בדף הזה מוסבר איך לנהל את בקרת הגישה במאגר של Managed Harbor Service תוך הקפדה על העקרונות של הרשאות מינימליות. אדמינים של IAM בארגון ב-Google Distributed Cloud (GDC) עם בידוד פיזי קובעים למי יש הרשאה לעבור אימות ולקבל הרשאה להשתמש בממשקי API של Managed Harbor Service. כדי להרשות גישה לממשקי API ולמשאבים במופע של Harbor, צריך להשתמש בבקרת הגישה המובנית של Harbor שמבוססת על תפקידים בכל פרויקט של Harbor. מידע נוסף זמין בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/.
הגדרת גישה לממשקי API של Managed Harbor Service
כל GDC Managed Harbor Service API דורש שלגורם המבצע את הבקשה יהיו ההרשאות הנדרשות לשימוש במשאב ה-API. ההרשאות ניתנות לחשבונות משתמשים באמצעות הגדרת מדיניות שמעניקה לחשבון המשתמש תפקיד מוגדר מראש במשאב.
תפקידים מוגדרים מראש ב-Managed Harbor Service
שירות Harbor מנוהל מספק תפקידים מוגדרים מראש שמעניקים גישה למשאבי API קשורים ומונעים גישה לא מורשית למשאבים אחרים.
כדי לנהל את המשאבים של מופע Harbor וליצור משאבי פרויקט Harbor, צריך להשתמש בתפקידים המוגדרים מראש הבאים:
- Harbor Instance Viewer: מציג את מופע Harbor ומקבל אותו. צריך לבקש מאדמין IAM בארגון להקצות לכם את התפקיד 'צפייה במופע Harbor' (
harbor-instance-viewer). - אדמין של מופע Harbor: יוצר ומנהל את מופע Harbor, ויוצר פרויקטים של Harbor במופע Harbor. בקשו מאדמין IAM בארגון להקצות לכם את התפקיד 'אדמין מופע של Harbor' (
harbor-instance-admin). - Harbor Project Creator: יוצר פרויקטים של Harbor במופע Harbor.
צריך לבקש מאדמין IAM בארגון להקצות לכם את התפקיד 'יוצר פרויקטים ב-Harbor' (
harbor-project-creator).
הגדרת גישה לממשקי API ובתוך מופע Harbor
בכל פרויקט של Harbor, אפשר להשתמש בבקרת הגישה המובנית של Harbor שמבוססת על תפקידים כדי לקבוע למי יש הרשאה להשתמש בממשקי ה-API ולגשת למשאבים בפרויקט. מידע נוסף זמין בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/.
למשתמש שיוצר את פרויקט Harbor מוקצה אוטומטית התפקיד ProjectAdmin בפרויקט Harbor. המשתמש ProjectAdmin יכול להקצות תפקידים בפרויקט Harbor למשתמשים אחרים. רשימה של כל התפקידים הזמינים מופיעה בכתובת https://goharbor.io/docs/2.8.0/administration/managing-users/user-permissions-by-role/.
שימוש בחשבונות שירות כדי ליצור אינטראקציה עם MHS
אתם יכולים להשתמש בחשבונות שירות כדי לקיים אינטראקציה עם MHS. שימוש בחשבון שירות של פרויקט משלב את האוטומציה ישירות בתהליך האימות של GDC IAM, ומאפשר לעומסי העבודה ליצור אסימונים לטווח קצר באופן אוטומטי בלי לנהל ידנית אישורים סטטיים.
כדי להגדיר, להפעיל את הזהות ולהעניק הרשאה לפרויקט לאימות אוטומטי של MHS, פועלים לפי השלבים במאמר ניהול חשבונות שירות.
אחרי שמבצעים את שלבי ההגדרה האלה, הזהות של חשבון השירות יכולה לקיים אינטראקציה מאובטחת עם מופעי Harbor ולנהל מאגרי תמונות של קונטיינרים.
המאמרים הבאים
אחרי שמגדירים את כלי שורת הפקודה ואת אמצעי בקרת הגישה לחשבון השירות של הפרויקט, כדאי לעיין בשיטות המומלצות להחלפת מפתחות ולניהול האבטחה של חשבונות שירות לטווח ארוך: