Configurazione delle notifiche Pub/Sub

Quando vengono apportate modifiche al repository Container Registry, ad esempio quando le immagini vengono sottoposte a push, taggate o eliminate, puoi ricevere notifiche utilizzando Pub/Sub.

Pub/Sub pubblica messaggi sul tuo repository in risorse denominate argomenti. Questi messaggi vengono ricevuti dalle applicazioni sottoscritte agli argomenti Pub/Sub. Le applicazioni degli abbonati inviano notifiche quando lo stato del repository cambia.

Inoltre, puoi configurare ruoli e autorizzazioni per gli argomenti Pub/Sub per controllare il modo in cui gli utenti interagiscono con il tuo repository.

Per supportare la transizione da Container Registry ad Artifact Registry, Artifact Registry pubblica i messaggi nello stesso argomento di Container Registry.

Per informazioni sulla configurazione delle notifiche di Artifact Analysis per attività come i nuovi risultati dell'analisi delle vulnerabilità, consulta la documentazione di Artifact Analysis.

crea un argomento Pub/Sub

Quando attivi l'API Container Registry in un progetto Google Cloud, Container Registry crea automaticamente un argomento Pub/Sub con l'ID argomento gcr.

Se l'argomento gcr è stato eliminato per errore o non è presente, puoi aggiungerlo autonomamente. Ad esempio, l'argomento potrebbe non essere presente se la tua organizzazione Google Cloud ha un vincolo dei criteri dell'organizzazione che richiede la crittografia con chiavi di crittografia gestite dal cliente (CMEK). Quando l'API Pub/Sub è nell'elenco di rifiuto di questa limitazione, i servizi non possono creare automaticamente argomenti con chiavi di crittografia gestite da Google.

Per creare l'argomento gcr con chiavi di crittografia gestite da Google:

gcloud pubsub topics create gcr --project=PROJECT-ID

Per creare l'argomento gcr con crittografia CMEK, consulta le istruzioni di Pub/Sub per la crittografia degli argomenti.

Dopo aver creato l'argomento gcr o averne verificato l'esistenza, puoi creare una sottoscrizione all'argomento.

Creare una sottoscrizione Pub/Sub

Ogni argomento Pub/Sub deve avere una sottoscrizione.

Un'applicazione sottoscrittore riceve i messaggi dall'argomento del tuo repository. Gli iscritti svolgono attività come notifiche di eventi, registrazione di log di sistema e comunicazione tra applicazioni.

Le sottoscrizioni possono essere configurate in modo da utilizzare un modello push o un modello pull.

Per creare una sottoscrizione:

gcloud pubsub subscriptions create [SUBSCRIPTION-NAME] --topic=gcr

Configurazione delle autorizzazioni Pub/Sub

Utilizza il controllo dell'accesso Pub/Sub per configurare le autorizzazioni per il progetto e le risorse. I controlli dell'accesso mantengono il tuo repository al sicuro e ti consentono di gestire le autorizzazioni utente utilizzando l'accesso basato sui ruoli.

Puoi configurare i controlli di accesso Pub/Sub nella pagina IAM della console Google Cloud o tramite l'API IAM.

• Per configurare le autorizzazioni per la pubblicazione, utilizza uno dei seguenti ruoli: proprietario, editor, pubsub.admin, pubsub.editor, pubsub.publisher. I principali che eseguono il push o l'eliminazione di immagini dal registry devono disporre dell'autorizzazione pubsub.topics.publish per pubblicare un messaggio in Pub/Sub.

• Per configurare le autorizzazioni per l'abbonamento, utilizza uno dei seguenti ruoli: proprietario, editor, pubsub.admin, pubsub.editor, pubsub.subscriber.

Esempi di notifiche

Le notifiche vengono inviate come stringhe in formato JSON. Di seguito sono riportati alcuni esempi di cosa aspettarsi quando si ricevono notifiche di Container Registry da Pub/Sub.

Quando viene eseguito il push di un'immagine in Container Registry, il payload della notifica potrebbe avere il seguente aspetto:

{
  "action":"INSERT",
  "digest":"gcr.io/my-project/hello-world@sha256:6ec128e26cd5..."
}

Quando viene eseguito il push di un nuovo tag in Container Registry, il payload della notifica potrebbe avere il seguente aspetto:

{
  "action":"INSERT",
  "digest":"gcr.io/my-project/hello-world@sha256:6ec128e26cd5...",
  "tag":"gcr.io/my-project/hello-world:1.1"
}

Il messaggio identifica l'immagine pertinente utilizzando una chiave digest o tag.

Quando un tag viene eliminato da Container Registry, il payload della notifica potrebbe avere il seguente aspetto:

{
  "action":"DELETE",
  "tag":"gcr.io/my-project/hello-world:1.1"
}

Il messaggio potrebbe contenere DELETE o INSERT come valori per la chiave action.

Passaggi successivi

• Leggi la documentazione di Pub/Sub.
• Per una spiegazione approfondita di Pub/Sub, consulta Che cos'è Pub/Sub?
• Scopri di più sui ruoli di controllo dell'accesso Pub/Sub.