Utiliser des recommandations pour l'Infrastructure as Code

Une fois que vous avez terminé ce tutoriel, évitez de continuer à payer des frais en supprimant les ressources que vous avez créées. Consultez la section Effectuer un nettoyage pour en savoir plus.

Configurer votre environnement

1. Dans la console Google Cloud, sélectionnez votre projet build.

2. Dans la console Google Cloud, accédez à Cloud Shell.

   Accéder à Cloud Shell

   En bas de la fenêtre de la console Google Cloud, une session Cloud Shell s'ouvre et affiche une invite de ligne de commande. Cloud Shell est un environnement shell dans lequel Google Cloud CLI est déjà installé, et dans lequel des valeurs sont déjà définies pour votre projet actuel. L'initialisation de la session peut prendre quelques secondes.

   Utilisez Cloud Shell pour toutes les commandes de terminal de ce tutoriel.

3. Créez une variable d'environnement destinée à contenir le numéro de projet de votre projet build à l'aide de la commande ci-dessous :

   export BUILD_PROJECT_ID=$DEVSHELL_PROJECT_ID
   

4. Créez une variable d'environnement destinée à contenir le numéro de projet de votre projet test. Copiez l'ID du projet de test manuellement et remplacez PROJECT-ID par celui-ci :

   export TEST_PROJECT_ID=PROJECT-ID
   

5. Vous définissez des paramètres par défaut pour les valeurs utilisées tout au long du tutoriel, telles que la région et la zone. Dans ce tutoriel, la région par défaut est us-central1 et la zone par défaut est us-central1-b.

6. Définissez la région et la zone par défaut pour ce tutoriel en exécutant la commande suivante :

   gcloud config set compute/zone us-central1-b --project $BUILD_PROJECT_ID
   gcloud config set compute/zone us-central1-b --project $TEST_PROJECT_ID
   

7. Définissez votre projet build comme projet par défaut :

   gcloud config set project $BUILD_PROJECT_ID
   

8. Créez une variable d'environnement nommée BUILD_PROJECT_NUMBER pour votre buildnuméro de projet

   export BUILD_PROJECT_NUMBER=$(gcloud projects describe $DEVSHELL_PROJECT_ID --format='value(projectNumber)')
   

9. Clonez le dépôt GitHub pour ce tutoriel :

Créer un bucket pour le fichier d'état Terraform

Créez un bucket Cloud Storage dans votre projet de compilation pour stocker le fichier d'état Terraform.

gsutil mb -p ${BUILD_PROJECT_ID} -l us-central1 \
 gs://recommender-tf-state-$BUILD_PROJECT_ID

Créer un dépôt GitHub

Créez un dépôt GitHub qui servira d'exemple de dépôt IaC.

1. Créez un dépôt GitHub privé. Ce dépôt IAC-REPO-NAME servira de dépôt IaC dans ce tutoriel.

2. Dans les ensembles de données suivants, vous allez transférer les fichiers du sous-répertoire sample-iac du dépôt cloné vers votre compte GitHub.

   1. Dans Cloud Shell, copiez le répertoire sample-iac dans votre répertoire d'accueil. Vous utiliserez ce répertoire pour créer un dépôt local et le transférer vers GitHub.

      cp -r recommender-iac-pipeline-nodejs-tutorial/sample-iac $HOME
      

   2. Accédez au nouveau répertoire.

      cd $HOME/sample-iac
      

   3. Initialisez le dépôt sur votre machine locale.

      git init
      

   4. Ajoutez IAC-REPO-NAME comme dépôt distant, en remplaçant IAC-REPO-NAME et GITHUB-ACCOUNT par les valeurs appropriées.

      git remote add origin http://github.com/GITHUB-ACCOUNT/IAC-REPO-NAME
      

   5. Remplacez les espaces réservés dans les fichiers de ce dépôt par l'ID de votre projet test et le nom du bucket Cloud Storage Terraform.

      sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./terraform.tfvars
      
      sed -i "s|__STATE_BUCKET_NAME__|recommender-tf-state-$BUILD_PROJECT_ID|g" ./backend.tf
      

   6. Ajoutez les fichiers, validez-les et transférez-les vers GitHub.

      git add .
      git commit -m "First Commit"
      git push origin master
      

   7. Connectez-vous à votre compte GitHub lorsque vous y êtes invité.

Générer des clés SSH pour votre dépôt

Configurez l'authentification par clé SSH avec votre dépôt IaC dans GitHub et importez les clés dans Cloud Storage.

1. Générez des clés SSH pour votre dépôt GitHub.

   1. Générez une paire de clés SSH. Remplacez [email protected] par votre adresse e-mail GitHub. Dans Cloud Shell :

      ssh-keygen -t rsa -b 4096 -m PEM -C "[email protected]"
      

   2. Lorsque vous êtes invité à "Saisir un fichier dans lequel enregistrer la clé", appuyez sur Entrée. Cette action accepte l'emplacement du fichier par défaut.

   3. Lorsque vous êtes invité à saisir une phrase secrète, appuyez sur Enter.

2. Notez le répertoire SSH-KEYS-DIR dans lequel vous enregistrez les clés SSH téléchargées. Par défaut, l'emplacement est $HOME/.ssh/.

3. Copiez la clé publique SSH que vous avez générée dans votre dépôt GitHub en tant que clé de déploiement.

   1. Copiez la clé publique SSH que vous avez générée dans Cloud Shell. Remplacez SSH-KEYS-DIR par le chemin d'accès de votre répertoire.

      cat SSH-KEYS-DIR/id_rsa.pub
      

   2. Dans votre compte GitHub, accédez au dépôt IAC-REPO-NAME.

   3. Cliquez sur Settings > Deploy Keys (Paramètres > Déployer les clés).

   4. Cliquez sur Ajouter une clé de déploiement et collez la clé publique SSH que vous avez copiée. Choisissez un titre pour la clé.

   5. Cochez la case "Autoriser l'accès en écriture".

   6. Cliquez sur Enregistrer.

4. Revenez à votre session Cloud Shell.

5. Créez le fichier known_hosts pour GitHub. Dans votre session Cloud Shell, exécutez la commande suivante :

   ssh-keyscan github.com >> ~/.ssh/known_hosts
   

6. Créez un bucket Cloud Storage dans votre projet build, puis importez vos clés SSH et votre fichier known_hosts. Remplacez SSH-KEYS-DIR par le chemin d'accès au répertoire dans lequel vous avez généré les clés SSH.

   gsutil mb -p ${BUILD_PROJECT_ID} -l us-central1 gs://github-keys-$BUILD_PROJECT_ID
   
   gsutil cp SSH-KEYS-DIR/id_rsa* gs://github-keys-$BUILD_PROJECT_ID
   gsutil cp SSH-KEYS-DIR/known_hosts gs://github-keys-$BUILD_PROJECT_ID
   

7. Générez un jeton d'accès personnel pour GitHub. Ce jeton est utilisé lors de l'exécution d'opérations Git à l'aide d'appels d'API effectués par le service d'analyse de l'outil de recommandation pour générer des requêtes d'extraction et archiver les manifestes IaC mis à jour.

   1. Dans votre compte GitHub, dans le coin supérieur droit de n'importe quelle page, cliquez sur votre photo de profil, puis sur Paramètres.

   2. Dans la barre latérale de gauche, cliquez sur Paramètres du développeur.

   3. Dans la barre latérale de gauche, cliquez sur Jetons d'accès personnels.

   4. Cliquez sur "Générer un nouveau jeton".

   5. Attribuez un nom descriptif à votre jeton.

   6. Sélectionnez dépôt comme champs d'application.

   7. Cliquez sur Générer un jeton.

   8. Copiez le jeton dans votre presse-papiers.

   9. Dans votre session Cloud Shell, créez une variable d'environnement.

      export GITHUB_PAT=personal-access-token-you-copied
      

Configurer Cloud Build

1. Connectez votre dépôt Git IAC-REPO-NAME pour l'intégrer à Cloud Build.

   1. Accédez à la page Application Cloud Build sur GitHub Marketplace.
   2. Faites défiler la page, puis cliquez sur Configurer avec Google Cloud Build en bas de la page.
   3. Si vous y êtes invité, connectez-vous à GitHub.
   4. Sélectionnez Sélectionner uniquement les dépôts. Utilisez la liste déroulante Sélectionner des dépôts pour n'autoriser l'accès à votre IAC-REPO-NAME que dans l'application Cloud Build.
   5. Cliquez sur Installer.

   6. Connectez-vous à Google Cloud.

      La page "Autorisation" s'affiche et vous invite à autoriser l'application Google Cloud Build à se connecter à Google Cloud.

   7. Cliquez sur Autoriser Google Cloud Build par GoogleCloudBuild. Vous êtes redirigé vers Google Cloud Console.

   8. Sélectionnez votre projet Google Cloud.

   9. Cochez la case pour accorder votre autorisation, puis cliquez sur Suivant.

   10. Sur la page Sélectionner un dépôt qui s'affiche, sélectionnez le dépôt GitHub IAC-REPO-NAME.

   11. Cliquez sur Connecter un dépôt.

   12. Cliquez sur Créer un déclencheur. Cette action crée automatiquement une définition de déclencheur.

   13. Cliquez sur Créer pour enregistrer le déclencheur de compilation.

   Pour en savoir plus, consultez la page Exécuter des compilations sur GitHub.

2. Le répertoire que vous avez copié contient un fichier cloudbuild.yaml. Ce fichier de configuration décrit les étapes qu'une tâche Cloud Build exécute lors du déclenchement.

   steps:
   - name: hashicorp/terraform:0.12.0
     args: ['init']
   - name: hashicorp/terraform:0.12.0
     args: ['apply', '-auto-approve']
   

3. Ajoutez des autorisations à votre compte de service Cloud Build pour lui permettre de créer des comptes de service, d'associer des rôles et des machines virtuelles (instances Compute Engine) dans le projet de test.

   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:[email protected] \
     --role roles/compute.admin \
     --project $TEST_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:[email protected] \
     --role roles/iam.serviceAccountAdmin \
     --project $TEST_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
   --member serviceAccount:[email protected] \
   --role roles/iam.securityAdmin \
   --project $TEST_PROJECT_ID
   

4. Ouvrez la page Déclencheurs de compilation dans la console Google Cloud.

5. Sélectionnez un projet build, puis cliquez sur Ouvrir.

6. Mettez à jour la définition du déclencheur :

   1. Cliquez sur le menu more_vert, puis sur Modifier.
   2. Dans le champ Configuration, sélectionnez l'option Fichier de configuration Cloud Build (yaml ou json), et saisissez cloudbuild.yaml dans le champ de texte.
   3. Cliquez sur Enregistrer.

7. Pour tester manuellement le déclencheur de compilation, cliquez sur Exécuter sur l'entrée de votre déclencheur dans la liste.

8. Vérifiez qu'une instance Compute Engine nommé tf-compute-1 et un compte de service nommé Terraform Recommender Test ont bien été créés dans votre projet de test par la tâche Cloud Build exécutée à l'étape précédente.

Déployer le service Cloud Run de l'outil de recommandation

1. Dans Cloud Shell, remplacez les répertoires par le répertoire créé en clonant le dépôt.

   cd $HOME/recommender-iac-pipeline-nodejs-tutorial/parser-service
   

2. Configurez Google Cloud pour utiliser une région par défaut pour les services Cloud Run. Dans ce tutoriel, vous utilisez la région us-central1, mais vous pouvez en choisir une autre si vous le souhaitez.

   gcloud config set run/region us-central1
   

3. Le répertoire parser-service comporte un sous-répertoire stub qui contient quelques exemples de charge utile JSON avec lesquels vous pouvez tester le service d'analyse de l'outil de recommandation. Exécutez les commandes suivantes pour remplacer les espaces réservés PROJECT_ID dans ces fichiers JSON par votre ID de projet de test.

   sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./stub/iam.json
   sed -i "s|__PROJECT_ID__|${TEST_PROJECT_ID}|g" ./stub/vm.json
   

4. Exécutez la commande suivante afin de créer une variable d'environnement pour votre image Docker.

   export IMAGE=gcr.io/$BUILD_PROJECT_ID/recommender-parser:1.0
   

5. Créez l'image et importez-la dans Container Registry.

   gcloud builds submit --tag $IMAGE .
   

6. Créez un compte de service pour que le service d'analyse de l'outil de recommandation interagisse avec les autres services Google Cloud du pipeline. Il est recommandé d'accorder des autorisations précises à vos services Cloud Run. Pour plus de détails, consultez la page Identité du service Cloud Run.

   gcloud beta iam service-accounts create recommender-parser-sa \
     --description "Service account that the recommender-parser service uses to invoke other Google Cloud services" \
     --display-name "recommender-parser-sa" \
     --project $BUILD_PROJECT_ID
   

7. Le service d'analyse de l'outil de recommandations doit accéder aux clés GitHub et au fichier d'état Terraform que vous avez importé dans les buckets Cloud Storage créés précédemment. Ajoutez le compte de service en tant que membre au bucket Cloud Storage.

   gsutil iam ch serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com:objectCreator,objectViewer \
   gs://github-keys-$BUILD_PROJECT_ID
   
   gsutil iam ch serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com:objectCreator,objectViewer \
   gs://recommender-tf-state-$BUILD_PROJECT_ID
   

8. Autorisez le compte de service d'analyse de l'outil de recommandation à accéder à Firestore, à l'API Recommender et à l'API Service Usage.

   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/datastore.user
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.iamAdmin
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.iamViewer
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/recommender.computeAdmin
   
   gcloud projects add-iam-policy-binding $TEST_PROJECT_ID \
     --member serviceAccount:recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/serviceusage.serviceUsageConsumer
   

9. Déployez le service Cloud Run, nommé recommender-parser, en exécutant la commande. Remplacez GITHUB-ACCOUNT par le nom d'utilisateur de votre compte GitHub, et non par un e-mail. Acceptez toutes les invites du système.

   gcloud run deploy \
    --image=${IMAGE} \
    --no-allow-unauthenticated \
    --region us-central1 \
    --platform managed \
    --service-account recommender-parser-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
    --set-env-vars="GITHUB_ACCOUNT=github.com:GITHUB-ACCOUNT,GITHUB_PAT=${GITHUB_PAT},SSH_KEYS_BUCKET=github-keys-${BUILD_PROJECT_ID},TERRAFORM_STATE_BUCKET=recommender-tf-state-$BUILD_PROJECT_ID" \
    --project $BUILD_PROJECT_ID \
    recommender-parser
   

Configurer Firestore

1. Dans Google Cloud Console, dans votre projet build, accédez à la page Firestore.
2. Lorsque vous êtes invité à sélectionner le mode, cliquez sur Sélectionner le mode natif.
3. Sélectionnez us-east1 comme emplacement par défaut.
4. Cliquez sur Create Database (Créer une base de données).

Le service recommender-parser écrit des documents dans cette base de données aux fins suivantes :

• Pour garder une trace des recommandations récupérées depuis l'API Recommender
• Pour appeler l'API Recommender une fois les recommandations traitées afin de mettre à jour l'état de chaque recommandation traitée sur SUCCEEDED ou FAILED, selon le cas. Il s'agit d'une étape clé qui rend le pipeline idempotent en garantissant que les recommandations ne sont pas traitées de manière incomplète ou plusieurs fois.

Configurer une tâche Cloud Scheduler

1. Créez un compte de service que les tâches Cloud Scheduler utilisent pour exécuter le service d'analyse de l'outil de recommandation.

   gcloud beta iam service-accounts create recommender-scheduler-sa \
     --description "Service Account used by Cloud Scheduler to invoke the recommender-parser service" \
     --display-name "recommender-scheduler-sa" \
     --project $BUILD_PROJECT_ID
   

2. Attribuez au compte de service le rôle d'exécuteur ou d'appelant pour pouvoir appeler le service Cloud Run.

   gcloud beta run services add-iam-policy-binding recommender-parser \
   --member=serviceAccount:recommender-scheduler-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
   --role=roles/run.invoker \
   --region=us-central1
   

3. Obtenez l'URL du service de recommandation :

   gcloud beta run services list --platform managed --project $BUILD_PROJECT_ID
   

   Votre tâche Cloud Scheduler appelle la route recommandation/IAM du service d'analyse de l'outil de recommandation pour analyser des recommandations IAM et la route /recommender/vm pour analyser les recommandations de dimensionnement de machine virtuelle.

4. Créez une variable pour le point de terminaison appelé par les tâches Cloud Scheduler. Remplacez RECOMMENDER-SERVICE-URL par l'URL du service de recommandation que vous avez copiée à l'étape précédente.

   export RECOMMENDER_ROUTE_TO_INVOKE_IAM=RECOMMENDER-SERVICE-URL/recommendation/iam
   

   Après avoir ajouté les informations sur la route, vous devriez obtenir une URL d'exemple semblable à celle-ci :

   RECOMMENDER-SERVICE-URL/recommendation/iam
   

5. Créez une tâche Cloud Scheduler nommée recommender-iam-scheduler..

   • Modifiez le fuseau horaire sélectionné en fonction de votre emplacement.
   • Remplacez IAC-REPO-NAME par le nom du dépôt GitHub que vous avez créé.

   Le corps du message utilise trois entrées et vous devez le construire comme indiqué ci-dessous :

   • repo : nom du dépôt GitHub IAC-REPO-NAME que vous avez créé dans la section Créer un dépôt GitHub.

   • projects : liste/tableau d'ID de projets Google Cloud auxquels ce dépôt GitHub IaC correspond. Dans ce tutoriel, il s'agit de votre projet test.

   • stub : L'outil de recommandation génère des recommandations IAM lorsqu'un sous-ensemble d'autorisations associé à un rôle n'a pas été utilisé depuis 60 jours. Il en est de même pour les recommandations de dimensionnement de VM. Vous pouvez transmettre le paramètre stub défini sur true afin de pouvoir tester ce pipeline à la demande à l'aide des exemples de charges utiles de l'outil de recommandation fournies dans le dépôt que vous avez cloné pour ce tutoriel.

   gcloud beta scheduler jobs create http recommender-iam-scheduler \
     --project $BUILD_PROJECT_ID \
     --time-zone "America/Los_Angeles" \
     --schedule="0 */3 * * *" \
     --uri=$RECOMMENDER_ROUTE_TO_INVOKE_IAM \
     --description="Scheduler job to invoke recommendation pipeline" \
     --oidc-service-account-email="recommender-scheduler-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com" \
     --headers="Content-Type=application/json" \
     --http-method="POST" \
     --message-body="{ \"repo\": \"IAC-REPO-NAME\", \"projects\": [\"$TEST_PROJECT_ID\"], \"location\": \"global\", \"stub\": true }"
   

Étapes supplémentaires

Cloud Build publie des informations de compilation dans un sujet Pub/Sub nommé "cloud-builds" créé automatiquement lorsque vous avez activé l'API Cloud Build dans votre projet de compilation.

1. Exécutez la commande suivante pour vérifier que le sujet cloud-builds existe dans votre projet build :

   gcloud pubsub topics describe cloud-builds
   

   Si le sujet existe, vous devez voir le résultat suivant, où BUILD-PROJECT-ID est l'ID de votre projet de compilation :

   name: projects/BUILD-PROJECT-ID/topics/cloud-builds
   

   Si vous recevez un message d'erreur indiquant que la ressource est introuvable, suivez les instructions pour vous abonner aux notifications de compilation afin de créer le sujet manuellement.

2. Créez un compte de service permettant à Pub/Sub d'appeler le point de terminaison du service d'analyse de l'outil de recommandation.

   gcloud beta iam service-accounts create recommender-ci-subscription-sa \
     --description "Service Account used by Cloud Pub/Sub to push Cloud Build events to the recommender-parser service" \
     --display-name "recommender-ci-subscription-sa" \
     --project $BUILD_PROJECT_ID
   

3. Le compte de service Pub/Sub doit être associé aux rôles nécessaires pour publier des messages et appeler le service d'analyse de l'outil de recommandation.

   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/pubsub.publisher \
     --project $BUILD_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/pubsub.subscriber \
     --project $BUILD_PROJECT_ID
   
   gcloud projects add-iam-policy-binding $BUILD_PROJECT_ID \
     --member serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role roles/run.invoker \
     --project $BUILD_PROJECT_ID
   

4. Ajoutez le compte de service recommender-ci-subscription-sa que vous avez créé au service d'analyse de l'outil de recommandation en tant que membre disposant du rôle invoker.

   gcloud beta run services add-iam-policy-binding recommender-parser \
     --member=serviceAccount:recommender-ci-subscription-sa@$BUILD_PROJECT_ID.iam.gserviceaccount.com \
     --role=roles/run.invoker --region=us-central1
   

5. Accédez à Pub/Sub dans Google Cloud Console.

6. Cliquez sur le sujet "cloud-builds".

7. Cliquez sur Créer un abonnement.

8. Pour l'ID d'abonnement, saisissez recommender-service-build-events.

9. Dans le champ Type de distribution, sélectionnez Push.

10. Dans le champ Point de terminaison, saisissez l'URL du service d'analyse de votre outil de recommandation en y ajoutant /ci.

11. Cochez la case Activer l'authentification.

    1. Sélectionnez le compte de service recommender-ci-subscription-sa que vous avez créé.
    2. Cliquez sur Grant (Accorder) en réponse au message d'invite.

12. Sélectionnez Délai de confirmation sous 60 secondes.

13. Conservez les autres valeurs par défaut.

14. Cliquez sur Créer.

Tester le pipeline

L'outil de recommandation génère des recommandations IAM lorsqu'un sous-ensemble d'autorisations associé à un rôle n'a pas été utilisé depuis 60 jours. Il en est de même pour les recommandations de dimensionnement de VM. Pour tester ce pipeline à la demande, utilisez les exemples de charges utiles JSON de recommandations fournies dans le sous-répertoire stub du dépôt que vous avez cloné pour ce tutoriel. Cela vous permet de tester le pipeline en excluant les appels d'API que le service d'analyse de l'outil de recommandation effectue vers le point de terminaison de l'API Recommender pour mettre à jour l'état des recommandations qu'il a appliquées.

Si vous avez des recommandations actives dans vos projets Google Cloud, vous pouvez également tester le pipeline de bout en bout sans avoir à utiliser de stubs. Le résultat décrit ci-dessous est pertinent lorsque vous utilisez les exemples de charges utiles pour tester le pipeline. Toutefois, la procédure de test de ce pipeline sans utiliser les exemples reste la même.

1. Dans la console Google Cloud, accédez à votre projet de test et examinez la ressource qui a été créée. Vous devez disposer des éléments suivants :

   1. Une instance Compute Engine nommée tf-compute-1 avec le type de machine g1-small.
   2. Un compte de service nommé Terraform Recommender Test disposant du rôle editor pour votre projet de test.

2. Sur la page de la console Cloud Scheduler de votre projet build, cliquez sur Exécuter maintenant pour la tâche de recommandation-iam-du planificateur.

3. Cliquez sur la tâche pour afficher les journaux. Vous pouvez également afficher les journaux du service d'analyse de l'outil de recommandation pour obtenir une vue détaillée des étapes exécutées par le service.

4. Une fois l'exécution du service terminée, accédez à votre dépôt GitHub IAC-REPO-NAME. Le service recommender-parser devrait automatiquement avoir généré une demande d'extraction. Examinez les fichiers manifestes IaC modifiés qui contiennent cette demande d'extraction, puis cliquez sur Merge pull Request (Fusionner la demande d'extraction) si vous êtes satisfait des modifications apportées à vos fichiers manifeste IaC.

5. Un commit sur la branche maître est créé lorsque vous fusionnez la requête d'extraction. Cela déclenche une tâche Cloud Build qui déploie les modifications apportées aux ressources Google Cloud dans votre projet test. Patientez quelques instants que la tâche Cloud Build se termine, et vous pourrez ensuite consulter son état dans la console Google Cloud.

6. Une fois la tâche terminée, accédez à votre projet de test. Les exemples de charges utiles fournis apportent les modifications suivantes aux ressources de votre projet de test :

   • Le rôle editor dont disposait le compte de service de test Terraform lors du déploiement est à présent remplacé par le rôle viewer.