Secure Source Manager-Instanz erstellen

Secure Source Manager ist ein Dienst für einzelne Mandanten. Eine einzelne Secure Source Manager-Instanz sollte nur Nutzer von einemGoogle Cloud -Kunden enthalten, es sei denn, mehrere Unternehmen, die eine vertragliche Beziehung haben, müssen eine einzelne Instanz für die Zusammenarbeit verwenden.

Wenn Sie mit mehreren Unternehmen zusammenarbeiten und mit ihnen am Quellcode arbeiten möchten, empfehlen wir, für jedes Unternehmen eine separate Instanz zu erstellen.

Informationen zum Erstellen einer Instanz mit aktivierten VPC Service Controls finden Sie unter Secure Source Manager in einem VPC Service Controls-Perimeter konfigurieren.

Hinweis: Secure Source Manager unterstützt keine auf Domains beschränkte Projekte. Wenn Ihre Projekt-ID einen Doppelpunkt (:) enthält, müssen Sie ein neues Projekt erstellen, bevor Sie Secure Source Manager verwenden können.

Hinweis

Melden Sie sich in Ihrem Google-Konto an.

Wenn Sie noch kein Konto haben, melden Sie sich hier für ein neues Konto an.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Secure Source Manager API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Enable the Secure Source Manager API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Install the Google Cloud CLI.

Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Secure Source Manager Instance Owner (roles/securesourcemanager.instanceOwner) für das Projekt in Google Cloud zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen einer Secure Source Manager-Instanz benötigen.

Hinweis: Die einfache IAM-Rolle „Inhaber“ (roles/owner) für Ihr Projekt enthält auch Berechtigungen zum Erstellen einer Instanz. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Secure Source Manager-Rollen werden erst in der Google Cloud Console angezeigt, wenn sie einem Hauptkonto zugewiesen wurden. Informationen zum erstmaligen Zuweisen einer Secure Source Manager-Rolle finden Sie unter IAM-Rollen zuweisen und entziehen.

Datenverschlüsselung

Standardmäßig verschlüsselt Google Cloud Daten im Ruhezustand automatisch mit von Google verwalteten Verschlüsselungsschlüsseln. Wenn Sie bestimmte Compliance- oder gesetzliche Anforderungen für die Schlüssel zum Schutz Ihrer Daten erfüllen müssen, können Sie Secure Source Manager-Instanzen erstellen, die mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK) verschlüsselt sind.

Speichern Sie keine sensiblen Daten in Instanz-IDs oder Label-Schlüssel/Wert-Paaren, da diese nicht mit CMEK verschlüsselt werden.

Wenn Sie die erste Secure Source Manager-Instanz in Ihrem Projekt erstellen, müssen Sie den Secure Source Manager-Dienst-Agent manuell mit dem folgenden Befehl erstellen:

gcloud beta services identity create \
    --service=securesourcemanager.googleapis.com \
    --project=PROJECT_ID

Dabei ist PROJECT_ID die Projekt-ID des Projekts, in dem Sie Ihre Secure Source Manager-Instanz erstellen.

Nachdem Sie den Secure Source Manager-Dienst-Agent erstellt haben, müssen Sie dem Hauptkonto [e-mail] Rolle „Secure Source Manager-Dienst-Agent“ (roles/securesourcemanager.serviceAgent) zuweisen. Andernfalls schlägt die Instanzerstellung fehl.

Instanz erstellen

Zum Erstellen einer Instanz

gcloud-CLI

1. Führen Sie den folgenden Befehl aus, um eine Instanz zu erstellen. Möglicherweise werden Sie aufgefordert, sich bei der gcloud CLI zu authentifizieren.

   gcloud source-manager instances create INSTANCE_ID \
       --region=LOCATION \
       --project=PROJECT_ID \
       --kms-key=projects/KEY_PROJECT/locations/KEY_LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY
   

   Wobei:

   • INSTANCE_ID ist die permanente ID für die Instanz. Die ID darf nur Kleinbuchstaben, Ziffern und Bindestriche enthalten, muss mit einem Buchstaben beginnen und kann nach dem Erstellen nicht mehr geändert werden.

   • LOCATION ist die Region, in der Sie die Instanz erstellen möchten. Informationen zu unterstützten Standorten finden Sie unter Standorte.

   • PROJECT_ID ist die Projekt-ID des Projekts, in dem Sie eine Instanz erstellen möchten.

   • -kms-key ist ein optionales Flag. Geben Sie dies an, wenn Sie Ihren eigenen kundenverwalteten Verschlüsselungsschlüssel (CMEK) zum Erstellen der Instanz verwenden möchten. CMEK-Schlüssel müssen sich am selben Standort befinden, an dem Sie Ihre Instanz erstellen, können sich aber in einem anderen Projekt befinden. Lassen Sie dieses Flag weg, wenn Sie die Google-Standardverschlüsselung verwenden möchten. Wenn Sie Ihre Daten mit CMEK verschlüsseln möchten, ersetzen Sie Folgendes:

     • KEY_PROJECT durch das Projekt, in dem Sie den Schlüssel erstellt haben.
     • KEY_LOCATION durch den Speicherort des Schlüssels.
     • KEYRING_NAME durch den Name des Schlüsselbunds
     • KEY durch den Namen des Schlüssels.

   Ein Vorgang mit langer Ausführungszeit zum Erstellen einer Instanz wird gestartet. Die Ausgabe sieht so aus:

   Create request issued for [my-instance].
   done: false
   metadata:
     '@type': type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata
     apiVersion: v1
     createTime: '2023-02-27T20:57:52.315609549Z'
     requestedCancellation: false
     target: projects/my-project/locations/us-central1/instances/my-instance
     verb: create
   name: projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e
   

   Dabei ist projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e der OPERATION_NAME.

   Es kann bis zu 60 Minuten dauern, bis die Instanz erstellt ist.

2. Notieren Sie sich die OPERATION_NAME, da Sie sie benötigen, um den Status des Vorgangs zu prüfen.

3. Prüfen Sie den Status des Vorgangs create mit dem folgenden Befehl:

   gcloud source-manager operations describe OPERATION_NAME \
       --region=LOCATION
   

   Ersetzen Sie Folgendes:

   • OPERATION_NAME durch den Vorgangsnamen aus der Antwort auf den Erstellungsbefehl.
   • LOCATION durch die Region, in der Sie die Instanz erstellen möchten. Informationen zu unterstützten Standorten finden Sie unter Standorte.

   Sobald die Instanz bereit ist, sieht die Antwort in etwa so aus:

   {
   "name": "projects/my-project/locations/us-central1/operations/operation-123456789012-5ec69948c0f2b-60dd727f-a9b97a2e",
   "metadata": {
     "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
     "createTime": "2022-11-01T14:31:32.420469714Z",
     "endTime": "2022-11-01T14:48:34.140378114Z",
     "target": "projects/my-project/locations/us-central1/instances/test",
     "verb": "create",
     "requestedCancellation": false,
     "apiVersion": "v1"
   },
   "done": true,
   "response": {
     "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.Instance",
     "name": "projects/my-project/locations/us-central1/instances/test",
     "createTime": "2022-11-01T14:31:32.416413630Z",
     "updateTime": "2022-11-01T14:31:32.416413630Z",
     "labels": {
       "ldap": "user",
       "source": "manual"
     },
     "state": "ACTIVE",
     "hostConfig": {
       "html": "test-098765432109.us-central1.sourcemanager.dev",
       "api": "test-098765432109-api.us-central1.sourcemanager.dev",
       "gitHttp": "test-098765432109-git.us-central1.sourcemanager.dev"
     }
   }
   }
   

   Dabei ist test-098765432109.us-central1.sourcemanager.dev die HTML-URL der Instanz.

   Hinweis: Es ist möglich, dass die Statusprüfung den Abschluss meldet, bevor die Instanz vollständig betriebsbereit ist. Wenn nach dem Erstellen der Instanz Fehler beim Zugriff auftreten, warten Sie 60 Minuten und versuchen Sie es noch einmal, bevor Sie sich an den Secure Source Manager-Support unter [e-mail] wenden.

4. Kopieren Sie die HTML-URL aus dem erfolgreich erstellten Befehl zum Prüfen des Status. Sie benötigen diese URL, um über die Weboberfläche auf die Instanz zuzugreifen.

API

1. Führen Sie den folgenden Befehl aus, um eine Instanz zu erstellen. Möglicherweise werden Sie aufgefordert, sich bei der gcloud CLI zu authentifizieren.

   curl \
       -X POST -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       https://securesourcemanager.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/instances?instance_id=INSTANCE_ID \
       -H "Content-Type: application/json" \
       -d '{ "kms_key":"projects/KEY_PROJECT/locations/KEY_LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY"}'
   
   

   Wobei:

   • INSTANCE_ID ist die permanente ID für die Instanz. Die ID darf nur Kleinbuchstaben, Ziffern und Bindestriche enthalten und muss mit einem Buchstaben beginnen.

   • LOCATION ist die Region, in der Sie die Instanz erstellen möchten. Informationen zu unterstützten Standorten finden Sie unter Standorte.

   • PROJECT_ID ist die Projekt-ID des Projekts, in dem Sie eine Instanz erstellen möchten.

   • -d ist ein optionales HTTP-POST-Daten-Flag, mit dem ein CMEK-Schlüssel zum Verschlüsseln Ihrer Instanz angegeben werden kann. Lassen Sie dieses Flag weg, wenn Sie die Google-Standardverschlüsselung verwenden möchten. Wenn Sie Ihre Daten mit CMEK verschlüsseln möchten, ersetzen Sie Folgendes:

     • KEY_PROJECT durch das Projekt, in dem Sie den Schlüssel erstellt haben.
     • KEY_LOCATION durch den Speicherort des Schlüssels.
     • KEYRING_NAME durch den Name des Schlüsselbunds
     • KEY durch den Namen des Schlüssels.

