Menjalankan build dengan akun layanan yang dikelola pengguna

Dokumen ini menjelaskan cara mengonfigurasi build Anda untuk menggunakan akun layanan yang dikelola pengguna.

Jika Anda tidak menentukan akun layanan yang dikelola pengguna untuk build, Cloud Build akan otomatis menggunakan akun layanan Cloud Build default. Akun layanan default ini mungkin memiliki izin yang terlalu luas, seperti akses ke Cloud Source Repositories dan bucket Cloud Storage apa pun di project Anda.

Sebaiknya ikuti prinsip hak istimewa terendah dengan menetapkan izin dan peran ke akun layanan yang dicakupkan ke tugas yang dilakukannya. Misalnya, Anda dapat menggunakan satu akun layanan untuk mem-build dan mengirim image ke Artifact Registry, seperti yang ditunjukkan di BlogGoogle Cloud .

Sebelum memulai

• Aktifkan Cloud Build dan IAM API, jika belum diaktifkan.

  Peran yang diperlukan untuk mengaktifkan API

  Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Service Usage Admin (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

  Aktifkan API

• Jika Anda berencana menggunakan akun ini untuk membuat dan mengelola kredensial, misalnya untuk membuat kredensial berumur singkat, aktifkan IAM Service Account Credentials API.

  Peran yang diperlukan untuk mengaktifkan API

  Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Service Usage Admin (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

  Mengaktifkan API

• Buat akun layanan, jika Anda belum melakukannya.

Menyiapkan akun layanan

Berikan peran IAM ke akun layanan yang dikelola pengguna agar akun tersebut memiliki izin yang diperlukan untuk menjalankan build Anda. Anda juga dapat mengonfigurasi Cloud Build agar otomatis memilih akun layanan ini untuk pemicu baru.

1. Di konsol Google Cloud , buka halaman Izin Cloud Build :

   Buka Izin

2. Buka menu Service account dan pilih akun layanan Anda. Untuk memilih akun layanan di project lain, klik Switch project.

3. Untuk menggunakan akun layanan yang dipilih sebagai akun layanan untuk pemicu baru, aktifkan Set as pre-selected for new triggers.

4. Dalam daftar layanan Google Cloud , aktifkan peran IAM yang ingin Anda berikan ke akun layanan Anda.

5. Jika peran yang Anda perlukan untuk pipeline build tidak tercantum di sini, Anda dapat memberikan peran tambahan di halaman konfigurasi IAM.

6. Jika Anda memilih akun layanan di project lain, selesaikan langkah-langkah di Penyiapan lintas project.

Untuk mempelajari lebih lanjut peran IAM yang biasanya diperlukan untuk build, lihat informasi berikut:

• Akun layanan Cloud Build default.
• Mengonfigurasi akses ke resource Cloud Build.
• Peran dan izin IAM Cloud Build.

Menyiapkan log build

Saat menentukan akun layanan Anda sendiri untuk build, Anda harus menyimpan log build di salah satu jenis bucket berikut:

• Bucket Cloud Storage dalam project pengguna. Bucket ini dapat berupa bucket yang dibuat pengguna atau bucket yang dibuatGoogle Clouddan dimiliki pengguna.

• Bucket Cloud Logging.

Jika Anda membuat bucket log, pastikan bucket tersebut tidak memiliki kebijakan retensi karena kebijakan tersebut dapat mencegah Cloud Build menulis log build ke bucket.

Anda tidak dapat menyimpan log di bucket log milik Google Cloud.

Untuk mengetahui informasi lebih lanjut tentang tempat menyimpan log build, lihat Opsi penyimpanan log build.

Menjalankan build menggunakan file konfigurasi

Untuk menjalankan build secara manual menggunakan file konfigurasi:

1. Di direktori utama project Anda, buat file konfigurasi build Cloud Build bernama cloudbuild.yaml atau cloudbuild.json.

2. Tambahkan kolom serviceAccount dan penyiapan logging pilihan.

   • Jika Anda menyimpan log build di Cloud Logging, tambahkan kolom logging dan tetapkan nilai kolom ke CLOUD_LOGGING_ONLY.

   • Jika Anda menyimpan log build di bucket Cloud Storage yang dibuat pengguna:

     • Tambahkan kolom logging dan tetapkan nilainya ke GCS_ONLY.
     • Tambahkan kolom logsBucket dan tetapkan nilainya ke lokasi bucket Cloud Storage Anda.

   Contoh berikut mengonfigurasi Cloud Build untuk menjalankan build menggunakan akun layanan yang dikelola pengguna dan mengonfigurasi log build untuk disimpan di bucket Cloud Storage yang dibuat pengguna:

   YAML

   steps:
   - name: 'bash'
     args: ['echo', 'Hello world!']
   logsBucket: 'LOGS_BUCKET_LOCATION'
   serviceAccount: 'projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT'
   options:
     logging: GCS_ONLY
   

   JSON

   {
     "steps": [
     {
       "name": "bash",
       "args": [
         "echo",
         "Hello world!"
       ]
     }
     ],
     "logsBucket": "LOGS_BUCKET_LOCATION",
     "serviceAccount": "projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT",
     "options": {
       "logging": "GCS_ONLY"
     }
   }
   
   

   Ganti variabel dalam file konfigurasi build Anda dengan yang berikut ini:

   • LOGS_BUCKET_LOCATION adalah bucket Cloud Storage untuk menyimpan log build. Contoh, gs://mylogsbucket.
   • PROJECT_ID adalah ID project Google Cloud tempat Anda menjalankan build.
   • SERVICE_ACCOUNT adalah alamat email atau ID unik akun layanan yang ingin Anda tentukan untuk build. Misalnya, alamat email akun layanan terlihat seperti: [e-mail].

3. Mulai build menggunakan file konfigurasi build:

   gcloud builds submit --config CONFIG_FILE_PATH SOURCE_DIRECTORY
   

   Ganti variabel dalam perintah dengan nilai berikut:

   • CONFIG_FILE_PATH adalah jalur ke file konfigurasi build.
   • SOURCE_DIRECTORY adalah jalur atau URL ke kode sumber.

   Jika Anda tidak menentukan CONFIG_FILE_PATH dan SOURCE_DIRECTORY dalam perintah gcloud builds submit, Cloud Build akan mengasumsikan bahwa file konfigurasi build dan kode sumber berada di direktori kerja saat ini.

Menjalankan build menggunakan pemicu

Untuk menjalankan build dengan pemicu Cloud Build menggunakan akun layanan Anda sendiri, siapkan opsi logging pilihan Anda dan pilih akun layanan pilihan Anda saat membuat pemicu.

Jika ingin menggunakan akun layanan yang sama untuk semua pemicu baru, Anda dapat mengonfigurasi Cloud Build untuk memilih akun layanan secara otomatis.

1. Dalam file konfigurasi build:

   • Jika Anda menyimpan log build di Cloud Logging, tambahkan kolom logging dan tetapkan nilai kolom ke CLOUD_LOGGING_ONLY.

   • Jika Anda menyimpan log build di bucket Cloud Storage yang dibuat pengguna:

     • Tambahkan kolom logging dan tetapkan nilainya ke GCS_ONLY.
     • Tambahkan kolom logsBucket dan tetapkan nilainya ke lokasi bucket Cloud Storage Anda.

   Contoh berikut mengonfigurasi log build untuk disimpan di bucket Cloud Storage yang dibuat pengguna:

   YAML

   steps:
   - name: 'bash'
     args: ['echo', 'Hello world!']
   logsBucket: 'LOGS_BUCKET_LOCATION'
   options:
     logging: GCS_ONLY
   

   JSON

   {
     "steps": [
     {
       "name": "bash",
       "args": [
         "echo",
         "Hello world!"
       ]
     }
     ],
     "logsBucket": "LOGS_BUCKET_LOCATION",
     "options": {
       "logging": "GCS_ONLY"
     }
   }
   

   Ganti LOGS_BUCKET_LOCATION dengan bucket Cloud Storage untuk menyimpan log build. Contoh, gs://mylogsbucket.

2. Tentukan akun layanan yang akan digunakan dengan pemicu build Anda:

   Konsol

   1. Buat atau edit pemicu build Anda.

   2. Di kolom Service account, tentukan akun layanan Anda. Untuk memilih akun layanan di project lain, klik Switch project.

      Jika Anda tidak menentukan akun layanan, Cloud Build akan menggunakan akun layanan default.

   3. Klik Buat untuk menyimpan pemicu build Anda.

   gcloud

   Saat membuat pemicu build, tentukan akun layanan Anda menggunakan flag --service-account. Dalam contoh berikut, perintah gcloud membuat pemicu build yang mengambil kode dari repositori Git:

   gcloud builds triggers create github \
      --name=TRIGGER_NAME \
      --repo-name=REPO_NAME \
      --repo-owner=REPO_OWNER \
      --branch-pattern=BRANCH_PATTERN
      --build-config=BUILD_CONFIG_FILE
      --service-account=SERVICE_ACCOUNT
      --project=BUILD_PROJECT
   

   Ganti variabel dalam file konfigurasi build dengan nilai berikut:

   • TRIGGER_NAME adalah nama pemicu build Anda.
   • REPO_NAME adalah nama repositori Anda.
   • REPO_OWNER adalah nama pengguna pemilik repositori.
   • BRANCH_PATTERN adalah nama cabang di repositori Anda untuk memanggil build.
   • TAG_PATTERN adalah nama tag di repositori Anda untuk memanggil build.
   • BUILD_CONFIG_FILE adalah jalur ke file konfigurasi build Anda.
   • SERVICE_ACCOUNT adalah akun layanan Anda dalam format /projects/PROJECT_ID/serviceAccounts/ACCOUNT_ID_OR_EMAIL.
   • BUILD_PROJECT adalah project tempat Anda memulai build.

Catatan: Jika Anda menentukan akun layanan dalam konfigurasi build, akun tersebut akan diabaikan selama pemanggilan build saat Anda menjalankan pemicu. Hanya akun layanan yang ditentukan pada pemicu Anda yang akan digunakan untuk build yang dipanggil dengan pemicu.

Penyiapan lintas project

Anda dapat menggunakan akun layanan yang dikelola pengguna untuk menjalankan build dalam project yang berbeda dengan project tempat Anda membuat akun layanan, hanya jika batasan kebijakan organisasi iam.disableCrossProjectServiceAccountUsage tidak diterapkan. Batasan ini diterapkan secara default. Pelajari lebih lanjut.

• Perintah berikut menonaktifkan penerapan batasan tersebut dan memberikan akses yang diperlukan. Organisasi Anda perlu mengetahui konsekuensi keamanan yang terlibat sebelum menetapkan batasan dalam kebijakan organisasi:

  gcloud resource-manager org-policies disable-enforce \
     iam.disableCrossProjectServiceAccountUsage \
     --project=SERVICE_ACCOUNT_PROJECT_ID
  

  Dalam perintah ini, SERVICE_ACCOUNT_PROJECT_ID adalah project yang berisi akun layanan terkelola pengguna

• Dalam project yang memiliki akun layanan yang dikelola pengguna, berikan peran roles/iam.serviceAccountTokenCreator untuk agen layanan Cloud Build dari project tempat Anda menjalankan build:

  gcloud projects add-iam-policy-binding SERVICE_ACCOUNT_PROJECT_ID \
      --member="serviceAccount:BUILD_SERVICE_AGENT" \
      --role="roles/iam.serviceAccountTokenCreator"
  

  Ganti variabel dalam perintah dengan yang berikut ini:

  • SERVICE_ACCOUNT_PROJECT_ID: Project ID untuk project yang berisi akun layanan yang dikelola pengguna.
  • BUILD_SERVICE_AGENT: ID email agen layanan dari formulir [e-mail], dengan BUILD_PROJECT_NUMBER adalah nomor project dari project tempat Anda menjalankan build. Anda bisa mendapatkan nomor project dari halaman setelan project.

Batasan:

• Project Google Cloud Anda harus berada dalam organisasi Google Cloud .

• Anda harus memulai build di command line menggunakan gcloud builds submit atau gcloud builds triggers create.

• Jika Anda menerima error service account not found saat memberikan peran IAM, Anda mungkin perlu membuat agen layanan secara manual.

Langkah berikutnya

• Pelajari lebih lanjut peran dan izin IAM Cloud Build.
• Pelajari dampak perubahan akun layanan terhadap cara Anda menjalankan build.