התחברות למארח GitLab

בדף הזה מוסבר איך לחבר מארח GitLab ל-Cloud Build.

לפני שמתחילים

  • מפעילים את Cloud Build API ואת Secret Manager API.

    תפקידים שנדרשים להפעלת ממשקי API

    כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    הפעלת ממשקי ה-API

התחברות למארח GitLab

לפני שיוצרים חיבור מארח למופע GitLab, צריך ליצור אסימוני גישה אישיים ב-GitLab. לשם כך, מבצעים את השלבים הבאים:

  1. מתחברים לחשבון ב-GitLab.

  2. בדף GitLab של המופע, לוחצים על הדמות בפינה השמאלית העליונה.

  3. לוחצים על עריכת הפרופיל.

  4. בסרגל הצד שמימין, לוחצים על Access tokens (אסימוני גישה).

    מוצג הדף Personal Access Tokens (אסימוני גישה אישיים).

  5. יוצרים אסימון גישה עם היקף api כדי להשתמש בו לחיבור מאגרי מידע וניתוק שלהם.

  6. יוצרים אסימון גישה עם ההיקף read_api כדי לוודא שמאגרי Cloud Build יוכלו לגשת לקוד המקור במאגרים.

המסוף

כדי לחבר את המארח שלכם ב-GitLab ל-Cloud Build:

  1. פותחים את הדף Repositories במסוף Google Cloud .

    פתיחת הדף Repositories

    יוצג הדף מאגרי מידע.

  2. בחלק העליון של הדף, לוחצים על הכרטיסייה דור שני.

  3. בבורר הפרויקטים בסרגל העליון, בוחרים את Google Cloud הפרויקט הרצוי.

  4. לוחצים על Create host connection (יצירת חיבור למארח) כדי לחבר מארח חדש ל-Cloud Build.

  5. בחלונית הימנית, בוחרים באפשרות GitLab כספק המקור.

  6. בקטע Configure Connection (הגדרת החיבור), מזינים את הפרטים הבאים:

    • אזור: בוחרים אזור לקישור.

    • שם: מזינים שם לחיבור.

  7. בקטע פרטי המארח, עוברים אל מארח GitLab ובוחרים באפשרות GitLab.com.

  8. אופציונלי: אם רוצים לנהל את מפתחות ההצפנה שמשמשים להצפנה של אסימוני הגישה למאגרי GitLab, עוברים לקטע הצפנה ובוחרים מפתח של Cloud Key Management Service. מידע נוסף זמין במאמר בנושא הפעלת מפתחות הצפנה בניהול הלקוח ב-Secret Manager.

  9. בקטע Personal access tokens, מזינים את הפרטים הבאים:

    • טוקן גישה ל-API: מזינים את הטוקן עם גישת ההיקף api. הטוקן הזה משמש לחיבור מאגרי מידע ולניתוק שלהם.

    • קריאת טוקן גישה ל-API: מזינים את הטוקן עם גישה בהיקף read_api. טריגרים של Cloud Build משתמשים באסימון הזה כדי לגשת לקוד מקור במאגרים.

  10. לוחצים על Connect.

    אחרי שלוחצים על הלחצן Connect, טוקני הגישה האישיים מאוחסנים בצורה מאובטחת ב-Secret Manager. אחרי חיבור המארח, Cloud Build יוצר גם סוד של webhook בשמכם. אפשר לראות ולנהל את הסודות בדף Secret Manager.

יצרתם חיבור ל-GitLab בהצלחה.

gcloud

לפני שמחברים את מארח GitLab ל-Cloud Build, צריך לבצע את השלבים הבאים כדי לאחסן את פרטי הכניסה:

  1. מאחסנים את האסימון ב-Secret Manager.

  2. מריצים את הפקודה הבאה כדי ליצור סוד של webhook ב-Secret Manager:

     cat /proc/sys/kernel/random/uuid | tr -d '\n' | gcloud secrets create my-gle-webhook-secret --data-file=-

  3. אם אתם מאחסנים את הסודות בפרויקט אחר Google Cloud מזה שאתם מתכננים להשתמש בו כדי ליצור חיבור למארח, מזינים את הפקודה הבאה כדי להעניק לפרויקט גישה לסוכן השירות של Cloud Build:

    PN=$(gcloud projects describe PROJECT_ID --format="value(projectNumber)")
CLOUD_BUILD_SERVICE_AGENT="service-${PN}@gcp-sa-cloudbuild."
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:${CLOUD_BUILD_SERVICE_AGENT}" \
  --role="roles/secretmanager.admin"

    כאשר:

    • ‫PROJECT_ID הוא מזהה הפרויקט. Google Cloud

עכשיו אפשר להמשיך ולחבר את המארח שלכם ב-GitLab אל Cloud Build.

כך עושים את זה:

כדי לחבר את המארח שלכם ב-GitLab ל-Cloud Build:

  1. מזינים את הפקודה הבאה כדי ליצור חיבור ל-GitLab:

    gcloud builds connections create gitlab CONNECTION_NAME \
  --host-uri=HOST_URI \
  --project=PROJECT_ID \
  --region=REGION \
  --authorizer-token-secret-version=projects/PROJECT_ID/secrets/API_TOKEN/versions/SECRET_VERSION \
  --read-authorizer-token-secret-version=projects/PROJECT_ID/secrets/READ_TOKEN/versions/SECRET_VERSION \
  --webhook-secret-secret-version=projects/PROJECT_ID/secrets/WEBHOOK_SECRET/versions/SECRET_VERSION

    כאשר:

    • ‫CONNECTION_NAME הוא שם לחיבור של מארח GitLab ב-Cloud Build.
    • ‫HOST_URI הוא ה-URI של מופע GitLab. לדוגמה, https://my-gle-server.net.
    • ‫PROJECT_ID הוא מזהה הפרויקט. Google Cloud
    • ‫REGION הוא האזור של החיבור שלך.
    • ‫API_TOKEN הוא שם האסימון עם apiההיקף.
    • ‫READ_TOKEN הוא שם האסימון עם read_apiההיקף.
    • ‫SECRET_VERSION היא הגרסה של הסוד.
    • ‫WEBHOOK_SECRET הוא הסוד של ה-webhook.

יצרתם חיבור ל-GitLab בהצלחה.

החלפה של טוקנים ישנים או שפג תוקפם ב-GitLab

מבצעים רוטציה של אסימוני הגישה כדי שחיבור המארח של Cloud Build יוכל להישאר מחובר למאגר GitLab. אם תוקף האסימון שלכם ב-GitLab פג, החיבור של מארח Cloud Build למאגר GitLab שלו ינותק. במקרה כזה, לא תוכלו להשבית את החיבור או לקשר מאגר עד שתחליפו את האסימון שפג תוקפו. בנוסף, שגיאות יוצגו במקרים הבאים:

  • בדף פרטי החיבור של החיבור מופיעה הודעת שגיאה Connection is disconnected due to an invalid or expired access token.

  • אם מנסים לקשר מאגר לחיבור עם טוקן שתוקפו פג, מוצגת ההודעה Invalid access token (טוקן גישה לא חוקי). לחיצה על View connection (הצגת החיבור) תעביר אתכם לדף Connection details (פרטי החיבור) של החיבור עם האסימון שתוקפו פג.

ב-Cloud Build אפשר להחליף את טוקני הגישה על ידי הזנת ערכי טוקנים חדשים ושמירתם ב-Secret Manager בגרסה האחרונה של הסודות האלה. כדי לבצע רוטציה של טוקנים לגישה:

  1. מבצעים רוטציה לכל טוקן גישה ב-GitLab:

    1. עוברים למאגר GitLab שמקושר לחיבור המארח של Cloud Build.

    2. פועלים לפי ההוראות בתיעוד של GitLab כדי להחליף אסימון גישה. כשמבצעים רוטציה של אסימון, GitLab יוצר אסימון חדש עם פרטי כניסה חדשים ומבטל את התוקף של הגרסה הקודמת של האסימון. לאסימון החדש יש את אותן הרשאות ואת אותו היקף כמו לאסימון המקורי.

    3. מעתיקים את המזהים של הטוקנים שהוחלפו.

  2. מעדכנים את טוקן הגישה ב-Cloud Build:

    1. עוברים לדף פרטי החיבור של החיבור.

    2. בוחרים באפשרות עדכון טוקנים לגישה.

    3. בתפריט Token rotation, מזינים את הטוקנים החדשים בשדות API access token ו-Read access token.

    4. (אופציונלי): אם רוצים שהחיבור ישתמש תמיד בגרסה העדכנית ביותר של הסוד עבור הטוקנים, בוחרים באפשרות עדכון החיבור כך שתמיד תהיה בשימוש הגרסה העדכנית ביותר. אם החיבור שלכם משתמש במספר גרסה סודי ספציפי, יכול להיות שכדאי להשאיר את האפשרות הזו לא מסומנת.

    5. כדי לשמור את השינויים, לוחצים על עדכון.

      ‫Cloud Build שומר את אסימוני הגישה החדשים כגרסה האחרונה של הסוד ב-Secret Manager.

מידע נוסף זמין במאמר בנושא תפוגה של אסימון גישה במסמכי התיעוד של GitLab.

המאמרים הבאים