組織訪問令牌
目錄
組織訪問令牌 (OAT) 為自動化系統、CI/CD 管道和其他業務關鍵型任務提供對 Docker Hub 的安全、程式設計訪問。與繫結到個人使用者的個人訪問令牌不同,OAT 與您的組織相關聯,並可由任何組織所有者管理。
警告組織訪問令牌與 Docker Desktop、映象訪問管理和登錄檔訪問管理不相容。如果您使用這些功能,請改用個人訪問令牌。
誰應該使用組織訪問令牌?
使用 OATs 用於需要 Docker Hub 訪問而不依賴於個人使用者帳戶的自動化系統
- CI/CD 管道:用於推送和拉取映象的構建和部署系統
- 生產系統:在部署期間拉取映象的應用程式
- 監控工具:需要檢查儲存庫狀態或拉取映象的系統
- 備份系統:定期拉取映象以進行歸檔的工具
- 整合服務:與您的 Docker Hub 儲存庫整合的第三方工具
主要優勢
使用組織訪問令牌的好處包括
- 組織所有權:不與可能離開公司的個人使用者繫結
- 共享管理:所有組織所有者都可以建立和管理 OATs
- 獨立使用限制:OATs 具有自己的 Docker Hub 速率限制,不計入個人帳戶
- 更好的安全審計:跟蹤令牌上次使用的時間並識別可疑活動
- 精細許可權:限制對特定儲存庫和操作的訪問
先決條件
要建立和使用組織訪問令牌,您必須具備
- Docker Team 或 Business 訂閱
- 所有者許可權
- 您希望授予訪問許可權的儲存庫
建立組織訪問令牌
所有者可以使用這些限制建立令牌
- 團隊訂閱:每個組織最多 10 個 OAT
- 商業訂閱:每個組織最多 100 個 OAT
過期令牌計入您的總限額。
建立 OAT
- 登入 Docker Home 並選擇您的組織。
- 選擇 管理控制檯,然後選擇 訪問令牌。
- 選擇 生成訪問令牌。
- 配置令牌詳細資訊
- 標籤:描述性名稱,指示令牌的用途
- 描述(可選):附加詳細資訊
- 過期日期:令牌應何時過期
- 展開 儲存庫 下拉選單以設定訪問許可權
- 可選。選擇 讀取公共儲存庫 以訪問公共儲存庫。
- 選擇 新增儲存庫 並從下拉選單中選擇一個儲存庫。
- 為每個儲存庫設定許可權:映象拉取 或 映象推送。
- 根據需要新增最多 50 個儲存庫。
- 可選。透過展開 組織 下拉選單並選擇 允許管理此組織的資源 來配置組織管理許可權
- 成員編輯:編輯組織的成員
- 成員讀取:讀取組織的成員
- 邀請編輯:邀請成員加入組織
- 邀請讀取:讀取組織的邀請
- 組編輯:編輯組織的組
- 組讀取:讀取組織的組
- 選擇 生成令牌。複製螢幕上顯示的令牌並儲存。退出屏幕後將無法檢索令牌。
重要將組織訪問令牌視為密碼。將其安全地儲存在憑據管理器中,切勿將其提交到原始碼儲存庫。
使用組織訪問令牌
使用您的組織訪問令牌登入 Docker CLI
$ docker login --username <YOUR_ORGANIZATION_NAME>
Password: [paste your OAT here]
當提示輸入密碼時,輸入您的組織訪問令牌。
修改現有令牌
管理現有令牌
- 登入 Docker Home 並選擇您的組織。
- 選擇 管理控制檯,然後選擇 訪問令牌。
- 在令牌行中選擇操作選單,您可以
- 編輯
- 停用
- 刪除
- 對令牌進行更改後選擇 儲存。
組織訪問令牌最佳實踐
- 定期令牌輪換:設定合理的過期日期並定期輪換令牌,以最大程度地降低安全風險。
- 最小許可權原則:僅授予每個用例所需的最低儲存庫訪問許可權和許可權。
- 監控令牌使用情況:定期檢視令牌上次使用的時間,以識別未使用的或可疑的令牌。
- 安全儲存:將令牌儲存在安全的憑據管理系統中,切勿以純文字或原始碼形式儲存。
- 立即撤銷:如果令牌被洩露或不再需要,請立即停用或刪除令牌。