Managed Harbor Service – Übersicht

Dieses Dokument bietet einen Überblick über Managed Harbor Service (MHS) in Google Distributed Cloud (GDC) mit Air Gap.

MHS ist eine vollständig verwaltete Container Registry, die auf dem Open-Source-Projekt Harbor basiert. Durch die Integration von MHS in Ihre GDC-Umgebung können Sie den Lebenszyklus Ihrer Container-Artefakte in isolierten Umgebungen sicher und skalierbar verwalten, ohne dass eine manuelle Wartung erforderlich ist.

Diese Übersicht stellt die grundlegenden Konzepte vor, die für die Arbeit mit MHS in GDC mit Air Gap erforderlich sind, einschließlich der Beziehung zwischen GDC-Projekten und Harbor-Instanzprojekten. Außerdem werden die administrativen Grenzen zwischen IAM-Rollen (Identity and Access Management) auf Infrastrukturebene und RBAC (Role-Based Access Control) auf Registry-Ebene sowie Kernfunktionen wie die automatische Speicherbereinigung und die Grenzwerte für die Dienstleistung beschrieben.

Dieses Dokument richtet sich an Entwickler in Plattformadministrator- oder Anwendungsbetreibergruppen, die MHS in GDC verwenden und verwalten. Weitere Informationen finden Sie unter Zielgruppen für die GDC-Dokumentation mit Air Gap.

Funktionsweise von Managed Harbor Service in GDC

Betriebsebenen

GDC MHS wird auf zwei verschiedenen Funktionsebenen der Netzwerkarchitektur ausgeführt. Jede Ebene ermöglicht bestimmte Vorgänge:

  • Management-Ebene: Hier können Sie Harbor Registry-Instanzen erstellen und löschen.
  • Datenebene: Hier können Sie Container-Images in Ihre Harbor-Instanz übertragen und daraus abrufen.

Unterschiede zwischen GDC-Projekten und Harbor-Instanzprojekten

Managed Harbor Service umfasst zwei verschiedene Projekttypen. Wenn Sie die Interaktion zwischen diesen Entitäten verstehen, können Sie Ressourcen und Zugriffssteuerungen auf der entsprechenden Ebene verwalten:

  • GDC-Projekt: Die Organisationseinheit für die Infrastrukturverwaltung. Verwenden Sie diese Einheit, um die Harbor Registry-Instanz zusammen mit anderen GDC-Ressourcen wie VMs und Clustern zu verwalten.

    • Grenzwerte: Ein GDC-Projekt kann nur eine Harbor-Instanz enthalten. Diese einzelne Instanz kann jedoch für mehrere GDC-Projekte freigegeben werden, um eine zentrale Registry für Ihre Umgebung bereitzustellen.
    • Zugriff: Erfordert IAM-Rollen auf GDC-Projektebene für die Erstellung, Verwaltung und administrative Aufgaben der Instanz.

  • Harbor-Instanzprojekt: Eine logische Gruppierung für die Artefaktverwaltung, die in einer Harbor-Instanz vorhanden ist. Verwenden Sie diese Gruppierung, um Container-Images und den Zugriff auf Repository-Ebene zu organisieren.

    • Grenzwerte: Eine Harbor-Instanz unterstützt mehrere Harbor-Projekte. Diese können einzelnen Teams oder Nutzern zugewiesen werden, um die Mandantenfähigkeit in einer freigegebenen Registry zu ermöglichen.
    • Zugriff: Erfordert registrierungsspezifische RBAC-Rollen, um Repositories zu verwalten, administrative Aufgaben auszuführen und den Artefaktzugriff im Projekt zu steuern.

Features

Harbor ist ein abgestuftes Open-Source-Projekt der Cloud Native Computing Foundation (CNCF), das eine integrierte Cloud-Container-Registry-Lösung für Kubernetes und Docker bietet. Mit der Integration des verwalteten Dienstes können Sie eine Harbor-Instanz bereitstellen, um Artefakte in GDC zu speichern und zu verwalten. MHS bietet die folgenden Funktionen:

  • Harbor-Instanzen werden automatisch von GDC bereitgestellt und verwaltet.
  • Harbor ist zur Authentifizierung in IAM eingebunden.
  • Harbor unterstützt den programmatischen Zugriff über Dienstkonten für Projekte, um automatisierte Arbeitslasten zu ermöglichen.
  • Harbor-Instanzen können auf die neuere stabile Version aktualisiert werden.
  • Harbor wurde verbessert, um die Compliance- und Qualitätsanforderungen von GDC zu erfüllen.
  • Eine Harbor-Instanz ist eine zonale Ressource. Sie wird in einer Zone bereitgestellt, ist aber von allen Zonen innerhalb des GDC-Bereitstellungsuniversums aus zugänglich.

Rollenbasierte Zugriffssteuerung für MHS

GDC erzwingt die rollenbasierte Zugriffssteuerung (RBAC) für Managed Harbor Service (MHS) auf zwei verschiedenen Ebenen: auf GDC-Projektebene und auf Harbor Registry-Projektebene.

Projektdienstkonten authentifizieren sich programmatisch mit kurzlebigen Identitätstokens, die von IAM ausgegeben werden. Dadurch müssen keine Harbor-Roboterkonten mehr manuell erstellt und verwaltet werden. Die IAM-Rolle eines Dienstkontos ermöglicht zwar die Interaktion mit der Harbor-Instanz, Sie müssen ihm jedoch eine entsprechende Harbor Registry-Projektrolle zuweisen, um bestimmte Datenvorgänge zu autorisieren.

Um den Zugriff auf Ihre Registries zu steuern, konfigurieren Sie Berechtigungen sowohl auf Plattform- als auch auf Repository-Ebene.

IAM-Rollen für den Zugriff auf GDC-Projekte

GDC verwaltet Berechtigungen auf Projektebene mit IAM-Rollen. Sie können diese Rollen sowohl Nutzern als auch Projektdienstkonten zuweisen, um den Zugriff auf Ihre Harbor-Instanzen zu steuern.

  • Für Plattformadministratoren und Nutzer: Ermitteln Sie die erforderlichen Rollen für Ihre spezifische Aufgabe in der Verfahrensdokumentation und fordern Sie Zugriff von Ihrem IAM-Administrator der Organisation an. Weitere Informationen finden Sie unter Zugriff gewähren und widerrufen.
  • Für Dienstkonten: Weisen Sie Projektdienstkonten dieselben IAM-Rollen zu, um die programmatische Authentifizierung für automatisierte Arbeitslasten wie die Verwaltung von Registry-Instanzen und die Bereitstellung von Artefakten zu ermöglichen.
  • Für Infrastrukturbetreiber: In den GDC MHS-Servicehandbüchern finden Sie die genauen IAM-Rollen, die für Ihre spezifischen betrieblichen Aufgaben erforderlich sind.

Registry-Rollen für den Zugriff auf Harbor-Projekte

Ein Harbor-Projekt verwendet eigene RBAC-Mechanismen, die unabhängig von IAM-Rollen funktionieren. Um Repositories und Artefakte zu verwalten, müssen sowohl Nutzer als auch Projektdienstkonten die erforderliche Rolle direkt auf Harbor-Projektebene zugewiesen haben.

Weitere Informationen zu den spezifischen Rollen und Berechtigungen von Harbor finden Sie in der Harbor-Dokumentation unter Nutzerzugriff verwalten.

Leistung

Google hat MHS getestet und bestätigt, dass die in den Systemlimitsangegebenen Grenzwerte unterstützt werden.

Die tatsächlichen Leistungsgrenzwerte können höher sein.

Automatische Speicherbereinigung

Wenn Sie mit MHS Bilder aus der Registry hinzufügen und löschen, können sich im Laufe der Zeit nicht verwendete Daten ansammeln. Um die Speicherressourcen nicht zu überlasten, führt MHS alle 12 Stunden automatisch eine automatische Speicherbereinigung durch. Sie müssen die Speicherbereinigung nicht manuell konfigurieren.

Nächste Schritte

Konfigurieren Sie Ihren Arbeitsbereich und Ihre Projekte, um Container-Images zu verwalten: