Managed Harbor Service – Übersicht

Dieses Dokument bietet einen Überblick über den Managed Harbor Service (MHS) in Google Distributed Cloud (GDC) mit Air Gap.

MHS ist eine vollständig verwaltete Container Registry, die auf dem Open-Source-Projekt Harbor basiert. Durch die Einbindung von MHS in Ihre GDC-Umgebung können Sie den Lebenszyklus Ihrer Containerartefakte in isolierten Umgebungen ohne manuelle Wartung sicher und skalierbar verwalten.

In dieser Übersicht werden die grundlegenden Konzepte für die Arbeit mit MHS in GDC mit Air Gap vorgestellt, einschließlich der Beziehung zwischen GDC-Projekten und Harbor-Instanzprojekten. Außerdem werden die administrativen Grenzen zwischen IAM-Rollen (Identity and Access Management) auf Infrastrukturebene und der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) auf Registry-Ebene sowie Hauptfunktionen wie die automatisierte Speicherbereinigung und Leistungsgrenzen für Dienste beschrieben.

Dieses Dokument richtet sich an Entwickler in Plattformadministrator- oder Anwendungsoperatorgruppen, die MHS in GDC verwenden und verwalten. Weitere Informationen finden Sie in der Dokumentation zu Zielgruppen für GDC mit Air Gap.

Funktionsweise des Managed Harbor Service in GDC

Betriebsebenen

GDC MHS arbeitet auf zwei verschiedenen Funktionsebenen der Netzwerkarchitektur. Jede Ebene ermöglicht bestimmte Vorgänge:

  • Verwaltungsebene: Ermöglicht das Erstellen und Löschen von Harbor-Registry-Instanzen.
  • Datenebene: Ermöglicht das Übertragen und Abrufen von Container-Images in Ihrer Harbor-Instanz.

Unterschiede zwischen GDC-Projekten und Harbor-Instanzprojekten

Managed Harbor Service umfasst zwei verschiedene Projekttypen. Wenn Sie die Interaktion zwischen diesen Entitäten verstehen, können Sie Ressourcen und Zugriffssteuerungen auf der entsprechenden Ebene verwalten:

  • GDC-Projekt: Die Organisationseinheit für die Infrastrukturverwaltung. Verwenden Sie diese, um die Harbor-Registry-Instanz zusammen mit anderen GDC-Ressourcen wie VMs und Clustern zu verwalten.

    • Limits: Ein GDC-Projekt kann nur eine Harbor-Instanz enthalten. Diese einzelne Instanz kann jedoch für mehrere GDC-Projekte freigegeben werden, um eine zentrale Registry für Ihre Umgebung bereitzustellen.
    • Zugriff: Erfordert GDC-IAM-Rollen auf Projektebene für die Erstellung, Verwaltung und administrative Aufgaben von Instanzen.

  • Harbor-Instanzprojekt: Eine logische Gruppierung für die Artefaktverwaltung, die in einer Harbor-Instanz vorhanden ist. Verwenden Sie diese Option, um Container-Images und den Zugriff auf Repository-Ebene zu organisieren.

    • Limits: Eine Harbor-Instanz unterstützt mehrere Harbor-Projekte. Diese können einzelnen Teams oder Nutzern zugewiesen werden, um die Mandantenfähigkeit innerhalb einer freigegebenen Registry zu ermöglichen.
    • Zugriff: Erfordert Registry-spezifische RBAC-Rollen, um Repositories zu verwalten, administrative Aufgaben auszuführen und den Zugriff auf Artefakte im Projekt zu steuern.

Features

Harbor ist ein Open-Source-Projekt der Cloud Native Computing Foundation (CNCF), das eine integrierte Cloud-Container-Registry-Lösung für Kubernetes und Docker bietet. Mit der Integration des verwalteten Dienstes können Sie eine Harbor-Instanz bereitstellen, um Artefakte in GDC zu speichern und zu verwalten. MHS bietet die folgenden Funktionen:

  • Harbor-Instanzen werden automatisch von GDC bereitgestellt und verwaltet.
  • Harbor ist für die Authentifizierung in IAM eingebunden.
  • Harbor unterstützt den programmatischen Zugriff über Projektdienstkonten, um automatisierte Arbeitslasten zu ermöglichen.
  • Harbor-Instanzen können auf die neuere stabile Version aktualisiert werden.
  • Harbor wurde verbessert, um die Compliance- und Qualitätsanforderungen von GDC zu erfüllen.
  • Eine Harbor-Instanz ist eine zonale Ressource. Sie wird in einer Zone bereitgestellt, ist aber von allen Zonen innerhalb des GDC-Bereitstellungsuniversums aus zugänglich.

Rollenbasierte Zugriffssteuerung für MHS

Die GDC erzwingt die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) für den Managed Harbor Service (MHS) auf zwei verschiedenen Ebenen: der GDC-Projektebene und der Harbor-Registry-Projektebene.

Projektdienstkonten authentifizieren sich programmatisch mit kurzlebigen Identitätstokens, die von IAM ausgestellt werden. Dadurch müssen Harbor-Roboterkonten nicht mehr manuell erstellt und verwaltet werden. Die IAM-Rolle eines Dienstkontos erlaubt zwar die Interaktion mit der Harbor-Instanz, Sie müssen ihm jedoch trotzdem eine entsprechende Harbor-Registry-Projektrolle zuweisen, um bestimmte Datenvorgänge zu autorisieren.

Wenn Sie den Zugriff auf Ihre Registries steuern möchten, konfigurieren Sie Berechtigungen sowohl auf Plattform- als auch auf Repository-Ebene.

IAM-Rollen für den Zugriff auf GDC-Projekte

GDC verwaltet Berechtigungen auf Projektebene mithilfe von IAM-Rollen. Sie können diese Rollen sowohl Nutzern als auch Projektdienstkonten zuweisen, um den Zugriff auf Ihre Harbor-Instanzen zu steuern.

  • Für Plattformadministratoren und Nutzer: Ermitteln Sie die erforderlichen Rollen für Ihre spezifische Aufgabe in der Verfahrensdokumentation und fordern Sie Zugriff von Ihrem IAM-Admin der Organisation an. Weitere Informationen finden Sie unter Zugriff gewähren und widerrufen.
  • Für Dienstkonten: Weisen Sie Projektdienstkonten dieselben IAM-Rollen zu, um die programmatische Authentifizierung für automatisierte Arbeitslasten wie die Verwaltung von Registry-Instanzen und die Artefaktbereitstellung zu ermöglichen.
  • Für Infrastrukturbetreiber: In den GDC MHS-Diensthandbüchern finden Sie die genauen IAM-Rollen, die für Ihre spezifischen Betriebsaufgaben erforderlich sind.

Registry-Rollen für den Zugriff auf Harbor-Projekte

Ein Harbor-Projekt verwendet eigene RBAC-Mechanismen, die unabhängig von IAM-Rollen funktionieren. Zum Verwalten von Repositories und Artefakten muss sowohl Nutzern als auch Projektdienstkonten die erforderliche Rolle direkt auf Harbor-Projektebene zugewiesen sein.

Weitere Informationen zu den spezifischen Rollen und Berechtigungen von Harbor finden Sie in der Harbor-Dokumentation unter Nutzerzugriff verwalten.

Leistung

Google hat MHS getestet und bestätigt, dass die in Systemlimits angegebenen Limits unterstützt werden.

Die tatsächlichen Leistungsgrenzen können höher sein.

Automatische Speicherbereinigung

Wenn Sie MHS verwenden, um Images aus der Registry hinzuzufügen und zu löschen, können sich im Laufe der Zeit nicht verwendete Daten ansammeln. Um eine Überlastung der Speicherressourcen zu vermeiden, führt MHS alle 12 Stunden automatisch eine automatische Speicherbereinigung durch. Sie müssen die automatische Speicherbereinigung nicht manuell konfigurieren.

Nächste Schritte

Konfigurieren Sie Ihren Arbeitsbereich und Ihre Projekte, um mit der Verwaltung von Container-Images zu beginnen: