Memvalidasi konfigurasi

Tutorial ini menunjukkan cara memvalidasi konfigurasi dengan Cloud Build saat menggunakan cluster Google Kubernetes Engine. Penyiapan yang sama berfungsi di sistem CI/CD berbasis container lainnya, seperti CircleCI, dengan perubahan minimal.

Sebaiknya validasi setiap perubahan konfigurasi di pipeline CI/CD Anda di samping memeriksa validitas konfigurasi dengan menjalankan perintah nomos vet.

Tujuan

• Membuat file konfigurasi Cloud Build yang menginstruksikan Config Sync untuk menggunakan nomos vet pada konfigurasi di repositori Anda.
• Membuat pemicu Cloud Build sehingga konfigurasi Anda diperiksa setiap kali ada perubahan pada cabang pengembangan.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen yang dapat ditagih berikut Google Cloud:

• Config Sync
• Cloud Build

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Pengguna baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis. Google Cloud

Setelah menyelesaikan tugas yang dijelaskan dalam dokumen ini, Anda dapat menghindari penagihan berkelanjutan dengan menghapus resource yang Anda buat. Untuk mengetahui informasi selengkapnya, baca bagian Pembersihan.

Sebelum memulai

Login keakun Anda. Google Cloud Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Build API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Build API.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the API

1. Buat, atau miliki akses ke, cluster GKE yang memenuhi persyaratan untuk Config Sync. Untuk mengetahui detail cara membuat cluster tersebut, lihat Memulai Config Sync.

Memberikan izin akun layanan Cloud Build

Berikan izin akun layanan Cloud Build untuk mengakses cluster GKE Anda.

gcloud

Untuk menambahkan peran Kubernetes Engine Developer ke akun layanan Cloud Build, jalankan perintah berikut:

PROJECT_ID=$(gcloud config get-value project)
PROJECT_NUM=$(gcloud projects list --filter="$PROJECT_ID" --format="value(PROJECT_NUMBER)")
gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member=serviceAccount:$[e-mail] \
    --role=roles/container.developer

Konsol

1. Buka halaman IAM di Google Cloud konsol.

   Buka halaman IAM

2. Di kolom member , temukan baris dengan akun layanan Cloud Build:

   [e-mail]
   

3. Di baris tersebut, klik Edit akun utama.

4. Klik Add another role.

5. Di daftar Select a role, pilih Kubernetes Engine Developer, lalu klik Save.

Membuat konfigurasi Cloud Build

Buat file konfigurasi Cloud Build dan simpan di direktori root repositori yang berisi file konfigurasi Anda (misalnya, my-repo/cloudbuild.yaml).

steps:
- name: 'gcr.io/cloud-builders/kubectl'
  args: ['config', 'current-context']
  volumes:
  - name: 'kube'
    path: '/kube'
  env:
  - 'KUBECONFIG=/kube/config'
  - 'CLOUDSDK_COMPUTE_ZONE=ZONE'
  - 'CLOUDSDK_CONTAINER_CLUSTER=CLUSTER_NAME'
  - 'CLOUDSDK_CONTAINER_USE_APPLICATION_DEFAULT_CREDENTIALS=true'
- name: 'bash'
  args: ['chmod', '444', '/kube/config']
  volumes:
  - name: 'kube'
    path: '/kube'
- name: 'gcr.io/config-management-release/nomos:stable'
  args: ['nomos', 'vet', '--path', '/workspace/POLICY_DIR']
  volumes:
  - name: 'kube'
    path: '/kube'
  env:
  - 'KUBECONFIG=/kube/config'
  timeout: 30s

Ganti kode berikut:

• ZONE: zona tempat cluster Anda berjalan
• CLUSTER_NAME: nama cluster Anda
• POLICY_DIR: jalur dalam repositori Git yang mewakili tingkat teratas repositori untuk disinkronkan

Ada tiga langkah dalam konfigurasi ini:

1. Jalankan kubectl config current-context untuk membuat file kubeconfig yang diperlukan untuk mengautentikasi ke cluster GKE my-cluster. Pengguna root membuat file ini dengan izin terbatas.
2. Jalankan chmod 444 /kube/config agar file ini dapat dibaca pada langkah berikutnya.
3. Jalankan nomos vet di repositori Git yang otomatis di-clone di /workspace. Jika Anda menggunakan repo tak terstruktur, jalankan nomos vet --source-format=unstructured sebagai gantinya.

