Visão geral do serviço gerenciado do Harbor

Este documento oferece uma visão geral do Managed Harbor Service (MHS) no Google Distributed Cloud (GDC) com isolamento físico.

O MHS é um registro de contêiner totalmente gerenciado com base no projeto de código aberto Harbor. A integração do MHS ao ambiente do GDC oferece uma maneira segura e escalonável de gerenciar o ciclo de vida dos artefatos de contêiner em ambientes isolados sem manutenção manual.

Esta visão geral apresenta os conceitos básicos necessários para trabalhar com o MHS no GDC com isolamento físico, incluindo a relação entre os projetos do GDC e os projetos de instância do Harbor. Ela também detalha os limites administrativos entre os papéis do Identity and Access Management (IAM) no nível da infraestrutura e o controle de acesso baseado em papéis (RBAC) no nível do registro, bem como os principais recursos, como a coleta de lixo automatizada e os limites de desempenho do serviço.

Este documento é destinado a desenvolvedores em grupos de administradores de plataforma ou operadores de aplicativos que usam e administram o MHS no GDC. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Como o Managed Harbor Service no GDC funciona

Planos operacionais

O GDC MHS opera em duas camadas funcionais distintas da arquitetura de rede. Cada camada permite operações específicas:

  • Camada do plano de gerenciamento: permite criar e excluir instâncias de registro do Harbor.
  • Camada do plano de dados: permite enviar e extrair imagens de contêiner na instância do Harbor.

Diferenças entre os projetos do GDC e os projetos de instância do Harbor

O Managed Harbor Service envolve dois tipos de projetos distintos. Entender a interação entre essas entidades garante que você gerencie os recursos e os controles de acesso na camada apropriada:

  • Projeto do GDC: a unidade organizacional para gerenciamento de infraestrutura. Use isso para gerenciar a instância de registro do Harbor com outros recursos do GDC, como VMs e clusters.

    • Limites: um projeto do GDC pode conter apenas uma instância do Harbor. No entanto, essa única instância pode ser compartilhada entre vários projetos do GDC para fornecer um registro centralizado para seu ambiente.
    • Acesso: requer papéis do IAM para envolvidos no projeto do GDC para criação, gerenciamento e tarefas administrativas de instâncias.

  • Projeto de instância do Harbor: um agrupamento lógico para gerenciamento de artefatos que existe em uma instância do Harbor. Use isso para organizar imagens de contêiner e acesso no nível do repositório.

    • Limites: uma instância do Harbor oferece suporte a vários projetos do Harbor. Eles podem ser alocados para equipes ou usuários individuais para permitir a multitenância em um registro compartilhado.
    • Acesso: requer papéis de RBAC específicos do registro para gerenciar repositórios, realizar tarefas administrativas e controlar o acesso a artefatos no projeto.

Recursos

O Harbor é um projeto de código aberto graduado da Cloud Native Computing Foundation (CNCF) que oferece uma solução de registro de contêiner na nuvem integrada para Kubernetes e Docker. Com a integração do serviço gerenciado, é possível implantar uma instância do Harbor para armazenar e gerenciar artefatos no GDC. O MHS oferece os seguintes recursos:

  • As instâncias do Harbor são provisionadas e gerenciadas automaticamente pelo GDC.
  • O Harbor é integrado ao IAM para autenticação.
  • O Harbor oferece suporte ao acesso programático por contas de serviço de projetos para ativar cargas de trabalho automatizadas.
  • As instâncias do Harbor podem ser atualizadas para a versão estável mais recente.
  • O Harbor é aprimorado para atender aos requisitos de conformidade e qualidade do GDC.
  • Uma instância do Harbor é um recurso zonal. Ela é implantada em uma zona, mas pode ser acessada de qualquer zona no universo de implantação do GDC.

Controle de acesso baseado em papéis para MHS

O GDC aplica o controle de acesso baseado em papéis (RBAC) para o Managed Harbor Service (MHS) em duas camadas distintas: o nível do projeto do GDC e o nível do projeto de registro do Harbor.

As contas de serviço do projeto são autenticadas de forma programática usando tokens de identidade de curta duração emitidos pelo IAM. Isso elimina a necessidade de criar e gerenciar manualmente contas de robô do Harbor. Embora o papel do IAM de uma conta de serviço permita a interação com a instância do Harbor, ainda é necessário atribuir um papel de projeto de registro do Harbor correspondente para autorizar operações de dados específicas.

Para controlar o acesso aos registros, configure as permissões nas plataformas e nos repositórios.

Papéis do IAM para acesso ao projeto do GDC

O GDC gerencia permissões para envolvidos no projeto usando papéis do IAM. É possível atribuir esses papéis a usuários e contas de serviço do projeto para controlar o acesso às instâncias do Harbor.

  • Para administradores e usuários da plataforma: identifique os papéis necessários relacionados à sua tarefa específica na documentação do procedimento e solicite acesso ao administrador do IAM da organização. Para mais informações, consulte Conceder e revogar acesso.
  • Para contas de serviço: conceda esses mesmos papéis do IAM às contas de serviço do projeto para ativar a autenticação programática para cargas de trabalho automatizadas, como gerenciamento de instâncias de registro e implantação de artefatos.
  • Para operadores de infraestrutura: consulte os manuais de serviço do GDC MHS para determinar os papéis exatos do IAM necessários para suas tarefas operacionais específicas.

Papéis de registro para acesso ao projeto do Harbor

Um projeto do Harbor usa o próprio conjunto de mecanismos de RBAC que operam de forma independente dos papéis do IAM. Para gerenciar repositórios e artefatos, os usuários e as contas de serviço do projeto precisam ter o papel necessário atribuído diretamente no nível do projeto do Harbor.

Para mais informações sobre os papéis e permissões específicos do Harbor, consulte a documentação do Harbor para gerenciar o acesso do usuário.

Desempenho

O Google testou e verificou o MHS para oferecer suporte aos limites especificados em Limites do sistema.

Os limites de desempenho reais podem ser maiores.

Coleta de lixo

Quando você usa o MHS para adicionar e excluir imagens do registro, os dados não utilizados podem se acumular com o tempo. Para evitar o esgotamento dos recursos de armazenamento, o MHS realiza a coleta de lixo automaticamente a cada 12 horas. Não é necessário configurar a coleta de lixo manualmente.

A seguir

Configure seu espaço de trabalho e projetos para começar a gerenciar imagens de contêiner: