Mengotomatiskan pembuatan ulang image container untuk menyinkronkan pembaruan image dasar

Dengan Cloud Workstations, Anda dapat membuat dan menggunakan image kustom untuk workstation Anda. Setelah image kustom digunakan, sebaiknya otomatiskan pembuatan ulang image kustom untuk menarik perbaikan dan update yang tersedia di image dasar.

Dalam tutorial ini, Anda akan mempelajari cara membangun pipeline otomatis untuk membantu memastikan bahwa Anda menyertakan update dan patch keamanan dalam image workstation kustom.

Tujuan

Dengan mengikuti tutorial ini, Anda akan membangun pipeline otomatis untuk image dasar dengan langkah-langkah berikut:

1. Buat repositori Artifact Registry untuk menyimpan dan memindai image kustom Anda.
2. Konfigurasikan GitHub dengan Google Cloud untuk menyimpan konfigurasi image Anda.
3. Buat pemicu Cloud Build untuk mengotomatiskan pembuatan dan deployment image kustom ke Artifact Registry.
4. Konfigurasikan Cloud Scheduler untuk memulai build secara berkala.
5. Tinjau hasil proses otomatis.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen Google Cloudyang dapat ditagih berikut:

• Cloud Build
• Cloud Scheduler
• Container Scanning
• Artifact Registry

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Pengguna Google Cloud baru mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Setelah menyelesaikan tugas yang dijelaskan dalam dokumen ini, Anda dapat menghindari penagihan berkelanjutan dengan menghapus resource yang Anda buat. Untuk mengetahui informasi selengkapnya, baca bagian Pembersihan.

Sebelum memulai

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. Verify that billing is enabled for your Google Cloud project.

3. Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs, if any are not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the APIs

4. Install the Google Cloud CLI.

5. Configure the gcloud CLI to use your federated identity.

   For more information, see Sign in to the gcloud CLI with your federated identity.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

Menyiapkan lingkungan

Sebelum melanjutkan, pastikan Anda menetapkan variabel lingkungan berikut.

1. Tetapkan project ID untuk project cloud yang ingin Anda gunakan:

   PROJECT_ID=$PROJECT_ID
   

2. Tetapkan nama pengguna GitHub tempat Anda berencana menyimpan repositori:

   GITHUB_USER=$GITHUB_ID
   

3. Tetapkan variabel PROJECT_NUMBER dan REGION untuk digunakan selama proses:

   PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
       --format='value(projectNumber)')
   
   REGION=$REGION
   

   Pada contoh sebelumnya, ganti $REGION dengan nama region yang ingin Anda gunakan—misalnya, us-central1.

   Untuk mengetahui informasi selengkapnya tentang region yang tersedia, lihat lokasi Cloud Workstations.

Membuat repositori Artifact Registry

Dalam tutorial ini, Anda akan menggunakan Artifact Registry untuk menyimpan dan memindai image.

1. Buat repositori dengan perintah berikut:

   gcloud artifacts repositories create custom-images \
         --repository-format=docker \
         --location=$REGION \
         --description="Docker repository"
   

   Ganti $REGION dengan nama region yang ingin Anda gunakan.

2. Konfigurasikan Docker untuk menggunakan kredensial gcloud CLI Anda saat mengakses Artifact Registry.

   gcloud auth configure-docker $REGION-docker.pkg.dev
   

   Catatan: Perlu diingat bahwa konfigurasi ini juga mengaktifkan pemindaian container otomatis, yang menyediakan pemindaian kerentanan, tetapi memiliki harga tambahan per image yang dipindai. Lihat detail harga.

   Untuk menonaktifkan Artifact Analysis, jalankan perintah berikut:

   gcloud services disable containerscanning.googleapis.com
   

Mengonfigurasi repositori GitHub Anda

Dalam praktiknya, Anda menyimpan Dockerfile untuk image kustom di repositori Git. Proses otomatis mengakses repositori tersebut selama proses build untuk mengambil konfigurasi dan Dockerfile yang relevan.

Membuat fork repositori contoh

Untuk melakukan fork pada repositori contoh yang menyediakan definisi container, ikuti langkah-langkah berikut:

1. Klik link ini untuk Membuat fork baru dari repositori software-delivery-workshop.
2. Jika diminta, login ke GitHub.
3. Pilih nama pengguna GitHub Anda sebagai Owner. Nama Repositori akan muncul sebagai software-delivery-workshop.
4. Klik Create fork dan tunggu beberapa detik hingga prosesnya selesai.

Menghubungkan Cloud Build ke GitHub

Selanjutnya, hubungkan repositori tersebut ke Cloud Build menggunakan kemampuan koneksi GitHub bawaan. Klik link ke repositori GitHub dan ikuti petunjuk yang menjelaskan cara menyelesaikan prosesnya. Anda tidak perlu membuat pemicu di langkah terakhir wizard, dan Anda dapat melewati langkah terakhir karena Anda dapat melakukannya nanti dari command line.

• Menghubungkan Cloud Build ke repositori GitHub

Jika Anda menggunakan solusi repositori Git yang berbeda, Anda juga dapat mengikuti petunjuk untuk menghubungkan Cloud Build ke GitLab atau Bitbucket.

Membuat pemicu Cloud Build

Repositori contoh berisi definisi container dan konfigurasi Cloud Build yang digunakan untuk membangun image container. Pada langkah ini, Anda akan membuat pemicu Cloud Build yang menjalankan petunjuk dalam file cloudbuild.yaml yang dapat ditemukan di folder labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Contoh ini mengonfigurasi hal berikut:

• Perintah CLI gcloud membuat pemicu manual dalam Cloud Build bernama custom-image-trigger seperti yang ditunjukkan oleh flag name di baris kedua.
• Tiga baris berikutnya berisi flag yang terkait dengan repositori GitHub sumber:
  • Jalur ke repositori
  • Jenis repositori
  • Cabang Git yang akan di-build
• Flag build-config menunjukkan jalur ke file Cloud Build di repositori Git.

• Untuk membuat tugas menjadi dinamis, gunakan flag substitutions. Untuk tugas ini, perintah meneruskan variabel berikut:

  • Wilayah, $_REGION
  • Nama repositori Artifact Registry, $_AR_REPO_NAME
  • Nama image container, $_AR_IMAGE_NAME
  • Lokasi Dockerfile yang akan di-build, $_IMAGE_DIR

  Lihat file cloudbuild.yaml untuk melihat cara variabel ini digunakan dalam proses.

• Setelah pemicu dibuat, nama unik pemicu akan diambil dan disimpan dalam variabel lingkungan $TRIGGER_ID untuk digunakan nanti.

Mengonfigurasi Cloud Scheduler

Untuk membantu memastikan image Anda selalu diperbarui dengan update dan patch terbaru, gunakan Cloud Scheduler untuk menjalankan pemicu Cloud Build pada frekuensi yang ditetapkan. Untuk tutorial ini, tugas berjalan setiap hari. Dalam praktiknya, tetapkan frekuensi ini sesuai dengan kebutuhan organisasi Anda untuk membantu memastikan bahwa update terbaru selalu disertakan.

1. Berikan peran yang diperlukan ke akun layanan default untuk memanggil pemicu Cloud Build:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member="serviceAccount:$PROJECT_NUMBER-compute@" \
       --role="roles/cloudbuild.builds.editor"
   

2. Berikan peran yang diperlukan ke akun layanan Cloud Build untuk mengupload image ke Artifact Registry:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:$PROJECT_NUMBER@cloudbuild. \
       --role="roles/artifactregistry.admin"
   

3. Buat tugas Cloud Scheduler dengan perintah berikut:

   gcloud scheduler jobs create http run-build \
       --schedule='0 1 * * *' \
       --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
       --location=us-central1 \
       --oauth-service-account-email=$PROJECT_NUMBER-compute@ \
       --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform
   

4. Tugas ini ditetapkan untuk dijalankan satu kali setiap hari; namun, untuk segera menguji fitur ini, jalankan tugas secara manual dari Cloud Scheduler:

   Buka Cloud Scheduler

   1. Di halaman Cloud Scheduler, temukan entri yang baru saja Anda buat yang bernama run-build.
   2. Di kolom Actions, klik menu opsi more_vertMore untuk baris tersebut.
   3. Klik Force a job run untuk menguji sistem secara manual.

