במסמך הזה מפורטת סקירה כללית על Managed Harbor Service (MHS) ב-Google Distributed Cloud (GDC) עם בידוד פיזי (air-gapped).
MHS הוא מאגר תמונות קונטיינרים מנוהל שמבוסס על פרויקט הקוד הפתוח Harbor. שילוב של MHS בסביבת GDC מספק דרך מאובטחת וניתנת להרחבה לניהול מחזור החיים של ארטיפקטים של קונטיינרים בסביבות מבודדות ללא תחזוקה ידנית.
בסקירה הכללית הזו מוסברים המושגים הבסיסיים שצריך להכיר כדי לעבוד עם MHS ב-GDC עם air gap, כולל הקשר בין פרויקטים של GDC לבין פרויקטים של מופעי Harbor. כמו כן, הוא מפרט את הגבולות המנהליים בין תפקידי ניהול זהויות וגישה (IAM) ברמת התשתית לבין בקרת גישה מבוססת תפקידים (RBAC) ברמת הרישום, כמו גם תכונות ליבה כגון איסוף אשפה אוטומטי ומגבלות ביצועי שירות.
המסמך הזה מיועד למפתחים בקבוצות של אדמינים של פלטפורמות או מפעילים של אפליקציות שמשתמשים ב-MHS ב-GDC ומנהלים אותו. מידע נוסף מופיע במאמר בנושא קהלים ב-GDC עם air gap.
איך Managed Harbor Service פועל ב-GDC
מטוסים מבצעיים
GDC MHS פועל בשתי שכבות פונקציונליות נפרדות של ארכיטקטורת הרשת. כל שכבה מאפשרת פעולות ספציפיות:
- שכבת מישור הניהול: מאפשרת ליצור ולמחוק מופעים של מאגר Harbor.
- שכבת מישור הנתונים: מאפשרת להעביר בדחיפה ולמשוך קובצי אימג' של קונטיינרים במופע Harbor.
ההבדלים בין פרויקטים ב-GDC לבין פרויקטים במופע של Harbor
שירות Managed Harbor Service כולל שני סוגים שונים של פרויקטים. הבנת האינטראקציה בין הישויות האלה מבטיחה שתנהלו את המשאבים ואת בקרות הגישה בשכבה המתאימה:
פרויקט GDC: היחידה הארגונית לניהול התשתית. אפשר להשתמש ב-GDC כדי לנהל את מופע הרישום של Harbor יחד עם משאבים אחרים של GDC, כמו מכונות וירטואליות ואשכולות.
- מגבלות: פרויקט GDC יכול להכיל רק מופע אחד של Harbor. עם זאת, אפשר לשתף את המופע היחיד בין כמה פרויקטים של GDC כדי לספק רישום מרכזי לסביבה שלכם.
- גישה: נדרשים תפקידי IAM ברמת הפרויקט ב-GDC ליצירת מכונות, לניהול ולמשימות אדמיניסטרטיביות.
פרויקט של מופע Harbor: קיבוץ לוגי לניהול ארטיפקטים שקיים בתוך מופע Harbor. אפשר להשתמש בזה כדי לארגן תמונות של קונטיינרים וגישה ברמת המאגר.
- מגבלות: מופע Harbor תומך בכמה פרויקטים של Harbor. אפשר להקצות אותם לצוותים או למשתמשים ספציפיים כדי לאפשר ריבוי דיירים במאגר משותף.
- גישה: נדרשים תפקידי RBAC ספציפיים למאגר כדי לנהל מאגרי תמונות, לבצע משימות אדמיניסטרטיביות ולשלוט בגישה לארטיפקטים בפרויקט.
תכונות
Harbor הוא פרויקט בקוד פתוח שסיימו את שלב הגידול ב-Cloud Native Computing Foundation (CNCF). הוא מספק פתרון מובנה של רישום קונטיינרים בענן ל-Kubernetes ול-Docker. באמצעות שילוב של שירות מנוהל, אתם יכולים לפרוס מופע של Harbor כדי לאחסן ולנהל ארטיפקטים ב-GDC. התכונות של MHS הן:
- מוקצים מופעי Harbor באופן אוטומטי ומנוהלים על ידי GDC.
- Harbor משולב עם IAM לצורך אימות.
- Harbor תומך בגישה פרוגרמטית דרך חשבונות שירות של פרויקטים, כדי לאפשר עומסי עבודה אוטומטיים.
- אפשר לשדרג את מופעי Harbor לגרסה היציבה החדשה יותר.
- שדרגנו את Harbor כדי לעמוד בדרישות התאימות והאיכות של GDC.
- מופע של Harbor הוא משאב של תחום מוגדר. הוא נפרס בתחום אחד, אבל אפשר לגשת אליו מכל תחום בפריסת GDC.
בקרת גישה מבוססת-תפקידים ב-MHS
ב-GDC נאכף בקרת גישה מבוססת-תפקידים (RBAC) עבור Managed Harbor Service (MHS) בשתי שכבות נפרדות: ברמת פרויקט GDC וברמת פרויקט רישום Harbor.
חשבונות שירות בפרויקט עוברים אימות באופן פרוגרמטי באמצעות אסימוני זהות לטווח קצר שהונפקו על ידי IAM. כך לא תצטרכו ליצור ולנהל ידנית חשבונות רובוט של Harbor. תפקיד IAM של חשבון שירות מאפשר אינטראקציה עם מופע Harbor, אבל עדיין צריך להקצות לו תפקיד תואם בפרויקט של מאגר Harbor כדי לאשר פעולות ספציפיות על נתונים.
כדי לשלוט בגישה למאגרי הרישום, צריך להגדיר הרשאות ברמת הפלטפורמה וברמת המאגר.
תפקידי IAM לגישה לפרויקט GDC
GDC מנהל הרשאות ברמת הפרויקט באמצעות תפקידי IAM. אפשר להקצות את התפקידים האלה למשתמשים ולחשבונות שירות של פרויקטים כדי לשלוט בגישה למופעי Harbor.
- למנהלי פלטפורמה ולמשתמשים: צריך לזהות את התפקידים הנדרשים שקשורים למשימה הספציפית שלכם במסמכי ההסבר, ולבקש גישה מהאדמין של IAM בארגון. מידע נוסף זמין במאמר הענקת גישה וביטול גישה.
- בחשבונות שירות: מקצים את אותם תפקידי IAM לחשבונות שירות בפרויקט כדי להפעיל אימות פרוגרמטי לעומסי עבודה אוטומטיים, כמו ניהול מופעים של מאגרים ופריסת ארטיפקטים.
- למפעילים של תשתיות: כדי לדעת אילו תפקידי IAM נדרשים לביצוע משימות תפעוליות ספציפיות, צריך לעיין במדריכים של שירות GDC MHS.
תפקידים במאגר לגישה לפרויקט Harbor
פרויקט Harbor משתמש במערכת משלו של מנגנוני RBAC שפועלים בנפרד מתפקידי IAM. כדי לנהל מאגרי מידע וארטיפקטים, גם למשתמשים וגם לחשבונות השירות של הפרויקט צריך להיות מוקצה התפקיד הנדרש ישירות ברמת הפרויקט ב-Harbor.
מידע נוסף על ההרשאות והתפקידים הספציפיים של Harbor זמין במסמכי התיעוד של Harbor בנושא ניהול גישת משתמשים.
ביצועים
Google בדקה ואימתה את MHS כדי לתמוך במגבלות שמפורטות במאמר מגבלות המערכת.
יכול להיות שמגבלות הביצועים בפועל יהיו גבוהות יותר.
איסוף אשפה
כשמשתמשים ב-MHS כדי להוסיף ולמחוק תמונות מהרישום, יכולים להצטבר עם הזמן נתונים שלא נעשה בהם שימוש. כדי למנוע עומס על משאבי האחסון, MHS מבצעת באופן אוטומטי איסוף אשפה כל 12 שעות. לא צריך להגדיר איסוף של נתונים מיותרים באופן ידני.
המאמרים הבאים
כדי להתחיל לנהל קובצי אימג' של קונטיינרים, צריך להגדיר את סביבת העבודה והפרויקטים: