Implantar no Cloud Run e conferir insights de segurança

Definir configurações padrão

1. Defina uma variável de ambiente para o ID do projeto:

   export PROJECT_ID=$(gcloud config get project)
   

2. Defina a região padrão para o Cloud Deploy:

   gcloud config set deploy/region us-central1
   

Conceder acesso

Conceda papéis do IAM à conta de serviço padrão do Compute Engine. Isso é necessário para o Cloud Deploy para implantar cargas de trabalho no Cloud Run.

 gcloud projects add-iam-policy-binding $PROJECT_ID \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/clouddeploy.jobRunner"
 gcloud iam service-accounts add-iam-policy-binding $(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/iam.serviceAccountUser" \
     --project=$PROJECT_ID
 gcloud projects add-iam-policy-binding $PROJECT_ID \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/run.developer"

Se você tiver problemas para adicionar um desses papéis, entre em contato com o administrador do projeto.

Criar um repositório do Docker no Artifact Registry

1. Crie um novo repositório do Docker chamado containers no local us-central1 com a descrição "repositório do Docker":

   gcloud artifacts repositories create containers --repository-format=docker \
       --location=us-central1 --description="Docker repository"
   

2. Verifique se o repositório foi criado:

   gcloud artifacts repositories list
   

   Você verá containers na lista de objetos repositórios.

Preparar aplicativo de amostra

Você precisará de um código-fonte de amostra para criar e implantar. Nesta seção, você vai clonar um repositório de origem que contém um exemplo de código Java.

1. Clone o repositório que contém o exemplo de código Java:

   git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
   cd software-delivery-shield-demo-java/backend
   

2. Atualize cloudrun.clouddeploy.yaml para substituir PROJECT_ID pelo ID do projeto:

   sed -i "s/PROJECT_ID/${PROJECT_ID}/g" cloudrun.clouddeploy.yaml
   

Criar o aplicativo

1. Criar e conteinerizar o aplicativo Java usando o Cloud Build. O o comando a seguir cria e conteineriza o aplicativo Java e armazena os contêiner criado no repositório Docker do Artifact Registry:

   gcloud builds submit --config=cloudbuild.yaml --region=us-central1
   

   Após a conclusão do build, você verá uma mensagem de status de sucesso semelhante à seguintes:

   DONE
   -----------------------------------------------------------------------------
   ID: 3e08565f-7f57-4449-bc68-51c46cf33d03
   CREATE_TIME: 2022-09-19T15:41:07+00:00
   DURATION: 54S
   SOURCE: gs://sds-docs-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f78055e9.tgz
   IMAGES: us-central1-docker.pkg.dev/sds-docs-project/containers/java-guestbook-backend:quickstart
   STATUS: SUCCESS
   

Gerar SBOM para a imagem criada

Um SBOM é um inventário completo de um aplicativo, que identifica os pacotes em que o software depende. O conteúdo pode incluir softwares de terceiros de fornecedores, artefatos internos e bibliotecas de código aberto.

Gere o SBOM para a imagem criada na seção anterior:

gcloud artifacts sbom export \
    --uri=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart

Implantar o contêiner no Cloud Run usando o Cloud Deploy

1. Registre o pipeline e os destinos no serviço do Cloud Deploy:

   gcloud deploy apply --file cloudrun.clouddeploy.yaml
   

   Agora você tem um pipeline com destinos prontos para implantar o aplicativo no primeiro destino.

2. Para verificar se o pipeline existe, acesse a página Pipelines de entrega No console do Google Cloud:

   Abrir a página "Pipelines de entrega"

   O pipeline de entrega que você acabou de criar, cloudrun-guestbook-backend-delivery é exibido.

3. Clique em cloudrun-guestbook-backend-delivery para monitorar o progresso. O A página Detalhes do pipeline de entrega será aberta.

4. No Cloud Shell, crie uma versão no Cloud Deploy:

   gcloud deploy releases create test-release-007 \
       --delivery-pipeline=cloudrun-guestbook-backend-delivery \
       --skaffold-file=cloudrun.skaffold.yaml \
       --images=java-guestbook-backend=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart
   

   A nova versão aparece na seção Versões na página Detalhes do pipeline de entrega.

5. Monitore a visualização Visualização do pipeline em Pipeline de entrega. detalhes até que o botão Promover seja exibido para dev-cluster. Você talvez seja necessário atualizar a página.

6. No primeiro destino na visualização do pipeline de entrega, cloudrun-dev, Clique em Promover.

   A caixa de diálogo Promover versão é exibida. Ela mostra os detalhes do destino que você está promovendo.

7. Clique em Promover.

   A versão agora está na fila para implantação em cloudrun-prod. Quando a implantação estiver concluída, a visualização do pipeline de entrega a mostrará como implantada:

   

Conferir insights de segurança no Cloud Deploy

1. Abra a página Pipelines de entrega do Cloud Deploy na console do Google Cloud.

   Abrir a página do Cloud Deploy

2. Na tabela Pipelines de entrega, clique em cloudrun-guestbook-backend-delivery.

3. Na página Detalhes dos pipelines de entrega, clique em test-release-008.

4. Na página Detalhes da versão, clique na guia Artefatos.

5. Na tabela Build artifacts, localize a linha com o artefato java-guestbook-backend e, na coluna Security insights correspondente, clique em View.

Você verá o painel Segurança do Software Delivery Shield para a implantação.

Esse painel mostra as seguintes informações:

• Nível SLSA: esta versão atingiu o nível 3 de SLSA. Clique no botão Saiba mais para saber o que esse nível de segurança significa.

• Vulnerabilidades:todas as vulnerabilidades encontradas nos artefatos. Clique no botão da imagem (java-guestbook-backend) para ver os artefatos que foram e verificados em busca de vulnerabilidades.

• Dependências dos artefatos de compilação.

• Detalhes da versão:detalhes da versão, como o builder e o link para e conferir os registros.

Mostrar insights de segurança no Cloud Run

1. Abra a página Serviços do Cloud Run.

   Abrir a página Serviços do Cloud Run

2. Na tabela Services do Cloud Run, clique em guestbook-backend-prod.

3. Na página Detalhes do serviço, clique em Revisões.

4. No painel Revisões, clique em Segurança.

Você verá o painel Segurança do Software Delivery Shield para a implantação.

Esse painel exibe as seguintes informações:

• Identidade e criptografia: o endereço de e-mail do endereço de e-mail padrão do Compute Engine conta de serviço e a chave de criptografia usada para a implantação.

• Nível SLSA: esta versão atingiu o nível 3 de SLSA. Clique no botão Saiba mais para saber o que esse nível de segurança significa.

• Vulnerabilidades:todas as vulnerabilidades encontradas nos artefatos. Clique no botão da imagem (java-guestbook-backend) para ver os artefatos que foram e verificados em busca de vulnerabilidades.

• Dependências dos artefatos de compilação.

• Detalhes da versão:detalhes da versão, como o builder e o link para e conferir os registros.