Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Jenkins に接続する

Jenkins トリガーと Secure Source Manager Webhook を使用して、自動ビルドを開始できます。

必要なロール

Jenkins ビルドトリガーの作成に必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

Secure Source Manager リポジトリ管理者（roles/securesourcemanager.repoAdmin）リポジトリに対する
Secure Source Manager インスタンスアクセサー（roles/securesourcemanager.instanceAccessor） Secure Source Manager インスタンスに対する

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

Secure Source Manager ロールの付与については、 IAM によるアクセス制御とユーザーにインスタンスへのアクセス権を付与するをご覧ください。

Webhook トリガーを設定する

Jenkins は、ビルドトリガープラグインを使用して CI/CD の自動化を有効にします。新しい commit がリポジトリに push されたときや、pull リクエストが開始されたときなどでの受信イベントをリッスンし、新しいイベントが生じたときにビルドを自動的に実行するようにトリガーを構成できます。ソースリポジトリが変更された場合や、特定の条件に一致する変更があった場合にコードをビルドするようにトリガーを構成することもできます。

汎用 Jenkins Webhook トリガーを設定するには:

Jenkins サーバーに Jenkins Git Plugin、 SSH Credential Plugin および Generic Webhook Trigger Plugin をインストールします。
Jenkins サーバーで有効な SSH 認証鍵ペアを生成します。 Secure Source Manager は RSA タイプの鍵のみをサポートしています。
次のコマンドを実行して、Secure Source Manager インスタンスドメインを Jenkins サーバー SSH known_hosts ファイルに追加します。
```
ssh -t git@INSTANCE_ID-INSTANCE_PROJECT_NUMBER-ssh.us-central1.sourcemanager.dev
```
ここで
- INSTANCE_ID は、Secure Source Manager インスタンスの名前です。
- INSTANCE_PROJECT_NUMBER は、 Secure Source Manager インスタンスのプロジェクト番号です。プロジェクト番号の確認方法については、プロジェクトの識別をご覧ください。
たとえば、次のコマンドは、プロジェクト番号が 123456789 の prod-test-instance という名前のインスタンスのインスタンスドメインを追加します。
```
ssh -t git@prod-test-instance-123456789-ssh.us-central1.sourcemanager.dev
```
yes と入力して、インスタンスドメインを既知のホストのリストに追加します。
Jenkins の [Manage Credentials] ページで、次の操作を行います。
1. [SSH username with private key] を選択します。
2. Jenkins サーバーの SSH 秘密鍵を貼り付けます。
3. [Kind] プルダウンで、必要に応じて他のフィールドに入力します。
[作成] をクリックします。
Jenkins ウェブインターフェースで、新しい Jenkins ジョブを作成します。
Jenkins ジョブの構成ページの [Source Code Management] セクションで、[Git] を選択します。
[Git] セクションで、Secure Source Manager リポジトリの SSH URL をリポジトリ URL として貼り付け、ビルドブランチ（*/main など）を入力します。次に、[Manage Credentials] ページで以前に追加した保存済みの秘密 SSH 認証鍵の認証情報を選択します。
[Build Triggers] セクションで、[Generic Webhook Trigger] を選択します。

必要に応じて、呼び出し時にトークンが指定された場合にのみジョブがトリガーされるようにトークンを追加できます。トークンを追加するには、[Generic Webhook Trigger] セクションの [Token] フィールドにトークンを入力します。
[Build] セクションで、この Jenkins ジョブに使用するビルドスクリプトを指定します。たとえば、cat README.md を実行して README.md の内容を出力できます。
[保存] をクリックして Jenkins ジョブを作成します。

サービスアカウントを設定して必要な権限を付与する

使用するサービスアカウントがない場合は、サービスアカウントを作成します。

サービスアカウントに対する iam.serviceAccounts.actAs 権限があることを確認します。この権限は、サービスアカウントユーザー（roles/iam.serviceAccountUser）ロールの一部です。
Secure Source Manager ウェブインターフェースで、 [その他のオプション] メニューをクリックします。
[サービスアカウントの SSH 認証鍵] をクリックします。[サービスアカウント SSH 認証鍵] ページが開き、追加した既存の鍵のリストが表示されます。
[鍵を追加] をクリックします。
[Add SSH key] ページで、鍵に次の値を入力します。
1. サービスアカウント: SSH 認証鍵を使用するサービスアカウントのサービスアカウントのメールアドレス（ SA_NAME@PROJECT_ID.iam.gserviceaccount.com
  
  場所
  - SA_NAME はサービスアカウント名です。
  - PROJECT_ID は、サービスアカウントが作成されたプロジェクトのプロジェクト ID です。
2. SSH Public Key: Jenkins の公開 SSH 認証鍵。

Secure Source Manager サービスエージェントの権限を付与する

サービスアカウントが Secure Source Manager インスタンスと同じプロジェクトにない場合は、Secure Source Manager サービスエージェントにサービスアカウントトークン作成者（roles/iam.serviceAccountTokenCreator）ロールまたはiam.serviceAccounts.signJwt権限を付与する必要があります。

サービスアカウントが Secure Source Manager インスタンスと同じプロジェクトにある場合は、サービスアカウントにリポジトリロールを付与するに進みます。

次のコマンドを実行して、サービスアカウントの既存の IAM ポリシーを取得します。
```
gcloud iam service-accounts get-iam-policy SERVICE_ACCOUNT \
    --format json
```
ここで、SERVICE_ACCOUNT は使用するサービスアカウントです。アカウントは、数値のサービスアカウント ID またはメールアドレス（123456789876543212345 や my-iam-account@somedomain.com など）としてフォーマットする必要があります。

出力には、既存のバインディングが含まれます。存在しない場合は、次のような etag 値が含まれます。
```
{
"etag": "BwUjHYKJUiQ="
}
```
重要: 他のユーザーのポリシー変更を上書きしないように、get-iam-policy レスポンスの etag 値を保持してください。他のすべての変更を上書きする場合は、etag 値を削除できます。
出力を policy.json という名前の新しいファイルにコピーします。
Secure Source Manager サービスエージェントにサービスアカウントトークン作成者（roles/iam.ServiceAccountTokenCreator）ロールを付与するには、policy.json を変更して次のように追加します。
```
{
    "role": "roles/iam.serviceAccountTokenCreator",
    "members": [
        "serviceAccount:service-INSTANCE_PROJECT_NUMBER@gcp-sa-sourcemanager.iam.gserviceaccount.com"
    ]
}
```
ここで、INSTANCE_PROJECT_NUMBER は Secure Source Manager インスタンスのプロジェクト番号です。
次のコマンドを実行して、サービスアカウントの既存の IAM ポリシーを置き換えます。
```
gcloud iam service-accounts set-iam-policy SERVICE_ACCOUNT POLICY_FILE
```
次のように置き換えます。
- SERVICE_ACCOUNT は、サービスアカウント ID またはメールアドレスに置き換えます。
- POLICY_FILE は、新しいポリシーを含む JSON 形式のファイルの場所と名前に置き換えます。

サービスアカウントにリポジトリロールを付与する

Secure Source Manager ウェブインターフェースで、サービスアカウントに権限を付与するリポジトリに移動します。
[権限] タブをクリックします。
[ユーザーを追加] をクリックします。
[プリンシパルを追加] フィールドに、サービスアカウントのメールアドレスを入力します。
[ロール] プルダウンメニューで、[Secure Source Manager Repository Reader] を選択します。
次のコマンドを実行して、サービスアカウントに securesourcemanager.instanceAccessor ロールを割り当てます。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:SA_EMAIL \
    --role=roles/securesourcemanager.instanceAccessor
```
次のように置き換えます。
- PROJECT_ID は、Secure Source Manager インスタンスのプロジェクト ID に置き換えます。
- SA_EMAIL は、サービスアカウントのメールアドレスに置き換えます。

Webhook を設定する

Secure Source Manager ウェブインターフェースで、Webhook を作成するリポジトリに移動します。
[設定] をクリックします。
[Webhooks] をクリックし、[Add webhook] をクリックします。
[Hook ID] フィールドに、Webhook の ID を入力します。

注: Hook ID は、リソースの命名規則に従う必要があります。英小文字、数字、ハイフンのみを含める必要があり、文字で始まる必要があります。Webhook の作成後に変更することはできません。
[Target URL] フィールドに、Jenkins トリガー URL を入力します。
Jenkins トリガーの構成時にオプションのトークンを使用した場合は、Jenkins トリガー URL の末尾にそのトークンが含まれます。トークンが漏洩しないように、ターゲット URL の末尾から削除して [Sensitive Query String] フィールドにコピーします。

トリガー URL でトークンを見つけるには、token= で始まるテキストを探します。

たとえば、URL が次のようになっている場合: https://jenkins-server.com/generic-webhook-trigger/invoke?token=jenkins-job1

疑問符 ?token=jenkins-job1 で始まる部分をコピーして、[Target URL] フィールドから削除します。次に、最初の疑問符を削除し、残りの部分 token=jenkins-job1 を [Sensitive Query String] フィールドに移動します。
[Trigger on] セクションで、次のいずれかを選択します。
- Push: リポジトリへの push でトリガーします。
- Pull request state changed: pull リクエストの状態が変更されたときにトリガーします。
[Push] を選択した場合は、 [Branch filter] フィールドに push イベントの許可リストを入力できます。

[Branch filter] フィールドでは glob パターンが使用され、一致するブランチに対するオペレーションのみがビルドトリガーを引き起こします。フィールドが空か * の場合、すべてのブランチの push イベントが報告されます。
[Add webhook] をクリックします。
Webhook が [Webhook] ページに表示されます。

**注:** Webhook を追加または編集すると、プレースホルダ文字列を使用してセキュリティを確保するため、 Sensitive Query String の長さが入力した文字列と一致しないことがあります。これは想定される動作です。

Webhook をテストする

Secure Source Manager の [Webhook] ページで、テストする Webhook をクリックします。
ページの一番下までスクロールして [Test delivery] をクリックします。

配信キューに偽のイベントが追加されます。配信履歴に表示されるまでに数秒かかることがあります。
git コマンドを使用して、pull リクエストを push またはマージして Webhook をテストすることもできます。
Jenkins プロジェクトで、テストイベントによってトリガーされたビルドを [Build History] で確認します。
最初のテスト配信を送信した後、Secure Source Manager Webhook ページの [Recent deliveries] セクションで、テスト配信の [Request] と [Response] を確認することもできます。

次のステップ

Jenkins のドキュメントを確認する。