Automatizar a recriação de imagens de contêiner para sincronizar atualizações de imagens de base

O Cloud Workstations permite criar e usar imagens personalizadas para suas estações de trabalho. Depois que uma imagem personalizada estiver em uso, é útil automatizar uma recriação dela para extrair correções e atualizações disponíveis nas imagens de base.

Neste tutorial, você vai aprender a criar um pipeline automatizado para garantir que as atualizações e patches de segurança sejam incluídos nas imagens personalizadas da estação de trabalho.

Objetivos

Ao seguir este tutorial, você vai criar um pipeline automatizado para sua imagem de base com estas etapas:

1. Crie um repositório do Artifact Registry para armazenar e verificar sua imagem personalizada.
2. Configure o GitHub com Google Cloud para armazenar as configurações de imagem.
3. Crie um gatilho de build do Cloud Build para automatizar a criação e a implantação de imagens personalizadas no Artifact Registry.
4. Configure o Cloud Scheduler para iniciar builds regularmente.
5. Analise os resultados dos processos automatizados.

Custos

Neste documento, você vai usar os seguintes componentes faturáveis do Google Cloud:

• Cloud Build
• Cloud Scheduler
• Container Scanning
• Artifact Registry

Para gerar uma estimativa de custo com base na projeção de uso, use a calculadora de preços.

Novos Google Cloud usuários podem estar qualificados para um teste sem custo financeiro.

Ao concluir as tarefas descritas neste documento, é possível evitar o faturamento contínuo excluindo os recursos criados. Para mais informações, consulte Limpeza.

Antes de começar

Faça login na conta do Google Cloud . Se você começou a usar o Google Cloud, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

Prepare o ambiente

Antes de continuar, defina as seguintes variáveis de ambiente.

1. Defina o ID do projeto na nuvem que você planeja usar:

   PROJECT_ID=$PROJECT_ID
   

2. Defina o nome de usuário do GitHub em que você planeja armazenar o repositório:

   GITHUB_USER=$GITHUB_ID
   

3. Defina as variáveis PROJECT_NUMBER e REGION para usar durante o processo:

   PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
       --format='value(projectNumber)')
   
   REGION=$REGION
   

   No exemplo anterior, substitua $REGION pelo nome da região que você planeja usar, por exemplo, us-central1.

   Para mais informações sobre as regiões disponíveis, consulte Locais do Cloud Workstations.

Crie um repositório do Artifact Registry

Neste tutorial, você vai usar o Artifact Registry para armazenar e verificar suas imagens.

1. Crie um repositório com o seguinte comando:

   gcloud artifacts repositories create custom-images \
         --repository-format=docker \
         --location=$REGION \
         --description="Docker repository"
   

   Substitua $REGION pelo nome da região que você planeja usar.

2. Configure o Docker para usar suas credenciais da CLI gcloud ao acessar o Artifact Registry.

   gcloud auth configure-docker $REGION-docker.pkg.dev
   

   Observação: essa configuração também ativa a verificação automatizada de contêineres, que oferece a verificação de vulnerabilidades, mas tem um preço extra por imagem verificada. Confira os detalhes de preços.

   Para desativar o Artifact Analysis, execute o seguinte comando:

   gcloud services disable containerscanning.googleapis.com
   

Configure seu repositório do GitHub

Na prática, você mantém o Dockerfile das imagens personalizadas em um repositório Git. O processo automatizado acessa esse repositório durante o processo de build para extrair as configurações e o Dockerfile relevantes.

Bifurque o repositório de exemplo

Para bifurcar um repositório de exemplo que fornece definições de contêiner, siga estas etapas:

1. Clique neste link para criar uma nova bifurcação. do repositório software-delivery-workshop.
2. Se solicitado, faça login no GitHub.
3. Selecione seu nome de usuário do GitHub como proprietário. O nome do repositório aparece como software-delivery-workshop.
4. Clique em Criar bifurcação e aguarde alguns segundos até que o processo seja concluído.

Conecte o Cloud Build ao GitHub

Em seguida, conecte esse repositório ao Cloud Build usando o recurso de conexão do GitHub integrado. Clique no link para o repositório do GitHub e siga as instruções que descrevem como concluir o processo. Não é necessário criar o gatilho na última etapa do assistente, e você pode pular as últimas etapas porque é possível fazer isso mais tarde na linha de comando.

• Conecte o Cloud Build ao repositório do GitHub

Se você usar uma solução de repositório Git diferente, também poderá seguir as instruções para conectar o Cloud Build ao GitLab ou ao Bitbucket.

Crie um gatilho de build do Cloud Build

O repositório de exemplo contém uma definição de contêiner e uma configuração do Cloud Build usada para criar a imagem do contêiner. Nesta etapa, você vai criar um gatilho de build do Cloud Build que executa as instruções no cloudbuild.yaml arquivo encontrado na labs/cloudbuild-scheduled-jobs/code-oss-java labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Este exemplo configura o seguinte:

• O comando da CLI gcloud cria um gatilho manual no Cloud Build chamado custom-image-trigger, conforme indicado por a flag name na segunda linha.
• As três linhas seguintes contêm flags relacionadas ao repositório de origem do GitHub:
  • Caminho para o repositório
  • Tipo de repositório
  • Ramificação do Git para criar
• A flag build-config indica o caminho para o arquivo do Cloud Build no repositório Git.

• Para tornar o job dinâmico, use a flag substitutions. Para esse job, o comando transmite as seguintes variáveis:

  • Região, $_REGION
  • Nome do repositório do Artifact Registry, $_AR_REPO_NAME
  • Nome da imagem do contêiner, $_AR_IMAGE_NAME
  • Local do Dockerfile para criar, $_IMAGE_DIR

  Consulte o cloudbuild.yaml arquivo para saber como essas variáveis são usadas no processo.

• Depois que o gatilho é criado, o nome exclusivo dele é recuperado e armazenado na variável de ambiente $TRIGGER_ID para uso posterior.

Configurar o Cloud Scheduler

Para garantir que suas imagens estejam atualizadas com as atualizações e patches mais recentes, use o Cloud Scheduler para executar o gatilho do Cloud Build em uma frequência definida. Para este tutorial, o job é executado todos os dias. Na prática, defina isso para uma frequência alinhada às necessidades da sua organização para garantir que as atualizações mais recentes sejam sempre incluídas.

1. Conceda um papel necessário à conta de serviço padrão para invocar o gatilho de build do Cloud Build:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member="serviceAccount:$[e-mail]" \
       --role="roles/cloudbuild.builds.editor"
   

2. Conceda um papel necessário à conta de serviço do Cloud Build para fazer upload de imagens para o Artifact Registry:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:$[e-mail] \
       --role="roles/artifactregistry.admin"
   

3. Crie o job do Cloud Scheduler com o seguinte comando:

   gcloud scheduler jobs create http run-build \
       --schedule='0 1 * * *' \
       --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
       --location=us-central1 \
       --oauth-service-account-email=$[e-mail] \
       --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform
   

4. O job está definido para ser executado uma vez por dia. No entanto, para testar o recurso imediatamente, execute o job manualmente no Cloud Scheduler:

   Acessar o Cloud Scheduler

   1. Na página do Cloud Scheduler, encontre a entrada que você acabou de criar chamada run-build.
   2. Na coluna Ações, clique no menu "opções" more_vertMais para essa linha.
   3. Clique em Forçar a execução de um job para testar o sistema manualmente.

   4. Depois que o comando for executado, acesse a página de histórico do Cloud Build para analisar o progresso:

      Acessar Histórico do Cloud Build

Analisar os resultados

Como você ativou a API Container Scanning como parte do processo de configuração, o Artifact Registry verifica automaticamente as imagens em busca de vulnerabilidades de segurança.

Para analisar as vulnerabilidades:

1. Abra a página Repositórios do Artifact Registry:

   Acessar repositórios do Artifact Registry

2. Na lista de repositórios, clique em um repositório.

3. Clique em um nome de imagem. Os totais de vulnerabilidade de cada resumo de imagem aparecem na coluna Vulnerabilidades.

   

4. Para ver a lista de vulnerabilidades de uma imagem, clique no link na coluna Vulnerabilidades. A lista de vulnerabilidades mostra a gravidade, disponibilidade de uma correção e o nome do pacote que contém a vulnerabilidade.

   

Limpar

Para evitar cobranças na sua conta do Google Cloud pelos recursos usados neste tutorial, exclua o projeto que os contém ou mantenha o projeto e exclua os recursos individuais.

Para evitar cobranças na Google Cloud conta do pelos recursos usados nesta página, exclua os recursos que não são mais necessários.

Para excluir um Google Cloud projeto do Google Cloud console ou da gcloud CLI:

Console

Atenção: excluir um projeto tem os efeitos a seguir.

• Tudo no projeto é excluído. Se você tiver usado um projeto atual para as tarefas neste documento, a exclusão dele incluirá a exclusão de quaisquer outros trabalhos feitos nele.
• Os IDs do projeto personalizados são perdidos. Ao criar o projeto, você pode ter criado um ID do projeto personalizado para ser usado no futuro. Para preservar os URLs que usam o ID do projeto, como um URL appspot.com, exclua recursos específicos do projeto, em vez de excluir o projeto inteiro.

Se você planeja explorar várias arquiteturas, tutoriais e guias de início rápido, a reutilização de projetos pode evitar que você exceda limites da cota.

1. No Google Cloud console, acesse a página Gerenciar recursos.

   Acessar "Gerenciar recursos"

2. Na lista de projetos, selecione o projeto que você quer excluir e clique em Excluir.
3. Na caixa de diálogo, digite o ID do projeto e clique em Encerrar para excluí-lo.

gcloud

Atenção: excluir um projeto tem os efeitos a seguir.

• Tudo no projeto é excluído. Se você tiver usado um projeto atual para as tarefas neste documento, a exclusão dele incluirá a exclusão de quaisquer outros trabalhos feitos nele.
• Os IDs do projeto personalizados são perdidos. Ao criar o projeto, você pode ter criado um ID do projeto personalizado para ser usado no futuro. Para preservar os URLs que usam o ID do projeto, como um URL appspot.com, exclua recursos específicos do projeto, em vez de excluir o projeto inteiro.

Se você planeja explorar várias arquiteturas, tutoriais e guias de início rápido, a reutilização de projetos pode evitar que você exceda limites da cota.

Excluir um Google Cloud projeto do:

gcloud projects delete PROJECT_ID

Para mais informações sobre como excluir outros recursos, como clusters de estação de trabalho, configurações de estação de trabalho e estações de trabalho, consulte Excluir recursos.

A seguir

• Confira a lista de imagens de base pré-configuradas disponíveis.
• Personalize as imagens de contêiner.
• Confira os tipos de máquinas disponíveis.
• Configure as práticas recomendadas de segurança.
• Confira arquiteturas de referência, diagramas, tutoriais e práticas recomendadas do Google Cloud. Confira o Centro de arquitetura do Cloud.