产品 / 面向 AI 开发者

ImageSphere

正式版

内置身份认证、访问策略和物理隔离部署支持的 OCI 制品仓库。

ImageSphere 可托管容器镜像、Helm Chart、ML 模型等 OCI 制品，内置 Web 管理界面。管理员身份与 IdP 用户组关联，访问策略可在线调整并持久保存；命名空间支持存储配额、实时用量查看和 CI/CD 机器人账号，另有不可变标签及 Cosign/Notation 校验。成员通过 viewer、publisher、maintainer 等角色获得权限，“权限解释”视图可查看用户、机器人账号或匿名客户端的权限及授权来源。漏洞扫描使用全局默认策略，仅管理员可设置命名空间豁免；未配置扫描时，界面会明确提示。Helm Chart 可单独筛选，并展示 values.yaml 和 README。同一二进制文件支持 Kubernetes、TAIP 物理隔离部署流程及 systemd 裸机部署。

全部产品

产品规格

版本: v1.8.7 — 正式版
协议: OCI Distribution 规范 · 内置 /v2/token 令牌服务
部署方式: Kubernetes · 物理隔离部署 · systemd 裸机
访问: 成员角色 — viewer · publisher · maintainer · 支持查询各类身份（含匿名用户）的权限及授权来源
扫描: Trivy · 全局漏洞严重程度策略 · 仅管理员可设置的命名空间豁免 · 系统页展示漏洞库状态
身份认证: OIDC SSO · 通行密钥与强制第二因素认证 · API 密钥与机器人账号记录最近使用时间
治理: 支持在线修改策略 · 配额 · 不可变标签 · 审计日志
存储: 本地磁盘 · S3 · GCS
语言: English · 简体中文

使用示例

通过示例了解用法。

无需专用 SDK，也无需重写客户端。 ImageSphere 可直接与现有工具对接。

使用标准客户端，统一管理仓库

$ docker push registry.intra.example/team-a/app:v1
已推送 — 在 team-a 配额内（412 GiB / 500 GiB）

$ helm push chart.tgz oci://registry.intra.example/team-a
$ cosign verify registry.intra.example/team-a/app:v1
# 策略、配额及具有写入权限的用户组均可在管理界面中实时修改▌

遵循 OCI Distribution 规范——docker、helm、oras 无需修改即可使用。内置令牌服务，无需额外部署任何组件。

核心能力

ImageSphere 的主要功能

兼容 OCI 标准客户端

遵循 OCI Distribution 规范，可直接使用 Docker、Helm、ORAS 等兼容客户端。内置 /v2/token 端点，无需单独部署令牌服务。Helm Chart 的 values、README 和安装提示可直接在界面中查看。

接入现有身份系统

支持 OIDC 单点登录、后通道注销、通行密钥和第二因素认证。管理员权限随 IdP 用户组同步，无需重新部署；本地组名与 IdP 组名冲突时会明确提示。机器人账号提供独立于个人的命名空间级 CI/CD 凭据；机器人账号和 API 密钥均记录最近使用时间，便于识别闲置凭据。

在线调整访问策略

命名空间成员按角色授权：viewer 可拉取，publisher 可推送，maintainer 可删除。管理员可在线修改用户组、配额和不可变标签规则；变更保存到元数据存储中，重启后仍生效，并优先于配置文件默认值。“权限解释”视图展示各类身份（含匿名客户端）的权限与授权来源。平台另提供仅允许追加的审计日志、Prometheus 指标和中英双语用户指南，完善日常运维（day-2）。

查看漏洞与扫描状态

管理员可启停 Trivy 扫描、设置全局漏洞严重程度策略，并为指定命名空间配置豁免。各标签页面展示漏洞详情，系统页面列出扫描器数据组件及更新时间；扫描结果未提供修复版本时，界面会如实显示。

物理隔离部署是核心能力

通过 TAIP 物理隔离发布流程交付：Chart 与镜像预先打包，OIDC 应用注册自动完成。Pod 以非 root 用户身份运行，OIDC 与会话密钥存放于 Secret。同一二进制文件也可在裸机上以加固的 systemd 单元、htpasswd 与 TLS 运行。

工作原理

从推送到拉取，统一管理权限与策略。

步骤 01

推送任何 OCI 制品

通过标准 /v2/ 接口推送容器镜像、Helm Chart、ML 模型或 OPA 策略包，内置令牌服务支持 docker login。
步骤 02

身份决定权限

通过支持通行密钥的 OIDC 单点登录、用户组和成员角色控制访问。“权限解释”视图显示具体权限；在 IdP 中停用用户后，仓库同步撤销其权限。
步骤 03

拉取、签名、扫描

统一使用 Cosign / Notation 校验、Trivy 扫描和命名空间存储配额，支持按命名空间设置扫描豁免。Kubernetes、物理隔离和裸机部署采用相同机制。