Kubernetes + Jenkins + Harbor 全景实战手册

在现代企业级 DevOps 体系中，Kubernetes (K8s)、Jenkins 和 Harbor 组成的 CI/CD 流水线，是最经典、稳定、成熟的方案之一。本文将从 理论原理 → 架构流程 → 实战部署 → 最佳实践，为你梳理一套完整的落地手册。

一、核心概念回顾

1. Kubernetes (K8s)：容器编排平台，负责应用的部署、扩缩容、滚动更新与高可用。
2. Jenkins：自动化服务器，是 CI/CD 的“大脑”，负责编译、测试、构建、发布。
3. Harbor：企业级私有镜像仓库，安全存储与分发 Docker 镜像。

二、全景架构图

一次 git push → 自动构建 → 推送镜像 → 部署上线

三、实战环境准备

1. 基础环境

• 一套 Kubernetes 集群（≥1.20，3 节点以上更稳）
• Helm ≥ 3.0
• Kubectl
• Docker

2. 节点规划（示例）

四、实战部署步骤

1. 部署 Jenkins

使用 Helm 安装 Jenkins：

helm repo add jenkins https://charts.jenkins.io
helm repo update

helm install jenkins jenkins/jenkins \
  --namespace jenkins --create-namespace \
  --set persistence.storageClass=hostpath \
  --set controller.serviceType=NodePort \
  --set controller.nodePort=32080

获取初始密码：

kubectl exec --namespace jenkins -it svc/jenkins -- \
  cat /var/jenkins_home/secrets/initialAdminPassword

浏览器访问：http://<NodeIP>:32080

2. 部署 Harbor

下载并安装 Harbor Helm Chart：

helm repo add harbor https://helm.goharbor.io
helm repo update

helm install harbor harbor/harbor \
  --namespace harbor --create-namespace \
  --set expose.type=NodePort \
  --set expose.tls.enabled=false \
  --set externalURL=http://harbor.local \
  --set persistence.persistentVolumeClaim.registry.storageClass=hostpath

访问 Harbor：

• 地址：http://<NodeIP>:30002
• 默认账号：admin
• 默认密码：Harbor12345

3. Jenkins 集成 Harbor

在 Jenkins 添加 Harbor 凭据：

• 类型：Username with password
• ID：harbor-credentials
• 用户名：admin
• 密码：Harbor12345

在 Jenkinsfile 中使用：

pipeline {
    agent any
    stages {
        stage('Build Image') {
            steps {
                script {
                    dockerImage = docker.build("harbor.local/library/myapp:${env.BUILD_ID}")
                }
            }
        }
        stage('Push Image') {
            steps {
                script {
                    docker.withRegistry('http://harbor.local', 'harbor-credentials') {
                        dockerImage.push()
                    }
                }
            }
        }
    }
}

4. Kubernetes 使用 Harbor 镜像

创建 ImagePullSecret：

kubectl create secret docker-registry harbor-secret \
  --docker-server=harbor.local \
  --docker-username=admin \
  --docker-password=Harbor12345

Deployment 示例：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 2
  selector:
    matchLabels:
      app: myapp
  template:
    metadata:
      labels:
        app: myapp
    spec:
      containers:
      - name: app
        image: harbor.local/library/myapp:latest
      imagePullSecrets:
      - name: harbor-secret

五、最佳实践

1. Jenkins

• Master 使用 PVC 持久化数据
• 动态 Agent Pod，任务完成后自动销毁，避免资源浪费

2. Harbor

• 开启 HTTPS 与 Trivy 漏洞扫描
• 配置 Notary 镜像签名
• 使用 镜像复制，实现异地多集群同步

3. Kubernetes

• 建议使用 Helm/Kustomize 管理 Deployment
• 配合 ArgoCD/FluxCD 实现 GitOps

4. 安全

• Jenkins 使用专用 ServiceAccount + RBAC
• Harbor 配置 LDAP/AD 统一认证

六、总结

• 理论层面：
  Jenkins 作为流水线大脑，Harbor 作为镜像中心，K8s 作为运行环境，三者构成完整的 CI/CD 流水线。
• 实战层面：
  通过 Helm 快速部署 Jenkins 与 Harbor，配置好凭据与 Secret，即可完成 代码 → 镜像 → 部署 的自动化闭环。
• 优化层面：
  引入 GitOps (ArgoCD/FluxCD)、Service Mesh (Istio/Linkerd)，能让交付体系更智能、更安全。

