Questo documento descrive come eseguire l'autenticazione nelle sorgenti upstream per i repository remoti di Artifact Registry.
Questo documento presuppone che tu abbia già creato un repository remoto Artifact Registry e che tu disponga di un account con l'origine esterna.
Per ulteriori informazioni sui repository remoti, consulta la Panoramica dei repository remoti.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per configurare l'autenticazione nelle origini upstream per i repository remoti, chiedi all'amministratore di concederti i seguenti ruoli IAM sul progetto:
-
Amministratore Artifact Registry (
roles/artifactregistry.admin
) -
Amministratore Secret Manager (
roles/secretmanager.admin
)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.
Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Origini upstream preimpostate
Per configurare l'autenticazione per le origini upstream preimpostate, consulta le linee guida corrispondenti per ogni upstream che segue:
Origini upstream definite dall'utente
Per configurare l'autenticazione per le origini upstream definite dall'utente, completa i seguenti passaggi.
Salva il token di accesso in un secret
- Crea un token di accesso nel registro privato.
- Crea un secret in Secret Manager.
- Salva il token di accesso personale come versione segreta.
Concedi all'account di servizio Artifact Registry l'accesso al tuo secret
L'agente di servizio Artifact Registry agisce per conto di Artifact Registry durante l'interazione con i servizi Google Cloud. Per consentire all'agente di servizio di utilizzare i secret archiviati in Secret Manager, devi concedere all'agente di servizio l'autorizzazione per visualizzare la versione del secret.
L'identificatore dell'agente di servizio è:
service-PROJECT-NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com
PROJECT-NUMBER è il numero di progetto del progetto Google Cloud in cui è in esecuzione Artifact Registry.
Per concedere all'agente di servizio Artifact Registry il ruolo Accessore ai secret di Secret Manager:
Console
-
Vai alla pagina Secret Manager nella console Google Cloud.
-
Nella pagina Secret Manager, fai clic sulla casella di controllo accanto al nome del secret.
-
Se non è già aperto, fai clic su Mostra riquadro informazioni per aprirlo.
-
Nel riquadro delle informazioni, fai clic su Aggiungi entità.
-
Nell'area di testo Nuove entità, inserisci gli indirizzi email dei membri da aggiungere.
-
Nel menu a discesa Seleziona un ruolo, scegli Secret Manager e poi Funzione di accesso ai secret di Secret Manager.
gcloud
$ gcloud secrets add-iam-policy-binding secret-id \
--member="member" \
--role="roles/secretmanager.secretAccessor"
Dove member è un membro IAM, ad esempio un utente, un gruppo o un account di servizio.
C#
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
Go
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
Java
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
Node.js
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
PHP
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
Python
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
Ruby
Per eseguire l'autenticazione in Artifact Registry, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.
API
Nota: a differenza degli altri esempi, sostituisce l'intero criterio IAM.
$ curl "http://secretmanager.googleapis.com/v1/projects/project-id/secrets/secret-id:setIamPolicy" \
--request "POST" \
--header "authorization: Bearer $(gcloud auth print-access-token)" \
--header "content-type: application/json" \
--data "{\"policy\": {\"bindings\": [{\"members\": [\"member\"], \"role\": \"roles/secretmanager.secretAccessor\"}]}}"
Per saperne di più sulla concessione o sulla revoca dell'accesso ai secret, consulta Gestire l'accesso ai secret.
Aggiungi credenziali upstream al repository remoto
Per aggiornare il repository remoto con le credenziali di origine upstream:
Console
Apri la pagina Repositories nella console Google Cloud.
Nell'elenco dei repository, seleziona il repository e fai clic su Modifica repository.
Nella sezione Modalità di autenticazione del repository remoto, aggiorna o aggiungi il nome utente di origine upstream e il secret contenente il token di accesso.
Interfaccia a riga di comando gcloud
Per aggiornare il repository remoto con le credenziali di origine upstream, esegui questo comando:
gcloud artifacts repositories update REPOSITORY \
--project=PROJECT_ID \
--location=LOCATION \
--remote-username=USERNAME \
--remote-password-secret-version=projects/SECRET_PROJECT_ID/secrets/SECRET_ID/versions/SECRET_VERSION
Sostituisci quanto segue:
REPOSITORY
con il nome del tuo repository remoto Artifact Registry.PROJECT_ID
con il tuo ID progetto Google Cloud.LOCATION
con la località a livello di una o più regioni per il repository. Puoi omettere questo flag se imposti un valore default. Per visualizzare un elenco delle località supportate, esegui il comandogcloud artifacts locations list
.USERNAME
con il tuo nome utente di origine upstream.SECRET_PROJECT_ID
con l'ID del progetto in cui hai creato il secret.SECRET_ID
con il nome che hai fornito per il secret.SECRET_VERSION
con la versione del secret in cui hai salvato il token di accesso.
Le tue credenziali verranno utilizzate la prossima volta che il repository remoto invia una richiesta per un artefatto dall'origine upstream.
Passaggi successivi
- Crea criteri di pulizia per eliminare gli elementi non necessari.