Введение
Создание, хранение и управление контейнерными образами является ключевой частью процесса разработки облачно-нативных приложений. Alauda Container Platform (ACP) предоставляет высокопроизводительный, высокодоступный встроенный сервис репозитория контейнерных образов, предназначенный для обеспечения пользователям безопасного и удобного опыта хранения и управления образами, значительно упрощая процессы разработки приложений, непрерывной интеграции/непрерывного развертывания (CI/CD) и развертывания приложений внутри платформы.
Глубоко интегрированный в архитектуру платформы, Alauda Container Platform Registry обеспечивает более тесное взаимодействие с платформой, упрощённую конфигурацию и повышенную эффективность внутреннего доступа по сравнению с внешним, независимо развернутым репозиторием образов.
Содержание
Принципы и изоляция по namespace
Встроенный репозиторий образов Alauda Container Platform, как один из ключевых компонентов платформы, работает внутри кластера в режиме высокой доступности и использует возможности постоянного хранения, предоставляемые платформой, чтобы гарантировать безопасность и надежность данных образов.
Одним из основных концептов дизайна является логическая изоляция и управление на основе Namespace. В Registry репозитории образов организованы по namespace. Это означает, что каждый namespace можно рассматривать как отдельную «зону» для образов, принадлежащих этому namespace, и образы между разными namespace по умолчанию изолированы, если явно не предоставлено разрешение.
Аутентификация и авторизация
Механизм аутентификации и авторизации Alauda Container Platform Registry глубоко интегрирован с системой аутентификации и авторизации на уровне платформы ACP, обеспечивая контроль доступа с детализацией до уровня namespace:
Аутентификация
Пользователям или автоматизированным процессам (например, CI/CD пайплайнам на платформе, автоматическим задачам сборки и т.д.) не нужно поддерживать отдельный набор учетных данных для Registry. Аутентификация происходит через стандартные механизмы платформы (например, с использованием предоставляемых платформой API токенов, интегрированных корпоративных систем идентификации и т.п.). При доступе к Alauda Container Platform Registry через CLI или другие инструменты обычно используется существующая сессия входа в платформу или токены ServiceAccount для прозрачной аутентификации.
Авторизация
Контроль авторизации реализован на уровне namespace. Права Pull или Push для репозитория образов в Alauda Container Platform Registry зависят от роли и прав пользователя или ServiceAccount в соответствующем namespace.
- Как правило, владельцу или разработчику namespace автоматически предоставляются права Push и Pull для репозиториев образов в этом namespace.
- Пользователи из других namespace или пользователи, желающие выполнять pull образов между namespace, должны получить соответствующие права от администратора целевого namespace (например, привязать роль, позволяющую выполнять pull образов через RBAC) перед тем, как получить доступ к образам в этом namespace.
- Этот механизм авторизации на основе namespace обеспечивает изоляцию образов между namespace, повышая безопасность и предотвращая несанкционированный доступ и изменение.
Преимущества
Основные преимущества Alauda Container Platform Registry:
- Готовность к использованию: Быстрое развертывание приватного реестра образов без сложных настроек.
- Гибкий доступ: Поддержка как внутрикластерного, так и внешнего доступа.
- Гарантия безопасности: Обеспечение авторизации RBAC и возможностей сканирования образов.
- Высокая доступность: Обеспечение непрерывности сервиса через механизмы репликации.
- Промышленный уровень: Проверено в корпоративных средах с гарантией SLA.
Сценарии применения
- Легковесное развертывание: Реализация упрощённых решений реестра в средах с низкой нагрузкой для ускорения доставки приложений.
- Edge Computing: Обеспечение автономного управления для edge-кластеров с выделенными реестрами.
- Оптимизация ресурсов: Демонстрация полного рабочего процесса через интегрированные решения Source to Image (S2I) при недостаточном использовании инфраструктуры.