Présentation de Managed Harbor Service

Ce document présente Managed Harbor Service (MHS) dans Google Distributed Cloud (GDC) sous air gap.

MHS est un registre de conteneurs entièrement géré basé sur le projet Open Source Harbor. L'intégration de MHS dans votre environnement GDC offre un moyen sécurisé et évolutif de gérer le cycle de vie de vos artefacts de conteneur dans des environnements isolés sans maintenance manuelle.

Cette présentation aborde les concepts fondamentaux nécessaires pour utiliser MHS dans GDC sous air gap, y compris la relation entre les projets GDC et les projets d'instance Harbor. Elle détaille également les limites administratives entre les rôles Identity and Access Management (IAM) au niveau de l'infrastructure et le contrôle des accès basé sur les rôles (RBAC) au niveau du registre, ainsi que les fonctionnalités de base telles que la récupération de mémoire automatisée et les limites de performances des services.

Ce document est destiné aux développeurs des groupes d'administrateurs de plate-forme ou d'opérateurs d'applications qui utilisent et administrent MHS dans GDC. Pour en savoir plus, consultez la documentation sur les audiences pour GDC sous air gap.

Fonctionnement de Managed Harbor Service dans GDC

Plans opérationnels

GDC MHS fonctionne sur deux couches fonctionnelles distinctes de l'architecture réseau. Chaque couche permet des opérations spécifiques :

  • Couche du plan de gestion : vous permet de créer et de supprimer des instances de registre Harbor.
  • Couche du plan de données : vous permet d'envoyer et d'extraire des images de conteneur dans votre instance Harbor.

Différences entre les projets GDC et les projets d'instance Harbor

Managed Harbor Service implique deux types de projets distincts. Comprendre l'interaction entre ces entités vous permet de gérer les ressources et les contrôles d'accès au niveau approprié :

  • Projet GDC : unité organisationnelle pour la gestion de l'infrastructure. Utilisez-la pour gérer l'instance de registre Harbor, ainsi que d'autres ressources GDC telles que les VM et les clusters.

    • Limites : un projet GDC ne peut contenir qu'une seule instance Harbor. Toutefois, cette instance unique peut être partagée entre plusieurs projets GDC pour fournir un registre centralisé à votre environnement.
    • Accès : nécessite des rôles IAM au niveau du projet GDC pour la création, la gestion et les tâches administratives des instances.

  • Projet d'instance Harbor : regroupement logique pour la gestion des artefacts qui existe dans une instance Harbor. Utilisez-le pour organiser les images de conteneur et l'accès au niveau du dépôt.

    • Limites : une instance Harbor est compatible avec plusieurs projets Harbor. Ceux-ci peuvent être attribués à des équipes ou à des utilisateurs individuels pour activer la multitenancy dans un registre partagé.
    • Accès : nécessite des rôles RBAC spécifiques au registre pour gérer les dépôts, effectuer des tâches administratives et contrôler l'accès aux artefacts dans le projet.

Fonctionnalités

Harbor est un projet Open Source hiérarchisé de la Cloud Native Computing Foundation (CNCF) qui fournit une solution de registre de conteneurs cloud intégrée pour Kubernetes et Docker. Grâce à l'intégration du service géré, vous pouvez déployer une instance Harbor pour stocker et gérer des artefacts sur GDC. MHS offre les fonctionnalités suivantes :

  • Les instances Harbor sont automatiquement provisionnées et gérées par GDC.
  • Harbor est intégré à IAM pour l'authentification.
  • Harbor est compatible avec l'accès programmatique via des comptes de service de projet pour activer les charges de travail automatisées.
  • Les instances Harbor peuvent être mises à niveau vers la version stable la plus récente.
  • Harbor est amélioré pour répondre aux exigences de conformité et de qualité de GDC.
  • Une instance Harbor est une ressource zonale. Elle est déployée dans une zone, mais elle est accessible depuis n'importe quelle zone de l'univers de déploiement GDC.

Contrôle des accès basé sur les rôles pour MHS

GDC applique le contrôle des accès basé sur les rôles (RBAC) pour Managed Harbor Service (MHS) sur deux couches distinctes : au niveau du projet GDC et au niveau du projet de registre Harbor.

Les comptes de service de projet s'authentifient par programmation à l'aide de jetons d'identité à courte durée de vie émis par IAM. Il n'est donc plus nécessaire de créer et de gérer manuellement des comptes de robot Harbor. Bien que le rôle IAM d'un compte de service autorise l'interaction avec l'instance Harbor, vous devez toujours lui attribuer un rôle de projet de registre Harbor correspondant pour autoriser des opérations de données spécifiques.

Pour contrôler l'accès à vos registres, configurez les autorisations au niveau de la plate-forme et du dépôt.

Rôles IAM pour l'accès au projet GDC

GDC gère les autorisations au niveau du projet à l'aide de rôles IAM. Vous pouvez attribuer ces rôles aux utilisateurs et aux comptes de service de projet pour contrôler l'accès à vos instances Harbor.

  • Pour les administrateurs de plate-forme et les utilisateurs : identifiez les rôles requis liés à votre tâche spécifique dans la documentation procédurale et demandez l'accès à votre administrateur IAM de l'organisation. Pour en savoir plus, consultez la section Accorder et révoquer l'accès.
  • Pour les comptes de service : accordez ces mêmes rôles IAM aux comptes de service de projet pour activer l'authentification programmatique pour les charges de travail automatisées, telles que la gestion des instances de registre et le déploiement des artefacts.
  • Pour les opérateurs d'infrastructure : consultez les manuels d'utilisation du service GDC MHS pour déterminer les rôles IAM exacts requis pour vos tâches opérationnelles spécifiques.

Rôles de registre pour l'accès au projet Harbor

Un projet Harbor utilise son propre ensemble de mécanismes RBAC qui fonctionnent indépendamment des rôles IAM. Pour gérer les dépôts et les artefacts, les utilisateurs et les comptes de service de projet doivent disposer du rôle requis attribué directement au niveau du projet Harbor.

Pour en savoir plus sur les rôles et autorisations spécifiques de Harbor, consultez la documentation Harbor sur la gestion de l'accès des utilisateurs.

Performances

Google a testé et vérifié que MHS est compatible avec les limites spécifiées dans Limites du système.

Les limites de performances réelles peuvent être plus élevées.

Récupération de mémoire

Lorsque vous utilisez MHS pour ajouter et supprimer des images du registre, les données inutilisées peuvent s'accumuler au fil du temps. Pour éviter de solliciter les ressources de stockage, MHS effectue automatiquement une récupération de mémoire toutes les 12 heures. Vous n'avez pas besoin de configurer manuellement la récupération de mémoire.

Étape suivante

Configurez votre espace de travail et vos projets pour commencer à gérer les images de conteneur :