   Ein Vorgang mit langer Ausführungszeit zum Erstellen einer Instanz wird gestartet. Die Ausgabe sieht so aus:

   {
   "name": "projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e",
   "metadata": {
     "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
     "createTime": "2022-11-01T14:31:32.420469714Z",
     "target": "projects/my-project/locations/us-central1/instances/test",
     "verb": "create",
     "requestedCancellation": false,
     "apiVersion": "v1"
   },
   "done": false
   }
   

   Dabei ist projects/my-project/locations/us-central1/operations/operation-1234567894561-5ec69948c0f2b-60dd727f-a9b97a2e der OPERATION_NAME.

   Es kann bis zu 60 Minuten dauern, bis die Instanz erstellt ist.

2. Kopieren Sie den OPERATION_NAME.

3. Prüfen Sie den Status des Erstellungsvorgangs mit dem folgenden Befehl:

   curl \
       -X GET \
       -H "Authorization: Bearer $(gcloud auth print-access-token)" \
       https://securesourcemanager.googleapis.com/v1/OPERATION_NAME
   

   Dabei ist OPERATION_NAME der Vorgangsname aus der Antwort auf Ihren Erstellungsbefehl.

   Sobald die Instanz bereit ist, sieht die Antwort in etwa so aus:

   {
   "name": "projects/my-project/locations/us-central1/operations/operation-123456789012-5ec69948c0f2b-60dd727f-a9b97a2e",
   "metadata": {
     "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.OperationMetadata",
     "createTime": "2022-11-01T14:31:32.420469714Z",
     "endTime": "2022-11-01T14:48:34.140378114Z",
     "target": "projects/my-project/locations/us-central1/instances/test",
     "verb": "create",
     "requestedCancellation": false,
     "apiVersion": "v1"
   },
   "done": true,
   "response": {
     "@type": "type.googleapis.com/google.cloud.securesourcemanager.v1.Instance",
     "name": "projects/my-project/locations/us-central1/instances/test",
     "createTime": "2022-11-01T14:31:32.416413630Z",
     "updateTime": "2022-11-01T14:31:32.416413630Z",
     "labels": {
       "ldap": "user",
       "source": "manual"
     },
     "state": "ACTIVE",
     "hostConfig": {
       "html": "test-098765432109.us-central1.sourcemanager.dev",
       "api": "test-098765432109-api.us-central1.sourcemanager.dev",
       "gitHttp": "test-098765432109-git.us-central1.sourcemanager.dev"
     }
   }
   }
   

   Dabei ist test-098765432109.us-central1.sourcemanager.dev die HTML-URL der Instanz.

   Hinweis: Es ist möglich, dass die Statusprüfung den Abschluss meldet, bevor die Instanz vollständig betriebsbereit ist. Wenn nach dem Erstellen der Instanz Fehler beim Zugriff auftreten, warten Sie 60 Minuten und versuchen Sie es noch einmal, bevor Sie sich an den Secure Source Manager-Support unter [e-mail] wenden.

4. Kopieren Sie die HTML-URL aus dem erfolgreich erstellten Befehl zum Prüfen des Status. Sie benötigen diese URL, um über die Weboberfläche auf die Instanz zuzugreifen.

Terraform

Verwenden Sie zum Erstellen einer Secure Source Manager-Instanz mit Terraform die Ressource google_secure_source_manager_instance.

Auf eine Instanz zugreifen

Nachdem die Instanz erstellt wurde, können Sie über die Weboberfläche mit einem Browser darauf zugreifen.

Zum Erstellen von Repositories in der Instanz benötigen Sie die Rolle „Repo Creator“ (roles/securesourcemanager.repoCreator) für das Instanzprojekt und die Rolle „Instance Repository Creator“ (roles/securesourcemanager.instanceRepositoryCreator) für die Secure Source Manager-Instanz.

1. Wenn Sie über die Weboberfläche auf die Secure Source Manager-Instanz zugreifen möchten, kopieren Sie die folgende URL in die Adressleiste Ihres Browsers.

   INSTANCE_ID-PROJECT_NUMBER.LOCATION.sourcemanager.dev

   Ersetzen Sie Folgendes:

   • INSTANCE_ID durch den Instanznamen.
   • PROJECT_NUMBER durch die Google CloudProjektnummer der Instanz. Informationen zum Identifizieren von Projekten finden Sie unter Projekte identifizieren.
   • LOCATION durch die Region der Instanz.

2. Es wird ein OAuth-Bildschirm angezeigt, auf dem Sie gefragt werden, ob Sie sourcemanager.dev Zugriff auf Ihr Google-Konto gewähren möchten.

3. Klicken Sie auf den Button Zulassen.

4. Die Secure Source Manager-Weboberfläche wird geöffnet. Über die Weboberfläche können Sie Repositories und alle zugehörigen Probleme und Pull-Anfragen erstellen und ansehen.

Nächste Schritte

• Nutzern Zugriff auf Instanzen gewähren
• Repository erstellen und klonen
• Nutzern Zugriff auf das Repository gewähren
• Zugriff mit IAM steuern