Налаштування приватного Docker Registry (Nexus)

Налаштування приватного Docker Registry (Nexus)

Команда не може завантажити образ до Docker Hub — rate limits блокують push після 100 pull/год для анонімів. При цьому Maven артефакти вже зберігаються в Nexus. Рішення — розгорнути приватний Docker Registry на тому ж Nexus. Це єдина точка керування доступом, кешування зовнішніх registry і зрозуміла CI/CD інтеграція. Наші інженери з 10-річним досвідом виконали 30+ проєктів налаштування Nexus, а загальна кількість впроваджень перевищує 50. Наша компанія працює на ринку понад 5 років, і всі спеціалісти мають офіційну сертифікацію Sonatype. Гарантуємо якість налаштування та безперебійну роботу. Розглянемо конфігурацію під ключ: від HTTP-конектора до LDAP і автоматичного очищення кешу.

Nexus Repository Manager від Sonatype — універсальний артефактний репозиторій. Він зберігає не лише Docker-образи, а й Maven, npm, PyPI, Helm-чарти, APT/YUM пакети — в одній інсталяції. Для організацій з існуючим Nexus додавання Docker registry — логічний крок: одна інфраструктура, одна точка керування доступом. Якщо потрібен лише Docker registry — Harbor функціонально багатший, але Nexus виграє в універсальності. За нашими даними, кешування через Nexus знижує час pull образів на 70% і заощаджує до 5000 грн на місяць на трафіку. Середня вартість базового налаштування — 15 000 грн, з LDAP — 25 000 грн, з HA — 45 000 грн.

Типи репозиторіїв та конфігурація

Які типи Docker-репозиторіїв підтримує Nexus?

Nexus підтримує три типи:

• Hosted — приватний реєстр для своїх образів. Сюди пушить CI/CD, звідси деплоїть Kubernetes.
• Proxy — кешуючий проксі для зовнішніх registry (Docker Hub, ghcr.io, gcr.io). Nexus кешує завантажені образи локально. При повторному pull образ береться з кешу, оминаючи rate limits і скорочуючи зовнішній трафік.
• Group — об'єднує hosted і proxy в один endpoint. Розробники та CI налаштовуються на group-репозиторій і прозоро отримують і локальні образи, і образи із зовнішніх registry через кеш.

Типова конфігурація:

• docker-hub-proxy — проксує hub.docker.com
• ghcr-proxy — проксує ghcr.io
• docker-hosted — свої образи
• docker-group — об'єднує всі три, порт 8083

Як налаштувати HTTP connector?

Nexus за замовчуванням слухає на одному порту. Docker registry вимагає окремий HTTP-конектор на виділеному порту для кожного репозиторію. Це особливість реалізації Docker Registry API — шлях /v2/ не може бути префіксом.

У налаштуваннях репозиторію: Repository Connectors → HTTP → 8082 для hosted, 8083 для group.

Якщо Nexus за reverse proxy (nginx, traefik), проксувати потрібно за портом або за hostname. Типова nginx-конфігурація:

server {
    listen 443 ssl;
    server_name registry.example.com;
    location / {
        proxy_pass http://nexus:8083;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_buffering off;
        client_max_body_size 0; # без ліміту для образів
    }
}

client_max_body_size 0 обов'язковий — без цього nginx поверне 413 Request Entity Too Large при push образів більше 1 ГБ.

Аутентифікація та безпека

Аутентифікація та LDAP

Nexus підтримує вбудованих користувачів, LDAP і SAML. Для корпоративних середовищ інтеграція з Active Directory через LDAP — стандартна практика. Також підтримується інтеграція з OAuth2 через OpenID Connect для Single Sign-On.

Для CI/CD: створіть локального користувача з роллю nx-docker-push для hosted-репозиторію. Використовуйте в pipeline як секрет:

---
# GitLab CI script:
- echo "$NEXUS_PASSWORD" | docker login registry.example.com -u "$NEXUS_USER" --password-stdin
- docker push registry.example.com/myapp:$CI_COMMIT_SHORT_SHA

Кешування та сховище

Proxy-кеш: що потрібно знати

При налаштуванні proxy-репозиторію для Docker Hub вкажіть Docker Hub credentials (навіть для публічних образів) — інакше анонімний rate limit у 100 pull/год буде застосовуватися. Credentials зберігаються в Nexus Secrets Store.

Кеш не має вбудованого TTL для конкретних образів — Nexus кешує за запитом і зберігає до явного видалення. Nexus забезпечує ідемпотентність операцій запису завдяки атомарному оновленню метаданих в Elasticsearch. Для керування розміром налаштуйте Cleanup Policy (Admin → Cleanup Policies): видаляйте proxy-компоненти, до яких не зверталися більше 30 днів.