1. Đặt vấn đề: Tại sao doanh nghiệp cần Private Docker Registry riêng?

Trong kỷ nguyên chuyển đổi số và kiến trúc microservices, Docker đã trở thành một công cụ không thể thiếu trong quy trình phát triển và triển khai phần mềm. Tuy nhiên, khi số lượng Docker image tăng lên, việc quản lý và lưu trữ chúng một cách an toàn, bảo mật và tối ưu chi phí trở thành một bài toán nan giải cho các doanh nghiệp.

Mặc dù các dịch vụ đám mây lớn như Docker Hub, AWS ECR, hay Google Artifact Registry cung cấp giải pháp lưu trữ sẵn có, chúng thường đi kèm với những hạn chế nhất định:

Chi phí lưu trữ và băng thông cao: Khi quy mô dự án lớn, chi phí duy trì tài khoản trả phí hàng tháng sẽ tăng tiến luỹ tiến.
Rủi ro bảo mật dữ liệu: Việc lưu trữ mã nguồn và các gói phần mềm cốt lõi trên hạ tầng của bên thứ ba luôn tiềm ẩn nguy cơ rò rỉ thông tin.
Tốc độ download/upload phụ thuộc vào đường truyền quốc tế: Gây chậm trễ cho quy trình CI/CD khi kéo (pull) hoặc đẩy (push) các image dung lượng lớn.

Chính vì vậy, việc tự dựng một Private Docker Registry trên máy chủ VPS riêng là giải pháp hoàn hảo. Nó không chỉ giúp doanh nghiệp toàn quyền kiểm soát dữ liệu, tối ưu hóa chi phí cố định của VPS mà còn tăng tốc độ triển khai nhờ hạ tầng đặt tại địa phương hoặc trong mạng nội bộ.

2. Các thành phần cốt lõi của hệ thống

Để xây dựng một hệ thống lưu trữ Docker image hoàn chỉnh, hoạt động ổn định và dễ dàng quản lý, chúng ta cần kết hợp các thành phần sau:

Docker Registry (V2): Thành phần cốt lõi do chính Docker phát hành, chịu trách nhiệm lưu trữ các layer của image và xử lý các API chuẩn để tương tác với Docker Client.
Docker Registry UI (Joxit/docker-registry-ui hoặc tương đương): Giao diện web trực quan giúp lập trình viên và quản trị viên hệ thống dễ dàng duyệt danh sách repository, kiểm tra các tag, xem lịch sử và quản lý dung lượng mà không cần dùng dòng lệnh phức tạp.
Nginx (Reverse Proxy) & Let's Encrypt (SSL): Thành phần bắt buộc để mã hóa đường truyền bằng HTTPS. Docker Client mặc định không cho phép kết nối đến các Registry không an toàn (HTTP) trừ khi có cấu hình đặc biệt.
HTTP Basic Authentication: Lớp bảo mật vòng ngoài sử dụng cơ chế tạo tài khoản/mật khẩu được mã hóa để giới hạn quyền truy cập truy xuất hệ thống.

Lưu ý quan trọng: Tuyệt đối không công khai Docker Registry ra Internet mà không có cơ chế xác thực và mã hóa SSL. Điều này có thể khiến toàn bộ image chứa mã nguồn của bạn bị kẻ xấu chiếm đoạt.

3. Hướng dẫn từng bước triển khai trên VPS

Bước 3.1: Chuẩn bị môi trường hệ thống

Trước khi bắt đầu, hãy đảm bảo VPS của bạn đã cài đặt sẵn Docker và Docker Compose. Bạn có thể kiểm tra bằng lệnh docker --version và docker compose version. Ngoài ra, bạn cần trỏ một tên miền hoặc tên miền phụ (ví dụ: registry.yourdomain.com) về địa chỉ IP public của VPS.

Bước 3.2: Tạo cấu trúc thư mục và file xác thực

Kết nối SSH vào VPS của bạn và tạo cấu trúc thư mục làm việc như sau:

mkdir -p ~/docker-registry/auth
mkdir -p ~/docker-registry/data
cd ~/docker-registry

Tiếp theo, sử dụng công cụ htpasswd để tạo file chứa tài khoản và mật khẩu đăng nhập. Thay thế admin_user bằng tên đăng nhập bạn muốn:

docker run --entrypoint htpasswd httpd:2.4 -Bbn admin_user MySecurePassword123 > ./auth/nginx.htpasswd

Bước 3.3: Cấu hình Docker Compose

Tạo file docker-compose.yml trong thư mục ~/docker-registry với nội dung cấu hình kết hợp cả Docker Registry, Registry UI và Nginx làm Reverse Proxy:

version: '3.8'

services:
  registry:
    image: registry:2
    restart: always
    volumes:
      - ./data:/var/lib/registry
    environment:
      REGISTRY_STORAGE_DELETE_ENABLED: "true"
      REGISTRY_HTTP_SECRET: "supersecretstringforregistry"

  registry-ui:
    image: joxit/docker-registry-ui:latest
    restart: always
    environment:
      - REGISTRY_TITLE=Doanh Nghiep Private Registry
      - REGISTRY_URL=http://registry:5000
      - SINGLE_REGISTRY=true
      - DELETE_IMAGES=true
    depends_on:
      - registry

  nginx:
    image: nginx:alpine
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf:ro
      - ./auth:/etc/nginx/auth:ro
      - /etc/letsencrypt:/etc/letsencrypt:ro
    depends_on:
      - registry
      - registry-ui

Bước 3.4: Cấu hình Nginx Reverse Proxy và SSL

Tạo file cấu hình Nginx nginx.conf để điều hướng các luồng traffic. Các yêu cầu API từ Docker Client sẽ được chuyển thẳng tới dịch vụ registry, trong khi các truy cập từ trình duyệt web sẽ được chuyển tới registry-ui:

events { worker_connections 1024; }

http {
    client_max_body_size 2000M; # Tăng giới hạn để upload image dung lượng lớn

    server {
        listen 80;
        server_name registry.yourdomain.com;
        return 301 https://$host$request_uri;
    }

    server {
        listen 443 ssl;
        server_name registry.yourdomain.com;

        ssl_certificate /etc/letsencrypt/live/[registry.yourdomain.com/fullchain.pem](https://registry.yourdomain.com/fullchain.pem);
        ssl_certificate_key /etc/letsencrypt/live/[registry.yourdomain.com/privkey.pem](https://registry.yourdomain.com/privkey.pem);

        # Bảo mật bằng Basic Authentication
        auth_basic "Registry Realm";
        auth_basic_user_file /etc/nginx/auth/nginx.htpasswd;

        # Điều hướng Docker client API
        location /v2/ {
            if ($http_user_agent ~* "docker") {
                # Không áp dụng auth_basic nếu đã xử lý ở tầng khác hoặc giữ nguyên để đồng bộ
            }
            proxy_pass http://registry:5000;
            proxy_set_header Host $http_host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_read_timeout 900;
        }

        # Điều hướng giao diện người dùng Web UI
        location / {
            proxy_pass http://registry-ui:80;
            proxy_set_header Host $http_host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }
    }
}

Sau khi đã hoàn tất chuẩn bị chứng chỉ SSL Let's Encrypt tại đường dẫn tương ứng, bạn khởi chạy hệ thống bằng lệnh: docker compose up -d.

4. Kiểm thử quy trình Push và Pull Image

Để đảm bảo Private Docker Registry hoạt động chính xác, lập trình viên có thể thực hiện kiểm tra từ máy cá nhân theo quy trình 3 bước chuẩn sau:

Bước 1: Đăng nhập vào Registry riêng

Mở terminal trên máy tính của bạn và chạy lệnh đăng nhập:

docker login registry.yourdomain.com

Nhập username và password đã khởi tạo ở bước trước. Nếu nhận được thông báo Login Succeeded, hệ thống của bạn đã sẵn sàng tiếp nhận dữ liệu.

Bước 2: Gắn tag và Push Image lên máy chủ

Thử nghiệm với một image có sẵn như nginx:latest:

docker pull nginx:latest
docker tag nginx:latest [registry.yourdomain.com/my-project/nginx-custom:v1](https://registry.yourdomain.com/my-project/nginx-custom:v1)
docker push [registry.yourdomain.com/my-project/nginx-custom:v1](https://registry.yourdomain.com/my-project/nginx-custom:v1)

Bước 3: Kiểm tra trên giao diện UI và Pull thử nghiệm

Lúc này, hãy mở trình duyệt và truy cập vào địa chỉ [https://registry.yourdomain.com](https://registry.yourdomain.com). Nhập tài khoản đăng nhập, bạn sẽ thấy một giao diện đồ họa hiện đại hiển thị thư mục my-project/nginx-custom cùng với tag v1 cực kỳ rõ ràng.

Để kiểm tra khả năng pull, hãy xóa image ở máy cục bộ và tải lại từ registry của bạn:

docker rmi [registry.yourdomain.com/my-project/nginx-custom:v1](https://registry.yourdomain.com/my-project/nginx-custom:v1)
docker pull [registry.yourdomain.com/my-project/nginx-custom:v1](https://registry.yourdomain.com/my-project/nginx-custom:v1)

5. Kết luận và các khuyến nghị vận hành thực tế

Việc xây dựng một Private Docker Registry có UI riêng trên VPS mang lại sự chủ động tuyệt đối cho đội ngũ kỹ thuật của doanh nghiệp, giúp đẩy nhanh hiệu suất CI/CD và bảo mật tối đa tài nguyên số. Tuy nhiên, khi đưa hệ thống này vào vận hành thực tế cho môi trường Production, doanh nghiệp cần lưu ý thêm các điểm sau:

Sao lưu định kỳ (Backup): Lập lịch backup thư mục ~/docker-registry/data nơi lưu trữ toàn bộ các image để phòng ngừa rủi ro hỏng hóc phần cứng VPS.
Giám sát dung lượng ổ đĩa: Docker image thường chiếm dung lượng rất lớn sau nhiều phiên bản build liên tục. Hãy thiết lập các chính sách tự động dọn dẹp (Garbage Collection) của Docker Registry nhằm tối ưu dung lượng lưu trữ.
Phân quyền nâng cao: Đối với các doanh nghiệp lớn, cân nhắc tích hợp thêm các giải pháp xác thực tập trung như OAuth2 hoặc LDAP thay vì cơ chế HTTP Basic Authentication thô sơ để quản lý nhân sự hiệu quả hơn.

Hướng Dẫn Toàn Diện: Tự Dựng Private Docker Registry Với Giao Diện UI Trên VPS Cho Doanh Nghiệp