Halaman ini menjelaskan cara mengelola kontrol akses di registry Managed Harbor Service sekaligus mematuhi prinsip hak istimewa terendah. Administrator IAM Organisasi Google Distributed Cloud (GDC) dengan air gap mengontrol siapa yang dapat diautentikasi dan diberi otorisasi untuk menggunakan API Managed Harbor Service. Untuk mengizinkan API dan akses dalam instance Harbor, gunakan kontrol akses berbasis peran bawaan Harbor di setiap project Harbor. Untuk mengetahui informasi selengkapnya, lihat https://goharbor.io/docs/2.8.0/administration/managing-users/.
Mengonfigurasi akses untuk API Managed Harbor Service
Setiap API Managed Harbor Service GDC mengharuskan akun utama yang membuat permintaan memiliki izin yang diperlukan untuk menggunakan resource API. Izin diberikan kepada akun utama dengan menetapkan kebijakan yang memberikan peran yang telah ditetapkan kepada akun utama pada resource.
Peran Managed Harbor Service yang telah ditetapkan
Managed Harbor Service menyediakan peran bawaan yang memberikan akses ke resource API terkait dan mencegah akses tidak sah ke resource lain.
Gunakan peran bawaan berikut untuk mengelola resource Harbor Instance dan membuat resource Harbor Project:
- Harbor Instance Viewer: melihat dan mendapatkan instance Harbor. Minta Admin Organisasi IAM Anda untuk memberi Anda peran Harbor Instance Viewer (
harbor-instance-viewer). - Admin Instance Harbor: membuat dan mengelola instance Harbor, serta membuat project Harbor di instance Harbor. Minta Admin IAM Org Anda untuk memberi Anda peran Harbor Instance Admin (
harbor-instance-admin). - Harbor Project Creator: membuat project Harbor di instance Harbor.
Minta Admin Org IAM Anda untuk memberi Anda peran Harbor Project Creator (
harbor-project-creator).
Mengonfigurasi akses untuk API dan dalam instance Harbor
Dalam instance Harbor, gunakan kontrol akses berbasis peran bawaan Harbor di setiap project Harbor untuk mengontrol siapa yang diizinkan menggunakan API dan mengakses resource dalam project Harbor. Untuk mengetahui informasi selengkapnya, lihat https://goharbor.io/docs/2.8.0/administration/managing-users/.
Pengguna yang membuat project Harbor akan otomatis diberi peran ProjectAdmin untuk project Harbor. Pengguna ProjectAdmin dapat menetapkan peran untuk project Harbor kepada pengguna lain. Untuk semua peran yang tersedia, lihat
https://goharbor.io/docs/2.8.0/administration/managing-users/user-permissions-by-role/.
Menggunakan akun layanan untuk berinteraksi dengan MHS
Anda dapat menggunakan akun layanan untuk berinteraksi dengan MHS. Penggunaan akun layanan project mengintegrasikan otomatisasi Anda langsung ke alur autentikasi IAM GDC, sehingga workload Anda dapat membuat token berumur pendek secara otomatis tanpa mengelola kredensial statis secara manual.
Untuk menyiapkan, mengaktifkan identitas, dan memberikan izin project guna mengotomatiskan autentikasi untuk MHS, ikuti langkah-langkah di Mengelola akun layanan.
Setelah menyelesaikan langkah-langkah penyiapan ini, identitas akun layanan Anda dapat berinteraksi dengan aman dengan instance Harbor dan mengelola repositori container.
Langkah berikutnya
Setelah mengonfigurasi alat command line dan kontrol akses untuk akun layanan project, tinjau praktik standar untuk merotasi kunci dan mengelola keamanan akun layanan jangka panjang: