Mengotomatiskan pembuatan ulang image container untuk menyinkronkan pembaruan image dasar

Cloud Workstations memungkinkan Anda membuat dan menggunakan image kustom untuk workstation Anda. Setelah image kustom digunakan, sebaiknya otomatiskan pembangunan ulang image kustom untuk menarik perbaikan dan update yang tersedia di image dasar.

Dalam tutorial ini, Anda akan mempelajari cara membangun pipeline otomatis untuk membantu memastikan Anda menyertakan update dan patch keamanan dalam image workstation kustom Anda.

Tujuan

Dengan mengikuti tutorial ini, Anda akan membangun pipeline otomatis untuk image dasar Anda dengan langkah-langkah berikut:

1. Buat repositori Artifact Registry untuk menyimpan dan memindai image kustom Anda.
2. Konfigurasi GitHub dengan Google Cloud untuk menyimpan konfigurasi image Anda.
3. Buat pemicu Cloud Build untuk mengotomatiskan pembuatan dan deployment image kustom ke Artifact Registry.
4. Konfigurasi Cloud Scheduler untuk memulai build secara berkala.
5. Tinjau hasil proses otomatis.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen yang dapat ditagih berikut Google Cloud:

• Cloud Build
• Cloud Scheduler
• Container Scanning
• Artifact Registry

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Pengguna Google Cloud baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Setelah menyelesaikan tugas yang dijelaskan dalam dokumen ini, Anda dapat menghindari penagihan berkelanjutan dengan menghapus resource yang Anda buat. Untuk mengetahui informasi selengkapnya, baca bagian Pembersihan.

Sebelum memulai

Login keakun Anda. Google Cloud Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Menyiapkan lingkungan

Sebelum melanjutkan, pastikan Anda menetapkan variabel lingkungan berikut.

1. Tetapkan ID project untuk project cloud yang akan Anda gunakan:

   PROJECT_ID=$PROJECT_ID
   

2. Tetapkan nama pengguna GitHub tempat Anda berencana menyimpan repositori:

   GITHUB_USER=$GITHUB_ID
   

3. Tetapkan variabel PROJECT_NUMBER dan REGION untuk digunakan melalui proses:

   PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
       --format='value(projectNumber)')
   
   REGION=$REGION
   

   Pada contoh sebelumnya, ganti $REGION dengan nama region yang akan Anda gunakan—misalnya, us-central1.

   Untuk mengetahui informasi selengkapnya tentang region yang tersedia, lihat Lokasi Cloud Workstations.

Membuat repositori Artifact Registry

Dalam tutorial ini, Anda akan menggunakan Artifact Registry untuk menyimpan dan memindai image Anda.

1. Buat repositori dengan perintah berikut:

   gcloud artifacts repositories create custom-images \
         --repository-format=docker \
         --location=$REGION \
         --description="Docker repository"
   

   Ganti $REGION dengan nama region yang akan Anda gunakan.

2. Konfigurasi Docker untuk menggunakan kredensial gcloud CLI Anda saat mengakses Artifact Registry.

   gcloud auth configure-docker $REGION-docker.pkg.dev
   

   Catatan: Perlu diingat bahwa konfigurasi ini juga mengaktifkan pemindaian container otomatis, yang menyediakan pemindaian kerentanan tetapi memiliki harga tambahan per image yang dipindai. Lihat detail harga.

   Untuk menonaktifkan Artifact Analysis, jalankan perintah berikut:

   gcloud services disable containerscanning.googleapis.com
   

Mengonfigurasi repositori GitHub Anda

Dalam praktiknya, Anda menyimpan Dockerfile untuk image kustom Anda di repositori Git. Proses otomatis mengakses repositori tersebut selama proses build untuk menarik konfigurasi dan Dockerfile yang relevan.

Membuat fork repositori contoh

Untuk membuat fork repositori contoh yang menyediakan definisi container, ikuti langkah-langkah berikut:

1. Klik link ini untuk Membuat fork baru. repositori software-delivery-workshop.
2. Login ke GitHub, jika diminta.
3. Pilih nama pengguna GitHub Anda sebagai Pemilik. Nama Repositori akan muncul sebagai software-delivery-workshop.
4. Klik Create fork dan tunggu beberapa detik hingga prosesnya selesai.

Menghubungkan Cloud Build ke GitHub

Selanjutnya, hubungkan repositori tersebut ke Cloud Build menggunakan kemampuan koneksi GitHub bawaan. Klik link ke repositori GitHub dan ikuti petunjuk yang menjelaskan cara menyelesaikan proses. Anda tidak perlu membuat pemicu pada langkah terakhir wizard, dan Anda dapat melewati langkah terakhir karena dapat melakukannya nanti dari command line.

• Menghubungkan Cloud Build ke repositori GitHub

Jika menggunakan solusi repositori Git yang berbeda, Anda juga dapat mengikuti petunjuk untuk menghubungkan Cloud Build ke GitLab atau Bitbucket.

Membuat pemicu Cloud Build

Repositori contoh berisi definisi container dan konfigurasi Cloud Build yang digunakan untuk membangun image container. Pada langkah ini, Anda akan membuat pemicu Cloud Build yang menjalankan petunjuk dalam file cloudbuild.yamlyang dapat Anda temukan di folder labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Contoh ini mengonfigurasi hal berikut:

• Perintah gcloud CLI membuat pemicu manual dalam Cloud Build yang diberi nama custom-image-trigger seperti yang ditunjukkan oleh flag name pada baris kedua.
• Tiga baris berikutnya berisi flag yang terkait dengan repositori GitHub sumber:
  • Jalur ke repositori
  • Jenis repositori
  • Cabang Git yang akan dibangun
• Flag build-config menunjukkan jalur ke file Cloud Build di repositori Git.

• Untuk membuat tugas menjadi dinamis, gunakan flag substitutions. Untuk tugas ini, perintah akan meneruskan variabel berikut:

  • Region, $_REGION
  • Nama repositori Artifact Registry, $_AR_REPO_NAME
  • Nama image container, $_AR_IMAGE_NAME
  • Lokasi Dockerfile yang akan dibangun, $_IMAGE_DIR

  Lihat file cloudbuild.yaml untuk melihat cara variabel ini digunakan dalam proses.

• Setelah pemicu dibuat, nama unik pemicu akan diambil dan disimpan dalam variabel lingkungan $TRIGGER_ID untuk digunakan nanti.

Mengonfigurasi Cloud Scheduler

Untuk membantu memastikan image Anda selalu diperbarui dengan update dan patch terbaru, gunakan Cloud Scheduler untuk menjalankan pemicu Cloud Build pada frekuensi yang ditetapkan. Untuk tutorial ini, tugas akan berjalan setiap hari. Dalam praktiknya, tetapkan frekuensi ini sesuai dengan kebutuhan organisasi Anda untuk membantu memastikan update terbaru selalu disertakan.

1. Berikan peran yang diperlukan ke akun layanan default untuk memanggil pemicu Cloud Build:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member="serviceAccount:$[e-mail]" \
       --role="roles/cloudbuild.builds.editor"
   

2. Berikan peran yang diperlukan ke akun layanan Cloud Build untuk mengupload image ke Artifact Registry:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:$[e-mail] \
       --role="roles/artifactregistry.admin"
   

3. Buat tugas Cloud Scheduler dengan perintah berikut:

   gcloud scheduler jobs create http run-build \
       --schedule='0 1 * * *' \
       --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
       --location=us-central1 \
       --oauth-service-account-email=$[e-mail] \
       --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform
   

4. Tugas ini ditetapkan untuk dijalankan satu kali setiap hari; namun, untuk menguji fitur ini secara langsung, jalankan tugas secara manual dari Cloud Scheduler:

   Buka Cloud Scheduler

   1. Di halaman Cloud Scheduler, temukan entri yang baru saja Anda buat bernama run-build.
   2. Di kolom Actions, klik menu opsi more_vertMore untuk baris tersebut.
   3. Klik Force a job run untuk menguji sistem secara manual.

   4. Setelah perintah berhasil dijalankan, beralihlah ke halaman histori Cloud Build untuk meninjau progres:

      Buka Histori Cloud Build

Meninjau hasil

Karena Anda mengaktifkan Container Scanning API sebagai bagian dari proses penyiapan, Artifact Registry akan otomatis memindai image untuk mencari kerentanan keamanan.

Untuk meninjau kerentanan:

1. Buka halaman Repositori Artifact Registry:

   Buka Repositori Artifact Registry

2. Di daftar repositori, klik repositori.

3. Klik nama image. Total kerentanan untuk setiap ringkasan image akan muncul di kolom Vulnerabilities.

   

4. Untuk melihat daftar kerentanan untuk image, klik link di kolom Vulnerabilities. Daftar kerentanan menampilkan tingkat keparahan, ketersediaan perbaikan, dan nama paket yang berisi kerentanan.

   

Pembersihan

Agar tidak perlu membayar biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project dan hapus setiap resource.

Agar akun Anda Google Cloud tidak dikenai biaya untuk resource yang digunakan pada halaman ini, pastikan Anda ingat untuk menghapus resource yang tidak lagi Anda perlukan.

Untuk menghapus Google Cloud project dari Google Cloud konsolatau dari gcloud CLI:

Konsol

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika menggunakan project yang sudah ada untuk tugas dalam dokumen ini, saat Anda menghapusnya, pekerjaan lain yang telah Anda lakukan dalam project tersebut juga akan terhapus.
• Project ID kustom hilang. Saat membuat project ini, Anda mungkin telah membuat project ID kustom yang ingin digunakan di masa mendatang. Untuk mempertahankan URL yang menggunakan project ID, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial, atau panduan memulai, Anda dapat menggunakan kembali project agar tidak melampaui batas kuota project.

1. Di Google Cloud konsol, buka halaman Manage resources.

   Buka Kelola resource

2. Pada daftar project, pilih project yang Anda ingin Anda hapus, lalu klik Delete.
3. Pada dialog, ketik project ID, lalu klik Shut down untuk menghapus project.

gcloud

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika menggunakan project yang sudah ada untuk tugas dalam dokumen ini, saat Anda menghapusnya, pekerjaan lain yang telah Anda lakukan dalam project tersebut juga akan terhapus.
• Project ID kustom hilang. Saat membuat project ini, Anda mungkin telah membuat project ID kustom yang ingin digunakan di masa mendatang. Untuk mempertahankan URL yang menggunakan project ID, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial, atau panduan memulai, Anda dapat menggunakan kembali project agar tidak melampaui batas kuota project.

Hapus a Google Cloud project:

gcloud projects delete PROJECT_ID

Untuk mengetahui informasi selengkapnya tentang cara menghapus resource lain, seperti cluster workstation, konfigurasi workstation, dan workstation, lihat Menghapus resource.

Langkah berikutnya

• Tinjau daftar image dasar bawaan yang tersedia dan telah dikonfigurasi .
• Sesuaikan image container Anda.
• Tinjau jenis mesin yang tersedia.
• Siapkan praktik terbaik keamanan.
• Pelajari arsitektur referensi, diagram, dan praktik terbaik tentang Google Cloud. Lihat Cloud Architecture Center kami.