Questa pagina spiega come connettersi all'host GitLab Enterprise Edition a Cloud Build.
Prima di iniziare
Abilita le API Cloud Build e Secret Manager, se non sono già abilitate.
Ruoli richiesti per abilitare le API
Per abilitare le API, devi disporre dell'autorizzazione
serviceusage.services.enable. Se hai creato il progetto, probabilmente disponi già di questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo dei servizi (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.
Requisiti dell'host
Se non hai installato un'istanza di GitLab Enterprise Edition Server, consulta la guida all'installazione di GitLab Enterprise Edition per istruzioni.
Quando segui le istruzioni per installare un'istanza di GitLab Enterprise Edition Server, tieni presente quanto segue:
Devi configurare l'host per gestire il protocollo
HTTPS. Gli host configurati con il protocolloHTTPnon sono supportati.Devi configurare l'host con lo stesso URL utilizzato per raggiungere l'host da Google Cloud. Per saperne di più, consulta la documentazione di GitLab sulla configurazione dell'URL esterno.
Autorizzazioni IAM obbligatorie
Per connettere l'host GitLab Enterprise Edition, concedi il ruolo
Amministratore connessioni Cloud Build (roles/cloudbuild.connectionAdmin)
al tuo account utente.
Per aggiungere i ruoli richiesti al tuo account utente, consulta la sezione Configurazione dell'accesso alle risorse Cloud Build. Per scoprire di più sui ruoli IAM associati a Cloud Build, consulta Ruoli e autorizzazioni IAM.
Se la tua istanza di GitLab Enterprise Edition è ospitata in una rete privata, consulta Creare repository da GitLab Enterprise Edition in una rete privata per scoprire di più sui ruoli IAM aggiuntivi richiesti prima della connessione host.
Connettiti a un host GitLab Enterprise Edition
Prima di creare una connessione host per l'istanza GitLab Enterprise Edition, devi creare token di accesso personale in GitLab Enterprise Edition completando i seguenti passaggi:
Accedi all'istanza di GitLab Enterprise Edition.
Nella pagina di GitLab Enterprise Edition per la tua istanza, fai clic sul tuo avatar nell'angolo in alto a destra.
Fai clic su Modifica profilo.
Nella barra laterale sinistra, seleziona Token di accesso.
Viene visualizzata la pagina Token di accesso personali.
Crea un token di accesso con l'ambito
apida utilizzare per collegare e scollegare i repository.Crea un token di accesso con l'ambito
read_apiper garantire che i repository Cloud Build possano accedere al codice sorgente nei repository.
Console
Per connettere l'host GitLab Enterprise Edition a Cloud Build:
Apri la pagina Repository nella console Google Cloud .
Viene visualizzata la pagina Repository.
Nella parte superiore della pagina, seleziona la scheda 2ª gen..
Nel selettore di progetti nella barra superiore, seleziona il tuo progetto Google Cloud .
Fai clic su Crea connessione host per connettere un nuovo host a Cloud Build.
Nel riquadro a sinistra, seleziona GitLab come provider di origine.
Nella sezione Configura connessione, inserisci le seguenti informazioni:
Regione: seleziona una regione per la connessione.
Name (Nome): inserisci un nome per la connessione.
Nella sezione Dettagli host, seleziona o inserisci le seguenti informazioni:
Host GitLab: seleziona GitLab Enterprise Edition autogestito.
URL host: inserisci l'URL host per la connessione. Ad esempio,
https://my-gle-server.net.
(Facoltativo) Se vuoi gestire le chiavi di crittografia utilizzate per criptare i token di accesso per i tuoi repository GitLab Enterprise Edition, vai alla sezione Crittografia e scegli una chiave Cloud Key Management Service. Per saperne di più, vedi Attivare le chiavi di crittografia gestite dal cliente per Secret Manager.
Nella sezione Networking, in Tipo di connessione, seleziona una delle seguenti opzioni:
Internet pubblico: seleziona questa opzione se la tua istanza è accessibile tramite internet pubblico.
Rete privata: seleziona questa opzione se la tua istanza è ospitata su una rete privata. Quindi, configura quanto segue:
Certificato CA: fai clic su Sfoglia per caricare il certificato autofirmato.
Nella sezione Servizio Service Directory, seleziona la località per il tuo servizio:
- Nel progetto CURRENT_PROJECT
- In un altro progetto
- Inserisci manualmente
Inserisci le seguenti informazioni:
Progetto: se hai selezionato In un altro progetto o Inserisci manualmente, inserisci o seleziona l'ID progetto Google Cloud dal menu a discesa.
Regione: questo campo preselezione la regione della connessione. La regione specificata per il tuo servizio deve corrispondere a quella associata alla tua connessione.
Spazio dei nomi: seleziona lo spazio dei nomi del tuo servizio.
Servizio: seleziona il nome del servizio nel tuo spazio dei nomi.
