Authentifizierung für npm einrichten

Sie müssen sich bei Artifact Registry authentifizieren, wenn Sie eine Drittanbieteranwendung für die Verbindung mit einem Repository verwenden.

Die Authentifizierung für Cloud Build- oder Google Cloud-Laufzeitumgebungen wie Google Kubernetes Engine und Cloud Run muss nicht konfiguriert werden. Sie sollten jedoch prüfen, ob die erforderlichen Berechtigungen konfiguriert wurden. aus.

Hinweis

  1. Wenn das Ziel-Repository nicht vorhanden ist, erstellen Sie ein neues Repository.
  2. Wenn Sie über Windows eine Verbindung zu Repositories herstellen, installieren Sie PowerShell.
  3. Installieren und initialisieren Sie das Cloud SDK.
  4. (Optional) Konfigurieren Sie die Standardeinstellungen für gcloud-Befehle.
  5. Erstellen Sie ein Dienstkonto, das im Namen Ihrer Anwendung agiert.
  6. Wenn Sie npm noch nicht kennen, lesen Sie die Übersicht, um mehr über Paketumfang und die Konfigurationsdatei für Ihre Authentifizierungseinstellungen zu erfahren.

Übersicht

Artifact Registry unterstützt die folgenden Authentifizierungsmethoden.

Credential Helper verwenden
Diese Option bietet die größte Flexibilität. Wenn Sie den Hilfsprogramm in die npm-Konfiguration aufnehmen, sucht Artifact Registry nach den Anmeldedaten des Dienstkontos in der Umgebung.
Dienstkontoschlüssel als Anmeldedaten angeben
Verwenden Sie diese Option, wenn eine Anwendung die Standardanmeldedaten für Anwendungen nicht unterstützt, jedoch die Authentifizierung mit einem Nutzernamen und Passwort unterstützt.

Mit Credential Helper authentifizieren

google-artifactregistry-auth ist eine Clientbibliothek, die Anmeldedaten für Artifact Registry-Repositories abruft.

Artifact Registry sucht in der folgenden Reihenfolge nach Anmeldedaten:

  1. Standardanmeldedaten für Anwendungen (ADC), eine Strategie, die in der folgenden Reihenfolge nach Anmeldedaten sucht:

    1. In der Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS definierte Anmeldedaten.

    2. Anmeldedaten, die das Standarddienstkonto für Compute Engine, Google Kubernetes Engine, Cloud Run, App Engine oder Cloud Functions bietet.

  2. Vom Cloud SDK bereitgestellte Anmeldedaten, einschließlich Nutzeranmeldedaten aus dem Befehl gcloud auth application-default login.

Die Variable GOOGLE_APPLICATION_CREDENTIALS macht das Konto für die Authentifizierung explizit, was die Fehlerbehebung vereinfacht. Wenn Sie die Variable nicht verwenden, prüfen Sie, ob alle Konten, die von ADC verwendet werden könnten, die erforderlichen Berechtigungen haben. Das Standarddienstkonto für Compute Engine-VMs, Google Kubernetes Engine-Knoten und Cloud Run-Überarbeitungen hat beispielsweise Lesezugriff auf Repositories. Wenn Sie Uploads aus diesen Umgebungen mit dem Standarddienstkonto vornehmen möchten, müssen Sie die Berechtigungen ändern.

So erstellen Sie ein Dienstkonto und legen die Umgebungsvariable GOOGLE_APPLICATION_CREDENTIALS fest:

  1. Erstellen Sie ein Dienstkonto, das für Ihre Anwendung agiert, oder wählen Sie ein vorhandenes Dienstkonto für die CI-/CD-Automatisierung aus.

  2. Gewähren Sie dem Dienstkonto die entsprechende Artifact Registry-Rolle, um den Zugriff auf das Repository zu ermöglichen.

  3. Weisen Sie der Variablen GOOGLE_APPLICATION_CREDENTIALS den Speicherort des Dienstkontoschlüssels zu, damit die Artifact Registry-Credential Helper Ihren Schlüssel beim Herstellen einer Verbindung zu Repositories abrufen können.

    export GOOGLE_APPLICATION_CREDENTIALS=KEY-FILE
    

    Dabei ist KEY-FILE der Pfad zur Schlüsseldatei des Dienstkontos.

So konfigurieren Sie die Authentifizierung:

  1. Führen Sie den folgenden Befehl aus, um die Repository-Konfiguration auszugeben:

    gcloud artifacts print-settings npm [--project=PROJECT] \
        [--repository=REPOSITORY] \
        [--location=LOCATION] \
        --scope=@SCOPE-NAME \
    

    Wo

    • PROJECT ist die Projekt-ID. Wenn dieses Flag nicht angegeben ist, wird das aktuelle Projekt oder das Standardprojekt verwendet.
    • REPOSITORY ist die ID des Repositorys. Wenn Sie ein Standard-Artifact Registry-Repository konfiguriert haben, wird es verwendet, wenn dieses Flag im Befehl ausgelassen wird.
    • LOCATION ist der regionale oder multiregionale Standort für das Repository.
    • SCOPE-NAME ist der Name des npm-Bereichs, der dem Repository zugeordnet werden soll.

      Durch die Verwendung von Bereichen sorgen Sie dafür, dass immer Pakete aus dem richtigen Repository veröffentlicht und installiert werden.

      Pakete ohne Geltungsbereich sind mit Ihrer standardmäßigen npm-Registry verknüpft, normalerweise die öffentliche Registry von npm. Wenn Sie keinen Bereich angeben, legt die zurückgegebene Konfiguration Ihr Artifact Registry-Repository als Standard-Registry fest. Dies kann zu Problemen führen, wenn Ihre Node.js-Projekte Pakete aus der öffentlichen npm-Registry und aus Ihrem Artifact Registry-Repository installieren müssen.

  2. Fügen Sie der Konfigurationsdatei .npmrc in Ihren Node.js-Projekten die zurückgegebenen Konfigurationseinstellungen hinzu. Diese Datei befindet sich normalerweise im selben Verzeichnis wie package.json.

    Achten Sie darauf, dass diese Einstellungen in Node.js-Projekten für Pakete, die Sie veröffentlichen, sowie für Projekte, die Abhängigkeiten aus Ihrem npm-Repository installieren, enthalten sind.

  3. Wenn Sie andere Node.js-Repositories haben, zu denen eine Verbindung hergestellt werden soll, wiederholen Sie die vorherigen Schritte, um die Einstellungen abzurufen, und fügen Sie sie den entsprechenden .npmrc-Dateien hinzu.

  4. Wenn Sie eine Verbindung zu einem Repository herstellen möchten, rufen Sie ein Zugriffstoken zur Authentifizierung ab.

Jedes Artifact Registry-Node.js-Paket-Repository ist einem Registry-Endpunkt https://LOCATION-npm.pkg.dev/PROJECT/REPOSITORY zugeordnet

Wenn Sie mit dem Befehl print-settings keinen Bereich angegeben haben, können Sie mit dem folgenden Befehl einen Bereich mit einem Artifact Registry-Repository verknüpfen.

npm config set @SCOPE_NAME:registry https://LOCATION-npm.pkg.dev/PROJECT/REPOSITORY/

Zugriffstoken abrufen

Zugriffstokens sind 60 Minuten lang gültig. Generieren Sie ein Zugriffstoken, bevor Sie Befehle ausführen, die mit Repositories interagieren.

Sie haben folgende Möglichkeiten, um ein Token zu erhalten:

  • Verwenden Sie den Befehl npx, um das Zugriffstoken zu aktualisieren.

    1. Die Anmeldedaten für die Verbindung zur öffentlichen npm-Registry befinden sich in der npm-Konfigurationsdatei des Nutzers ~/.npmrc.

    2. Führen Sie den folgenden Befehl in Ihrem Node.js-Projektverzeichnis aus.

      npx google-artifactregistry-auth
      
  • Fügen Sie der Datei package.json in Ihrem Projekt ein Skript hinzu.

    "scripts": {
     "artifactregistry-login": "npx google-artifactregistry-auth"
    }
    

    Führen Sie das Skript im Node.js-Projektverzeichnis aus.

    npm run artifactregistry-login
    

Artifact Registry liest die Artifact Registry-Repository-Einstellungen in der Projektdatei .npmrc und verwendet sie, um Token-Anmeldedaten in die Datei .npmrc des Nutzers aufzunehmen. Wenn Sie das Token in der .npmrc-Datei des Nutzers speichern, werden Ihre Anmeldedaten vom Quellcode und vom Versionsverwaltungssystem isoliert.

  • --repo-config ist die Datei .npmrc mit Ihren Repository-Einstellungen. Wenn Sie dieses Flag nicht angeben, wird als Standardverzeichnis das aktuelle Verzeichnis verwendet.
  • --credential-config ist der Pfad zur .npmrc-Datei, in die Sie das Zugriffstoken schreiben möchten. Der Standardwert ist die Nutzerdatei .npmrc.

Passwortauthentifizierung konfigurieren

Verwenden Sie diesen Ansatz, wenn Ihre Node.js-Anwendung eine Authentifizierung mit einem angegebenen Nutzernamen und Passwort erfordert.

Dienstkontoschlüssel sind langlebige Anmeldedaten. Verwenden Sie die folgenden Richtlinien, um den Zugriff auf Ihre Repositories einzuschränken:

  • Verwenden Sie ein dediziertes Dienstkonto für die Interaktion mit Repositories.
  • Erteilen Sie die vom Dienstkonto erforderliche Artifact Registry-Mindestrolle. Weisen Sie z. B. Artifact Registry-Reader einem Dienstkonto zu, das nur Artefakte herunterlädt.
  • Wenn Gruppen in Ihrer Organisation verschiedene Zugriffsebenen für bestimmte Repositories benötigen, erteilen Sie den Zugriff auf Repository-Ebene und nicht auf Projektebene.
  • Folgen Sie den Best Practices für die Verwaltung von Anmeldedaten.

So erstellen Sie ein Dienstkonto und konfigurieren die Authentifizierung:

  1. Erstellen Sie ein Dienstkonto, das im Namen Ihrer Anwendung agieren soll, oder wählen Sie ein vorhandenes Dienstkonto für die Automatisierung aus.

    Sie benötigen den Speicherort der Dienstkonto-Schlüsseldatei, um damit die Authentifizierung bei Artifact Registry einzurichten. Auf der Seite „Dienstkonten“ können Sie die Schlüssel vorhandener Konten aufrufen und neue Schlüssel erstellen.

    Zur Seite „Dienstkonten“

  2. Gewähren Sie dem Dienstkonto die entsprechende Artifact Registry-Rolle, um den Zugriff auf das Repository zu ermöglichen.

  3. Wenn Sie das Dienstkonto in der aktuellen Cloud SDK-Sitzung aktivieren möchten, führen Sie den folgenden Befehl aus:

    gcloud auth activate-service-account ACCOUNT --key-file=KEY-FILE
    

    Dabei gilt:

    • ACCOUNT ist das Nutzer- oder Dienstkonto.
    • KEY-FILE ist der Pfad zur JSON-Schlüsseldatei des Dienstkontos.
  4. Führen Sie den folgenden Befehl aus, um die Repository-Konfiguration auszugeben:

    gcloud artifacts print-settings npm [--project=PROJECT] \
    [--repository=REPOSITORY] [--location=LOCATION] --scope=@SCOPE-NAME --json-key=KEY-FILE
    

    Wo

    • PROJECT ist die Projekt-ID. Wenn dieses Flag nicht angegeben ist, wird das aktuelle Projekt oder das Standardprojekt verwendet.
    • REPOSITORY ist die ID des Repositorys. Wenn Sie ein Standard-Artifact Registry-Repository konfiguriert haben, wird es verwendet, wenn dieses Flag im Befehl ausgelassen wird.
    • LOCATION ist der regionale oder multiregionale Standort für das Repository.
    • SCOPE-NAME ist der Name des npm-Bereichs, der dem Repository zugeordnet werden soll.

      Durch die Verwendung von Bereichen sorgen Sie dafür, dass immer Pakete aus dem richtigen Repository veröffentlicht und installiert werden.

      Pakete ohne Geltungsbereich sind mit Ihrer standardmäßigen npm-Registry verknüpft, normalerweise die öffentliche Registry von npm. Wenn Sie keinen Bereich angeben, legt die zurückgegebene Konfiguration Ihr Artifact Registry-Repository als Standard-Registry fest. Dies kann zu Problemen führen, wenn Ihre Node.js-Projekte Pakete aus der öffentlichen npm-Registry und aus Ihrem Artifact Registry-Repository installieren müssen.

    • KEY-FILE ist der Pfad zur JSON-Schlüsseldatei des Dienstkontos.

  5. Fügen Sie der Konfigurationsdatei .npmrc in Ihren Node.js-Projekten die zurückgegebenen Konfigurationseinstellungen hinzu. Diese Datei befindet sich normalerweise im selben Verzeichnis wie package.json. Achten Sie darauf, dass diese Einstellungen in Node.js-Projekten für Pakete, die Sie veröffentlichen, sowie für Projekte, die Abhängigkeiten aus Ihrem npm-Repository installieren, enthalten sind.

  6. Wenn Sie andere Node.js-Repositories haben, zu denen eine Verbindung hergestellt werden soll, wiederholen Sie die vorherigen Schritte, um die Einstellungen abzurufen, und fügen Sie sie der Datei .npmrc hinzu.

Nächste Schritte