1. 为什么本地环境值得单独跑一个制品仓库很多团队一开始都是直接用公共镜像仓库拉个镜像、推个包都挺顺手直到某天网络抖动、某个基础镜像突然被下架、或者 CI 流水线因为外部仓库限流卡了半小时才意识到依赖外部服务这件事在生产环境里有多脆弱。我自己就遇到过好几次本地调试用的某个中间件镜像公共仓库上那个 tag 被作者删了结果整个测试环境重建直接失败排查了半天才发现是上游的问题。Nexus3 就是来解决这类问题的。它本质上是一个制品仓库管理器能同时托管 Docker 镜像、Maven 依赖、npm 包、PyPI 包等多种格式的制品。把它用 Docker 跑起来你就有了一套完全自主可控的私有仓库镜像推拉走内网、依赖缓存本地化、断网也能正常构建。对于中小团队、个人开发者、或者需要做离线交付的场景来说这套组合的性价比非常高。这篇文章面向的是有一定 Docker 基础、想自己搭一套私有仓库的开发者。我会从零开始讲清楚Nexus3 容器怎么起、Docker 仓库怎么配、客户端怎么对接、权限怎么管以及我在实际使用中踩过的那些坑。全程用 Docker 操作不需要你在宿主机上装 Java、配环境变量干净利落。需要先说明一点Nexus3 的 Docker 仓库分为hosted宿主仓库用来存自己推的镜像、proxy代理仓库用来缓存外部镜像、**group聚合仓库把前两者合并成一个入口**三种类型。理解这三种类型的分工是后面配置不迷路的关键我会在对应章节展开讲。2. 起容器之前先把这几个决策想清楚2.1 数据持久化别让容器一删数据全没这是新手最容易翻车的地方。Nexus3 容器里存着你的所有镜像、用户配置、仓库设置如果不用数据卷挂出来docker rm一下全没了。我见过有人调试时反复删容器重建结果把辛苦推上去的镜像全搞丢了。正确的做法是把 Nexus 的数据目录挂到宿主机上。Nexus3 容器内的工作目录是/nexus-data这个目录里包含数据库、blob 存储、配置文件等所有状态。挂载方式有两种绑定挂载bind mount直接指定宿主机路径比如/data/nexus-data:/nexus-data好处是你随时能进目录看文件备份也直观。命名卷named volume用docker volume管理Docker 帮你处理路径跨平台更省心但找文件稍微绕一点。我个人偏好绑定挂载因为排查问题时能直接ls看 blob 目录大小判断哪个仓库占空间。但有个关键坑Nexus3 容器内进程的 UID 是 200如果你在宿主机上先mkdir建了目录默认属主是 root容器启动时会因为没权限写/nexus-data而报错退出。解决办法是提前把目录属主改掉mkdir -p /data/nexus-data chown -R 200:200 /data/nexus-data这一步不做容器日志里会刷一堆Permission denied很多人第一次搭就卡在这。2.2 端口规划8081 和 8082 各管什么Nexus3 默认用8081提供 Web 管理界面和 REST API。但 Docker 仓库的推拉走的是另一套协议需要一个独立的端口通常用8082。这两个端口的分工必须搞清楚端口用途协议8081Web UI、管理 API、其他格式仓库Maven/npm 等HTTP8082Docker 仓库的推拉入口hosted/proxy/groupHTTP如果你只映射了 8081Web 界面能打开但docker push会一直失败因为 Docker 客户端连的是 8082。另外如果你打算给 Docker 仓库配 HTTPS生产环境强烈建议那 8082 通常还要再套一层反向代理或者直接在 Nexus 里配 SSL 证书这部分我在第 5 章细讲。2.3 内存与 JVM默认配置够不够用Nexus3 是个 Java 应用默认堆内存配置偏保守。跑起来之后你可以用docker stats观察如果内存一直贴着上限、GC 频繁推大镜像时会明显卡顿。官方镜像支持通过环境变量调 JVM 参数比如-e INSTALL4J_ADD_VM_PARAMS-Xms1g -Xmx2g -XX:MaxDirectMemorySize2g对于个人或小团队-Xmx2g基本够用如果仓库里镜像多、并发推拉频繁建议给到 4g。注意MaxDirectMemorySize这个参数Nexus 处理大文件时会用直接内存设太小容易 OOM。3. 一步步把 Nexus3 容器跑起来3.1 完整的启动命令与参数逐条拆解把前面的决策落地一条命令就能起容器docker run -d \ --name nexus3 \ --restart unless-stopped \ -p 8081:8081 \ -p 8082:8082 \ -v /data/nexus-data:/nexus-data \ -e INSTALL4J_ADD_VM_PARAMS-Xms1g -Xmx2g -XX:MaxDirectMemorySize2g \ sonatype/nexus3:latest逐条说一下为什么这么写--restart unless-stopped宿主机重启后容器自动拉起除非你手动停过。生产环境必备不然机器一重启仓库就没了。-p 8081:8081 -p 8082:8082前面说的两个端口缺一不可。-v /data/nexus-data:/nexus-data数据持久化配合前面chown 200:200使用。-e INSTALL4J_ADD_VM_PARAMS...调 JVM 内存按机器配置调整。镜像 tag 建议固定版本号而不是latest比如sonatype/nexus3:3.68.0。用latest的话某天自动拉新版本可能带来不兼容的配置变更我吃过这个亏。3.2 首次启动要等多久怎么判断真的好了容器起来不代表 Nexus 就能用了。首次启动它要初始化数据库、创建默认仓库这个过程通常要 1 到 3 分钟机器慢的话更久。别急着访问先看日志docker logs -f nexus3看到类似Started Sonatype Nexus OSS这样的日志才说明启动完成。如果日志里一直刷权限错误回去检查/data/nexus-data的属主。如果卡在某个步骤不动多半是内存不够调大 JVM 参数重启。访问http://你的主机IP:8081能看到登录页就成功了一半。3.3 拿到初始密码并完成初始化Nexus3 从某个版本开始不再用默认的admin/admin123而是生成一个随机初始密码存在容器里的这个文件docker exec nexus3 cat /nexus-data/admin.password拿到密码后用用户名admin登录系统会强制你改密码。改完之后强烈建议立刻做两件事在设置里关掉匿名访问如果不需要公开或者至少限制匿名用户的权限。创建一个专用的部署账号别一直用 admin 推镜像。用 admin 干所有事是很多人的习惯但一旦这个账号泄露整个仓库就裸奔了。后面第 6 章我会讲怎么配一个只有推拉权限的账号。4. 配置 Docker 仓库的完整链路4.1 三种仓库类型到底怎么选进到 Nexus 的 Web 界面点齿轮图标进设置找到 Repositories新建时你会看到 Docker 相关的三个选项。很多人在这里懵我用一句话概括它们的分工docker (hosted)你自己的私有仓库用来存团队内部构建的镜像。推上去的镜像就存在这里。docker (proxy)代理外部公共仓库第一次拉某个镜像时它帮你缓存下来下次再拉就走本地省带宽也防断网。docker (group)把上面两种聚合成一个地址客户端只连这一个入口拉镜像时它自动去 hosted 和 proxy 里找。推荐的组合方式建一个 hosted 存自己的镜像建一个 proxy 缓存公共镜像再建一个 group 把两者合并。这样客户端配置最简单只需要记住 group 的地址。4.2 hosted 仓库的关键参数新建 docker hosted 仓库时几个参数要留意Name起个有意义的名字比如docker-hosted。HTTP 端口填8082。注意这个端口是仓库级别的多个 Docker 仓库可以共用同一个端口Nexus 靠 URL 路径区分。Allow anonymous docker pull是否允许匿名拉取。内部环境可以开方便 CI 拉基础镜像对安全敏感就关掉。Enable Docker V1 API老版本 Docker 才需要现在基本都关了。建好之后这个仓库的推拉地址就是主机IP:8082/仓库名比如192.168.1.100:8082/docker-hosted。4.3 proxy 仓库指向哪里proxy 仓库需要填一个Remote storage也就是你要代理的上游地址。填公共镜像仓库的地址即可。另外有个Docker Index选项一般选Use Docker Hub或者Use custom index按你的上游来定。proxy 仓库还有个Cache设置可以配缓存过期时间。默认策略是有缓存就用缓存如果你希望某些镜像总是去上游检查更新可以调整这个策略。不过对大多数场景默认就够用。4.4 group 仓库把入口统一group 仓库本身不存东西它只是个聚合入口。配置时把前面建的 hosted 和 proxy 都加进Member repositories列表顺序有讲究排在前面的优先匹配。通常把 hosted 放前面这样拉自己推的镜像时不会误去 proxy 找。group 仓库同样要指定 HTTP 端口8082。建好之后客户端统一用主机IP:8082/group仓库名作为仓库地址推拉都走它。4.5 客户端怎么对接daemon.json 的坑Docker 客户端默认只信任 HTTPS 的仓库你搭的是 HTTP 的所以要在客户端的/etc/docker/daemon.json里声明这是不安全仓库{ insecure-registries: [192.168.1.100:8082] }改完重启 Docker 服务systemctl restart docker这里有个高频坑insecure-registries里填的地址必须和后面docker push用的地址完全一致包括端口。有人填了192.168.1.100没带端口结果 push 时用的是192.168.1.100:8082匹配不上照样报错。另外如果你用的是 group 仓库地址里要带上仓库名路径但insecure-registries只需要填到主机加端口不用带路径。5. 推拉镜像的实操与验证5.1 登录、打标签、推送的完整流程假设你要把一个本地镜像myapp:1.0推到 hosted 仓库完整流程是# 1. 登录仓库 docker login 192.168.1.100:8082 # 2. 给镜像打上仓库地址的标签 docker tag myapp:1.0 192.168.1.100:8082/docker-hosted/myapp:1.0 # 3. 推送 docker push 192.168.1.100:8082/docker-hosted/myapp:1.0登录时输入前面创建的部署账号和密码。标签的命名规则是仓库地址/仓库名/镜像名:标签中间那个仓库名就是你在 Nexus 里建的 hosted 仓库名不能省。5.2 从 group 仓库拉取验证聚合是否生效推完之后验证 group 是否正常工作docker pull 192.168.1.100:8082/docker-group/myapp:1.0如果拉下来了说明 group 成功从 hosted 里找到了镜像。再试一个公共镜像比如docker pull 192.168.1.100:8082/docker-group/library/nginx:latest第一次拉会走 proxy 去上游下载并缓存第二次拉就明显快了因为直接命中本地缓存。你可以去 Nexus 界面里看 proxy 仓库的存储占用确认缓存确实生效了。5.3 推送失败时的排查顺序推不上去是最高频的问题我总结了一个排查顺序按这个走基本能定位现象可能原因检查点http: server gave HTTP response to HTTPS client客户端没配 insecure-registries检查 daemon.json 并重启 Dockerunauthorized: authentication required没登录或账号权限不足重新docker login检查账号角色denied: requested access to the resource is denied仓库名或路径写错核对标签里的仓库名connection refused端口没映射或容器没起docker ps看端口curl测连通性推送卡住不动内存不足或磁盘满docker stats看内存df -h看磁盘特别提醒denied这个错误最容易被误判成权限问题实际上很多时候是标签路径写错了。比如你把镜像推到了docker-hosted但标签里写的是docker-groupgroup 仓库默认不允许直接 push除非你专门开了写权限就会报 denied。6. 权限体系与账号管理6.1 角色、权限、用户三者的关系Nexus 的权限模型是三层Privileges权限→ Roles角色→ Users用户。权限是最细粒度的操作许可角色是权限的集合用户绑定角色。理解这个层级配权限就不会乱。对于 Docker 仓库常用的权限有nx-repository-view-docker-仓库名-read读权限拉镜像用。nx-repository-view-docker-仓库名-add添加权限推镜像用。nx-repository-view-docker-仓库名-edit编辑权限一般不给普通用户。nx-repository-view-docker-仓库名-browse浏览权限看仓库内容用。6.2 给 CI 配一个最小权限账号CI 流水线需要推拉镜像但绝不该给它 admin 权限。正确做法是建一个专用角色只包含必要的 read 和 add 权限然后建一个用户绑定这个角色。具体操作进 Security → Roles新建一个角色比如叫docker-ci在 Privileges 里搜nx-repository-view-docker把对应仓库的 read 和 add 勾上。然后进 Users 新建用户绑定这个角色。这样即使 CI 的凭证泄露攻击者也只能推拉镜像动不了仓库配置和其他格式的制品。最小权限原则在制品仓库这种核心基础设施上尤其重要。6.3 匿名访问该不该开匿名访问是个双刃剑。开了之后任何能访问到 8082 端口的人都能拉镜像CI 拉基础镜像不用配凭证很方便。但如果你仓库里有敏感镜像这就是个漏洞。我的建议是内部网络、镜像不含敏感信息可以开匿名拉取否则一律关闭。关闭之后所有拉取都要登录虽然麻烦一点但安全边界清晰。如果确实需要部分公开可以只对 group 仓库开匿名hosted 仓库保持关闭。7. 生产环境必须补上的几件事7.1 用 HTTPS 替代 HTTP前面全程用的 HTTP在测试环境没问题但生产环境必须上 HTTPS。原因很简单Docker 登录时凭证是 base64 编码传输的HTTP 下等于明文。上 HTTPS 有两条路在 Nexus 前面挂反向代理如 Nginx由代理处理 SSL 证书Nexus 只监听内网 HTTP。这是最常用的方案证书管理灵活。直接在 Nexus 里配 SSL需要把证书导入 Java keystore配置稍繁琐。用反向代理时要注意Docker 仓库的推拉流量可能很大代理的client_max_body_size要调大否则推大镜像会被截断。我一般设成0不限制或者至少2g。7.2 定期备份 nexus-data 目录所有状态都在/nexus-data里备份它就是备份整个仓库。但不能直接热拷贝因为 Nexus 运行时数据库文件可能在写入拷出来可能不一致。正确做法有两种用 Nexus 自带的备份任务在 Web 界面的 Tasks 里配它会生成一致的备份。停容器后再拷贝目录简单粗暴但需要停机。对于 blob 存储镜像数据如果量大可以考虑配置 blob store 到独立磁盘备份时单独处理。我个人的习惯是每周做一次全量备份保留最近四周。7.3 磁盘空间监控不能省镜像仓库是吃磁盘大户尤其是 proxy 缓存不知不觉就几十上百 G。一定要配磁盘监控在快满之前清理。Nexus 提供了清理策略Cleanup Policies可以自动删除长期未使用的缓存镜像。配置清理策略时可以按最后下载时间来定比如超过 90 天没被拉取的 proxy 缓存自动清理。hosted 仓库的镜像建议手动管理别自动删万一删了正在用的就麻烦了。8. 我踩过的几个真实坑8.1 容器重启后 Docker 仓库端口失效有次我把容器重启发现 Web 界面正常但docker push全部失败。查了半天发现是 Docker 仓库的 HTTP 端口配置在重启后没生效。原因是 Nexus 的端口配置有时需要在容器完全启动后再确认一次如果启动过程中配置没加载完就访问会读到旧状态。解决办法容器重启后等日志出现Started Sonatype Nexus OSS再操作别急着推拉。如果还是不行进 Web 界面把 Docker 仓库的端口重新保存一次。8.2 大镜像推送超时推一个 2G 多的镜像时推到一半报超时。排查发现是反向代理的proxy_read_timeout太短默认 60 秒大镜像传不完就断了。把它调到600秒以上问题解决。如果你没挂代理那可能是 Nexus 的 JVM 直接内存不够回去调MaxDirectMemorySize。8.3 标签覆盖导致的缓存混乱有次团队里两个人同时推了同一个 tag 的不同内容结果 group 仓库拉下来的镜像时好时坏。这是因为 Docker 的 tag 是可变的同一个 tag 被覆盖后不同节点可能拉到不同版本。教训是生产镜像永远用唯一 tag比如带上 git commit hash 或构建号别用latest这种浮动标签。8.4 磁盘满了导致 Nexus 假死磁盘写满后Nexus 不会直接报错而是表现为界面能打开但所有操作都卡住。我第一次遇到时以为是内存问题调了半天 JVM 没用最后df -h才发现磁盘 100%。所以磁盘监控一定要配别等出问题才查。9. 写在最后的一点个人体会这套 Docker Nexus3 的私有仓库方案我从个人项目用到团队协作稳定跑了两年多。最大的感受是前期把持久化、权限、备份这三件事做扎实后面基本不用管它。反过来如果一开始图省事不挂数据卷、用 admin 推镜像、不做备份那迟早要还债。另外提醒一句Nexus3 的版本更新别太激进。我一般等新版本发布一两个月、社区反馈稳定了再升升级前先备份/nexus-data。有次手贱升了个刚发布的版本结果 Docker 仓库的某个配置项行为变了折腾了一下午才回滚。如果你只是个人用其实还有个更轻量的选择但 Nexus 的优势在于它一个服务能同时管 Docker、Maven、npm 等多种制品团队规模上来之后不用再单独搭好几套。这个取舍看你自己的场景。
1. 为什么本地环境值得单独跑一个制品仓库很多团队一开始都是直接用公共镜像仓库拉个镜像、推个包都挺顺手直到某天网络抖动、某个基础镜像突然被下架、或者 CI 流水线因为外部仓库限流卡了半小时才意识到依赖外部服务这件事在生产环境里有多脆弱。我自己就遇到过好几次本地调试用的某个中间件镜像公共仓库上那个 tag 被作者删了结果整个测试环境重建直接失败排查了半天才发现是上游的问题。Nexus3 就是来解决这类问题的。它本质上是一个制品仓库管理器能同时托管 Docker 镜像、Maven 依赖、npm 包、PyPI 包等多种格式的制品。把它用 Docker 跑起来你就有了一套完全自主可控的私有仓库镜像推拉走内网、依赖缓存本地化、断网也能正常构建。对于中小团队、个人开发者、或者需要做离线交付的场景来说这套组合的性价比非常高。这篇文章面向的是有一定 Docker 基础、想自己搭一套私有仓库的开发者。我会从零开始讲清楚Nexus3 容器怎么起、Docker 仓库怎么配、客户端怎么对接、权限怎么管以及我在实际使用中踩过的那些坑。全程用 Docker 操作不需要你在宿主机上装 Java、配环境变量干净利落。需要先说明一点Nexus3 的 Docker 仓库分为hosted宿主仓库用来存自己推的镜像、proxy代理仓库用来缓存外部镜像、**group聚合仓库把前两者合并成一个入口**三种类型。理解这三种类型的分工是后面配置不迷路的关键我会在对应章节展开讲。2. 起容器之前先把这几个决策想清楚2.1 数据持久化别让容器一删数据全没这是新手最容易翻车的地方。Nexus3 容器里存着你的所有镜像、用户配置、仓库设置如果不用数据卷挂出来docker rm一下全没了。我见过有人调试时反复删容器重建结果把辛苦推上去的镜像全搞丢了。正确的做法是把 Nexus 的数据目录挂到宿主机上。Nexus3 容器内的工作目录是/nexus-data这个目录里包含数据库、blob 存储、配置文件等所有状态。挂载方式有两种绑定挂载bind mount直接指定宿主机路径比如/data/nexus-data:/nexus-data好处是你随时能进目录看文件备份也直观。命名卷named volume用docker volume管理Docker 帮你处理路径跨平台更省心但找文件稍微绕一点。我个人偏好绑定挂载因为排查问题时能直接ls看 blob 目录大小判断哪个仓库占空间。但有个关键坑Nexus3 容器内进程的 UID 是 200如果你在宿主机上先mkdir建了目录默认属主是 root容器启动时会因为没权限写/nexus-data而报错退出。解决办法是提前把目录属主改掉mkdir -p /data/nexus-data chown -R 200:200 /data/nexus-data这一步不做容器日志里会刷一堆Permission denied很多人第一次搭就卡在这。2.2 端口规划8081 和 8082 各管什么Nexus3 默认用8081提供 Web 管理界面和 REST API。但 Docker 仓库的推拉走的是另一套协议需要一个独立的端口通常用8082。这两个端口的分工必须搞清楚端口用途协议8081Web UI、管理 API、其他格式仓库Maven/npm 等HTTP8082Docker 仓库的推拉入口hosted/proxy/groupHTTP如果你只映射了 8081Web 界面能打开但docker push会一直失败因为 Docker 客户端连的是 8082。另外如果你打算给 Docker 仓库配 HTTPS生产环境强烈建议那 8082 通常还要再套一层反向代理或者直接在 Nexus 里配 SSL 证书这部分我在第 5 章细讲。2.3 内存与 JVM默认配置够不够用Nexus3 是个 Java 应用默认堆内存配置偏保守。跑起来之后你可以用docker stats观察如果内存一直贴着上限、GC 频繁推大镜像时会明显卡顿。官方镜像支持通过环境变量调 JVM 参数比如-e INSTALL4J_ADD_VM_PARAMS-Xms1g -Xmx2g -XX:MaxDirectMemorySize2g对于个人或小团队-Xmx2g基本够用如果仓库里镜像多、并发推拉频繁建议给到 4g。注意MaxDirectMemorySize这个参数Nexus 处理大文件时会用直接内存设太小容易 OOM。3. 一步步把 Nexus3 容器跑起来3.1 完整的启动命令与参数逐条拆解把前面的决策落地一条命令就能起容器docker run -d \ --name nexus3 \ --restart unless-stopped \ -p 8081:8081 \ -p 8082:8082 \ -v /data/nexus-data:/nexus-data \ -e INSTALL4J_ADD_VM_PARAMS-Xms1g -Xmx2g -XX:MaxDirectMemorySize2g \ sonatype/nexus3:latest逐条说一下为什么这么写--restart unless-stopped宿主机重启后容器自动拉起除非你手动停过。生产环境必备不然机器一重启仓库就没了。-p 8081:8081 -p 8082:8082前面说的两个端口缺一不可。-v /data/nexus-data:/nexus-data数据持久化配合前面chown 200:200使用。-e INSTALL4J_ADD_VM_PARAMS...调 JVM 内存按机器配置调整。镜像 tag 建议固定版本号而不是latest比如sonatype/nexus3:3.68.0。用latest的话某天自动拉新版本可能带来不兼容的配置变更我吃过这个亏。3.2 首次启动要等多久怎么判断真的好了容器起来不代表 Nexus 就能用了。首次启动它要初始化数据库、创建默认仓库这个过程通常要 1 到 3 分钟机器慢的话更久。别急着访问先看日志docker logs -f nexus3看到类似Started Sonatype Nexus OSS这样的日志才说明启动完成。如果日志里一直刷权限错误回去检查/data/nexus-data的属主。如果卡在某个步骤不动多半是内存不够调大 JVM 参数重启。访问http://你的主机IP:8081能看到登录页就成功了一半。3.3 拿到初始密码并完成初始化Nexus3 从某个版本开始不再用默认的admin/admin123而是生成一个随机初始密码存在容器里的这个文件docker exec nexus3 cat /nexus-data/admin.password拿到密码后用用户名admin登录系统会强制你改密码。改完之后强烈建议立刻做两件事在设置里关掉匿名访问如果不需要公开或者至少限制匿名用户的权限。创建一个专用的部署账号别一直用 admin 推镜像。用 admin 干所有事是很多人的习惯但一旦这个账号泄露整个仓库就裸奔了。后面第 6 章我会讲怎么配一个只有推拉权限的账号。4. 配置 Docker 仓库的完整链路4.1 三种仓库类型到底怎么选进到 Nexus 的 Web 界面点齿轮图标进设置找到 Repositories新建时你会看到 Docker 相关的三个选项。很多人在这里懵我用一句话概括它们的分工docker (hosted)你自己的私有仓库用来存团队内部构建的镜像。推上去的镜像就存在这里。docker (proxy)代理外部公共仓库第一次拉某个镜像时它帮你缓存下来下次再拉就走本地省带宽也防断网。docker (group)把上面两种聚合成一个地址客户端只连这一个入口拉镜像时它自动去 hosted 和 proxy 里找。推荐的组合方式建一个 hosted 存自己的镜像建一个 proxy 缓存公共镜像再建一个 group 把两者合并。这样客户端配置最简单只需要记住 group 的地址。4.2 hosted 仓库的关键参数新建 docker hosted 仓库时几个参数要留意Name起个有意义的名字比如docker-hosted。HTTP 端口填8082。注意这个端口是仓库级别的多个 Docker 仓库可以共用同一个端口Nexus 靠 URL 路径区分。Allow anonymous docker pull是否允许匿名拉取。内部环境可以开方便 CI 拉基础镜像对安全敏感就关掉。Enable Docker V1 API老版本 Docker 才需要现在基本都关了。建好之后这个仓库的推拉地址就是主机IP:8082/仓库名比如192.168.1.100:8082/docker-hosted。4.3 proxy 仓库指向哪里proxy 仓库需要填一个Remote storage也就是你要代理的上游地址。填公共镜像仓库的地址即可。另外有个Docker Index选项一般选Use Docker Hub或者Use custom index按你的上游来定。proxy 仓库还有个Cache设置可以配缓存过期时间。默认策略是有缓存就用缓存如果你希望某些镜像总是去上游检查更新可以调整这个策略。不过对大多数场景默认就够用。4.4 group 仓库把入口统一group 仓库本身不存东西它只是个聚合入口。配置时把前面建的 hosted 和 proxy 都加进Member repositories列表顺序有讲究排在前面的优先匹配。通常把 hosted 放前面这样拉自己推的镜像时不会误去 proxy 找。group 仓库同样要指定 HTTP 端口8082。建好之后客户端统一用主机IP:8082/group仓库名作为仓库地址推拉都走它。4.5 客户端怎么对接daemon.json 的坑Docker 客户端默认只信任 HTTPS 的仓库你搭的是 HTTP 的所以要在客户端的/etc/docker/daemon.json里声明这是不安全仓库{ insecure-registries: [192.168.1.100:8082] }改完重启 Docker 服务systemctl restart docker这里有个高频坑insecure-registries里填的地址必须和后面docker push用的地址完全一致包括端口。有人填了192.168.1.100没带端口结果 push 时用的是192.168.1.100:8082匹配不上照样报错。另外如果你用的是 group 仓库地址里要带上仓库名路径但insecure-registries只需要填到主机加端口不用带路径。5. 推拉镜像的实操与验证5.1 登录、打标签、推送的完整流程假设你要把一个本地镜像myapp:1.0推到 hosted 仓库完整流程是# 1. 登录仓库 docker login 192.168.1.100:8082 # 2. 给镜像打上仓库地址的标签 docker tag myapp:1.0 192.168.1.100:8082/docker-hosted/myapp:1.0 # 3. 推送 docker push 192.168.1.100:8082/docker-hosted/myapp:1.0登录时输入前面创建的部署账号和密码。标签的命名规则是仓库地址/仓库名/镜像名:标签中间那个仓库名就是你在 Nexus 里建的 hosted 仓库名不能省。5.2 从 group 仓库拉取验证聚合是否生效推完之后验证 group 是否正常工作docker pull 192.168.1.100:8082/docker-group/myapp:1.0如果拉下来了说明 group 成功从 hosted 里找到了镜像。再试一个公共镜像比如docker pull 192.168.1.100:8082/docker-group/library/nginx:latest第一次拉会走 proxy 去上游下载并缓存第二次拉就明显快了因为直接命中本地缓存。你可以去 Nexus 界面里看 proxy 仓库的存储占用确认缓存确实生效了。5.3 推送失败时的排查顺序推不上去是最高频的问题我总结了一个排查顺序按这个走基本能定位现象可能原因检查点http: server gave HTTP response to HTTPS client客户端没配 insecure-registries检查 daemon.json 并重启 Dockerunauthorized: authentication required没登录或账号权限不足重新docker login检查账号角色denied: requested access to the resource is denied仓库名或路径写错核对标签里的仓库名connection refused端口没映射或容器没起docker ps看端口curl测连通性推送卡住不动内存不足或磁盘满docker stats看内存df -h看磁盘特别提醒denied这个错误最容易被误判成权限问题实际上很多时候是标签路径写错了。比如你把镜像推到了docker-hosted但标签里写的是docker-groupgroup 仓库默认不允许直接 push除非你专门开了写权限就会报 denied。6. 权限体系与账号管理6.1 角色、权限、用户三者的关系Nexus 的权限模型是三层Privileges权限→ Roles角色→ Users用户。权限是最细粒度的操作许可角色是权限的集合用户绑定角色。理解这个层级配权限就不会乱。对于 Docker 仓库常用的权限有nx-repository-view-docker-仓库名-read读权限拉镜像用。nx-repository-view-docker-仓库名-add添加权限推镜像用。nx-repository-view-docker-仓库名-edit编辑权限一般不给普通用户。nx-repository-view-docker-仓库名-browse浏览权限看仓库内容用。6.2 给 CI 配一个最小权限账号CI 流水线需要推拉镜像但绝不该给它 admin 权限。正确做法是建一个专用角色只包含必要的 read 和 add 权限然后建一个用户绑定这个角色。具体操作进 Security → Roles新建一个角色比如叫docker-ci在 Privileges 里搜nx-repository-view-docker把对应仓库的 read 和 add 勾上。然后进 Users 新建用户绑定这个角色。这样即使 CI 的凭证泄露攻击者也只能推拉镜像动不了仓库配置和其他格式的制品。