HARBOR-ROBOT.md 1.2 KB
Robot Account de Harbor para el pull secret
El problema
El secret myregistrykey del cluster guarda credenciales de Harbor (en
base64, que no es cifrado). Si se usara la contraseña personal, cualquiera
con acceso al cluster podría leerla, y al cambiarla en Harbor el despliegue
dejaría de hacer pull sin motivo aparente.
La solución: un robot account
Un robot account es un usuario artificial de Harbor pensado para máquinas:
- Se crea dentro de un proyecto, con ámbito limitado
- Permisos mínimos (solo pull)
- Token independiente de la contraseña personal
- Caducidad configurable
- Revocable sin afectar al usuario real
Crear o renovar el secret en el cluster
- Entrar en Harbor → proyecto reymota → pestaña Robot Accounts →
crear/renovar uno (p. ej.
regbrowser-pull, permisos solo Pull) y copiar el token Aplicar con Make:
make -C k8s robot-secret TOKEN='<token>'
Esto crea/actualiza el secret myregistrykey en el namespace regbrowser
y reinicia el deployment para verificar que el pull funciona.
Verificar
make -C k8s status # STATUS debe ser Running (no ImagePullBackOff)