Membuat pemicu build

Contoh berikut membuat pemicu yang berjalan untuk setiap commit ke cabang utama repositori Cloud Source Repositories.

1. Buka halaman Pemicu di Google Cloud konsol.

   Buka halaman pemicu

2. Klik Connect repository.

3. Pilih GitHub (mirrored), lalu klik Continue.

4. Pilih repositori Anda, lalu klik Connect repository.

5. Klik Add trigger.

6. Masukkan atau pilih entri yang sesuai di setiap kolom yang dijelaskan dalam tabel berikut:

   Kolom	Entri
   Acara	Push to a branch
   Cabang	^master$
   Konfigurasi	Cloud Build configuration file (yaml or json)
   Lokasi file konfigurasi Cloud Build	/ cloudbuild.yaml

7. Klik Create untuk menyimpan pemicu build Anda.

Menguji pemicu build

Uji penyiapan secara manual dengan menjalankan pemicu:

1. Buka halaman Pemicu di Google Cloud konsol.

   Buka halaman pemicu

2. Temukan pemicu yang Anda buat, lalu klik Run trigger.

   Pesan "Build started on master branch" akan muncul.

3. Klik Show.

   Langkah-langkah Cloud Build akan berwarna hijau jika disiapkan dengan benar.

Konfigurasi Cloud Build tidak valid

Pemicu tidak dapat berjalan jika file konfigurasi Cloud Build tidak valid.

Untuk mengujinya, perbarui konfigurasi Cloud Build di repositori Anda dengan file berikut. Perhatikan indentasi yang tidak valid pada baris 6:

steps:
- name: 'gcr.io/cloud-builders/kubectl'
  args: ['config', 'current-context']
  volumes:
  - name: 'kube'
  path: '/kube'
  env:
  - 'KUBECONFIG=/kube/config'
  - 'CLOUDSDK_COMPUTE_ZONE=ZONE'
  - 'CLOUDSDK_CONTAINER_CLUSTER=CLUSTER_NAME'
  - 'CLOUDSDK_CONTAINER_USE_APPLICATION_DEFAULT_CREDENTIALS=true'
- name: 'bash'
  args: ['chmod', '444', '/kube/config']
  volumes:
  - name: 'kube'
    path: '/kube'
- name: 'gcr.io/nomos-release/nomos:stable'
  args: ['nomos', 'vet', '--path', '/workspace/POLICY_DIR']
  volumes:
  - name: 'kube'
    path: '/kube'
  env:
  - 'KUBECONFIG=/kube/config'
  timeout: 30s

Jika Anda menjalankan pemicu lagi secara manual, Anda akan menerima pesan error berikut karena path: di baris 6 tidak diindentasi dengan benar:

Failed to trigger build: failed unmarshalling build config cloudbuild.yaml:
unknown field "path" in cloudbuild_go_proto.BuildStep.

Untuk memperbaiki konfigurasi ini, indentasi path: di baris 6 ke tingkat yang sama dengan name: di baris 5. Untuk mengetahui informasi selengkapnya tentang struktur file konfigurasi Cloud Build, lihat Membuat konfigurasi Cloud Build dasar.

Pembersihan

Menghapus project

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika menggunakan project yang sudah ada untuk tugas dalam dokumen ini, saat Anda menghapusnya, pekerjaan lain yang telah Anda lakukan dalam project tersebut juga akan terhapus.
• Project ID kustom hilang. Saat membuat project ini, Anda mungkin telah membuat project ID kustom yang ingin digunakan di masa mendatang. Untuk mempertahankan URL yang menggunakan project ID, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial atau panduan memulai, dengan menggunakan kembali project dapat membantu Anda agar tidak melampaui batas kuota project.

Menghapus Google Cloud project:

gcloud projects delete PROJECT_ID

Menghapus resource satu per satu

Untuk menghapus resource satu per satu, selesaikan langkah-langkah berikut:

1. Hapus file konfigurasi Cloud Build.
2. Hapus pemicu Cloud Build yang Anda buat.
3. Hapus cluster yang Anda gunakan untuk tutorial ini.

Langkah berikutnya

• Pelajari Cloud Build
• Menghentikan sinkronisasi konfigurasi untuk sementara