Automatiser la recompilation des images de conteneur pour synchroniser les mises à jour des images de base

Préparer l'environnement

Avant de continuer, assurez-vous de définir les variables d'environnement suivantes.

1. Définissez l'ID du projet cloud que vous prévoyez d'utiliser:

   PROJECT_ID=$PROJECT_ID
   

2. Définissez le nom d'utilisateur GitHub sur lequel vous prévoyez de stocker votre dépôt:

   GITHUB_USER=$GITHUB_ID
   

3. Définissez les variables PROJECT_NUMBER et REGION à utiliser tout au long du processus:

   PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
       --format='value(projectNumber)')
   
   REGION=$REGION
   

   Dans l'exemple précédent, remplacez $REGION par le nom de la région que vous prévoyez d'utiliser (par exemple, us-central1).

   Pour en savoir plus sur les régions disponibles, consultez la section Emplacements de Cloud Workstations.

Créer un dépôt Artifact Registry

Dans ce tutoriel, vous allez utiliser Artifact Registry pour stocker et analyser vos images.

1. Créez un dépôt à l'aide de la commande suivante:

   gcloud artifacts repositories create custom-images \
         --repository-format=docker \
         --location=$REGION \
         --description="Docker repository"
   

   Remplacez $REGION par le nom de la région que vous prévoyez d'utiliser.

2. Configurez Docker pour qu'il utilise vos identifiants gcloud CLI lorsque vous accédez à Artifact Registry.

   gcloud auth configure-docker $REGION-docker.pkg.dev
   

   Pour désactiver Artifact Analysis, exécutez la commande suivante:

   gcloud services disable containerscanning.googleapis.com
   

Configurer votre dépôt GitHub

En pratique, vous conservez le fichier Dockerfile de vos images personnalisées dans un dépôt Git. Le processus automatisé accède à ce dépôt pendant le processus de compilation pour extraire les configurations et le fichier Dockerfile appropriés.

Dupliquer l'exemple de dépôt

Pour créer une duplication d'un exemple de dépôt fournissant des définitions de conteneur, procédez comme suit:

1. Cliquez sur ce lien pour créer un fork du dépôt software-delivery-workshop.
2. Si vous y êtes invité, connectez-vous à GitHub.
3. Sélectionnez votre nom d'utilisateur GitHub comme propriétaire. Le nom du dépôt s'affiche sous la forme software-delivery-workshop.
4. Cliquez sur Créer une fourchette, puis patientez quelques secondes que le processus se termine.

Connecter Cloud Build à GitHub

Connectez ensuite ce dépôt à Cloud Build à l'aide de la fonctionnalité de connexion GitHub intégrée. Cliquez sur le lien vers le dépôt GitHub, puis suivez les instructions pour effectuer le processus. Vous n'avez pas besoin de créer le déclencheur à la dernière étape de l'assistant. Vous pouvez ignorer les dernières étapes, car vous pourrez le faire plus tard à partir de la ligne de commande.

• Connecter Cloud Build au dépôt GitHub

Si vous utilisez une autre solution de dépôt Git, vous pouvez également suivre les instructions pour connecter Cloud Build à GitLab ou à Bitbucket.

Créer un déclencheur Cloud Build

L'exemple de dépôt contient une définition de conteneur et une configuration Cloud Build utilisée pour créer l'image du conteneur. À cette étape, vous créez un déclencheur Cloud Build qui exécute les instructions du fichier cloudbuild.yaml, que vous trouverez dans le dossier labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Cet exemple configure les éléments suivants:

• La commande CLI gcloud crée un déclencheur manuel dans Cloud Build nommé custom-image-trigger, comme indiqué par l'indicateur name sur la deuxième ligne.
• Les trois lignes suivantes contiennent des indicateurs liés au dépôt GitHub source :
  • Chemin d'accès au dépôt
  • Type de dépôt
  • Branche Git à compiler
• L'option build-config indique le chemin d'accès au fichier Cloud Build dans le dépôt Git.

• Pour rendre la tâche dynamique, utilisez l'option substitutions. Pour cette tâche, la commande transmet les variables suivantes:

  • Région, $_REGION
  • Nom du dépôt Artifact Registry, $_AR_REPO_NAME
  • Nom de l'image du conteneur, $_AR_IMAGE_NAME
  • Emplacement du fichier Dockerfile à compiler, $_IMAGE_DIR

  Consultez le fichier cloudbuild.yaml pour voir comment ces variables sont utilisées dans le processus.

• Une fois le déclencheur créé, son nom unique est récupéré et stocké dans la variable d'environnement $TRIGGER_ID pour une utilisation ultérieure.

Configurer Cloud Scheduler

Pour vous assurer que vos images sont à jour avec les dernières mises à jour et correctifs, utilisez Cloud Scheduler pour exécuter le déclencheur Cloud Build à une fréquence définie. Pour ce tutoriel, la tâche s'exécute tous les jours. En pratique, définissez cette fréquence en fonction des besoins de votre organisation pour vous assurer que les dernières mises à jour sont toujours incluses.

1. Attribuez un rôle requis au compte de service par défaut pour appeler le déclencheur Cloud Build:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member="serviceAccount:$PROJECT_NUMBER-compute@developer.gserviceaccount.com" \
       --role="roles/cloudbuild.builds.editor"
   

2. Attribuez un rôle requis au compte de service Cloud Build pour importer des images dans Artifact Registry:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com \
       --role="roles/artifactregistry.admin"
   

3. Créez la tâche Cloud Scheduler à l'aide de la commande suivante:

   gcloud scheduler jobs create http run-build \
       --schedule='0 1 * * *' \
       --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
       --location=us-central1 \
       --oauth-service-account-email=$PROJECT_NUMBER-compute@developer.gserviceaccount.com \
       --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform
   

4. La tâche est définie pour s'exécuter une fois par jour. Toutefois, pour tester immédiatement la fonctionnalité, exécutez-la manuellement à partir de Cloud Scheduler:

   Accéder à Cloud Scheduler

   1. Sur la page Cloud Scheduler, recherchez l'entrée que vous venez de créer, appelée run-build.
   2. Dans la colonne "Actions", cliquez sur le menu d'options more_vertPlus de cette ligne.
   3. Cliquez sur Forcer l'exécution d'une tâche pour tester manuellement le système.

   4. Une fois la commande exécutée, accédez à la page "Historique de Cloud Build" pour examiner la progression:

      Accéder à l'historique de Cloud Build

Étudier les résultats

Comme vous avez activé l'API Container Scanning lors du processus de configuration, Artifact Registry analyse automatiquement les images à la recherche de failles de sécurité.

Pour examiner les failles:

1. Ouvrez la page "Dépôts Artifact Registry" :

   Accéder aux dépôts Artifact Registry

2. Dans la liste des dépôts, cliquez sur un dépôt.

3. Cliquez sur un nom d'image. Le nombre total de failles pour chaque récapitulatif d'image s'affiche dans la colonne Vulnerabilities (Failles).

   

4. Pour afficher la liste des failles d'une image, cliquez sur le lien dans la colonne Vulnerabilities (Failles). Les informations sur la gravité, la disponibilité d'un correctif et le nom du package contenant la faille sont affichées dans la liste des failles.