אתם יכולים לאחסן, לאבטח ולהפיץ את קובצי האימג' בקונטיינרים במכשיר Google Distributed Cloud (GDC) עם פער אוויר, על ידי ארגון שלהם בפרויקטים של Harbor בתוך מופע tear-harbor שהוגדר מראש. ב-Harbor, פרויקט משמש כיחידה לוגית לקיבוץ ארטיפקטים קשורים, לניהול תמונות ולהחלת כללי שכפול, אמצעי בקרת גישה ומדיניות ספציפית.
פרויקט המערכת tear מספק את tear-harbor כמופע Harbor היחיד שזמין – מאגר יחיד שמוגדר מראש לכל המכשיר – כך שלא צריך להקצות, לשדרג או לתחזק מופעי Harbor נפרדים לכל פרויקט של לקוח. הארכיטקטורה המרכזית הזו מבטלת את התקורה של התשתית ומאפשרת לכם לנהל מרחבי שמות של תמונות, בקרות גישה וסריקות של נקודות חולשה ממאגר משותף אחד. כדי להשתמש במאגר המשותף הזה לעומסי עבודה בכל פרויקט של לקוח, צריך ליצור את התפקידים ב-Harbor בפרויקט tear וליצור את הפרויקטים ב-Harbor ישירות בפרויקט tear.
לפני שמתחילים
לפני שמתחילים, חשוב לוודא שהדרישות הבאות מתקיימות:
- ידע מומלץ: חשוב להכיר את המושגים והארכיטקטורה שמוסברים במאמר סקירה כללית של שירות Harbor מנוהל. חשוב להבין ש-Harbor הוא משאב משותף שמארח בפרויקט
tear, כי כל הקצאות התפקידים ב-Harbor ומשימות יצירת הפרויקטים צריכות להיות מיועדות לפרויקטtear. מאחלים את הזהות שלכם ב-Harbor: אתם צריכים להיכנס לממשק המשתמש של Harbor לפחות פעם אחת לפני שתנסו ליצור פרויקטים במסוף. הכניסה הראשונית מאתחלת את הזהות שלכם במאגר Harbor. מידע נוסף זמין במאמרים קבלת כתובת ה-URL של מופע Harbor והפעלת הזהות שלכם ב-Harbor.
תפקיד IAM נדרש
כדי ליצור פרויקט Harbor – כולל פרויקט Harbor שאתם מתכוונים להשתמש בו בפרויקט לקוח – צריך ליצור את התפקיד 'Project Creator' (harbor-project-creator) בניהול הזהויות והרשאות הגישה (IAM) ולהקצות אותו בפרויקט tear כדי לקבל גישה למופע tear-harbor. התפקיד הזה מספק הרשאות ליצירה, לקבלת מידע ולמעקב אחרי משאבים מותאמים אישית של פרויקט Harbor במופע tear-harbor בפרויקט tear, וכך מאפשר להגדיר מרחבי שמות חדשים של תמונות וליצור גבולות אבטחה לאפליקציות בקונטיינרים.
כדי לבקש גישה לפרויקט tear, צריך לפנות לאדמין IAM של הפרויקט.
איך משיגים את כתובת ה-URL של מופע Harbor
כדי להיכנס לממשק המשתמש של Harbor או להשתמש ב-CLI של gdcloud כדי לנהל תמונות, צריך את כתובת ה-URL של נקודת הקצה החיצונית של מופע המאגר:
באמצעות ה-gdcloud CLI, מקבלים את כתובת ה-URL של מופע Harbor:
gdcloud harbor instances describe tear-harbor --project=tearהפלט אמור להיראות כך, ולרוב הוא יכלול את השדה
externalEndpoint:externalEndpoint: https://harbor.tear.example.comמעתיקים את
externalEndpointכתובת ה-URL כדי לגשת לממשק המשתמש של Harbor דרך הדפדפן וכדי להגדיר אימות של אמון לקוח.
אם אין לכם גישה ל-gdcloud CLI, פנו לתמיכה של מפעיל התשתית (IO).
אתחול הזהות ב-Harbor
צריך להיכנס לממשק המשתמש של Harbor לפחות פעם אחת כדי לסנכרן את הזהות. הכניסה הראשונית הזו רושמת את פרופיל המשתמש שלכם במסד הנתונים של Harbor, כדי שהמערכת תזהה את ההרשאות שלכם:
- בדפדפן, עוברים לכתובת ה-URL של הרישום.
- נכנסים באמצעות פרטי הכניסה ל-GDC.
יצירת פרויקט Harbor
מכיוון ש-tear-harbor בפרויקט tear הוא מופע Harbor היחיד שזמין ומשמש כמאגר משותף לכל המכשיר, צריך ליצור את כל פרויקטי Harbor בפרויקט tear – כולל פרויקטי Harbor שמאחסנים תמונות לעומסי עבודה בפרויקטים אחרים של לקוחות. יוצרים פרויקט Harbor באמצעות מסוף GDC או gdcloud CLI.
המסוף
במסוף GDC, פועלים לפי השלבים הבאים בפרויקט tear:
- בוחרים את הפרויקט
tear. - בתפריט הניווט, בקטע CI/CD, לוחצים על הקישור Harbor Container Registry.
- לוחצים על Create a Harbor project (יצירת פרויקט ב-Harbor).
- מזינים את השם של פרויקט Harbor.
- אופציונלי: סריקת נקודות חולשה מופעלת כברירת מחדל. כדי להשבית את הסריקה האוטומטית של פגיעויות בפרויקטים של Harbor, לוחצים על המתג Enable vulnerability scanning for the project. מידע נוסף זמין במאמר בנושא סריקה לאיתור נקודות חולשה.
- לוחצים על יצירה. תוצג הודעת אישור שהפרויקט נוצר.
- נכנסים לממשק המשתמש של Harbor כדי לוודא שאפשר לראות את פרויקט Harbor.
gdcloud
יוצרים את פרויקט Harbor בפרויקט tear:
gdcloud harbor harbor-projects create HARBOR_PROJECT \
--project=tear \
--instance=tear-harbor
מחליפים את HARBOR_PROJECT בשם של פרויקט Harbor שרוצים ליצור.