本文概述 Google Distributed Cloud (GDC) 實體隔離方案中的代管 Harbor 服務 (MHS)。
MHS 是以開放原始碼 Harbor 專案為基礎的全代管 Container Registry。將 MHS 整合至 GDC 環境，即可在隔離環境中以安全、可擴充的方式管理容器構件的生命週期，無須手動維護。
本總覽介紹在 GDC 實體隔離方案中使用 MHS 所需的基本概念，包括 GDC 專案與 Harbor 執行個體專案之間的關係。此外，本節也詳細說明基礎架構層級 Identity and Access Management (IAM) 角色與登錄檔層級角色式存取控管 (RBAC) 之間的管理界線，以及自動垃圾收集和服務效能限制等核心功能。
本文適用於平台管理員或應用程式操作員群組中的開發人員，他們在 GDC 中使用及管理 MHS。詳情請參閱「GDC 實體隔離方案的目標對象」說明文件。
GDC 代管 Harbor 服務的運作方式
作業層
GDC MHS 在網路架構的兩個不同功能層運作。每個層級都可執行特定作業：
- 管理層：可讓您建立及刪除 Harbor 登錄檔執行個體。
- 資料層：可讓您在 Harbor 執行個體中推送及提取容器映像檔。
GDC 專案和 Harbor 執行個體專案的差異
代管 Harbor 服務涉及兩種不同的專案類型。瞭解這些實體之間的互動，可確保您在適當的層級管理資源和存取控管：
GDC 專案：基礎架構管理的組織單位。您可以使用這個資源，管理 Harbor 登錄檔執行個體，以及 VM 和叢集等其他 GDC 資源。
- 限制：GDC 專案只能包含一個 Harbor 執行個體。不過，該執行個體可以與多個 GDC 專案共用，為環境提供集中式存放區。
- 存取權：必須具備 GDC 專案層級 IAM 角色，才能建立、管理及執行執行個體管理工作。
Harbor 執行個體專案：Harbor 執行個體中的構件管理邏輯群組。可用來管理容器映像檔和存放區層級存取權。
- 限制：Harbor 執行個體支援多個 Harbor 專案。這些專案可分配給個別團隊或使用者，在共用存放區中啟用多租戶模式。
- 存取權：必須具備特定 Registry 的 RBAC 角色，才能管理存放區、執行管理工作，以及控管專案中的構件存取權。
功能與特色
Harbor 是雲端原生運算基金會 (CNCF) 升級的開放原始碼專案，為 Kubernetes 和 Docker 提供內建的雲端 Container Registry 解決方案。透過代管服務整合，您可以部署 Harbor 執行個體，在 GDC 儲存及管理構件。MHS 提供下列功能：
- Harbor 執行個體會由 GDC 自動佈建及管理。
- Harbor 與 IAM 整合，可進行驗證。
- Harbor 支援透過專案服務帳戶進行程式輔助存取，以啟用自動化工作負載。
- Harbor 執行個體可以升級至較新的穩定版本。
- Harbor 經過強化，符合 GDC 的法規遵循和品質規定。
- Harbor 執行個體是可用區資源，部署在一個可用區，但可從 GDC 部署宇宙中的任何可用區存取。
MHS 的角色式存取控管
GDC 會在兩個不同層級，對代管 Harbor 服務 (MHS) 實施角色式存取控管 (RBAC)：GDC 專案層級和 Harbor 登錄檔專案層級。
專案服務帳戶會使用 IAM 核發的短期身分權杖，以程式輔助方式進行驗證。這樣就不必手動建立及管理 Harbor 機器人帳戶。雖然服務帳戶的 IAM 角色允許與 Harbor 執行個體互動，但您仍須指派對應的 Harbor 登錄檔專案角色，才能授權特定資料作業。
如要控管登錄檔的存取權，請在平台和存放區層級設定權限。
GDC 專案存取權的 IAM 角色
GDC 使用 IAM 角色管理專案層級權限。您可以將這些角色指派給使用者和專案服務帳戶，控管 Harbor 執行個體的存取權。
- 平台管理員和使用者：請在程序說明文件中，找出與特定工作相關的必要角色，並向 IAM 機構組織管理員要求存取權。詳情請參閱「授予及撤銷存取權」。
- 服務帳戶：將相同的 IAM 角色授予專案服務帳戶，為自動化工作負載啟用程式輔助驗證，例如管理 Registry 執行個體和部署構件。
- 基礎架構操作人員：請參閱 GDC MHS 服務手冊，判斷特定操作工作所需的 IAM 角色。
Harbor 專案存取權的 Registry 角色
Harbor 專案使用一組獨立於 IAM 角色運作的 RBAC 機制。如要管理存放區和構件，使用者和專案服務帳戶都必須直接在 Harbor 專案層級獲派必要角色。
如要進一步瞭解 Harbor 的特定角色和權限，請參閱 Harbor 說明文件中的「管理使用者存取權」一節。
效能
Google 已測試並驗證 MHS，可支援系統限制中指定的限制。
實際效能限制可能更高。
垃圾收集
使用 MHS 在登錄檔中新增及刪除映像檔時，未使用的資料可能會隨著時間累積。為避免儲存空間資源吃緊，MHS 每 12 小時會自動執行垃圾收集。您不必手動設定垃圾收集。
後續步驟
設定工作區和專案，開始管理容器映像檔：