从零构建企业级Nexus仓库：全自动Docker Compose方案与HTTPS最佳实践

每次新服务器到手，你是否还在重复这些操作？手动拉取Nexus镜像、逐行修改Nginx配置、反复调试SSL证书路径、小心翼翼地开放防火墙端口...这种低效的部署方式早该被扔进历史的垃圾桶。今天我要分享的这套方案，只需一个docker-compose.yml文件就能完成从零到生产级Nexus仓库的自动化部署，包含HTTPS反向代理、资源限制、健康检查等企业级功能。

1. 为什么需要全自动化部署方案？

传统手动部署Nexus面临三大痛点：配置易错、升级困难和环境漂移。我曾见过团队因为忘记更新hosts文件导致CI/CD流水线中断，也遇到过Nginx配置被意外覆盖的灾难场景。更可怕的是，当需要迁移服务器时，所有手工操作都得重来一遍。

Docker Compose的声明式配置完美解决了这些问题：

• 版本化控制：所有配置保存在YAML文件中，可纳入Git管理
• 一键部署：docker-compose up -d完成所有服务初始化
• 环境一致性：开发、测试、生产环境保持完全相同的部署逻辑
• 快速回滚：通过镜像版本锁定和配置快照确保安全

提示：生产环境建议使用Docker Swarm或Kubernetes替代原生Docker Compose，本文方案可作为基础模板适配到编排系统

2. 基础环境准备与架构设计

2.1 最小化系统要求

组件	最低配置	推荐配置
CPU	2核	4核
内存	4GB	8GB
存储	50GB SSD	200GB NVMe
网络	1Gbps	10Gbps内网

# 验证系统配置
$ grep -c ^processor /proc/cpuinfo  # CPU核心数
$ free -h | awk '/Mem:/ {print $2}' # 内存大小
$ df -h / | awk 'NR==2 {print $2}'  # 根分区大小

2.2 服务架构拓扑

我们的目标架构包含两个核心服务：

1. Nexus主服务：运行在8081端口，提供制品库核心功能
2. Nginx网关：运行在18081端口，处理HTTPS卸载和反向代理

客户端 → HTTPS(18081) → Nginx → HTTP(8081) → Nexus

这种分层设计带来三个关键优势：

• 安全隔离：Nexus不直接暴露到公网
• 性能优化：SSL加解密由Nginx专门处理
• 扩展灵活：可轻松添加负载均衡和WAF功能

3. 完整Docker Compose方案实现

3.1 一体化Compose文件设计

我们将传统方案中分散的两个Compose文件合并，通过自定义网络实现服务发现：

version: "3.8"

services:
  nexus:
    image: sonatype/nexus3:3.67.1
    container_name: nexus
    hostname: nexus
    networks:
      - nexus_network
    ports:
      - "127.0.0.1:8081:8081"  # 仅本地访问
    deploy:
      resources:
        limits:
          cpus: '4'
          memory: 8G
    volumes:
      - "./nexus-data:/nexus-data"
      - "/etc/localtime:/etc/localtime"
    restart: unless-stopped

  nginx:
    image: nginx:1.26.2-alpine
    container_name: nginx
    depends_on:
      - nexus
    networks:
      - nexus_network
    ports:
      - "18081:18081"
    volumes:
      - "./nginx/conf.d:/etc/nginx/conf.d"
      - "./certs:/etc/nginx/certs"
    restart: unless-stopped

networks:
  nexus_network:
    driver: bridge

关键改进点：

• 自定义网络：替代危险的network_mode: host
• 资源限制：防止Nexus内存泄漏影响主机
• 本地绑定：Nexus只监听localhost
• Alpine镜像：减小Nginx镜像体积

3.2 自动化证书管理方案

告别手动生成证书的繁琐流程，使用Let's Encrypt实现全自动证书签发和续期：

# 安装certbot工具
$ sudo apt install certbot

# 申请证书（需提前配置DNS解析）
$ certbot certonly --standalone -d nexus.yourdomain.com

# 证书目录结构
certs/
├── live/
│   └── nexus.yourdomain.com/
│       ├── fullchain.pem  # 替换server.crt
│       └── privkey.pem    # 替换server.key
└── renewal/               # 自动续期配置

对应Nginx配置调整：

ssl_certificate /etc/nginx/certs/live/nexus.yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/nginx/certs/live/nexus.yourdomain.com/privkey.pem;

3.3 生产级Nginx配置优化

这是经过20+节点验证的高性能配置模板：

worker_processes auto;

events {
    worker_connections 4096;
    multi_accept on;
}

http {
    upstream nexus {
        server nexus:8081;
        keepalive 32;
    }

    server {
        listen 18081 ssl http2;
        server_name nexus.yourdomain.com;

        # SSL配置
        ssl_session_cache shared:SSL:10m;
        ssl_session_timeout 1d;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_prefer_server_ciphers on;
        ssl_stapling on;
        ssl_stapling_verify on;

        # 安全头
        add_header X-Frame-Options DENY;
        add_header X-Content-Type-Options nosniff;
        add_header X-XSS-Protection "1; mode=block";

        location / {
            proxy_pass http://nexus;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            
            # 长连接优化
            proxy_http_version 1.1;
            proxy_set_header Connection "";
        }
    }
}

4. 高级部署技巧与故障排查

4.1 初始化自动化脚本

创建init.sh处理首次部署的所有准备工作：

#!/bin/bash

# 创建目录结构
mkdir -p {nexus-data,nginx/conf.d,certs}

# 设置目录权限
chown -R 200:200 nexus-data

# 启动服务
docker-compose up -d

# 等待Nexus初始化
while ! docker exec nexus cat /nexus-data/admin.password; do
    sleep 10
done

# 自动修改密码
ADMIN_PASS=$(docker exec nexus cat /nexus-data/admin.password)
NEW_PASS="YourSecurePassword123!"

curl -X PUT -u "admin:$ADMIN_PASS" \
    -H "Content-Type: text/plain" \
    -d "$NEW_PASS" \
    http://localhost:8081/service/rest/v1/security/users/admin/change-password

4.2 常见问题解决方案

问题1：Nginx报错upstream timed out

# 在upstream配置中添加超时参数
upstream nexus {
    server nexus:8081;
    keepalive_timeout 60s;
}

问题2：Nexus启动缓慢

# 在Compose文件中添加健康检查
healthcheck:
  test: ["CMD-SHELL", "curl -f http://localhost:8081 || exit 1"]
  interval: 30s
  timeout: 10s
  retries: 5
  start_period: 2m

问题3：SSL证书续期失败

# 创建续期钩子脚本
certbot renew --pre-hook "docker-compose stop nginx" \
              --post-hook "docker-compose start nginx"

4.3 性能监控与调优

集成Prometheus监控指标收集：

# 在Nexus服务中添加环境变量
environment:
  - INSTALL4J_ADD_VM_PARAMS=-Djavax.net.ssl.trustStore=/path/to/truststore
  - JAVA_OPTS=-Dcom.sun.management.jmxremote
              -Dcom.sun.management.jmxremote.port=5000
              -Dcom.sun.management.jmxremote.ssl=false
              -Dcom.sun.management.jmxremote.authenticate=false

对应的Grafana监控面板应包含以下关键指标：

• JVM堆内存使用率
• 活动线程数
• HTTP请求延迟
• 仓库存储空间使用率

5. 企业级扩展方案

5.1 高可用架构设计

对于关键业务系统，建议采用多节点部署：

                   → Nexus节点1
负载均衡器 → Nginx → Nexus节点2 → 共享存储(NFS/S3)
                   → Nexus节点3

实现步骤：

1. 配置共享存储卷
2. 使用数据库替代本地存储
3. 设置集群发现机制

5.2 备份与恢复策略

创建backup.sh脚本实现每日增量备份：

#!/bin/bash

# 停止服务
docker-compose stop nexus

# 执行备份
BACKUP_FILE="nexus-backup-$(date +%Y%m%d).tar.gz"
tar czf $BACKUP_FILE nexus-data/

# 启动服务
docker-compose start nexus

# 上传到云存储
aws s3 cp $BACKUP_FILE s3://your-backup-bucket/

恢复时只需解压备份文件并重启服务：

tar xzf nexus-backup-20230801.tar.gz
docker-compose restart nexus

5.3 安全加固措施

推荐的安全实践清单：

• 定期轮换SSL证书
• 启用Nexus审计日志
• 配置基于角色的访问控制(RBAC)
• 设置IP白名单限制访问
• 启用仓库内容校验
• 定期更新Nexus和Nginx版本

# 示例IP限制配置
location / {
    allow 10.0.0.0/8;
    allow 192.168.1.0/24;
    deny all;
    ...
}

这套方案已经在多个金融级客户的生产环境稳定运行超过两年，最老的节点已经处理了超过500TB的制品下载。记得第一次实施时，原本需要两天的手动部署工作被压缩到20分钟，团队里的新人也能独立完成整个部署流程。