アクセスと権限の管理

手順

1. 組織名をクリックします。
2. Default permissions をクリックします。
3. Create default permissions をクリックします。切り替え式のドロワーが表示されます。

4. リポジトリーの作成時にデフォルトの権限を作成するには、Anyone または Specific user を選択します。

   1. Anyone を選択する場合は、次の情報を入力する必要があります。

      • Applied to。ユーザー/ロボット/チームを検索、招待、または追加します。
      • Permission。権限を Read、Write、または Admin のいずれかに設定します。

   2. Specific user を選択する場合は、次の情報を指定する必要があります。

      • Repository creator。ユーザーまたはロボットアカウントを指定します。
      • Applied to。ユーザー名、ロボットアカウント、またはチーム名を入力します。
      • Permission。権限を Read、Write、または Admin のいずれかに設定します。
5. Create default permission をクリックします。確認ボックスが表示され、Successfully created default permission for creator というアラートが返されます。

手順

1. 次のコマンドを入力し、POST /api/v1/organization/{orgname}/prototypes エンドポイントでデフォルトの権限を作成します。

   $ curl -X POST   -H "Authorization: Bearer <bearer_token>"   -H "Content-Type: application/json"   --data '{
       "role": "<admin_read_or_write>",
       "delegate": {
         "name": "<username>",
         "kind": "user"
       },
       "activating_user": {
         "name": "<robot_name>"
       }
     }'   https://<quay-server.example.com>/api/v1/organization/<organization_name>/prototypes

   出力例

   {"activating_user": {"name": "test-org+test", "is_robot": true, "kind": "user", "is_org_member": true, "avatar": {"name": "test-org+test", "hash": "aa85264436fe9839e7160bf349100a9b71403a5e9ec684d5b5e9571f6c821370", "color": "#8c564b", "kind": "robot"}}, "delegate": {"name": "testuser", "is_robot": false, "kind": "user", "is_org_member": false, "avatar": {"name": "testuser", "hash": "f660ab912ec121d1b1e928a0bb4bc61b15f5ad44d5efdc4e1c92a25e99b8e44a", "color": "#6b6ecf", "kind": "user"}}, "role": "admin", "id": "977dc2bc-bc75-411d-82b3-604e5b79a493"}

2. 次のコマンドを入力し、PUT /api/v1/organization/{orgname}/prototypes/{prototypeid} エンドポイントを使用してデフォルトの権限を更新します。これは権限タイプを変更する場合の例です。ポリシーを作成したときに返された ID を含める必要があります。

   $ curl -X PUT \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Content-Type: application/json" \
     --data '{
       "role": "write"
     }' \
     https://<quay-server.example.com>/api/v1/organization/<organization_name>/prototypes/<prototypeid>

   出力例

   {"activating_user": {"name": "test-org+test", "is_robot": true, "kind": "user", "is_org_member": true, "avatar": {"name": "test-org+test", "hash": "aa85264436fe9839e7160bf349100a9b71403a5e9ec684d5b5e9571f6c821370", "color": "#8c564b", "kind": "robot"}}, "delegate": {"name": "testuser", "is_robot": false, "kind": "user", "is_org_member": false, "avatar": {"name": "testuser", "hash": "f660ab912ec121d1b1e928a0bb4bc61b15f5ad44d5efdc4e1c92a25e99b8e44a", "color": "#6b6ecf", "kind": "user"}}, "role": "write", "id": "977dc2bc-bc75-411d-82b3-604e5b79a493"}

3. DELETE /api/v1/organization/{orgname}/prototypes/{prototypeid} コマンドを入力すると、権限を削除できます。

   curl -X DELETE \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Accept: application/json" \
     https://<quay-server.example.com>/api/v1/organization/<organization_name>/prototypes/<prototype_id>

   このコマンドは出力を返しません。GET /api/v1/organization/{orgname}/prototypes コマンドを入力すると、すべての権限のリストを取得できます。

   $ curl -X GET \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Accept: application/json" \
     https://<quay-server.example.com>/api/v1/organization/<organization_name>/prototypes

   出力例

   {"prototypes": []}

手順

1. Red Hat Quay にログインします。
2. v2 UI で、Repositories をクリックします。
3. リポジトリーの名前をクリックします (例: quayadmin/busybox)。
4. Settings タブをクリックします。

5. オプション: User and robot permissions をクリックします。Permissions のドロップダウンメニューオプションをクリックすると、ユーザーまたはロボットアカウントの設定を調整できます。設定を Read、Write、または Admin に変更できます。

