Введение
Создание, хранение и управление контейнерными образами является ключевой частью процесса разработки облачно-нативных приложений. Alauda Container Platform (ACP) предоставляет высокопроизводительный, высокодоступный встроенный сервис репозитория контейнерных образов, предназначенный для обеспечения пользователям безопасного и удобного опыта хранения и управления образами, значительно упрощая процессы разработки приложений, непрерывной интеграции/непрерывного развертывания (CI/CD) и развертывания приложений внутри платформы.
Глубоко интегрированный в архитектуру платформы, Alauda Container Platform Registry обеспечивает более тесное взаимодействие с платформой, упрощённую конфигурацию и более высокую эффективность внутреннего доступа по сравнению с внешним, независимо развернутым репозиторием образов.
Содержание
Принципы и изоляция namespace
Встроенный репозиторий образов Alauda Container Platform, как один из ключевых компонентов платформы, работает внутри кластера в режиме высокой доступности и использует возможности постоянного хранения, предоставляемые платформой, чтобы гарантировать безопасность и надёжность данных образов.
Одним из основных концептов его проектирования является логическая изоляция и управление на основе Namespace. В Registry репозитории образов организованы по namespace. Это означает, что каждый namespace можно рассматривать как отдельную «зону» для образов, принадлежащих этому namespace, и образы между разными namespace по умолчанию изолированы, если только явно не предоставлено разрешение.
Аутентификация и авторизация
Механизм аутентификации и авторизации Alauda Container Platform Registry глубоко интегрирован с системой аутентификации и авторизации уровня платформы ACP, обеспечивая контроль доступа с детализацией до уровня namespace:
Аутентификация
Пользователям или автоматизированным процессам (например, CI/CD пайплайнам на платформе, автоматическим задачам сборки и т.д.) не нужно поддерживать отдельный набор паролей для Registry. Они аутентифицируются через стандартные механизмы аутентификации платформы (например, с использованием API токенов, предоставляемых платформой, интегрированных корпоративных систем идентификации и т.п.). При доступе к Alauda Container Platform Registry через CLI или другие инструменты обычно используется существующая сессия входа на платформу или токены ServiceAccount для прозрачной аутентификации.
Авторизация
Контроль авторизации реализован на уровне namespace. Права Pull или Push для репозитория образов в Alauda Container Platform Registry зависят от роли и разрешений, которые пользователь или ServiceAccount имеют в соответствующем namespace платформы.
- Как правило, владельцу или роли разработчика namespace автоматически предоставляются права Push и Pull к репозиториям образов в этом namespace.
- Пользователи из других namespace или пользователи, желающие выполнять pull образов между namespace, должны получить явное разрешение от администратора целевого namespace (например, привязка роли, позволяющей выполнять pull образов через RBAC), прежде чем они смогут получить доступ к образам в этом namespace.
- Этот механизм авторизации на основе namespace обеспечивает изоляцию образов между namespace, повышая безопасность и предотвращая несанкционированный доступ и изменение.
Преимущества
Основные преимущества Alauda Container Platform Registry:
- Готовность к использованию: Быстрое развертывание приватного реестра образов без сложных настроек.
- Гибкий доступ: Поддержка как внутрикластерного, так и внешнего доступа.
- Гарантия безопасности: Обеспечение авторизации RBAC и возможностей сканирования образов.
- Высокая доступность: Обеспечение непрерывности сервиса через механизмы репликации.
- Промышленный уровень: Проверено в корпоративных средах с гарантией SLA.
Сценарии применения
- Лёгкое развертывание: Реализация упрощённых решений реестра в средах с низкой нагрузкой для ускорения доставки приложений.
- Edge Computing: Обеспечение автономного управления для edge-кластеров с выделенными реестрами.
- Оптимизация ресурсов: Демонстрация возможностей полного рабочего процесса через интегрированные решения Source to Image (S2I) при недостаточном использовании инфраструктуры.