制品库介绍

2069 字约 7 分钟

制品库 是 CNB 内置的制品托管服务，用于存放镜像、依赖包等构建产物。

使用场景：需要把构建产物发布到仓库、供他人或其他流水线拉取时使用——例如推送 Docker 镜像、发布 npm 包与 Maven 依赖，或按团队约定归档 Helm Chart。制品库已内置类型识别与权限管控，无需自建 Registry 或对象存储。

本文介绍 CNB 制品库的基本概念，包括支持的制品类型、管理方式、权限控制、存储计费和制品迁移。

制品类型

CNB 当前支持以下制品类型：

制品类型	域名
Docker	docker.cnb.cool
Docker Model	oci.cnb.cool
Helm	helm.cnb.cool
Maven	maven.cnb.cool
npm	npm.cnb.cool
ohpm	ohpm.cnb.cool
Nuget	nuget.cnb.cool
Composer	composer.cnb.cool
PyPI	pypi.cnb.cool
Cargo	cargo.cnb.cool
Conan	conan.cnb.cool

管理制品库

各制品类型与组织、代码仓库在 UI 中的层级关系如下：

test-org  # 组织
├── maven
├── npm
├── ohpm
├── nuget
├── composer
├── pypi
├── cargo
├── conan
└── test-git-repo # 代码仓库
    ├── docker
    ├── helm
    └── docker model

如上所示，Composer/Maven 等制品库归属于组织，Docker/Helm/Docker Model 制品库归属于代码仓库，两者使用方式不同。

制品类型准入限制

Docker、Helm、Docker Model 三类制品库相互隔离，每个制品库只接受自己类型的制品推送，推送其它类型的制品会被拒绝并返回错误。

制品库	允许的制品
Docker	容器镜像（单/多架构）、buildx 注册表缓存、buildx attestation（provenance/SBOM 证明）
Helm	Helm Chart（OCI 格式）
Docker Model	Docker Model 制品

各类型对应的 manifest config mediaType 详见附录：OCI 制品库支持的 manifest 类型。

例如：将 Helm Chart 推送到 Docker 制品库地址，或将容器镜像推送到 Helm 制品库地址，都会被拒绝：

denied: artifact type "CHART" is not allowed to be pushed to a "docker" registry

被拒推送已上传的 blob 不会被任何制品引用，将由垃圾回收（GC）自动清理，无需人工处理。

使用 Docker/Helm/Docker Model 制品库

Docker/Helm/Docker Model 制品库归属于代码仓库，无需手动创建。登录后进入代码仓库的「制品」页面即可查看。

使用 Composer/Maven 等制品库

创建制品库

点击右上角「+」创建新的制品库，或通过「头像」→「我的制品库」使用已有制品库。进入制品库后点击「使用指引」查看操作引导。

删除制品

进入制品库后，点击制品名称进入该制品，可删除整个制品或指定版本。

删除制品库

Docker/Helm/Docker Model 制品库无需手动删除。其他类型可在「制品库设置」中删除。

获取制品库地址

在「制品库设置」>「基础设置」中查看。

权限管控

角色

Docker/Helm/Docker Model 类型制品的可见性与所托管的 代码仓库 可见性一致。用户对制品的操作权限由其在代码仓库中的角色决定。

Composer/Maven 等类型制品的可见性取决于制品库的可见性，用户对制品的操作权限由其在制品库中的角色决定。

用户在代码仓库中的角色，可在「代码仓库」>「设置」>「仓库成员」中查看：

用户在制品库中的角色，可在「制品库」>「制品库设置」>「成员管理」中查看：

下表中列出了制品行为及所需角色的对应关系：

资源	行为	所需角色
公开制品库制品	拉取	任何人都可以拉取，无需登录鉴权
公开制品库制品	推送	开发者及以上
公开制品库制品	删除	管理员及以上
私有制品库制品	拉取	访客及以上，需登录鉴权
私有制品库制品	推送	开发者及以上
私有制品库制品	删除	管理员及以上

访问令牌

当通过命令行工具读写制品时，操作能否获得授权，由用户的角色和请求所携带的访问令牌权限共同决定。

访问令牌缺失时，系统视为匿名访问，操作权限会受限。

制品库详细鉴权策略如下：

登录操作，访问令牌有效，允许登录，否则拒绝。
匿名操作，仅允许拉取公开制品库制品，其余操作被拒绝。
查询、拉取、推送制品操作，要求用户角色拥有对应权限，且访问令牌的 registry-package 授权范围包含对应操作，则允许，否则拒绝。删除操作类似。
在策略 3 允许操作的基础上，若 访问令牌 指定了使用范围（如指定仓库、指定制品库、仅公开仓库/制品库），且此范围与被访问的资源匹配，则返回实际授权范围；否则需要检查被操作资源的可见性：
- 如果被访问的资源为公开，拉取操作仍然会被允许，其余操作被拒绝；
- 如果被访问的资源为私有，全部操作均会被拒绝。
用户、令牌、被访问资源任何一项处于非正常状态（如被冻结），全部操作会被拒绝。携带错误的访问令牌（令牌登录之后过期也会被视为非正常令牌），即使是拉取公开制品库的制品，也会被拒绝。

上述策略以图形化方式展示如下（其中制品行为以拉取操作作为示例， Token 指的是 CNB 的 访问令牌，Scope 指的是 访问令牌 的授权范围）：