Questa pagina descrive come gestire il controllo dell'accesso nel registry di Managed Harbor Service rispettando i principi del privilegio minimo. Gli amministratori IAM dell'organizzazione Google Distributed Cloud (GDC) con air gap controllano chi può essere autenticato e autorizzato a utilizzare le API Managed Harbor Service. Per autorizzare le API e l'accesso in un'istanza Harbor, utilizza controllo dell'accesso basato su ruoli integrato di Harbor in ogni progetto Harbor. Per saperne di più, consulta https://goharbor.io/docs/2.8.0/administration/managing-users/.
Configura l'accesso per le API Managed Harbor Service
Ogni API Managed Harbor Service di GDC richiede che l'entità che effettua la richiesta disponga delle autorizzazioni necessarie per utilizzare la risorsa API. Le autorizzazioni vengono assegnate alle entità impostando policy che concedono all'entità un ruolo predefinito sulla risorsa.
Ruoli Managed Harbor Service predefiniti
Managed Harbor Service fornisce ruoli predefiniti che concedono l'accesso alle risorse API correlate e impediscono l'accesso non autorizzato ad altre risorse.
Utilizza i seguenti ruoli predefiniti per gestire le risorse dell'istanza Harbor e creare le risorse del progetto Harbor:
- Visualizzatore istanze Harbor: visualizza e recupera l'istanza Harbor. Chiedi all'amministratore dell'organizzazione IAM di concederti il ruolo Harbor Instance Viewer (
harbor-instance-viewer). - Amministratore istanza Harbor: crea e gestisce l'istanza Harbor e crea progetti Harbor nell'istanza Harbor. Chiedi all'amministratore dell'organizzazione IAM di concederti il ruolo Harbor Instance Admin (
harbor-instance-admin). - Harbor Project Creator: crea progetti Harbor nell'istanza Harbor.
Chiedi all'amministratore dell'organizzazione IAM di concederti il ruolo Harbor Project Creator (
harbor-project-creator).
Configura l'accesso per le API e all'interno di un'istanza Harbor
All'interno di un'istanza Harbor, utilizza controllo dell'accesso basato su ruoli integrato di Harbor in ogni progetto Harbor per controllare chi è autorizzato a utilizzare le API e ad accedere alle risorse nel progetto Harbor. Per saperne di più, consulta https://goharbor.io/docs/2.8.0/administration/managing-users/.
All'utente che crea il progetto Harbor viene assegnato automaticamente il ruolo ProjectAdmin per il progetto Harbor. L'utente ProjectAdmin può assegnare ruoli per il progetto Harbor ad altri utenti. Per tutti i ruoli disponibili, consulta
https://goharbor.io/docs/2.8.0/administration/managing-users/user-permissions-by-role/.
Utilizza i service account per interagire con MHS
Puoi utilizzare i service account per interagire con MHS. L'utilizzo di un account di servizio del progetto integra l'automazione direttamente nel flusso di autenticazione IAM di GDC, consentendo ai workload di generare automaticamente token di breve durata senza gestire manualmente le credenziali statiche.
Per configurare, attivare l'identità e concedere l'autorizzazione del progetto per automatizzare l'autenticazione per MHS, segui i passaggi descritti in Gestisci i service account.
Dopo aver completato questi passaggi di configurazione, l'identità del account di servizio può interagire in modo sicuro con le istanze Harbor e gestire i repository di container.
Passaggi successivi
Dopo aver configurato gli strumenti a riga di comando e i controlli di accesso per il account di servizio del progetto, esamina le pratiche standard per la rotazione delle chiavi e la gestione della sicurezza del account di servizio a lungo termine: