Pub/Sub 通知を使用すると、OCI 形式でパッケージ化された Helm 3 グラフなど、Artifact Registry Docker リポジトリへの変更を追跡できます。アプリケーションをこれらの通知に登録すると、イメージのアップロード、タグ付け、削除時に、自動イベントのトリガー、リポジトリ アクティビティのログ記録、サービス間の通信を行うことができます。
概要
Pub/Sub は、リポジトリに関するメッセージをトピックという名前付きリソースに公開します。Pub/Sub トピックをサブスクライブするアプリケーションは、これらのメッセージを受信し、リポジトリの状態が変更されたときに通知を受け取ります。
Artifact Registry は、次の変更について gcr という名前のトピックにメッセージをパブリッシュします。
- イメージのアップロード
- 新しいタグがイメージに追加された
- イメージの削除
また、通知を公開またはサブスクライブするためのロールと権限を構成することもできます。
新しい脆弱性スキャンの結果など、アクティビティの Artifact Analysis 通知の構成については、Artifact Analysis のドキュメントをご覧ください。通知を受け取るには次を行う必要があります。
- Artifact Registry を使用して、プロジェクトで
gcrという名前のトピックを作成します。 - トピックのサブスクリプションを作成します。
- リポジトリの変更に関するメッセージを受信するようにサブスクライバー アプリケーションを設定します
- 必要に応じて、権限を構成してトピックとサブスクリプションへのアクセスを制御します。
Artifact Registry トピックの作成
Google が所有し管理する 暗号鍵を使用して gcr トピックを作成するには:
コンソール
Google Cloud コンソールで Pub/Sub トピックページに移動します。
[トピックを作成] をクリックします。
トピック ID
gcrを入力します。[トピックを作成] をクリックします。
gcloud
次のコマンドを実行します。
gcloud pubsub topics create gcr --project=PROJECT-ID
PROJECT-ID は、実際の Google Cloudプロジェクト ID に置き換えます。--project フラグを省略した場合、このコマンドでは、現在のプロジェクトが使用されます。
gcloud pubsub topics コマンドについて詳しくは、topics ドキュメントをご覧ください。
CMEK 暗号化を使用して gcr トピックを作成するには、Pub/Sub のトピックを暗号化する手順をご覧ください。
gcr トピックを作成した、またはこのトピックが存在することを確認したら、トピックに対するサブスクリプションを作成できます。
サブスクリプションの作成
リポジトリの変更に対してトピックを作成した後、push 配信または pull 配信のいずれかを使用するサブスクリプションを構成できます。CI/CD システムでは保存されたアーティファクトに多数の変更が発生する可能性があり、pull 配信は大量のメッセージに対してより効果的であるため、pull 配信をおすすめします。
pull 配信でサブスクリプションを作成するには、次のようにします。
コンソール
Google Cloud コンソールで Pub/Sub トピックページに移動します。
プロジェクトのトピックをクリックします。
[サブスクリプションを作成] をクリックします。
サブスクリプション名を入力します。
projects/PROJECT/subscriptions/[SUBSCRIPTION-NAME][配信タイプ] は [Pull] に設定されたままにします。
[作成] をクリックします。
gcloud
次のコマンドを実行します。
gcloud pubsub subscriptions create SUBSCRIPTION-NAME --topic=gcr
SUBSCRIPTION-NAME はサブスクリプションの名前に置き換えます。
gcloud pubsub subscriptions コマンドについて詳しくは、subscriptions ドキュメントをご覧ください。
gcr トピックへのサブスクリプションが作成されました。次のステップでは、リポジトリ内の変更をトリガーする ID の権限を構成します。
サブスクライバー アプリケーションの構成
トピックとそのトピックへのサブスクリプションを作成したら、サブスクライバー アプリケーション、リポジトリの変更に関するメッセージを受信アプリケーションを設定できます。サブスクライバー アプリケーションは、イベント通知、システム ロギング、アプリケーション間の通信などのタスクを遂行します。
リポジトリ ユーザーがイメージを push または削除するときに、次の手順を行います。
Artifact Registry サービス アカウントは、変更を
gcrトピックにパブリッシュします。サービス アカウントは service-PROJECT-NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com です。ここで、PROJECT-NUMBER は Google Cloud のプロジェクト番号です。Artifact Registry サービス アカウントには、変更をトピックにパブリッシュできるように、デフォルトでpubsub.topics.publish権限が付与されています。管理者が Artifact Registry サービス アカウントに対する
pubsub.topics.publish権限を取り消すと、Artifact Registry はリポジトリ ユーザーとしてメッセージを公開しようとします。この場合、メッセージを正常にパブリッシュするには、リポジトリ ユーザーのアカウントにpubsub.topics.publish権限が必要です。Pub/Sub は、トピックからサブスクリプションにメッセージを転送します。
サブスクライバー アプリケーションがメッセージをリクエストすると、サブスクリプションから新しいメッセージが pull されます。
サブスクライバーに代わってメッセージを pull する ID には、サブスクリプションにアクセスするための権限が付与されている必要があります。Pub/Sub サブスクライバーのロールを使用して、この権限を付与できます。
pull 配信でサブスクリプションからメッセージを受信するようにサブスクライバーを設定することについて詳しくは、pull を使用してメッセージを受信するをご覧ください。
権限の構成
Pub/Sub 権限を使用して、トピックとサブスクリプションへのアクセスを制御できます。
Pub/Sub 権限、トピックとサブスクリプションへのアクセス権の付与について詳しくは、Pub/Sub のアクセス制御ドキュメントをご覧ください。
通知の例
Pub/Sub は、JSON 形式の文字列として通知を送信します。以下の例を確認して、Pub/Sub から Artifact Registry 通知を受信するときに期待される内容を学習してください。
イメージが Artifact Registry に push されると、通知ペイロードは次のようになります。
{
"action":"INSERT",
"digest":"us-west1-docker.pkg.dev/my-project/my-repo/hello-world@sha256:6ec128e26cd5..."
}
新しいイメージタグが Artifact Registry に push された際の通知ペイロードの例を次に示します。
{
"action":"INSERT",
"digest":"us-west1-docker.pkg.dev/my-project/my-repo/hello-world@sha256:6ec128e26cd5...",
"tag":"us-west1-docker.pkg.dev/my-project/my-repo/hello-world:1.1"
}
メッセージは、digest または tag キーを使用して関連イメージを識別します。
Artifact Registry からイメージタグが削除された際の通知ペイロードの例を次に示します。
{
"action":"DELETE",
"tag":"us-west1-docker.pkg.dev/my-project/my-repo/hello-world:1.1"
}
メッセージには、action キーの値として DELETE または INSERT が含まれている場合があります。
次のステップ
- Pub/Sub のドキュメントを読む。
- Pub/Sub の詳細について Pub/Sub とはを確認する。
- Pub/Sub アクセス制御の役割の詳細を確認する。