这样，你的文章既有 架构理论，又有 可落地命令 & 配置，读者照着做就能在 K8s 上跑起来。

整套 Jenkins + Harbor + 应用部署的 YAML + Jenkinsfile 示例

包括 Jenkins、Harbor、示例应用、以及 Jenkinsfile，一键部署后就能跑通 CI/CD 全流程。

Kubernetes + Jenkins + Harbor CI/CD Demo

目录结构

cicd-demo/
├── jenkins/                  # Jenkins Helm values 配置
│   └── values.yaml
├── harbor/                   # Harbor Helm values 配置
│   └── values.yaml
├── app/                      # 示例应用
│   ├── Dockerfile
│   ├── src/index.html
│   └── k8s-deployment.yaml   # 应用 K8s 部署文件
└── Jenkinsfile               # CI/CD 流水线定义

1. Jenkins 安装配置

jenkins/values.yaml

controller:
  serviceType: NodePort
  nodePort: 32080
  installPlugins:
    - kubernetes:latest
    - workflow-aggregator:latest
    - git:latest
    - docker-workflow:latest
  persistence:
    enabled: true
    storageClass: hostpath
    size: 8Gi

安装命令：

helm repo add jenkins https://charts.jenkins.io
helm upgrade --install jenkins jenkins/jenkins \
  -f jenkins/values.yaml \
  --namespace jenkins --create-namespace

2. Harbor 安装配置

harbor/values.yaml

expose:
  type: NodePort
  tls:
    enabled: false
externalURL: http://harbor.local

harborAdminPassword: Harbor12345

persistence:
  enabled: true
  persistentVolumeClaim:
    registry:
      storageClass: hostpath
      size: 20Gi

安装命令：

helm repo add harbor https://helm.goharbor.io
helm upgrade --install harbor harbor/harbor \
  -f harbor/values.yaml \
  --namespace harbor --create-namespace

3. 示例应用

app/Dockerfile

FROM nginx:alpine
COPY src/index.html /usr/share/nginx/html/index.html

app/src/index.html

<!DOCTYPE html>
<html>
<head>
  <title>CI/CD Demo App</title>
</head>
<body>
  <h1>Hello, Kubernetes + Jenkins + Harbor!</h1>
</body>
</html>

app/k8s-deployment.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: demo-app
  namespace: demo
spec:
  replicas: 2
  selector:
    matchLabels:
      app: demo-app
  template:
    metadata:
      labels:
        app: demo-app
    spec:
      containers:
      - name: demo
        image: harbor.local/library/demo-app:latest
        ports:
        - containerPort: 80
      imagePullSecrets:
      - name: harbor-secret
---
apiVersion: v1
kind: Service
metadata:
  name: demo-service
  namespace: demo
spec:
  type: NodePort
  selector:
    app: demo-app
  ports:
    - port: 80
      targetPort: 80
      nodePort: 30080

4. Jenkinsfile

Jenkinsfile

pipeline {
    agent any
    environment {
        HARBOR_URL = "harbor.local"
        HARBOR_PROJECT = "library"
        IMAGE_NAME = "demo-app"
    }
    stages {
        stage('Checkout') {
            steps {
                git 'https://github.com/your-org/cicd-demo.git'
            }
        }
        stage('Build Image') {
            steps {
                script {
                    dockerImage = docker.build("${HARBOR_URL}/${HARBOR_PROJECT}/${IMAGE_NAME}:${env.BUILD_ID}", "app")
                }
            }
        }
        stage('Push Image') {
            steps {
                script {
                    docker.withRegistry("http://${HARBOR_URL}", "harbor-credentials") {
                        dockerImage.push()
                        dockerImage.push("latest")
                    }
                }
            }
        }
        stage('Deploy to K8s') {
            steps {
                sh '''
                  kubectl create namespace demo --dry-run=client -o yaml | kubectl apply -f -
                  kubectl apply -f app/k8s-deployment.yaml -n demo
                '''
            }
        }
    }
}

5. 凭据 & Secret

Jenkins 凭据

在 Jenkins UI → Credentials 添加：

• ID: harbor-credentials
• 类型: Username with password
• 用户: admin
• 密码: Harbor12345

Kubernetes Secret

kubectl create ns demo
kubectl create secret docker-registry harbor-secret \
  --docker-server=harbor.local \
  --docker-username=admin \
  --docker-password=Harbor12345 \
  --namespace=demo

6. 验证

1. 开发者提交代码：

git add .
git commit -m "update demo app"
git push origin main

2. Jenkins 自动执行：

• 构建镜像
• 推送到 Harbor
• 部署到 Kubernetes

3. 访问应用：

http://<NodeIP>:30080

浏览器显示：

Hello, Kubernetes + Jenkins + Harbor!