最小权限原则在制品仓库这种核心基础设施上尤其重要。6.3 匿名访问该不该开匿名访问是个双刃剑。开了之后任何能访问到 8082 端口的人都能拉镜像CI 拉基础镜像不用配凭证很方便。但如果你仓库里有敏感镜像这就是个漏洞。我的建议是内部网络、镜像不含敏感信息可以开匿名拉取否则一律关闭。关闭之后所有拉取都要登录虽然麻烦一点但安全边界清晰。如果确实需要部分公开可以只对 group 仓库开匿名hosted 仓库保持关闭。7. 生产环境必须补上的几件事7.1 用 HTTPS 替代 HTTP前面全程用的 HTTP在测试环境没问题但生产环境必须上 HTTPS。原因很简单Docker 登录时凭证是 base64 编码传输的HTTP 下等于明文。上 HTTPS 有两条路在 Nexus 前面挂反向代理如 Nginx由代理处理 SSL 证书Nexus 只监听内网 HTTP。这是最常用的方案证书管理灵活。直接在 Nexus 里配 SSL需要把证书导入 Java keystore配置稍繁琐。用反向代理时要注意Docker 仓库的推拉流量可能很大代理的client_max_body_size要调大否则推大镜像会被截断。我一般设成0不限制或者至少2g。7.2 定期备份 nexus-data 目录所有状态都在/nexus-data里备份它就是备份整个仓库。但不能直接热拷贝因为 Nexus 运行时数据库文件可能在写入拷出来可能不一致。正确做法有两种用 Nexus 自带的备份任务在 Web 界面的 Tasks 里配它会生成一致的备份。停容器后再拷贝目录简单粗暴但需要停机。对于 blob 存储镜像数据如果量大可以考虑配置 blob store 到独立磁盘备份时单独处理。我个人的习惯是每周做一次全量备份保留最近四周。7.3 磁盘空间监控不能省镜像仓库是吃磁盘大户尤其是 proxy 缓存不知不觉就几十上百 G。一定要配磁盘监控在快满之前清理。Nexus 提供了清理策略Cleanup Policies可以自动删除长期未使用的缓存镜像。配置清理策略时可以按最后下载时间来定比如超过 90 天没被拉取的 proxy 缓存自动清理。hosted 仓库的镜像建议手动管理别自动删万一删了正在用的就麻烦了。8. 我踩过的几个真实坑8.1 容器重启后 Docker 仓库端口失效有次我把容器重启发现 Web 界面正常但docker push全部失败。查了半天发现是 Docker 仓库的 HTTP 端口配置在重启后没生效。原因是 Nexus 的端口配置有时需要在容器完全启动后再确认一次如果启动过程中配置没加载完就访问会读到旧状态。解决办法容器重启后等日志出现Started Sonatype Nexus OSS再操作别急着推拉。如果还是不行进 Web 界面把 Docker 仓库的端口重新保存一次。8.2 大镜像推送超时推一个 2G 多的镜像时推到一半报超时。排查发现是反向代理的proxy_read_timeout太短默认 60 秒大镜像传不完就断了。把它调到600秒以上问题解决。如果你没挂代理那可能是 Nexus 的 JVM 直接内存不够回去调MaxDirectMemorySize。8.3 标签覆盖导致的缓存混乱有次团队里两个人同时推了同一个 tag 的不同内容结果 group 仓库拉下来的镜像时好时坏。这是因为 Docker 的 tag 是可变的同一个 tag 被覆盖后不同节点可能拉到不同版本。教训是生产镜像永远用唯一 tag比如带上 git commit hash 或构建号别用latest这种浮动标签。8.4 磁盘满了导致 Nexus 假死磁盘写满后Nexus 不会直接报错而是表现为界面能打开但所有操作都卡住。我第一次遇到时以为是内存问题调了半天 JVM 没用最后df -h才发现磁盘 100%。所以磁盘监控一定要配别等出问题才查。9. 写在最后的一点个人体会这套 Docker Nexus3 的私有仓库方案我从个人项目用到团队协作稳定跑了两年多。最大的感受是前期把持久化、权限、备份这三件事做扎实后面基本不用管它。反过来如果一开始图省事不挂数据卷、用 admin 推镜像、不做备份那迟早要还债。另外提醒一句Nexus3 的版本更新别太激进。我一般等新版本发布一两个月、社区反馈稳定了再升升级前先备份/nexus-data。有次手贱升了个刚发布的版本结果 Docker 仓库的某个配置项行为变了折腾了一下午才回滚。如果你只是个人用其实还有个更轻量的选择但 Nexus 的优势在于它一个服务能同时管 Docker、Maven、npm 等多种制品团队规模上来之后不用再单独搭好几套。这个取舍看你自己的场景。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
