创建 Docker Hub 远程仓库

创建 Docker Hub 远程仓库

创建一个远程仓库，将其用作 Docker Hub 的代理。

准备工作

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Artifact Registry, Secret Manager APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

   Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Artifact Registry, Secret Manager APIs.

   Enable the APIs

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

    Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
12. 创建一个 Docker Hub 账号。

所需的角色

如需获得创建 Docker Hub 远程仓库所需的权限，请让管理员向您授予以下 IAM 角色：

• 如需创建远程代码库并授予对个别代码库的访问权限，请拥有项目的 Artifact Registry 管理员 (roles/artifactregistry.admin) 角色
• 如需创建和管理密文，请拥有项目的 Secret Manager Admin 角色 (roles/secretmanager.admin)

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

选择 shell

如需完成本快速入门，请使用 Cloud Shell 或本地 shell。

Cloud Shell

Cloud Shell 是一种 shell 环境，用于管理托管在 Google Cloud上的资源。它预安装有 Docker 和 Google Cloud CLI，这是 Google Cloud的主要命令行界面。

本地 shell

如果您更喜欢使用本地 Shell，则必须在您的环境中安装 Docker 和 gcloud CLI。

启动 Cloud Shell

要启动 Cloud Shell，请执行以下步骤：

1. 前往 Google Cloud 控制台。

   Google Cloud 控制台

2. 点击激活 Cloud Shell 按钮：。

控制台下方的框架内会打开一个 Cloud Shell 会话。您可以使用此 shell 运行 gcloud 命令。

设置本地 shell

如需安装 gcloud CLI 和 Docker，请执行以下步骤：

1. 安装 gcloud CLI。如需更新现有安装，请运行命令 gcloud components update。

   注意 ：在 Ubuntu 上，使用 Debian 软件包安装 gcloud CLI。gcloud CLI 快照软件包不包含 kubectl 或扩展程序来使用 gcloud CLI 向 Artifact Registry 进行身份验证。

2. 安装 Docker（如果尚未安装）。

3. Docker 需要特别访问权限才能与注册表进行交互。 在 Linux 或 Windows 上，将您用于运行 Docker 命令的用户添加到 Docker 安全群组。在 macOS 上，Docker Desktop 以根用户身份在虚拟机上运行，因此无需执行此步骤。

   Linux

   Docker 安全群组称为 docker。 如需添加用户名，请运行以下命令：

   sudo usermod -a -G docker ${USER}
   

   Windows

   Docker 安全群组称为 docker-users。 如需从管理员命令提示符添加用户，请运行以下命令：

   net localgroup docker-users DOMAIN\USERNAME /add
   

   其中

   • DOMAIN 是您的 Windows 网域。
   • USERNAME 是您的用户名。
   注意：Docker 安全群组具有的访问权限相当于 root 用户或管理员用户。仅添加需要访问 Docker 的可信用户。如需详细了解安全方面的影响，请参阅 Docker 守护程序安全性。

4. 退出并重新登录以使群组成员资格变更生效。如果您使用的是虚拟机，则可能需要重启虚拟机才能使成员资格变更生效。

5. 若要确保 Docker 正在运行，请运行以下 Docker 命令，该命令返回当前时间和日期：

   docker run --rm busybox date
   

   --rm 标志表示会在退出时删除容器实例。

配置 Docker Hub 身份验证

为防止使用未经身份验证的 Docker Hub 配额，我们建议您在使用远程仓库时向 Docker Hub 进行身份验证。借助远程仓库，您可以添加您的 Docker Hub 用户名和以密钥形式保存的个人访问令牌，以便向 Docker Hub 进行身份验证。

创建 Docker Hub 个人访问令牌

1. 登录 Docker Hub。
2. 创建一个具有只读权限的个人访问令牌。

3. 复制访问令牌。

   警告 ：访问令牌仅显示一次。如果您关闭该窗口，则无法检索该令牌，并且您必须创建新的访问令牌。

4. 将访问令牌保存在本地或 Cloud Shell 中的文本文件中。

   警告： 请将访问令牌视为密码，并确保其安全。

将个人访问令牌保存在 Secret 中

控制台

1. 前往 Google Cloud 控制台中的 Secret Manager 页面。

   转到 Secret Manager 页面

2. 在 Secret Manager 页面上，点击创建密钥。

3. 在创建 Secret 页面的名称下，为 Secret 命名为 my-secret

4. 在 Secret 值字段中，输入您的 Docker Hub 个人访问令牌。

5. 保持区域部分不变。

6. 点击创建密钥按钮。

gcloud CLI

gcloud secrets create my-secret --data-file="/path/to/file.txt"

其中 /path/to/file.txt 是包含您的个人访问令牌的文本文件的位置。

向 Artifact Registry 服务账号授予对您的 Secret 的访问权限

控制台

1. 前往 Google Cloud 控制台中的 Secret Manager 页面。

   转到 Secret Manager 页面

2. 在 Secret Manager 页面上，点击 my-secret 旁边的复选框。

3. 如果面板尚未打开，请点击显示信息面板以打开面板。

4. 在信息面板中，点击添加主账号。

5. 在新主账号文本区域中，输入 Artifact Registry 服务账号的电子邮件地址。Artifact Registry 服务账号电子邮件地址的格式如下

   [e-mail]

   其中，PROJECT-NUMBER 是您的项目编号。

   如需查找项目编号，请执行以下操作：

   • 前往 Google Cloud 控制台中的信息中心页面。

     前往“信息中心”页面

   • 点击页面顶部的请选择：下拉列表。

   • 在随即显示的从以下列表中选择：窗口中，选择您的项目。

     项目 ID 和项目编号显示在项目信息中心的项目信息卡片上。

6. 在选择角色下拉列表中，选择 Secret Manager，然后选择 Secret Manager Secret Accessor。

gcloud CLI

gcloud secrets add-iam-policy-binding my-secret \
    --member="serviceAccount:[e-mail]" \
    --role="roles/secretmanager.secretAccessor"

其中，PROJECT-NUMBER 是您的 Cloud 项目的项目编号。

如需查找项目编号，请执行以下操作：

• 前往 Google Cloud 控制台中的信息中心页面。

  前往“信息中心”页面

• 点击页面顶部的请选择：下拉列表。

• 在随即显示的从以下列表中选择：窗口中，选择您的项目。

  项目 ID 和项目编号显示在项目信息中心的项目信息卡片上。

创建远程代码库

运行以下命令，使用您的 Docker Hub 凭据在位置 us-central1 中创建一个名为 quickstart-docker-hub-remote 的 Artifact Registry 远程仓库：

gcloud artifacts repositories create quickstart-docker-hub-remote \
    --project=PROJECT_ID \
    --repository-format=DOCKER  \
    --location=us-central1 \
    --description="Remote Docker repository" \
    --mode=remote-repository \
    --remote-repo-config-desc="Docker Hub" \
    --remote-docker-repo=DOCKER-HUB \
    --remote-username=USERNAME \
    --remote-password-secret-version=projects/PROJECT/secrets/my-secret/versions/1

其中：

• quickstart-docker-hub-remote 是代码库的名称。对于项目中的每个代码库位置，代码库名称不得重复。
• PROJECT_ID 是项目 ID。如果省略此标志，则系统会使用当前项目或默认项目。
• us-central1 是代码库的单区域或多区域位置。如果您设置默认值，则可以省略此标志。如需查看受支持位置的列表，请运行 gcloud artifacts locations list 命令。
• "Remote Docker repository" 是代码库的可选说明。请勿添加敏感数据，因为代码库说明未加密。
• "Docker Hub" 是此远程代码库的外部代码库配置的可选说明。
• DOCKER-HUB 会将远程代码库的上游设置为公共 Docker Hub 上游。
• USERNAME 是您的 Docker Hub 用户名。
• projects/PROJECT/secrets/my-secret/versions/1 是您创建的用于存储 Docker Hub 个人访问令牌的密钥版本。

Artifact Registry 会创建代码库，并将其添加到代码库列表中。

配置 Docker 身份验证

如需推送或拉取映像，请将 Docker 配置为使用 Google Cloud CLI 对向 Artifact Registry 发出的请求进行身份验证。

1. 以将运行 Docker 命令的用户身份登录 gcloud CLI。

   gcloud auth login
   

2. 如需为区域 us-central1 中的 Docker 代码库设置身份验证，请运行以下命令：

   gcloud auth configure-docker us-central1-docker.pkg.dev
   

   该命令将更新您的 Docker 配置。现在，您可以在 Google Cloud 项目中与 Artifact Registry 连接以推送和拉取映像。

如需了解其他身份验证方法，请参阅身份验证方法。

将映像拉取到远程代码库

1. 以将运行 Docker 命令的用户身份登录 gcloud CLI。

   gcloud auth login
   

2. 使用以下命令将映像从 Docker Hub 拉取到您的机器和远程代码库中：

   docker pull us-central1-docker.pkg.dev/PROJECT/quickstart-docker-hub-remote/busybox:latest
   

   其中：

   • us-central1 是远程代码库位置。
   • us-central1-docker.pkg.dev 是您创建的 Docker 代码库的主机名。
   • PROJECT 是您的 Google Cloud 项目 ID。如果您的项目 ID 包含英文冒号 (:)，请参阅网域级项目。
   • quickstart-docker-hub-remote 是您创建的代码库的 ID。
   • busybox 是要从 Docker Hub 拉取到 quickstart-docker-hub-remote 的映像的名称。
   • latest 是您要从 Docker Hub 拉取的带标记的映像版本。

   系统会将映像拉取到您的机器并缓存在远程仓库中。如果您再次拉取同一张带标记的图片，系统会从远程仓库中拉取该图片。系统会使用您的 Docker Hub 凭据。

3. 列出存储在远程代码库中的工件：

   gcloud artifacts packages list \
       --location=us-central1 \
       --repository=quickstart-docker-hub-remote
   

   输出类似以下内容：

   Listing items under project my-project, location us-central1, repository quickstart-docker-hub-remote.
   
   PACKAGE: busybox
   CREATE_TIME: 2023-06-19T18:59:09
   UPDATE_TIME: 2023-06-19T18:59:10
   

清理

为避免因本页中使用的资源导致您的 Google Cloud 账号产生费用，请按照以下步骤操作。

删除代码库

如果您想保留项目，只删除代码库资源，请按照本部分中的步骤操作。如果您想删除整个项目，请按照删除项目中的步骤操作

在移除代码库之前，请确保您要保留的任何映像在其他位置提供。

如需删除代码库，请执行以下操作：

控制台

1. 在 Google Cloud 控制台中打开制品库页面。

   打开“代码库”页面

2. 在代码库列表中，选择 quickstart-docker-hub-remote 代码库。

3. 点击删除。

gcloud

如需删除 quickstart-docker-hub-remote 代码库，请运行以下命令：

gcloud artifacts repositories delete quickstart-docker-hub-remote \
    --location=us-central1

删除项目

注意：删除项目会产生以下影响：

• 项目中的所有内容都会被删除。如果您将现有项目用于本文档中的任务，则删除该项目后，还将删除您已在该项目中完成的任何其他工作。
• 自定义项目 ID 丢失。创建此项目时，您可能创建了要在将来使用的自定义项目 ID。要保留使用该项目 ID 的网址（例如 appspot.com 网址），请删除项目内的所选资源，而不是删除整个项目。

如果您打算探索多个架构、教程或快速入门，则重复使用项目可以帮助您避免超出项目配额限制。

1. In the Google Cloud console, go to the Manage resources page.

   Go to Manage resources

2. In the project list, select the project that you want to delete, and then click Delete.
3. In the dialog, type the project ID, and then click Shut down to delete the project.

后续步骤

• 了解不同的 Artifact Registry 代码库模式。
• 详细了解 Artifact Registry 远程仓库。
• 详细了解 CI/CD。