连接到专用网络中托管的 GitHub Enterprise 代码库

本页介绍了如何使用 Developer Connect 和 Service Directory 连接到专用网络中托管的 GitHub Enterprise 代码库。 您可以使用 Google Cloud 控制台 或 Google Cloud CLI 完成这些任务。

以下说明适用于希望将 GitHub Enterprise 源代码库与 Google 搭配使用的应用开发者、平台管理员和安全管理员。 具体来说，您可以将 GitHub Enterprise 代码库与 Gemini Code Assist搭配使用。

如需详细了解 Developer Connect，请参阅 Developer Connect 概览。

准备工作

  1. 登录您的 Google 账号。

    如果您还没有 Google 账号，请 注册新账号。

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Developer Connect and Service Directory APIs.

    Roles required to enable APIs

    To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

    Enable the APIs

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Developer Connect and Service Directory APIs.

    Roles required to enable APIs

    To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

    Enable the APIs

    8.

    启用 Developer Connect 也会启用 Secret Manager API。

  8. 确保您有权访问 GitHub Enterprise 上的账号。

    为了确保团队工作的安全性，我们建议您使用机器人账号或团队共享的账号（而非个人账号）完成本指南中的任务。

  9. 确保您拥有 GitHub Enterprise 代码库，或者对共享代码库具有管理员级权限。

  10. 在 GitHub Enterprise 组织中使用代码库时，请确保您具有 GitHub 应用管理员权限。

  11. 确保您拥有用于 连接到专用网络的 Service Directory 服务资源，或者 创建 Service Directory 服务资源。您可以在与 Developer Connect 搭配使用的同一项目中创建 Service Directory 服务资源，也可以使用其他项目。

    对于与外部网络建立的连接 Google Cloud，您可能需要 以不同的方式配置 Service Directory。请参阅 使用 Service Directory 访问外部主机 。 Google Cloud

  12. 可选：创建客户管理的 加密密钥 (CMEK)，用于加密 Developer Connect 创建的身份验证密钥。
  13. 可选：如需使用本指南中的命令行说明，请完成以下步骤：
    1. 安装 Google Cloud CLI。如果您之前安装过 gcloud CLI，请运行 gcloud components update 以确保您拥有最新版本。
    2. 通过运行以下命令创建 Developer Connect 服务账号 ，其中 PROJECT_ID 是您的 Google Cloud 项目 ID： 
              gcloud beta services identity create \
            --service=developerconnect.googleapis.com \
            --project=PROJECT_ID

授予所需的 IAM 权限

如需获得创建连接和关联所需的权限，请让您的管理员为您授予以下 IAM 角色：

  • 如果您不是项目所有者： Developer Connect Admin (roles/developerconnect.admin) 角色。
  • 如果您计划使用 CMEK 加密 Developer Connect 创建的密钥：Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) 角色位于 Secret Manager 服务账号上。
  • 如果您计划使用 gcloud CLI 完成本指南中的步骤：Secret Manager Admin 角色 (roles/secretmanager.admin) 在 Developer Connect 服务账号上。
  • 如果您计划使用 Google Cloud 控制台完成本指南中的步骤：用户账号的Project IAM Admin (roles/resourcemanager.projectIamAdmin) 角色。

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义 角色或其他预定义 角色来获取所需的权限。

授予使用 Service Directory 的权限

完成以下步骤，以允许 Developer Connect 使用 Service Directory，并允许 Service Directory 访问您的 VPC 网络资源。

  1. 运行以下命令，授予 Developer Connect 服务帐号使用 Service Directory 的权限：

    PROJECT_NUMBER=$(gcloud projects describe PROJECT_ID --format="value(projectNumber)")

SERVICE_ACCOUNT="service-${PROJECT_NUMBER}@gcp-sa-devconnect.iam.gserviceaccount.com"

gcloud projects add-iam-policy-binding SERVICE_DIRECTORY_RESOURCE_PROJECT_ID \
    --member="serviceAccount:${SERVICE_ACCOUNT}" \
    --role="roles/servicedirectory.viewer"

    替换以下内容：

    • PROJECT_ID：您的 Google Cloud 项目 ID。
    • SERVICE_DIRECTORY_RESOURCE_PROJECT_ID：包含 Service Directory 服务资源的项目 ID。 Google Cloud

  2. 授予 Service Directory 访问您的 VPC 网络资源的权限。网络资源可以位于其他项目中。

    gcloud projects add-iam-policy-binding NETWORK_RESOURCE_PROJECT_ID \
    --member="serviceAccount:${SERVICE_ACCOUNT}" \
    --role="roles/servicedirectory.pscAuthorizedService"

    将 NETWORK_RESOURCE_PROJECT_ID 替换为包含 VPC 网络资源的项目的项目 ID。

使用 Service Directory 访问外部主机 Google Cloud

Service Directory 使用 IP 地址范围 35.199.192.0/19 连接到外部主机。 Google Cloud您必须将此范围添加到防火墙中的许可名单。此外，您还需要将专用网络配置为通过 Cloud VPN 或 Cloud Interconnect 连接路由此范围。

如果您的连接使用 Cloud Router，您可以将连接配置为 将该范围告知 您的专用网络。

如需了解详情，请参阅配置专用网络访问。

使用 Cloud Load Balancing 访问外部主机 Google Cloud

如果您的网络配置不允许您将 Service Directory IP 地址范围 35.199.192.0/19 路由到 Cloud VPN 或 Cloud Interconnect，您可以使用 Cloud Load Balancing 创建负载均衡器，将流量定向到您的主机。

创建 Service Directory 端点时，请务必使用负载均衡器的转发规则的 IP 地址，而不是主机的 IP 地址。创建端点时，您可以使用 内部 HTTPS 负载均衡器 或 内部传输控制协议 (TCP) 负载均衡器 。

创建 TCP 负载均衡器时，请考虑以下事项：

  • 只需混合连接网络端点组 (NEG) 即可访问您的主机。
  • TCP 负载均衡器不需要 SSL 证书的未加密私钥。
  • 您的 Cloud VPN 设置需要使用 Cloud Router 和全局动态路由。如果您的 Cloud VPN 使用静态路由，您可以改用使用 Cloud Service Mesh 的代理。如需了解详情，请参阅为混合部署设置网络 边缘服务 。

如需详细了解如何创建 HTTPS 负载均衡器，请参阅 设置具有混合连接的内部应用负载均衡器。如需详细了解如何创建 TCP 负载均衡器，请参阅 设置具有混合连接的区域级内部代理网络负载均衡器。

创建连接

本部分介绍了如何在 Developer Connect 和 GitHub Enterprise 之间创建连接。如果您使用的是 Google Cloud 控制台，则可以在完成连接设置后开始 向代码库添加关联。

如需创建新的 GitHub Enterprise 连接，请选择以下选项之一：

控制台

如需启动连接，请完成以下步骤：

  1. 在 Google Cloud 控制台中，打开 Developer Connect。

    前往 Developer Connect

    Developer Connect 会显示 Git 代码库 页面。

    • 如果您看到源代码管理提供方列表 ：选择源代码管理提供方，开始配置您的第一个连接。点击 GitHub Enterprise 卡片上的连接 。

    • 如果您看到列出现有连接的表格：依次点击创建连接 > GitHub Enterprise ，设置源代码管理提供商。

      创建连接 页面随即打开。

  2. 对于区域，请为连接资源选择一个区域 。

    1. 对于名称，请输入新连接的名称。

  3. 选中启用符合数据驻留规定的连接复选框 ，使此连接符合 数据驻留要求。

    如果您在创建连接时选中此复选框，则使用 Google Cloud 控制台创建的 GitHub 连接 符合数据驻留规定 。执行此操作后，Developer Connect 会创建一个 GitHub 应用

    使用 Google Cloud CLI 创建 GitHub 连接时，这些连接不符合数据驻留规定。所有其他连接类型都符合数据驻留规定。

  4. 在主机网址 字段中，输入要连接到的主机的网址。

  5. 点击显示更多 以查看可选配置设置。

    1. 默认情况下，启用 Developer Connect 代理 复选框处于选中状态，以便 Developer Connect 可以充当 GitHub Enterprise 的 Git 调用代理。

    2. 在网络 部分中，对于网络类型 ，选择专用 网络 。

    3. 对于 CA 证书 ，点击 浏览 以上传您的自签名 证书。

      您的证书大小不得超过 10 KB，并且应采用 PEM 格式（.pem、.cer 或 .crt）。如果此部分留空，系统将使用默认证书集。

    4. 在 Service Directory 服务 部分中，选择服务的位置：

      • 在项目 your-project 中
      • 在另一个项目中
      • 手动输入

      如果您选择在另一个项目中 或手动输入，请指定 您的 Google Cloud 项目 ID。在下拉菜单中选择项目，或手动输入项目 ID。

    5. 区域：选择您的 Service Directory 服务的区域。为服务指定的区域必须与连接关联的区域一致。

    6. 命名空间：选择您的 Service Directory 服务的命名空间。

    7. 服务：选择 Service Directory 服务名称 在命名空间中。

    8. 可选：在加密 部分中，选择一个 CMEK 密钥来 加密 Developer Connect 创建的 Secret Manager 密钥。

  6. 点击继续 。

    系统会显示一个 GitHub 对话框，邀请您创建 GitHub 应用。

  7. 按照 GitHub 中的提示，完成以下任务：

    1. 输入应用的名称。

    2. 选择要安装应用的组织。

    3. 选择要授予访问权限的代码库。

    对话框随即关闭。

    Developer Connect 会从 GitHub 获取您的私钥，并将其作为 Secret Manager 密钥存储在您的 Google Cloud 项目中。如需查看密钥， 请在 Secret Manager 中列出密钥。

