Authentifizierung für Go einrichten

Die Authentifizierung bei Artifact Registry unterscheidet sich beim Hoch- und Herunterladen von gepackten Go-Modulen. Beim Packen und Hochladen eines Go-Moduls in Artifact Registry sucht das gcloud CLI in Ihrer Umgebung nach Anmeldedaten, um die Authentifizierung in der folgenden Reihenfolge einzurichten, es sei denn, das Flag --json_key wird übergeben, um einen Dienstkontoschlüssel zu verwenden.

  1. Standardanmeldedaten für Anwendungen (ADC), eine Strategie, die in der folgenden Reihenfolge nach Anmeldedaten sucht:

    1. In der Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS definierte Anmeldedaten.

    2. Anmeldedaten, die das Standarddienstkonto für Compute Engine, Google Kubernetes Engine, Cloud Run, App Engine oder Cloud Functions bietet.

  2. Anmeldedaten, die von der Google Cloud CLI bereitgestellt werden, einschließlich Nutzeranmeldedaten vom Befehl gcloud auth application-default login.

Die Variable GOOGLE_APPLICATION_CREDENTIALS macht das Konto für die Authentifizierung explizit, was die Fehlerbehebung vereinfacht. Wenn Sie die Variable nicht verwenden, prüfen Sie, ob alle von ADC verwendeten Konten die erforderlichen Berechtigungen haben. Beispielsweise hat das Standarddienstkonto für Compute Engine-VMs, Google Kubernetes Engine-Knoten und Cloud Run-Versionen Lesezugriff auf Repositories. Wenn Sie aus diesen Umgebungen Inhalte mit dem Standarddienstkonto hochladen möchten, müssen Sie die Berechtigungen ändern.

Beim Herunterladen gepackter Go-Module, die als Abhängigkeiten von Artifact Registry verwendet werden sollen, verwendet das Go-Binärprogramm die Anmeldedaten in Ihrer netrc-Datei zur Authentifizierung bei Artifact Registry. Sie können den Authentifizierungsprozess vereinfachen, indem Sie mit Go Credential Helper die Tokens in Ihrer Netrc-Datei für die Authentifizierung bei Artifact Registry aktualisieren.

Der Speicherort der netrc-Datei kann mit der Umgebungsvariable netrc festgelegt werden. Wenn die Variable NETRC nicht festgelegt ist, liest der go-Befehl $HOME/.netrc auf UNIX-ähnlichen Plattformen oder %USERPROFILE%\_netrc unter Windows.

Artifact Registry unterstützt die folgenden Authentifizierungsmethoden, wenn Sie Anmeldedaten in Ihrer netrc-Datei verwenden:

Kurzlebige Anmeldedaten (empfohlen)
Verwenden Sie das Go Credential Helper-Tool von Artifact Registry, um die Authentifizierungstokens in Ihrer netrc-Datei mit den Anmeldedaten in Ihrer Umgebung zu aktualisieren, oder fügen Sie Ihre Artifact Registry-Anmeldedaten der netrc-Datei manuell hinzu.
Dienstkontoschlüssel verwenden
Verwenden Sie diese Option, wenn Sie in Ihrer Umgebung keine Anmeldedaten zur Authentifizierung verwenden können. Sie können das Go Credential Helper-Tool von Artifact Registry verwenden, um den unverschlüsselten Dienstkontoschlüssel in die netrc-Datei aufzunehmen. Alternativ können Sie ihn der Datei manuell hinzufügen.

Hinweise

  1. Installieren Sie Go 1.15 oder höher.

  2. Installieren Sie das gcloud CLI-Add-on „package-go-module“:

    gcloud components install package-go-module

Go-Umgebung einrichten

  1. Weisen Sie Go an, Module aus Artifact Registry, dem öffentlichen Go-Modulproxy und der Quelle in dieser Reihenfolge herunterzuladen:

      export GOPROXY=https://LOCATION-go.pkg.dev/PROJECT/REPOSITORY,https://proxy.golang.org,direct

    Ersetzen Sie Folgendes:

    • LOCATION ist der regionale oder multiregionale Standort des Repositorys.
    • PROJECT ist Ihre Google Cloud-Projekt-ID.
    • REPOSITORY ist der Name des Repositorys, in dem das Paket gespeichert ist.

  2. Schließen Sie Ihr Modul von der Prüfung mit der öffentlichen Prüfsummendatenbank aus:

      export GONOSUMDB=MODULE_PATH_REGEX

    Ersetzen Sie MODULE_PATH_REGEX durch Ihren Modulpfad oder einen regulären Ausdruck, wenn Sie mehrere Module ausschließen möchten.

    Wenn Sie beispielsweise verhindern möchten, dass das Modul example.com/foo mit der öffentlichen Prüfsummendatenbank geprüft wird, führen Sie den folgenden Befehl aus:

      export GONOSUMDB=example.com/foo

    Der folgende Befehl verhindert, dass alle Module mit Modulpfaden, die mit example.com beginnen, mit der öffentlichen Prüfsummendatenbank geprüft werden:

      export GONOSUMDB=example.com/*

Artifact Registry-Anmeldedaten zur Netrc-Datei hinzufügen

  1. Führen Sie den folgenden Befehl aus, um Ihre Artifact Registry-Anmeldedaten mit dem Go Credential Helper Ihrer Netrc-Datei hinzuzufügen:

      GOPROXY=proxy.golang.org \
      go run github.com/GoogleCloudPlatform/artifact-registry-go-tools/cmd/auth@v0.1.0 \
      add-locations --locations=LOCATION \
      --json_key=PATH_TO_JSON_KEY

    Wobei:

    • LOCATION ist der regionale oder multiregionale Standort Ihres Repositorys. Wenn Sie mehrere Standorte hinzufügen möchten, geben Sie sie als durch Kommas getrennte Liste ein.

    • PATH_TO_JSON_KEY Optional. Der Pfad zu Ihrem Dienstkontoschlüssel.

      Go Credential Helper fügt Ihrer Netrc-Datei Einstellungen für die Authentifizierung bei Artifact Registry hinzu. Wenn Sie das Flag --json_key übergeben, wird der Schlüssel zur Passwortauthentifizierung der netrc-Datei hinzugefügt.

  2. Wenn Sie kurzlebige Anmeldedaten für die Authentifizierung bei Artifact Registry verwenden, müssen Sie Ihr OAuth-Token aktualisieren. Führen Sie dazu den folgenden Befehl aus, bevor Sie Ihr Modul als Abhängigkeit verwenden:

      GOPROXY=proxy.golang.org \
  go run github.com/GoogleCloudPlatform/artifact-registry-go-tools/cmd/auth@v0.1.0 refresh

Mit einem Dienstkontoschlüssel authentifizieren

Verwenden Sie diese Methode, wenn Sie eine Authentifizierung mit einem Nutzernamen und Passwort verlangen.

Dienstkontoschlüssel sind langlebige Anmeldedaten. Verwenden Sie die folgenden Richtlinien, um den Zugriff auf Ihre Repositories einzuschränken:

  • Verwenden Sie ein dediziertes Dienstkonto für die Interaktion mit Repositories.
  • Erteilen Sie die vom Dienstkonto erforderliche Artifact Registry-Mindestrolle. Weisen Sie z. B. Artifact Registry-Reader einem Dienstkonto zu, das nur Artefakte herunterlädt.
  • Wenn Gruppen in Ihrer Organisation verschiedene Zugriffsebenen für bestimmte Repositories benötigen, erteilen Sie den Zugriff auf Repository-Ebene und nicht auf Projektebene.
  • Folgen Sie den Best Practices für die Verwaltung von Anmeldedaten.

So konfigurieren Sie die Authentifizierung:

  1. Erstellen Sie ein Dienstkonto, das im Namen Ihrer Anwendung agieren soll, oder wählen Sie ein vorhandenes Dienstkonto für die Automatisierung aus.

    Sie benötigen den Speicherort der Dienstkonto-Schlüsseldatei, um damit die Authentifizierung bei Artifact Registry einzurichten. Auf der Seite „Dienstkonten“ können Sie die Schlüssel vorhandener Konten aufrufen und neue Schlüssel erstellen.

    Zur Seite „Dienstkonten“

  2. Gewähren Sie dem Dienstkonto die entsprechende Artifact Registry-Rolle, um Zugriff auf das Repository zu gewähren.

  3. Führen Sie den folgenden Befehl aus, um der Netrc-Datei die Anmeldedaten Ihres Dienstkontos mit Go Credential Helper hinzuzufügen:

      GOPROXY=proxy.golang.org \
      go run github.com/GoogleCloudPlatform/artifact-registry-go-tools/cmd/auth@v0.1.0 \
      add-locations --locations=LOCATION \
      --json_key=PATH_TO_JSON_KEY

    Wobei:

    • LOCATION ist der regionale oder multiregionale Standort Ihres Repositorys. Wenn Sie mehrere Standorte hinzufügen möchten, geben Sie sie als durch Kommas getrennte Liste ein.

    • PATH_TO_JSON_KEY ist der Pfad zur JSON-Schlüsseldatei des Dienstkontos.

      Go Credential Helper fügt Ihrer Netrc-Datei zur Passwortauthentifizierung den Dienstkontoschlüssel hinzu.

Sie können der netrc-Datei auch manuell Ihren Dienstkontoschlüssel im folgenden Format hinzufügen:

machine LOCATION.pkg.dev
login json_key_base64
password KEY

Ersetzen Sie Folgendes:

  • LOCATION durch den regionalen oder multiregionalen Standort Ihres Repositorys.
  • KEY durch den base64-codierten Schlüssel in der Schlüsseldatei des Dienstkontos.

Go Credential Helper zu GONOPROXY hinzufügen

Bevor Sie Go Credential Helper verwenden können, müssen Sie es der Liste GONOPROXY hinzufügen, damit Go es direkt von GitHub herunterlädt. Wenn Sie weitere Module direkt aus der Quelle herunterladen möchten, können Sie sie in eine durch Kommas getrennte Liste einfügen, wie im folgenden Beispiel gezeigt:

  export GONOPROXY=MODULE_PATH1, MODULE_PATH2

Dabei sind MODULE_PATH1 und MODULE_PATH2 Modulpfade von Modulen, die aus der Quelle heruntergeladen werden sollen.

So fügen Sie Go Credential Helper Ihrer GONOPROXY-Liste hinzu und führen es aus, um Ihre Anmeldedaten einzurichten:

  1. Go Credential Helper zu GONOPROXY hinzufügen

      export GONOPROXY=github.com/GoogleCloudPlatform/artifact-registry-go-tools

  2. Führen Sie den folgenden Befehl aus, um Ihre Artifact Registry-Anmeldedaten mit dem Go-Modulpakettool zu Ihrer Netrc-Datei hinzuzufügen:

      GOPROXY=proxy.golang.org \
      go run github.com/GoogleCloudPlatform/artifact-registry-go-tools/cmd/auth@v0.1.0 \
      add-locations --locations=LOCATION \
      [--json_key=path/to/service/account/key.json]

    Dabei ist LOCATION der regionale oder multiregionale Standort Ihres Repositorys. Wenn Sie mehrere Standorte hinzufügen möchten, geben Sie sie als kommagetrennte Liste ein.

    Go Credential Helper fügt Ihrer Netrc-Datei Einstellungen für die Authentifizierung bei Artifact Registry hinzu. Wenn Sie das Flag --json_key übergeben, wird der Schlüssel zur Passwortauthentifizierung der netrc-Datei hinzugefügt.

Nächste Schritte