   • Read。ユーザーまたはロボットアカウントが、リポジトリーを表示し、リポジトリーからプルできます。
   • Write。ユーザーまたはロボットアカウントが、リポジトリーからの読み取り (プル) とリポジトリーへの書き込み (プッシュ) を実行できます。
   • Admin。ユーザーアカウントまたはロボットアカウントに、リポジトリーからのプルとリポジトリーへのプッシュのアクセス権に加え、リポジトリーに関連する管理タスクを実行する権限を付与します。

手順

1. ユーザーの権限を変更するには、次の PUT /api/v1/repository/{repository}/permissions/user/{username} コマンドを入力します。

   $ curl -X PUT \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Content-Type: application/json" \
     -d '{"role": "admin"}' \
     https://<quay-server.example.com>/api/v1/repository/<namespace>/<repository>/permissions/user/<username>

   出力例

   {"role": "admin", "name": "quayadmin+test", "is_robot": true, "avatar": {"name": "quayadmin+test", "hash": "ca9afae0a9d3ca322fc8a7a866e8476dd6c98de543decd186ae090e420a88feb", "color": "#8c564b", "kind": "robot"}}

2. 現在の権限を削除するには、DELETE /api/v1/repository/{repository}/permissions/user/{username} コマンドを入力します。

   $ curl -X DELETE \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Accept: application/json" \
     https://<quay-server.example.com>/api/v1/repository/<namespace>/<repository>/permissions/user/<username>

   このコマンドは CLI に出力を返しません。GET /api/v1/repository/{repository}/permissions/user/ コマンドを入力すると、権限が削除されたことを確認できます。

   $ curl -X GET \
     -H "Authorization: Bearer <bearer_token>" \
     -H "Accept: application/json" \
     https://<quay-server.example.com>/api/v1/repository/<namespace>/<repository>/permissions/user/<username>/

   出力例

   {"message":"User does not have permission for repo."}

手順

1. Red Hat Quay UI で、ナビゲーションペインの Repositories をクリックします。
2. リポジトリーの名前をクリックします。
3. ナビゲーションペインで Settings をクリックします。
4. Repository visibility をクリックします。
5. Make private をクリックします。リポジトリーは非公開に設定され、権限リストに載っているユーザーのみがリポジトリーを表示して操作できるようになります。

手順

1. v2 UI で、Organizations をクリックします。
2. ロボットアカウントを作成する組織の名前をクリックします (例: test-org)。
3. Robot accounts タブ → Create robot account をクリックします。
4. Provide a name for your robot account ボックスに、robot1 などの名前を入力します。ロボットアカウントの名前は、ユーザー名とロボットの名前を組み合わせたものになります (例: quayadmin+robot1)。

5. オプション: 必要に応じて、以下のオプションを使用できます。

   1. ロボットアカウントをチームに追加します。
   2. ロボットアカウントをリポジトリーに追加します。
   3. ロボットアカウントの権限を調整します。

6. Review and finish ページで、入力した情報を確認してから、Review and finish をクリックします。Successfully created robot account with robot name: <organization_name> + <robot_name> というアラートが表示されます。

   また、別のロボットアカウントと同じ名前でロボットアカウントを作成しようとすると、Error creating robot account というエラーメッセージが表示される場合があります。

7. オプション: Expand または Collapse をクリックすると、ロボットアカウントの説明情報を表示できます。
8. オプション: 縦の省略記号メニュー → Set repository permissions をクリックして、ロボットアカウントのパーミッションを変更できます。Successfully updated repository permission というメッセージが表示されます。

9. オプション: ロボットアカウントの名前をクリックすると、次の情報を取得できます。

   • Robot Account: ロボットアカウントのトークンを取得するには、これを選択します。Regenerate token now をクリックすると、トークンを再生成できます。
   • Kubernetes Secret: Kubernetes プルシークレット YAML ファイルの形式で認証情報をダウンロードするには、これを選択します。
   • Podman: 認証情報を含む完全な podman login コマンドラインをコピーするには、これを選択します。
   • Docker Configuration: 認証情報を含む完全な docker login コマンドラインをコピーするには、これを選択します。

手順

1. Red Hat Quay v2 UI ランディングページで、ナビゲーションペインの Organizations をクリックします。
2. Organizations ページで、複数のリポジトリーを持つ組織の名前を選択します。単一組織内のリポジトリーの数は、Repo Count 列で確認できます。
3. 組織のページで、Robot accounts をクリックします。
4. 複数のリポジトリーにロボットアカウントを追加する場合は、縦の省略記号アイコン → Set repository permissions をクリックします。

5. Set repository permissions ページで、ロボットアカウントを追加するリポジトリーのチェックボックスをオンにします。以下に例を示します。

   

6. ロボットアカウントの権限を設定します (例: None、Read、Write、Admin)。
7. save をクリックします。Success alert: Successfully updated repository permission というアラートが Set repository permissions ページに表示され、変更が確認されます。
8. Organizations → Robot accounts ページに戻ります。これで、ロボットアカウントの Repositories 列に、ロボットアカウントが追加されたリポジトリーの数が表示されます。

手順

1. config.yaml フィールドを更新して ROBOTS_DISALLOW 変数を追加します。次に例を示します。

   ROBOTS_DISALLOW: true

2. Red Hat Quay デプロイメントを再起動します。

検証: 新しいロボットアカウントの作成

1. Red Hat Quay リポジトリーに移動します。
2. リポジトリーの名前をクリックします。
3. ナビゲーションウィンドウで、Robot Accounts をクリックします。
4. Create Robot Account をクリックします。
5. ロボットアカウントの名前を入力します (例: <organization-name/username>+<robot-name>)。
6. Create robot account をクリックして作成を確定します。次のメッセージが表示されます。Cannot create robot account.Robot accounts have been disabled.Please contact your administrator.

検証: ロボットアカウントへのログイン

1. コマンドラインインターフェイス (CLI) で、次のコマンドを入力してロボットアカウントの 1 つとしてログインを試みます。

   $ podman login -u="<organization-name/username>+<robot-name>" -p="KETJ6VN0WT8YLLNXUJJ4454ZI6TZJ98NV41OE02PC2IQXVXRFQ1EJ36V12345678" <quay-server.example.com>

   次のエラーメッセージが返されます。

   Error: logging into "<quay-server.example.com>": invalid username/password

2. log-level=debug フラグを渡すと、ロボットアカウントが無効化されたことを確認できます。

   $ podman login -u="<organization-name/username>+<robot-name>" -p="KETJ6VN0WT8YLLNXUJJ4454ZI6TZJ98NV41OE02PC2IQXVXRFQ1EJ36V12345678" --log-level=debug <quay-server.example.com>

   ...
   DEBU[0000] error logging into "quay-server.example.com": unable to retrieve auth token: invalid username/password: unauthorized: Robot accounts have been disabled. Please contact your administrator.

手順

1. Red Hat Quay レジストリーにログインします。
2. ロボットアカウントがある組織の名前をクリックします。
3. Robot accounts をクリックします。
4. 削除するロボットアカウントのボックスをチェックします。
5. 縦の省略記号メニューをクリックします。
6. Delete をクリックします。
7. テキストボックスに confirm と入力し、Delete をクリックします。

手順

1. 次のコマンドを入力し、DELETE /api/v1/organization/{orgname}/robots/{robot_shortname} エンドポイントを使用して組織のロボットアカウントを削除します。

   curl -X DELETE \
     -H "Authorization: Bearer <bearer_token>" \
     "<quay-server.example.com>/api/v1/organization/<organization_name>/robots/<robot_shortname>"

2. API を使用してロボットアカウントを削除する場合、CLI は情報を返しません。削除を確認するには、Red Hat Quay UI を確認するか、次の GET /api/v1/organization/{orgname}/robots コマンドを入力して、ロボットアカウントの詳細が返されるかどうかを確認します。

   $ curl -X GET   -H "Authorization: Bearer <bearer_token>"   "https://<quay-server.example.com>/api/v1/organization/<organization_name>/robots"

   出力例

   {"robots": []}

3. 次のコマンドを入力し、DELETE /api/v1/user/robots/{robot_shortname} エンドポイントを使用して現在のユーザーのロボットアカウントを削除します。

   $ curl -X DELETE \
     -H "Authorization: Bearer <bearer_token>" \
     "<quay-server.example.com>/api/v1/user/robots/<robot_shortname>"

4. API を使用して現在のユーザーのロボットアカウントを削除する場合、CLI は情報を返しません。削除を確認するには、Red Hat Quay UI を確認するか、次の GET /api/v1/user/robots/{robot_shortname} コマンドを入力して、ロボットアカウントの詳細が返されるかどうかを確認します。

   $ curl -X GET \
     -H "Authorization: Bearer <bearer_token>" \
     "<quay-server.example.com>/api/v1/user/robots/<robot_shortname>"

   出力例

   {"message":"Could not find robot with specified username"}