创建连接后，系统会显示关联代码库 页面。

如需将代码库与连接关联，请完成以下步骤：

  1. 在可用代码库列表中，选择要使用的代码库。

  2. 点击确定 。

  3. 点击关联 。

您的连接会添加到连接 页面，代码库 关联会添加到控制台中的代码库 页面。 Google Cloud 您可以随时向现有连接添加更多关联。

如果您要设置 Gemini Code Assist，请按照 配置和使用 Gemini Code Assist 代码自定义 中的步骤继续该过程。

gcloud

以下任务需要在网络浏览器中执行一些操作。

  1. 运行 gcloud developer-connect connections create 命令，以创建与 GitHub Enterprise 的连接：

    gcloud developer-connect connections create CONNECTION_NAME \
    --location=REGION \
    --project=PROJECT_ID \
    --github-enterprise-config-host-uri=HOST_URI
    --github-enterprise-config-service-directory=SERVICE_DIRECTORY_RESOURCE
    --git-proxy-config-enabled

    替换以下内容：

    • CONNECTION_NAME：连接的名称。
    • REGION：连接的 区域。
    • HOST_URI：要连接到的主机的 URI。
    • SERVICE_DIRECTORY_RESOURCE：您的 Service Directory 资源路径，格式为 projects/PROJECT_ID/locations/REGION/namespaces/NAMESPACE/services/SERVICE。
    • --git-proxy-config-enabled 是一个可选标志，允许 Developer Connect 充当 GitHub Enterprise 的 Git 调用代理。在专用网络中托管的 GitHub Enterprise 源代码库上运行 Gemini Code Assist 代码自定义 时，您必须启用此功能。
    • --github-enterprise-config-ssl-ca-certificate 是一个可选标志，用于添加 SSL 证书，格式为 $HOME/my-ssl-ca.txt。

  2. 您必须创建一个 GitHub 应用来管理与 GitHub 的连接。运行以下命令以获取应用设置的 URI：

    gcloud developer-connect connections describe CONNECTION_NAME \
    --location=REGION

    替换以下内容：

    • CONNECTION_NAME：连接的名称。
    • REGION：连接的 区域。

    Developer Connect 会返回一个链接，以便您在浏览器窗口中完成后续步骤。复制此链接。

  3. 在网络浏览器中打开该链接。

  4. 如果系统提示您登录 GitHub 账号，请登录。

  5. 按照 GitHub 中的提示，完成以下任务：

    1. 输入应用的名称。

    2. 选择要安装应用的组织。

    3. 选择要授予访问权限的代码库。

    对话框随即关闭。

    Developer Connect 会从 GitHub 获取您的私钥，并将其作为 Secret Manager 密钥存储在您的 Google Cloud 项目中。如需查看密钥， 请在 Secret Manager 中列出密钥。

验证连接

运行以下命令，验证 GitHub 连接的创建：

gcloud developer-connect connections describe CONNECTION_NAME \
    --location=REGION

其中：

  • CONNECTION_NAME：连接的名称。
  • REGION：连接的区域。

Developer Connect 会在 installationState 字段中返回状态。如果此字段的值为 COMPLETE，则表示应用安装已完成。 否则，Developer Connect 会返回一个 URI，以便您返回到浏览器中的配置。

连接完成后，请按照关联到代码库中的说明选择要关联的代码库。

与 GitHub Enterprise 建立连接后，您可以关联到代码库。您可以稍后重复这些步骤，根据需要关联其他代码库。

如需在现有 GitHub Enterprise 连接上创建代码库关联，请选择以下选项之一：

控制台

  1. 在 Google Cloud 控制台中打开代码库 页面。

    打开代码库 页面

  2. 点击关联代码库 。

    关联 Git 代码库 窗格随即打开。

  3. 在连接列表中，选择一个连接。

  4. 点击继续 。

  5. 在代码库列表中，选择要关联的代码库。

  6. 点击创建 。

Developer Connect 会创建代码库关联，并在 控制台 Google Cloud 中显示这些关联。

gcloud

运行以下命令：

gcloud developer-connect connections git-repository-links create REPO_NAME \
    --clone-uri=REPO_URI \
    --connection=CONNECTION_NAME \
    --location=REGION

替换以下内容：

  • REPO_NAME：代码库关联的名称。
  • REPO_URI：代码库的链接。 例如，https://github.com/cloud-build/test-repo.git。
  • CONNECTION_NAME：连接的名称。
  • REGION：连接的 区域。

Developer Connect 会创建代码库关联。

如需列出关联的代码库，请运行 developer-connect connections git-repository-links list 命令。

如果您要设置 Gemini Code Assist，请按照 配置和使用 Gemini Code Assist 代码自定义 中的步骤继续该过程。

数据共享

与此连接关联的 Google Cloud 资源的内容可能会 转移到 GitHub。此声明适用于所有现有资源和将来使用此连接的资源。如需停止与 GitHub 共享信息， 请在 控制台或 gcloud CLI 中删除 Developer Connect 连接，并在 GitHub 中撤消访问权限。 Google Cloud

后续步骤