   4. Setelah perintah berhasil dijalankan, beralihlah ke halaman histori Cloud Build untuk meninjau progresnya:

      Buka Cloud Build History

Meninjau hasil

Karena Anda mengaktifkan Container Scanning API sebagai bagian dari proses penyiapan, Artifact Registry akan otomatis memindai image untuk menemukan kerentanan keamanan.

Untuk meninjau kerentanan:

1. Buka halaman Repositori Artifact Registry:

   Buka Repositori Artifact Registry

2. Dalam daftar repositori, klik repositori.

3. Klik nama image. Total kerentanan untuk setiap ringkasan image muncul di kolom Vulnerabilities.

   

4. Untuk melihat daftar kerentanan untuk image, klik link di kolom Vulnerabilities. Daftar kerentanan menampilkan tingkat keparahan, ketersediaan perbaikan, dan nama paket yang berisi kerentanan.

   

Pembersihan

Agar tidak perlu membayar biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project dan hapus setiap resource.

Agar akun Google Cloud Anda tidak dikenai biaya untuk resource yang digunakan di halaman ini, pastikan Anda ingat untuk menghapus resource yang tidak lagi diperlukan.

Untuk menghapus project Google Cloud dari konsol Google Cloud atau dari gcloud CLI:

Konsol

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika Anda menggunakan project yang ada untuk mengerjakan tugas di dokumen ini, saat Anda menghapusnya, pekerjaan lain dalam project tersebut juga akan dihapus.
• Project ID kustom akan hilang. Saat membuat project ini, Anda mungkin juga membuat project ID kustom yang masih ingin digunakan pada masa mendatang. Agar tidak kehilangan URL yang menggunakan project ID tersebut, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial atau panduan memulai, dengan menggunakan kembali project dapat membantu Anda agar tidak melampaui batas kuota project.

1. Di konsol Google Cloud , buka halaman Manage resources.

   Buka Kelola resource

2. Pada daftar project, pilih project yang ingin Anda hapus, lalu klik Delete.
3. Pada dialog, ketik project ID, lalu klik Shut down untuk menghapus project.

gcloud

Perhatian: Menghapus project memiliki efek berikut:

• Semua hal dalam project akan dihapus. Jika Anda menggunakan project yang ada untuk mengerjakan tugas di dokumen ini, saat Anda menghapusnya, pekerjaan lain dalam project tersebut juga akan dihapus.
• Project ID kustom akan hilang. Saat membuat project ini, Anda mungkin juga membuat project ID kustom yang masih ingin digunakan pada masa mendatang. Agar tidak kehilangan URL yang menggunakan project ID tersebut, seperti URL appspot.com, hapus resource yang dipilih di dalam project, bukan menghapus seluruh project.

Jika Anda berencana mempelajari beberapa arsitektur, tutorial atau panduan memulai, dengan menggunakan kembali project dapat membantu Anda agar tidak melampaui batas kuota project.

Menghapus project Google Cloud :

gcloud projects delete PROJECT_ID

Untuk mengetahui informasi selengkapnya tentang cara menghapus resource lain, seperti cluster workstation, konfigurasi workstation, dan workstation, lihat Menghapus resource.

Langkah berikutnya

• Tinjau daftar image dasar yang telah dikonfigurasi sebelumnya yang tersedia.
• Sesuaikan image container Anda.
• Tinjau jenis mesin yang tersedia.
• Menyiapkan praktik keamanan terbaik.
• Pelajari arsitektur referensi, diagram, dan praktik terbaik tentang Google Cloud. Lihat Cloud Architecture Center kami.