Auf dieser Seite wird beschrieben, wie Sie die Zugriffssteuerung in der Managed Harbor Service-Registry verwalten und dabei das Prinzip der geringsten Berechtigung einhalten. IAM-Administratoren der Organisation für Google Distributed Cloud (GDC) mit Air Gap steuern, wer für die Verwendung von Managed Harbor Service APIs authentifiziert und autorisiert werden kann. Verwenden Sie für die Autorisierung von APIs und den Zugriff in einer Harbor-Instanz die integrierte rollenbasierte Zugriffssteuerung von Harbor in jedem Harbor-Projekt. Weitere Informationen finden Sie unter https://goharbor.io/docs/2.8.0/administration/managing-users/.
Zugriff für Managed Harbor Service APIs konfigurieren
Für jede GDC Managed Harbor Service API muss das Hauptkonto, das die Anfrage stellt, die erforderlichen Berechtigungen zur Verwendung der API-Ressource haben. Berechtigungen werden Hauptkonten durch Festlegen von Richtlinien gewährt, die dem Hauptkonto eine vordefinierte Rolle für die Ressource zuweisen.
Vordefinierte Managed Harbor Service-Rollen
Der Managed Harbor Service bietet vordefinierte Rollen, die Zugriff auf zugehörige API-Ressourcen gewähren und den unbefugten Zugriff auf andere Ressourcen verhindern.
Verwenden Sie die folgenden vordefinierten Rollen, um die Harbor-Instanzressourcen zu verwalten und Harbor-Projektressourcen zu erstellen:
- Harbor Instance Viewer: Ruft die Harbor-Instanz auf und zeigt sie an. Bitten Sie Ihren IAM-Organisationsadministrator, Ihnen die Rolle „Harbor Instance Viewer“ (
harbor-instance-viewer) zuzuweisen. - Harbor-Instanzadministrator: Erstellt und verwaltet die Harbor-Instanz und erstellt Harbor-Projekte in der Harbor-Instanz. Bitten Sie Ihren IAM-Admin der Organisation, Ihnen die Rolle „Harbor-Instanzadministrator“ (
harbor-instance-admin) zuzuweisen. - Harbor Project Creator: Erstellt Harbor-Projekte in der Harbor-Instanz.
Bitten Sie Ihren IAM-Admin der Organisation, Ihnen die Rolle „Harbor Project Creator“ (
harbor-project-creator) zuzuweisen.
Zugriff für APIs und innerhalb einer Harbor-Instanz konfigurieren
Verwenden Sie in einer Harbor-Instanz die integrierte rollenbasierte Zugriffssteuerung von Harbor in jedem Harbor-Projekt, um zu steuern, wer berechtigt ist, die APIs zu verwenden und auf Ressourcen im Harbor-Projekt zuzugreifen. Weitere Informationen finden Sie unter https://goharbor.io/docs/2.8.0/administration/managing-users/.
Dem Nutzer, der das Harbor-Projekt erstellt, wird automatisch die Rolle ProjectAdmin für das Harbor-Projekt zugewiesen. Der ProjectAdmin-Nutzer kann anderen Nutzern Rollen für das Harbor-Projekt zuweisen. Eine Liste aller verfügbaren Rollen finden Sie unter https://goharbor.io/docs/2.8.0/administration/managing-users/user-permissions-by-role/.
Dienstkonten für die Interaktion mit MHS verwenden
Sie können Dienstkonten verwenden, um mit MHS zu interagieren. Wenn Sie ein Projektdienstkonto verwenden, wird Ihre Automatisierung direkt in den GDC-IAM-Authentifizierungsablauf eingebunden. So können Ihre Arbeitslasten automatisch kurzlebige Tokens generieren, ohne dass statische Anmeldedaten manuell verwaltet werden müssen.
Wenn Sie die Identität einrichten, aktivieren und Projektberechtigungen erteilen möchten, um die Authentifizierung für MHS zu automatisieren, folgen Sie der Anleitung unter Dienstkonten verwalten.
Nachdem Sie diese Einrichtungsschritte ausgeführt haben, kann die Identität Ihres Dienstkontos sicher mit Ihren Harbor-Instanzen interagieren und Container-Repositories verwalten.
Nächste Schritte
Nachdem Sie die Befehlszeilentools und Zugriffssteuerungen für das Projektdienstkonto konfiguriert haben, sollten Sie sich die Standardverfahren für die Schlüsselrotation und die Verwaltung der langfristigen Sicherheit von Dienstkonten ansehen: