Panoramica di Managed Harbor Service

Questo documento fornisce una panoramica di Managed Harbor Service (MHS) in Google Distributed Cloud (GDC) con air gap.

MHS è un registro container completamente gestito basato sul progetto open source Harbor. L'integrazione di MHS nel tuo ambiente GDC fornisce un modo sicuro e scalabile per gestire il ciclo di vita degli artefatti container in ambienti isolati senza manutenzione manuale.

Questa panoramica introduce i concetti fondamentali necessari per lavorare con MHS in GDC con air gap, inclusa la relazione tra i progetti GDC e i progetti di istanza Harbor. Descrive inoltre i limiti amministrativi tra i ruoli Identity and Access Management (IAM) a livello di infrastruttura e controllo dell'accesso basato sui ruoli (RBAC) a livello di registro, nonché le funzionalità principali come la garbage collection automatica e i limiti di rendimento del servizio.

Questo documento è rivolto agli sviluppatori dei gruppi di amministratori della piattaforma o operatori delle applicazioni che utilizzano e amministrano MHS in GDC. Per saperne di più, consulta Pubblici per la documentazione di GDC con air gap.

Come funziona Managed Harbor Service in GDC

Piani operativi

GDC MHS opera su due livelli funzionali distinti dell'architettura di rete. Ogni livello consente operazioni specifiche:

  • Livello del piano di gestione: consente di creare ed eliminare le istanze del registro Harbor.
  • Livello del piano dati: consente di eseguire il push e il pull delle immagini container nell'istanza Harbor.

Differenze tra i progetti GDC e i progetti di istanza Harbor

Managed Harbor Service prevede due tipi di progetti distinti. Comprendere l'interazione tra queste entità ti consente di gestire le risorse e i controlli dell'accesso al livello appropriato:

  • Progetto GDC: l'unità organizzativa per la gestione dell'infrastruttura. Utilizzalo per gestire l'istanza del registro Harbor insieme ad altre risorse GDC come VM e cluster.

    • Limiti: un progetto GDC può contenere una sola istanza Harbor. Tuttavia, la singola istanza può essere condivisa tra più progetti GDC per fornire un registro centralizzato per il tuo ambiente.
    • Accesso: richiede ruoli IAM a livello di progetto GDC per la creazione, la gestione e le attività amministrative dell'istanza.

  • Progetto di istanza Harbor: un raggruppamento logico per la gestione degli artefatti che esiste all'interno di un'istanza Harbor. Utilizzalo per organizzare le immagini container e l'accesso a livello di repository.

    • Limiti: un'istanza Harbor supporta più progetti Harbor. Questi possono essere assegnati a singoli team o utenti per abilitare il multi-tenancy all'interno di un registro condiviso.
    • Accesso: richiede ruoli RBAC specifici del registro per gestire i repository, eseguire attività amministrative e controllare l'accesso agli artefatti all'interno del progetto.

Funzionalità

Harbor è un progetto open source laureato della Cloud Native Computing Foundation (CNCF) che fornisce una soluzione di registro container cloud integrata per Kubernetes e Docker. Con l'integrazione del servizio gestito, puoi eseguire il deployment di un'istanza Harbor per archiviare e gestire gli artefatti su GDC. MHS offre le seguenti funzionalità:

  • Le istanze Harbor vengono sottoposte a provisioning e gestite automaticamente da GDC.
  • Harbor è integrato con IAM per l'autenticazione.
  • Harbor supporta l'accesso programmatico tramite i service account del progetto per abilitare i workload automatizzati.
  • È possibile eseguire l'upgrade delle istanze Harbor alla versione stabile più recente.
  • Harbor è stato migliorato per soddisfare i requisiti di conformità e qualità di GDC.
  • Un'istanza Harbor è una risorsa di zona; viene eseguito il deployment in una zona, ma è accessibile da qualsiasi zona all'interno dell'universo di deployment di GDC.

Controllo dell'accesso basato sui ruoli per MHS

GDC applica il controllo dell'accesso basato sui ruoli (RBAC) per Managed Harbor Service (MHS) in due livelli distinti: il livello del progetto GDC e il livello del progetto del registro Harbor.

I service account del progetto vengono autenticati in modo programmatico utilizzando i token di identità di breve durata emessi da IAM. In questo modo non è necessario creare e gestire manualmente gli account robot Harbor. Sebbene il ruolo IAM di un account di servizio consenta l'interazione con l'istanza Harbor, devi comunque assegnargli un ruolo di progetto del registro Harbor corrispondente per autorizzare operazioni di dati specifiche.

Per controllare l'accesso ai registri, configura le autorizzazioni sia a livello di piattaforma sia a livello di repository.

Ruoli IAM per l'accesso al progetto GDC

GDC gestisce le autorizzazioni a livello di progetto utilizzando i ruoli IAM. Puoi assegnare questi ruoli sia agli utenti sia ai service account del progetto per controllare l'accesso alle istanze Harbor.

  • Per gli amministratori della piattaforma e gli utenti: identifica i ruoli richiesti relativi alla tua attività specifica nella documentazione procedurale e richiedi l'accesso all'amministratore IAM dell'organizzazione. Per saperne di più, consulta Concedere e revocare l'accesso.
  • Per i service account: concedi questi stessi ruoli IAM ai service account del progetto per abilitare l'autenticazione programmatica per i workload automatizzati, come la gestione delle istanze del registro e il deployment degli artefatti.
  • Per gli operatori dell'infrastruttura: consulta i manuali di servizio di GDC MHS per determinare i ruoli IAM esatti richiesti per le tue attività operative specifiche.

Ruoli del registro per l'accesso al progetto Harbor

Un progetto Harbor utilizza il proprio set di meccanismi RBAC che operano indipendentemente dai ruoli IAM. Per gestire i repository e gli artefatti, sia gli utenti sia i service account del progetto devono avere il ruolo richiesto assegnato direttamente a livello di progetto Harbor.

Per saperne di più sui ruoli e sulle autorizzazioni specifici di Harbor, consulta la documentazione di Harbor per la gestione dell'accesso utente.

Prestazioni

Google ha testato e verificato MHS per supportare i limiti specificati in Limiti di sistema.

I limiti di rendimento effettivi potrebbero essere superiori.

Garbage collection

Quando utilizzi MHS per aggiungere ed eliminare immagini dal registro, i dati inutilizzati possono accumularsi nel tempo. Per evitare di sovraccaricare le risorse di archiviazione, MHS esegue automaticamente la garbage collection ogni 12 ore. Non devi configurare manualmente la garbage collection.

Passaggi successivi

Configura l'area di lavoro e i progetti per iniziare a gestire le immagini container: