방식 | 오픈소스, 자체 구축 | SaaS 중심 | AWS 관리형 서비스 | 상용 구독 및 자체 구축 | GitLab 플랫폼 내장 |
| 주요 사용 환경 | 온프레미스, 프라이빗 클라우드, 멀티 클러스터 | 공개 이미지 배포, Docker 생태계 | AWS 네이티브 워크로드 | OpenShift, 엔터프라이즈 Kubernetes | GitLab CI/CD 환경 |
| 컨테이너 이미지 저장 | 지원 | 지원 | 지원 | 지원 | 지원 |
| OCI 아티팩트 | 지원 | 지원 | 지원 | 지원 | 지원 |
| Helm Chart 저장 | 지원 | 제한적/OCI 기반 사용 | OCI 기반 사용 | OCI 기반 사용 | 지원 |
| 자체 구축 | 가능 | 제한적 | 불가 | 가능 | GitLab 자체 구축 시 가능 |
| 역할 기반 접근 제어 | Project 기반 RBAC | 조직·팀 기반 권한 | AWS IAM 기반 | 조직·팀·로봇 계정 기반 | GitLab 프로젝트·그룹 권한 기반 |
| LDAP / AD 연동 | 지원 | 엔터프라이즈 플랜 중심 | AWS IAM Identity Center 등 AWS 연동 | 지원 | GitLab LDAP 연동 |
| OIDC / SSO 연동 | 지원 | 지원 | AWS IAM 기반 | 지원 | 지원 |
| 취약점 스캔 | Trivy 및 스캐너 어댑터 지원 | Docker Scout 기반, 플랜 제약 존재 | 기본·향상 스캔 제공 | Clair 기반 스캔 | GitLab 보안 기능과 연계 |
| 취약 이미지 Pull 차단 | 프로젝트 정책으로 가능 | 정책 기능 제한적 | IAM·CI/CD 정책 조합 필요 | 보안 정책 구성 가능 | CI/CD 보안 게이트 중심 |
| 이미지 서명·검증 | Cosign, Notation 연동 및 신뢰 정책 지원 | Docker 생태계 도구 활용 | AWS Signer 등 별도 서비스 연계 | Sigstore 등 외부 도구 연계 | Cosign 등 CI/CD 연계 |
| 이미지 복제 | Harbor 및 외부 레지스트리 대상 Push/Pull 복제 | 미러링 기능 제한적 | 리전·계정 간 복제 | Geo-replication, Repository Mirroring | 외부 레지스트리 동기화는 별도 구성 필요 |
| 멀티 리전 운영 | 복제 정책 기반 구성 | SaaS 글로벌 제공 | AWS 리전 간 복제 | Geo-replication에 강점 | GitLab 인프라 구성에 의존 |
| 보존 정책 | 태그·아티팩트 Retention Policy | 플랜 및 정책에 따라 상이 | Lifecycle Policy 지원 | Garbage Collection 및 정책 지원 | 태그 정리 정책 지원 |
| 감사 로그 | 지원 | 조직 플랜 기능 중심 | CloudTrail 등 AWS 감사 체계 연동 | 지원 | GitLab Audit Events 연계 |
| 비용 모델 | 소프트웨어 무료, 인프라·운영 비용 발생 | 무료/유료 구독 | 사용량 과금 | 구독 비용 | GitLab 라이선스·인프라 비용 |
Harbor는 이미지 저장, 취약점 스캔, 서명, 복제, 접근 제어를 단일 플랫폼에서 제공하는 것이 강점이다. 반면 Amazon ECR은 AWS IAM, EKS, CloudTrail 등 AWS 서비스와의 통합성이 강하고, Red Hat Quay는 OpenShift 및 지리적 복제 환경에서 강점을 가진다. ECR은 IAM 기반 접근 제어, 이미지 스캔, 리전·계정 간 복제, Lifecycle Policy를 제공한다. Red Hat Quay는 Clair 기반 취약점 분석, Repository Mirroring, Geo-replication을 제공한다.
어떤 환경에서 Harbor가 적합한가?
Harbor는 다음과 같은 환경에서 특히 적합하다.
- 인터넷이 제한된 폐쇄망 또는 망분리 환경
- Kubernetes 클러스터가 여러 개인 멀티 클러스터 환경
- 개발·스테이징·운영 환경의 이미지를 분리 관리해야 하는 조직
- 외부 Docker Hub 의존도를 줄이고 싶은 환경
- 이미지 취약점과 서명 검증을 배포 과정에 포함하려는 DevSecOps 환경
- AWS, Azure, 온프레미스가 혼재된 하이브리드 클라우드 환경
- 팀 또는 서비스별 Project와 RBAC가 필요한 플랫폼 조직
예를 들어 GitLab CI에서 이미지를 빌드한 뒤 Harbor에 Push하고, Trivy 스캔 결과가 기준을 충족하며 Cosign 서명까지 완료된 이미지에만 운영 Kubernetes 클러스터의 배포를 허용하도록 구성할 수 있다. 이렇게 하면 Harbor는 단순한 이미지 저장소가 아니라, 운영 배포의 신뢰 기준을 강제하는 공급망 보안 구성 요소가 된다.