制品库介绍

2036 字约 7 分钟

本文将介绍 CNB 制品库的一些基本概念。您将了解到：

您也可以跳过本章，直接查看对应制品类型的文档。

不用担心遗漏知识点，我们将在每个制品文档的必要位置添加引导链接，链接到本文相应的知识点。

制品类型

CNB 当前支持以下制品类型：

各制品类型与组织、代码仓库在 UI 界面展示的层级关系如下:

test-org  # 组织
├── maven
├── npm
├── ohnpm
├── nuget
├── composer
├── pypi
└── test-git-repo # 代码仓库
    ├── docker
    └── helm

如上图所示，Composer/Maven 等制品库归属于某个组织下, 而 Docker/Helm 制品库则归属于组织下的代码仓库。

所以它们的使用步骤也会有所区别。

Docker/Helm 制品库归属于代码仓库, 所以无需手动创建。

登陆 cnb 后，您可以点击右上角「+」创建新的代码仓库

也可以点击右上角「头像」，选择「我的仓库」，使用已有的代码仓库

进入任意代码仓库后, 点击「制品」可以看到 Docker/Helm 制品库, 点击「推送制品」将会展示操作引导

您可以点击右上角「+」创建新的制品库

也可以点击右上角「头像」，选择「我的制品库」，使用已有的制品库

进入制品库后，点击「使用指引」将会展示操作引导

以 Composer 制品库举例 (其他类型制品库操作也类似，包括 Docker/Helm):

推送制品到制品库以后，点击制品库名字，进入该制品。

点击「删除制品」将删除整个制品。点击「删除」图标，将删除指定版本。

Docker/Helm 制品库无需手动创建，所以也无需手动删除。

其他类型的制品库可以在「制品库设置」中删除

您可以在「制品库设置」>「基础设置」中，查看制品库地址

Docker/Helm 类型的制品的可见性与所托管的代码仓库可见性一致，用户对制品的访问权限，由其在代码仓库的中角色而决定。

Composer/Maven 等类型的制品的可见性取决于制品库的可见性，用户对制品的访问权限，由其在制品库的中角色而决定。

用户在代码仓库中的角色，可以在「代码仓库」 > 「设置」> 「仓库成员」中查看：

用户在制品库中的角色，可以在「制品库」 > 「制品库设置」> 「成员管理」中查看：

下表中列出了制品的行为及所需角色的对应关系：

当通过命令行工具读写制品时，最终对制品的操作行为能否获得授权，将由用户的角色和请求所携带的访问令牌权限共同决定。

当访问令牌缺失时，系统将视为匿名访问，匿名访问时操作权限将受到限制。

制品库详细鉴权策略如下：

登录操作，访问令牌有效，将会允许登录，否则拒绝。
匿名操作，仅允许拉取公开制品库制品，其余操作被拒绝。
查询、拉取、推送制品操作，要求用户角色拥有对应权限，同时访问令牌的registry-package授权范围包含对应操作，则允许，否则拒绝；删除操作类似。
在策略3允许操作的基础上，若访问令牌指定了使用范围（如指定仓库、指定制品库、仅公开仓库/制品库）且此范围与被访问的资源匹配，则返回实际授权范围；否则需要检查被操作资源的可见性，如果被访问的资源可见性为公开，拉取操作仍然会被允许，其余操作被拒绝，但如果被访问的资源为私有，全部操作均将被拒绝。
用户、令牌、被访问资源任何一项处于非正常状态（如被冻结），全部操作均将被拒绝。只要带上了错误的访问令牌（令牌登录之后过期，也会被视作非正常令牌），即使是拉取公开制品库的制品，也会被拒绝。

上述策略以图形化方式展示如下（其中制品行为以拉取操作作为示例，token 指的是CNB的访问令牌，scope 指的是访问令牌的授权范围）：