Ringkasan Managed Harbor Service

Dokumen ini memberikan ringkasan tentang Managed Harbor Service (MHS) di Google Distributed Cloud (GDC) yang terisolasi.

MHS adalah registry container yang dikelola sepenuhnya berdasarkan project Harbor open source. Mengintegrasikan MHS ke dalam lingkungan GDC Anda akan memberikan cara yang aman dan skalabel untuk mengelola siklus proses artefak container Anda di lingkungan yang terisolasi tanpa pemeliharaan manual.

Ringkasan ini memperkenalkan konsep dasar yang diperlukan untuk menggunakan MHS di GDC dengan air gap, termasuk hubungan antara project GDC dan project instance Harbor. Ringkasan ini juga menjelaskan batas administratif antara peran Identity and Access Management (IAM) tingkat infrastruktur dan Role-based access control (RBAC) tingkat registry, serta fitur inti seperti pembersihan sampah memori otomatis dan batas performa layanan.

Dokumen ini ditujukan untuk developer dalam grup administrator platform atau operator aplikasi yang menggunakan dan mengelola MHS di GDC. Untuk mengetahui informasi selengkapnya, lihat Audiens untuk dokumentasi GDC dengan air gap.

Cara kerja Managed Harbor Service di GDC

Bidang operasional

GDC MHS beroperasi pada dua lapisan fungsional arsitektur jaringan yang berbeda. Setiap lapisan memungkinkan operasi tertentu:

  • Lapisan bidang pengelolaan: memungkinkan Anda membuat dan menghapus instance registry Harbor.
  • Lapisan bidang data: memungkinkan Anda mengirim dan mengambil image container di instance Harbor.

Perbedaan antara project GDC dan project instance Harbor

Managed Harbor Service melibatkan dua jenis project yang berbeda. Memahami interaksi antara entity ini akan memastikan Anda mengelola resource dan kontrol akses pada lapisan yang sesuai:

  • Project GDC: Unit organisasi untuk pengelolaan infrastruktur. Gunakan project ini untuk mengelola instance registry Harbor bersama dengan resource GDC lainnya seperti VM dan cluster.

    • Batas: Project GDC hanya dapat berisi satu instance Harbor. Namun, satu instance tersebut dapat dibagikan di beberapa project GDC untuk menyediakan registry terpusat bagi lingkungan Anda.
    • Akses: Memerlukan peran IAM tingkat project GDC untuk pembuatan instance, pengelolaan, dan tugas administratif.

  • Project instance Harbor: Pengelompokan logis untuk pengelolaan artefak yang ada dalam instance Harbor. Gunakan project ini untuk mengatur image container dan akses tingkat repositori.

    • Batas: Instance Harbor mendukung beberapa project Harbor. Project ini dapat dialokasikan ke masing-masing tim atau pengguna untuk mengaktifkan multi-tenancy dalam registry bersama.
    • Akses: Memerlukan peran RBAC khusus registry untuk mengelola repositori, melakukan tugas administratif, dan mengontrol akses artefak dalam project.

Fitur

Harbor adalah project open source lulusan Cloud Native Computing Foundation (CNCF) yang menyediakan solusi registry container cloud bawaan untuk Kubernetes dan Docker. Dengan integrasi layanan terkelola, Anda dapat men-deploy instance Harbor untuk menyimpan dan mengelola artefak di GDC. MHS menawarkan fitur berikut:

  • Instance Harbor otomatis disediakan dan dikelola oleh GDC.
  • Harbor terintegrasi dengan IAM untuk autentikasi.
  • Harbor mendukung akses terprogram melalui akun layanan project untuk mengaktifkan workload otomatis.
  • Instance Harbor dapat diupgrade ke versi stabil yang lebih baru.
  • Harbor ditingkatkan untuk memenuhi persyaratan kualitas dan kepatuhan GDC.
  • Instance Harbor adalah resource zonal; instance ini di-deploy di satu zona, tetapi dapat diakses dari zona mana pun dalam universe deployment GDC.

Kontrol akses berbasis peran untuk MHS

GDC menerapkan kontrol akses berbasis peran (RBAC) untuk Managed Harbor Service (MHS) pada dua lapisan yang berbeda: tingkat project GDC dan tingkat project registry Harbor.

Akun layanan project melakukan autentikasi secara terprogram menggunakan token identitas berumur pendek yang dikeluarkan oleh IAM. Hal ini menghilangkan kebutuhan untuk membuat dan mengelola akun robot Harbor secara manual. Meskipun peran IAM akun layanan memungkinkan interaksi dengan instance Harbor, Anda tetap harus menetapkan peran project registry Harbor yang sesuai untuk mengotorisasi operasi data tertentu.

Untuk mengontrol akses ke registry, konfigurasikan izin di tingkat platform dan repositori.

Peran IAM untuk akses project GDC

GDC mengelola izin tingkat project menggunakan peran IAM. Anda dapat menetapkan peran ini ke pengguna dan akun layanan project untuk mengontrol akses ke instance Harbor.

  • Untuk administrator platform dan pengguna: identifikasi peran yang diperlukan terkait tugas spesifik Anda dalam dokumentasi prosedural dan minta akses dari Admin IAM Organisasi Anda. Untuk mengetahui informasi selengkapnya, lihat Memberikan dan mencabut akses.
  • Untuk akun layanan: berikan peran IAM yang sama ke akun layanan project untuk mengaktifkan autentikasi terprogram untuk workload otomatis, seperti pengelolaan instance registry dan deployment artefak.
  • Untuk operator infrastruktur: lihat panduan layanan GDC MHS untuk menentukan peran IAM yang tepat yang diperlukan untuk tugas operasional spesifik Anda.

Peran registry untuk akses project Harbor

Project Harbor menggunakan kumpulan mekanisme RBAC-nya sendiri yang beroperasi secara independen dari peran IAM. Untuk mengelola repositori dan artefak, pengguna dan akun layanan project harus memiliki peran yang diperlukan yang ditetapkan langsung di tingkat project Harbor.

Untuk mengetahui informasi selengkapnya tentang peran dan izin spesifik Harbor, lihat dokumentasi Harbor untuk Mengelola akses pengguna.

Performa

Google telah menguji dan memverifikasi MHS untuk mendukung batas yang ditentukan dalam Batas sistem.

Batas performa sebenarnya mungkin lebih tinggi.

Pembersihan sampah memori

Saat Anda menggunakan MHS untuk menambahkan dan menghapus image dari registry, data yang tidak digunakan dapat menumpuk dari waktu ke waktu. Untuk menghindari tekanan pada resource penyimpanan, MHS secara otomatis melakukan pembersihan sampah memori setiap 12 jam. Anda tidak perlu mengonfigurasi pembersihan sampah memori secara manual.

Langkah berikutnya

Konfigurasikan ruang kerja dan project Anda untuk mulai mengelola image container: