Artifact Registry utilise un compte de service géré par Google, appelé agent de service Artifact Registry, pour agir en votre nom lorsque vous vous connectez à d'autres services Google Cloud . Vous pouvez attribuer des rôles IAM à l'agent de service afin qu'il puisse s'intégrer à des services tels que les clés de chiffrement gérées par le client (CMEK) dans Cloud Key Management Service et les notifications d'événements de dépôt dans Pub/Sub.
Artifact Registry crée l'agent de service Artifact Registry lorsque vous créez le premier dépôt Artifact Registry dans un projetGoogle Cloud . L'identifiant de l'agent de service est le suivant :
service-PROJECT-NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com
PROJECT-NUMBER correspond au numéro du projetGoogle Cloud dans lequel Artifact Registry est exécuté.
Vous pouvez créer manuellement l'agent de service dans un projet sans aucun dépôt à l'aide de la commande suivante :
gcloud beta services identity create \
--service=artifactregistry.googleapis.com \
--project=PROJECT-ID
Remplacez PROJECT-ID par l'ID du projet Google Cloud .
L'agent de service Artifact Registry se voit attribuer le rôle d'agent de service Artifact Registry (roles/artifactregistry.serviceAgent) pour les ressources du projet. Pour appliquer le principe de sécurité du moindre privilège, le rôle ne dispose que des autorisations minimales requises :
- Publier des sujets Pub/Sub :
pubsub.topics.publish - Téléchargez des artefacts à partir de dépôts Artifact Registry :
artifactregistry.repositories.downloadArtifacts - Lire les métadonnées du dépôt :
artifactregistry.repositories.get - Lire les artefacts à l'aide de dépôts virtuels :
artifactregistry.repositories.readViaVirtualRepository - Supprimer les artefacts :
artifactregistry.versions.delete
Étapes suivantes
Découvrez les rôles Artifact Registry et la configuration de l'accès aux dépôts.