Mengotomatiskan pembuatan ulang image container untuk menyinkronkan pembaruan image dasar

Menyiapkan lingkungan

Sebelum melanjutkan, pastikan Anda telah menetapkan variabel lingkungan berikut.

1. Tetapkan project ID untuk project cloud yang akan Anda gunakan:

   PROJECT_ID=$PROJECT_ID
   

2. Tetapkan nama pengguna GitHub tempat Anda berencana menyimpan repositori:

   GITHUB_USER=$GITHUB_ID
   

3. Tetapkan variabel PROJECT_NUMBER dan REGION yang akan digunakan selama proses:

   PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
       --format='value(projectNumber)')
   
   REGION=$REGION
   

   Dalam contoh sebelumnya, ganti $REGION dengan nama region yang akan Anda gunakan—misalnya, us-central1.

   Untuk mengetahui informasi selengkapnya tentang region yang tersedia, lihat Lokasi Cloud Workstations.

Membuat repositori Artifact Registry

Dalam tutorial ini, Anda akan menggunakan Artifact Registry untuk menyimpan dan memindai image.

1. Buat repositori dengan perintah berikut:

   gcloud artifacts repositories create custom-images \
         --repository-format=docker \
         --location=$REGION \
         --description="Docker repository"
   

   Ganti $REGION dengan nama region yang ingin Anda gunakan.

2. Konfigurasi Docker agar menggunakan kredensial CLI gcloud Anda saat mengakses Artifact Registry.

   gcloud auth configure-docker $REGION-docker.pkg.dev
   

   Untuk menonaktifkan Analisis Artefak, jalankan perintah berikut:

   gcloud services disable containerscanning.googleapis.com
   

Konfigurasi repositori GitHub Anda

Dalam praktiknya, Anda menyimpan Dockerfile untuk image kustom di repositori Git. Proses otomatis mengakses repositori tersebut selama proses build untuk menarik konfigurasi dan Dockerfile yang relevan.

Lakukan fork repositori contoh

Untuk membuat fork repositori contoh yang menyediakan definisi container, ikuti langkah-langkah berikut:

1. Klik link ini untuk Membuat fork baru. dari repositori software-delivery-workshop.
2. Jika diminta, login ke GitHub.
3. Pilih nama pengguna GitHub Anda sebagai Pemilik. Nama Repositori akan muncul sebagai software-delivery-workshop.
4. Klik Create fork dan tunggu beberapa detik hingga proses selesai.

Menghubungkan Cloud Build ke GitHub

Selanjutnya, hubungkan repositori tersebut ke Cloud Build menggunakan kemampuan koneksi GitHub bawaan. Klik link ke repositori GitHub dan ikuti petunjuk yang menjelaskan cara menyelesaikan prosesnya. Anda tidak perlu membuat pemicu di langkah terakhir wizard, dan Anda dapat melewati langkah terakhir karena Anda dapat melakukannya nanti dari command line.

• Menghubungkan Cloud Build ke repositori GitHub

Jika menggunakan solusi repositori Git yang berbeda, Anda juga dapat mengikuti petunjuk untuk menghubungkan Cloud Build ke GitLab atau Bitbucket.

Membuat pemicu Cloud Build

Repositori contoh berisi definisi container dan konfigurasi Cloud Build yang digunakan untuk membangun image container. Pada langkah ini, Anda akan membuat pemicu Cloud Build yang menjalankan petunjuk dalam file cloudbuild.yaml yang dapat Anda temukan di folder labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Contoh ini mengonfigurasi hal berikut:

• Perintah CLI gcloud membuat pemicu manual dalam Cloud Build bernama custom-image-trigger seperti yang ditunjukkan oleh flag name pada baris kedua.
• Tiga baris berikutnya berisi tanda terkait repositori GitHub sumber:
  • Jalur ke repositori
  • Jenis repositori
  • Cabang Git yang akan di-build
• Flag build-config menunjukkan jalur ke file Cloud Build di repositori Git.

• Untuk membuat tugas menjadi dinamis, gunakan tanda substitutions. Untuk tugas ini, perintah meneruskan variabel berikut:

  • Wilayah, $_REGION
  • Nama repositori Artifact Registry, $_AR_REPO_NAME
  • Nama image container, $_AR_IMAGE_NAME
  • Lokasi Dockerfile yang akan dibangun, $_IMAGE_DIR

  Lihat file cloudbuild.yaml untuk melihat cara penggunaan variabel ini dalam proses.

• Setelah pemicu dibuat, nama unik pemicu akan diambil dan disimpan dalam variabel lingkungan $TRIGGER_ID untuk digunakan nanti.

Mengonfigurasi Cloud Scheduler

Untuk membantu memastikan bahwa image Anda selalu diupdate dengan patch dan update terbaru, gunakan Cloud Scheduler untuk menjalankan pemicu Cloud Build dengan frekuensi yang ditetapkan. Untuk tutorial ini, tugas berjalan setiap hari. Dalam praktiknya, tetapkan frekuensi ini sesuai dengan kebutuhan organisasi Anda untuk membantu memastikan bahwa pembaruan terbaru selalu disertakan.

1. Memberikan peran yang diperlukan ke akun layanan default untuk memanggil pemicu Cloud Build:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member="serviceAccount:$PROJECT_NUMBER-compute@developer.gserviceaccount.com" \
       --role="roles/cloudbuild.builds.editor"
   

2. Berikan peran yang diperlukan ke akun layanan Cloud Build untuk mengupload image ke Artifact Registry:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com \
       --role="roles/artifactregistry.admin"
   

3. Buat tugas Cloud Scheduler dengan perintah berikut:

   gcloud scheduler jobs create http run-build \
       --schedule='0 1 * * *' \
       --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
       --location=us-central1 \
       --oauth-service-account-email=$PROJECT_NUMBER-compute@developer.gserviceaccount.com \
       --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform
   

4. Tugas ini ditetapkan untuk dieksekusi satu kali setiap hari; namun, untuk menguji fitur ini secara langsung, jalankan tugas secara manual dari Cloud Scheduler:

   Buka Cloud Scheduler

   1. Di halaman Cloud Scheduler, temukan entri yang baru saja Anda buat bernama run-build.
   2. Di kolom Tindakan, klik menu opsi more_vertLainnya untuk baris tersebut.
   3. Klik Paksa tugas dijalankan untuk menguji sistem secara manual.

   4. Setelah perintah berhasil dijalankan, beralihlah ke halaman histori Cloud Build untuk meninjau progres:

      Buka Histori Cloud Build

Meninjau hasil

Karena Anda mengaktifkan Container Scanning API sebagai bagian dari proses penyiapan, Artifact Registry akan otomatis memindai image untuk mendeteksi kerentanan keamanan.

Untuk meninjau kerentanan:

1. Buka halaman Repositori Artifact Registry:

   Buka Repositori Artifact Registry

2. Di daftar repositori, klik repositori.

3. Klik nama gambar. Jumlah total kerentanan untuk setiap ringkasan gambar muncul di kolom Kerentanan.

   

4. Untuk melihat daftar kerentanan pada image, klik link di kolom Kerentanan. Daftar kerentanan menunjukkan keparahan, ketersediaan perbaikan, dan nama paket yang berisi kerentanan.