אפשר להעלות תמונות ל-Harbor כדי לשפר את האבטחה באמצעות בקרת גישה מבוססת-תפקידים, סריקה אוטומטית של נקודות חולשה וניהול פשוט של תמונות לאפליקציות מבוססות-קונטיינרים. כדי להעביר תמונה מקומית למופע של Harbor, מתייגים אותה בשם המאגר ואז מעבירים את התמונה.
לפני שמתחילים
כדי לשלוח אימג', צריך להגדיר את הסביבה עם המשאבים וההרשאות הנדרשים, כולל פרויקט Harbor קיים. מידע נוסף זמין במאמר יצירת פרויקטים ב-Harbor.
התפקידים שצריך ב-IAM
כדי לדחוף תמונות למופעי מאגר Harbor, צריך לפנות לאדמין IAM של הפרויקט ולבקש את התפקיד הבא:
- Harbor Instance Viewer (
harbor-instance-viewer): קבלת רשימה של מופעי Harbor במרחב השמות של הפרויקט, צפייה בהם וצפייה בהם. התפקיד הזה כולל את ההרשאות הנדרשות לצפייה בפרטים של מופעי Harbor קיימים, כדי שתוכלו לאחזר את כתובות ה-URL של המאגר שנדרשות להעלאת תמונות.
תפקידי RBAC נדרשים ב-Harbor
בניגוד לתפקידי IAM ב-GDC, כדי לדחוף תמונות צריך הרשאות ספציפיות במערכת הפנימית של בקרת הגישה שמבוססת על תפקידים (RBAC) של Harbor. צריך לבקש מהאדמין את ההרשאות הדרושות. כדי לאכוף את הגישה לפי הרשאות מינימליות, צריך לבקש רק את התפקידים שנדרשים למשימות הספציפיות שלכם.
- מפתח: נדרש כדי לדחוף תמונות למאגר Harbor. מידע נוסף על כל התפקידים הזמינים מופיע במסמכי Harbor בנושא הרשאות משתמשים לפי תפקיד: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.
תיוג התמונה המקומית
כדי לתייג תמונה מקומית עם שם המאגר:
- צריך לבצע אימות למופע Harbor. מידע נוסף זמין במאמר הגדרת אימות Docker למופעי מאגר Harbor.
הגדרת שם התמונה. הפורמט של שם תמונה מלא הוא:
INSTANCE_URL/HARBOR_PROJECT_NAME/IMAGEמחליפים את מה שכתוב בשדות הבאים:
-
INSTANCE_URL: כתובת ה-URL של מופע Harbor. לדוגמה,harbor-1.org-1.zone1.google.gdc.test. מקבלים את כתובת ה-URL של מופע Harbor באמצעות מסוף GDC או gdcloud CLI. -
HARBOR_PROJECT_NAME: שם פרויקט Harbor. לדוגמה,my-project. -
IMAGE_NAME: שם התמונה. לדוגמה,nginx..
דוגמה לשם המלא של התמונה:
harbor-1.org-1.zone1.google.gdc.test/my-project/nginx-
מתייגים את התמונה המקומית עם שם המאגר:
docker tag SOURCE-IMAGE INSTANCE_URL/HARBOR_PROJECT_NAME/IMAGE:TAG
מחליפים את מה שכתוב בשדות הבאים:
-
SOURCE-IMAGE: השם המקומי של התמונה או מזהה התמונה. לדוגמה,nginx. -
TAG: שם התג. לדוגמה,staging. אם לא מציינים תג, Docker מחיל את התג האחרון כברירת מחדל.
העברת התמונה עם התיוג למופע של מאגר Harbor
אחרי שתייגתם את התמונה, מעבירים אותה למופע של מאגר Harbor:
- חשוב לוודא שהאימות שלכם מול מופע Harbor הושלם.
- מעלים את קובץ האימג' עם התג באמצעות הפקודה:
docker push
INSTANCE_URL/HARBOR_PROJECT_NAME/IMAGE:TAG
כשמעבירים תמונה, היא נשמרת במופע ובפרויקט Harbor שצוינו.
אחרי שמעבירים את התמונה, עוברים אל ממשק המשתמש של מופע Harbor כדי לראות את התמונה.
המאמרים הבאים
אחרי שמעבירים את התמונה למאגר Harbor, אפשר להוריד אותה לסביבה המקומית כדי לאמת אותה. אפשר גם להגדיר כללי שמירה של תגים כדי לתחזק את המאגרים באופן אוטומטי ולבדוק את תוצאות סריקת האבטחה כדי לזהות נקודות חולשה: