登录 Docker 和 Helm

本页介绍了如何使用受管理的 Harbor 服务 (MHS) 凭据帮助程序或 CLI Secret 登录 Docker 或 Helm。

为提供灵活性，Google Distributed Cloud (GDC) 网闸隔离配置设备提供了两种方法，用于从 Harbor 注册表实例向 Docker 和 Helm 进行身份验证。第一种方法是使用受管理的 Harbor 服务 (MHS) 凭据帮助程序和您的 GDC 身份登录 Docker 或 Helm CLI。通过 GDC 进行身份验证后，您可以登录 Docker 客户端并执行 Docker 操作，而无需在 Harbor 中创建或管理单独的 CLI Secret。

第二种方法是使用 CLI Secret。使用 Identity-Aware Proxy (IAP) 进行身份验证并首次登录 Harbor 界面后，您可以使用 Docker 或 Helm CLI 访问 Harbor。Docker 和 Helm CLI 无法处理 IAP 的重定向，因此 Harbor 提供了一个 CLI Secret，以便在通过 Docker 或 Helm 登录时使用。仅当 Harbor 使用 IAP 身份验证时，此方法才可用。

准备工作

如需为 Harbor 注册表实例配置 Docker 和 Helm 身份验证，您必须在环境中安装 MHS 凭据帮助程序 (docker-credential-mhs)。凭据帮助程序默认包含在 gdcloud CLI 软件包中。如需了解详情，请参阅 gdcloud CLI 概览。

所需 IAM 角色

如需为 Harbor 注册表实例配置身份验证，请与您的项目 IAM 管理员联系，请求 Harbor Instance Viewer (harbor-instance-viewer) 角色，该角色可让您获取、列出和监控项目命名空间中的 Harbor 实例。此角色包含查看现有 Harbor 实例的详细信息所需的权限，以便您可以检索注册表网址以进行身份验证。

使用 CLI Secret 登录 Docker 或 Helm

如需使用 CLI Secret 登录 Docker 或 Helm，请按以下步骤操作：

  1. 使用 IAP 用户账号登录 Harbor。
  2. 点击您的用户名，然后选择用户个人资料。
  3. 如需复制与您的账号关联的 CLI 密钥，请点击 复制。

  4. 可选：如需显示用于自动生成或手动创建新 CLI Secret 的按钮，请点击用户个人资料中的 椭圆。

  5. 如果您生成了新的 CLI 密钥，请点击 Copy（复制）以复制该密钥。

  6. 现在，您可以在通过 Docker 或 Helm CLI 登录 Harbor 时，将 CLI 密文用作密码：

    docker login -u USERNAME -p CLI_SECRET HARBOR_INSTANCE_URL

替换以下内容：

  • USERNAME：Harbor 账号用户名
  • CLI_SECRET：生成的 CLI 密钥。
  • HARBOR_INSTANCE_URL：Harbor 实例的网址。