הגדרת בקרת הגישה

בדף הזה מוסבר איך לנהל את בקרת הגישה במרשם של Managed Harbor Service, תוך שמירה על העקרון של הרשאות מינימליות. אדמינים של IAM בארגון ב-Google Distributed Cloud (GDC)‎ עם air gap קובעים מי יכול לעבור אימות ולקבל הרשאה להשתמש בממשקי ה-API של Managed Harbor Service. כדי לאשר ממשקי API וגישה במכונה של Harbor, צריך להשתמש בבקרת הגישה המובנית שמבוססת על תפקידים בכל פרויקט ב-Harbor. מידע נוסף זמין בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/.

הגדרת הגישה לממשקי ה-API של Managed Harbor Service

בכל ממשק API של GDC Managed Harbor Service, לחשבון המשתמש ששולח את הבקשה צריכות להיות ההרשאות הנדרשות כדי להשתמש במשאב ה-API. כדי לתת הרשאות לחשבונות משתמשים, מגדירים כללי מדיניות שמעניקים לחשבון המשתמש תפקיד מוגדר מראש במשאב.

תפקידים מוגדרים מראש ב-Managed Harbor Service

ב-Managed Harbor Service יש תפקידים מוגדרים מראש שנותנים גישה למשאבי API קשורים ומונעים גישה לא מורשית למשאבים אחרים.

כדי לנהל את המשאבים של מכונות Harbor וליצור משאבים של פרויקטים ב-Harbor, אתם יכולים להשתמש בתפקידים המוגדרים מראש הבאים:

  • צפייה במכונה של Harbor: צפייה במכונה של Harbor וקבלת המכונה. בקשו ממנהל חשבון ארגוני של IAM בארגון להקצות לכם את התפקיד "בעל הרשאת צפייה במכונות של Harbor"‏ (harbor-instance-viewer).
  • אדמין של מכונה ב-Harbor: יוצר ומנהל את המכונה ב-Harbor, ויוצר פרויקטים ב-Harbor במכונה ב-Harbor. בקשו ממנהל חשבון ארגוני ב-IAM להקצות לכם את התפקיד "אדמין של מכונת Harbor‏" (harbor-instance-admin).
  • יוצר פרויקטים ב-Harbor: יוצר פרויקטים ב-Harbor במכונה של Harbor. מבקשים ממנהל החשבון הארגוני ב-IAM להקצות לכם את התפקיד Project Creator ב-Harbor‏ (harbor-project-creator).

הגדרת גישה לממשקי API ובתוך מכונה של Harbor

בכל פרויקט ב-Harbor, אתם יכולים להשתמש בבקרת הגישה המובנית שמבוססת על תפקידים כדי לקבוע למי יש הרשאה להשתמש בממשקי ה-API ולגשת למשאבים בפרויקט. מידע נוסף זמין בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/.

המשתמש שיוצר את הפרויקט ב-Harbor מקבל באופן אוטומטי את התפקיד ProjectAdmin בפרויקט. המשתמש ProjectAdmin יכול להקצות תפקידים למשתמשים אחרים בפרויקט Harbor. בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/user-permissions-by-role/ מפורטים כל התפקידים הזמינים.

שימוש בחשבונות שירות כדי לבצע פעולות ב-MHS

אתם יכולים להשתמש בחשבונות שירות כדי ליצור אינטראקציה עם MHS. שימוש בחשבון שירות של פרויקט משלב את האוטומציה ישירות בתהליך האימות של GDC IAM, ומאפשר לעומסי העבודה ליצור אסימונים לטווח קצר באופן אוטומטי בלי לנהל באופן ידני פרטי כניסה סטטיים.

כדי להגדיר, להפעיל את הזהות ולתת הרשאת פרויקט לאוטומציה של אימות ל-MHS, פועלים לפי השלבים שמפורטים במאמר ניהול חשבונות שירות.

אחרי שתשלימו את שלבי ההגדרה האלה, הזהות של חשבון השירות תוכל לקיים אינטראקציה מאובטחת עם המכונות של Harbor ולנהל מאגרי קונטיינרים.

המאמרים הבאים

אחרי שמגדירים את כלי שורת הפקודה ואת אמצעי בקרת הגישה לחשבון השירות של הפרויקט, כדאי לעיין בשיטות המקובלות לרוטציה של מפתחות ולניהול האבטחה של חשבון השירות לטווח הארוך: