别再手动改hosts了！用Docker Compose一键部署Nexus 3.67.1并配置HTTPS（附Nginx反向代理完整配置）
一键式Nexus私有仓库全栈部署：Docker Compose整合Nginx与HTTPS的最佳实践
每次搭建私有仓库都要重复修改hosts、手动配置SSL、调试反向代理？这套全自动化方案将彻底改变你的DevOps工作流。本文将手把手带你用Docker Compose实现Nexus仓库的"部署即用"体验，从容器编排到安全加固，所有环节都封装在可版本控制的配置文件中。
1. 为什么需要全栈自动化部署方案
传统Nexus部署流程通常包含十几个离散步骤：下载镜像、配置数据卷、修改hosts文件、开放防火墙端口、单独部署Nginx、生成SSL证书、编写代理规则...每个环节都可能出现意外错误。更糟糕的是，这些手工操作难以复用，当需要在新环境部署时又得重走一遍流程。
我们设计的方案通过Docker Compose实现四大核心改进：
- 基础设施即代码：所有配置（包括Nginx规则和SSL证书）都通过YAML文件定义
- 网络隔离优化：使用自定义bridge网络替代host模式，避免端口冲突
- 证书自动生成：集成mkcert工具实现开发环境HTTPS零配置
- 生产级安全预设：默认启用TLS 1.3、HSTS头部、资源限制等企业级特性
# 典型项目结构 nexus-stack/ ├── docker-compose.yml # 主编排文件 ├── nginx/ │ ├── conf.d/ │ │ └── nexus.conf # Nginx代理配置 │ └── ssl/ # 证书存储目录 └── nexus-data/ # 持久化数据卷2. 容器编排架构设计
2.1 网络拓扑规划
我们采用三层服务隔离架构：
| 服务层 | 网络策略 | 访问控制 |
|---|---|---|
| Nexus应用层 | 自定义bridge网络 | 仅允许Nginx容器访问8081端口 |
| Nginx代理层 | 同时接入bridge和host网络 | 对外暴露443端口 |
| 证书管理层 | 独立容器短暂运行 | 任务完成后立即销毁 |
# docker-compose.yml片段 networks: nexus-net: driver: bridge ipam: config: - subnet: 172.22.0.0/24 services: nexus: networks: nexus-net: aliases: - nexus-service2.2 资源配额管理
通过cgroups限制资源使用，防止单个服务耗尽主机资源：
deploy: resources: limits: cpus: '2' memory: 4G reservations: memory: 2G提示：Nexus的Java堆内存建议通过环境变量INSTALL4J_ADD_VM_PARAMS单独配置
3. HTTPS安全加固实战
3.1 自动证书方案选型
根据使用场景选择证书生成策略：
| 场景类型 | 推荐方案 | 有效期 | 适用环境 |
|---|---|---|---|
| 开发测试 | mkcert自签名 | 无限期 | 本地开发机 |
| 预发布环境 | Let's Encrypt | 90天 | 有公网域名环境 |
| 生产环境 | 商业CA证书 | 1-2年 | 企业级部署 |
# 使用mkcert生成本地可信证书 docker run --rm -v $(pwd)/nginx/ssl:/certs mkcert \ -cert-file /certs/nexus.crt \ -key-file /certs/nexus.key \ nexus.local3.2 Nginx安全配置模板
server { listen 443 ssl http2; server_name nexus.yourdomain.com; # SSL强化配置 ssl_protocols TLSv1.3; ssl_ecdh_curve X25519:secp521r1:secp384r1; ssl_prefer_server_ciphers on; ssl_session_timeout 1d; ssl_session_cache shared:MozSSL:10m; # 证书路径 ssl_certificate /etc/nginx/ssl/nexus.crt; ssl_certificate_key /etc/nginx/ssl/nexus.key; location / { proxy_pass http://nexus-service:8081; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-Proto $scheme; # 上传大小限制 client_max_body_size 2G; } }4. 部署与运维实践
4.1 一键启动全栈服务
# 启动所有服务（后台模式） docker compose up -d # 查看Nexus初始密码 docker compose exec nexus cat /nexus-data/admin.password4.2 健康检查与监控
编排文件中内置的健康检查机制：
healthcheck: test: ["CMD", "curl", "-f", "http://localhost:8081/service/metrics/healthcheck"] interval: 30s timeout: 10s retries: 5 start_period: 2m配合Prometheus监控指标端点：
environment: - INSTALL4J_ADD_VM_PARAMS=-Dnexus.scripts.allowCreation=true - JAVA_OPTS=-Dcom.sun.management.jmxremote4.3 数据备份策略
采用双持久化卷设计确保数据安全：
volumes: - ./nexus-data:/nexus-data - /backups/nexus:/backup备份脚本示例：
docker compose exec nexus tar czf /backup/nexus-$(date +%Y%m%d).tgz /nexus-data这套方案在多个企业级项目中验证，将Nexus部署时间从原来的2小时缩短到10分钟。最让我惊喜的是mkcert的本地证书方案——不再需要反复点击浏览器安全警告，开发体验流畅得就像使用公有云服务。