Nella sezione Personal access tokens (Token di accesso personale), inserisci le seguenti informazioni:
Token di accesso all'API: inserisci il token con accesso all'ambito
api. Questo token viene utilizzato per collegare e scollegare i repository.Token di accesso alle API in lettura: inserisci il token con accesso all'ambito
read_api. I trigger di Cloud Build utilizzano questo token per accedere al codice sorgente nei repository.
Fai clic su Connetti.
Dopo aver fatto clic sul pulsante Connetti, i tuoi token di accesso personali vengono archiviati in modo sicuro in Secret Manager. Dopo la connessione host, Cloud Build crea anche un secret webhook per tuo conto. Puoi visualizzare e gestire i secret nella pagina Secret Manager. Puoi visualizzare e gestire i tuoi secret nella pagina Secret Manager.
gcloud
Prima di connettere l'host GitLab Enterprise Edition a Cloud Build, completa i seguenti passaggi per archiviare le credenziali:
Crea un secret webhook in Secret Manager eseguendo questo comando:
cat /proc/sys/kernel/random/uuid | tr -d '\n' | gcloud secrets create my-gle-webhook-secret --data-file=-Se memorizzi i tuoi secret in un progetto Google Cloud diverso da quello che prevedi di utilizzare per creare una connessione host, inserisci il seguente comando per concedere al tuo progetto l'accesso al service agent Cloud Build:
PN=$(gcloud projects describe PROJECT_ID --format="value(projectNumber)") CLOUD_BUILD_SERVICE_AGENT="service-${PN}@gcp-sa-cloudbuild.iam.gserviceaccount.com" gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:${CLOUD_BUILD_SERVICE_AGENT} \ --role="roles/secretmanager.admin"Dove:
- PROJECT_ID è l'ID progetto Google Cloud .
Ora puoi procedere a connettere l'host GitLab Enterprise Edition a Cloud Build.
Completa i seguenti passaggi:
Inserisci il comando seguente per creare una connessione GitLab Enterprise Edition:
gcloud builds connections create gitlab CONNECTION_NAME \ --host-uri=HOST_URI \ --project=PROJECT_ID \ --region=REGION \ --authorizer-token-secret-version=projects/PROJECT_ID/secrets/API_TOKEN/versions/SECRET_VERSION \ --read-authorizer-token-secret-version=projects/PROJECT_ID/secrets/READ_TOKEN/versions/SECRET_VERSION \ --webhook-secret-secret-version=projects/PROJECT_ID/secrets/WEBHOOK_SECRET/versions/SECRET_VERSIONDove:
- CONNECTION_NAME è un nome per la connessione in Cloud Build.
- HOST_URI è l'URI della tua istanza GitLab Enterprise Edition. Ad esempio,
https://my-gle-server.net. - PROJECT_ID è l'ID progetto Google Cloud .
- REGION è la regione per la connessione.
- API_TOKEN è il nome del token con ambito
api. - READ_TOKEN è il nome del token con ambito
read_api. - SECRET_VERSION è la versione del secret.
- WEBHOOK_SECRET è il secret webhook.
Ora hai creato correttamente una connessione GitLab Enterprise Edition.
Terraform
Puoi connettere il tuo host GitLab Enterprise Edition a Cloud Build utilizzando Terraform. Scopri di più su Terraform su Google Cloud.
Nel seguente esempio, lo snippet di codice esegue queste operazioni:
- Configura le risorse del provider Terraform per Google Cloud
- Crea un secret per archiviare il token di accesso personale di GitLab Enterprise Edition
- Concede all'agente di servizio Cloud Build le autorizzazioni necessarie per accedere ai secret
Crea una connessione GitLab Enterprise Edition
// Configure the Terraform Google provider terraform { required_providers { google = {} } } // Create secrets and grant permissions to the Cloud Build service agent resource "google_secret_manager_secret" "api-pat-secret" { project = "PROJECT_ID" secret_id = "GITLAB_PAT_API" replication { auto {} } } resource "google_secret_manager_secret_version" "api-pat-secret-version" { secret = google_secret_manager_secret.api-pat-secret.id secret_data = "GITLAB_API_TOKEN" } resource "google_secret_manager_secret" "read-pat-secret" { project = "PROJECT_ID" secret_id = "GITLAB_PAT_READ" replication { auto {} } } resource "google_secret_manager_secret_version" "read-pat-secret-version" { secret = google_secret_manager_secret.read-pat-secret.id secret_data = "GITLAB_API_TOKEN" } resource "google_secret_manager_secret" "webhook-secret-secret" { project = "PROJECT_ID" secret_id = "WEBHOOK_SECRET" replication { auto {} } } resource "google_secret_manager_secret_version" "webhook-secret-secret-version" { secret = google_secret_manager_secret.webhook-secret-secret.id secret_data = "WEBHOOK_SECRET_VALUE" } data "google_iam_policy" "serviceagent-secretAccessor" { binding { role = "roles/secretmanager.secretAccessor" members = ["serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com"] } } resource "google_secret_manager_secret_iam_policy" "policy-pak" { project = google_secret_manager_secret.api-pat-secret.project secret_id = google_secret_manager_secret.api-pat-secret.secret_id policy_data = data.google_iam_policy.serviceagent-secretAccessor.policy_data } resource "google_secret_manager_secret_iam_policy" "policy-rpak" { project = google_secret_manager_secret.read-pat-secret.project secret_id = google_secret_manager_secret.read-pat-secret.secret_id policy_data = data.google_iam_policy.serviceagent-secretAccessor.policy_data } resource "google_secret_manager_secret_iam_policy" "policy-whs" { project = google_secret_manager_secret.webhook-secret-secret.project secret_id = google_secret_manager_secret.webhook-secret-secret.secret_id policy_data = data.google_iam_policy.serviceagent-secretAccessor.policy_data } // Create the connection and add the repository resource resource "google_cloudbuildv2_connection" "my-connection" { project = "PROJECT_ID" location = "REGION" name = "CONNECTION_NAME" gitlab_config { host_uri = "URI" authorizer_credential { user_token_secret_version = google_secret_manager_secret_version.api-pat-secret-version.id } read_authorizer_credential { user_token_secret_version = google_secret_manager_secret_version.read-pat-secret-version.id } webhook_secret_secret_version = google_secret_manager_secret_version.webhook-secret-secret-version.id } depends_on = [ google_secret_manager_secret_iam_policy.policy-pak, google_secret_manager_secret_iam_policy.policy-rpak, google_secret_manager_secret_iam_policy.policy-whs ] }
Sostituisci quanto segue:
PROJECT_ID: il tuo ID progetto Google Cloud .GITLAB_PAT_API: il tuo token di accesso personale con accessoapi.GITLAB_API_TOKEN: il tuo token di accesso personale.GITLAB_PAT_READ: il tuo token di accesso personale con accessoread_api.WEBHOOK_SECRET: il nome del secret contenente il valore del secret webhook.WEBHOOK_SECRET_VALUE: il valore del secret del webhook.PROJECT_NUMBER: il tuo numero di progetto Google Cloud . Puoi trovare il numero di progetto nella pagina Benvenuto della console Google Cloud o eseguendo questo comando:gcloud projects describe PROJECT_ID --format='value(projectNumber)'REGION: la regione per la connessione.CONNECTION_NAME: un nome per la connessione host GitLab Enterprise Edition in Cloud Build.URI: l'URI della connessione, ad esempiohttps://my-gitlab-enterprise-server.net.
Ora hai creato correttamente una connessione GitLab Enterprise Edition.
Ruotare i token di accesso GitLab Enterprise Edition vecchi o scaduti
Ruota i token di accesso in modo che la connessione host Cloud Build possa mantenere la connessione al repository GitLab Enterprise Edition. Se il token di accesso GitLab Enterprise Edition scade, la connessione host Cloud Build viene disconnessa dal repository GitLab Enterprise Edition. In questo caso, non puoi disattivare la connessione o collegare un repository finché non ruoti il token scaduto. Inoltre, vedrai errori nelle seguenti circostanze:
La pagina Dettagli connessione per la tua connessione mostra un messaggio di errore che indica
Connection is disconnected due to an invalid or expired access token.Se provi a collegare un repository a una connessione con un token scaduto, viene visualizzato il messaggio Token di accesso non valido. Se fai clic su Visualizza connessione, viene visualizzata la pagina Dettagli connessione per la connessione con il token scaduto.
Cloud Build ti consente di ruotare i token di accesso inserendo nuovi valori dei token e salvandoli in Secret Manager nell'ultima versione del secret per questi token. Per ruotare i token di accesso:
Ruota ogni token di accesso in GitLab Enterprise Edition:
Vai al repository GitLab Enterprise Edition connesso alla connessione host di Cloud Build.
Segui le istruzioni riportate nella documentazione di GitLab per ruotare un token di accesso. Quando ruoti un token, GitLab Enterprise Edition ne crea uno nuovo con nuove credenziali e invalida la versione precedente. Il token ruotato ha le stesse autorizzazioni e lo stesso ambito del token originale.
Copia gli ID dei token ruotati.
Aggiorna il token di accesso in Cloud Build:
Vai alla pagina Dettagli connessione per la tua connessione.
Seleziona Aggiorna token di accesso.
Nel menu Rotazione dei token, inserisci i nuovi token nei campi Token di accesso API e Token di accesso in lettura.
(Facoltativo): se vuoi che la connessione utilizzi sempre l'ultima versione del secret per i token, seleziona Aggiorna connessione per utilizzare sempre l'ultima versione. Se non selezioni questa opzione, la connessione potrebbe utilizzare un numero di versione segreto specifico.
Seleziona Aggiorna per salvare le modifiche.
Cloud Build salva i nuovi token di accesso come ultima versione del secret in Secret Manager.
Passaggi successivi
- Scopri come connettere un repository GitLab Enterprise Edition.
- Scopri come creare ed eseguire il deployment dei tuoi carichi di lavoro su Google Cloud utilizzando i componenti CI/CD gestiti da Google nella pipeline GitLab. Consulta GitLab su Google Cloud.