Prepara per gcr.io ospitato su Artifact Registry per impostazione predefinita

I progetti Google Cloud che non hanno utilizzato Container Registry prima del 15 maggio 2024 supporteranno solo l'hosting e la gestione delle immagini in Artifact Registry. Questa modifica interessa:

Progetti appena creati.
Progetti esistenti per i quali non hai eseguito il push di un'immagine in Container Registry.

Quando abiliti l'API Artifact Registry in questi progetti, Artifact Registry gestirà automaticamente la creazione dei repository gcr.io in Artifact Registry e reindirizzerà le richieste al dominio gcr.io al repository Artifact Registry appropriato. A differenza del supporto del dominio gcr.io esistente nei progetti con uso di Container Registry attivo, il reindirizzamento ad Artifact Registry sarà automatico.

Container Registry rimarrà disponibile nei progetti in cui si è verificata una delle seguenti azioni prima del 15 maggio 2024:

Hai abilitato l'API Container Registry nel progetto.
Hai eseguito il push di un'immagine a un host del registro nel progetto.

Per prepararti al cambiamento imminente, ti consigliamo di:

Segui le istruzioni in questo documento per configurare i progetti in cui non utilizzi Container Registry in modo che siano pronti per la gestione automatica delle richieste gcr.io quando le modifiche entrano in vigore.
Testa il supporto del dominio gcr.io prima che l'hosting automatico del dominio gcr.io su Artifact Registry abbia effetto per verificare che l'automazione esistente continui a funzionare.

I repository gcr.io ospitati su Artifact Registry vengono creati nelle stesse più aree geografiche supportate da Container Registry. Se vuoi archiviare le immagini in altre regioni, devi eseguire la transizione ai repository standard nel dominio pkg.dev.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per configurare i repository gcr.io, chiedi all'amministratore di concederti i seguenti ruoli IAM:

Per creare repository Artifact Registry e concedere l'accesso a singoli repository: Amministratore Artifact Registry (roles/artifactregistry.admin) sul progetto
Per visualizzare e gestire la configurazione esistente di Container Registry applicata ai bucket Cloud Storage: Storage Admin (roles/storage.admin) sul progetto
Per concedere l'accesso al repository a livello di progetto: Amministratore IAM del progetto (roles/resourcemanager.projectIamAdmin) o un ruolo che include autorizzazioni equivalenti, ad esempio Amministratore cartelle (roles/resourcemanager.folderAdmin) o Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin) sul progetto, sulla cartella o sull'organizzazione
Per elencare i servizi attivati in un'organizzazione: Visualizzatore asset cloud (roles/cloudasset.viewer) nell'organizzazione

Per maggiori informazioni sulla concessione dei ruoli, vedi Gestire l'accesso.

Potresti anche ottenere le autorizzazioni richieste tramite ruoli personalizzati o altri ruoli predefiniti.

Prima di iniziare

Puoi elencare i progetti in cui è archiviata almeno un'immagine in Container Registry. Puoi quindi concentrarti sulla configurazione di altri progetti per l'hosting delle richieste gcr.io in Artifact Registry utilizzando le istruzioni in questo documento.

Esegui questo comando, sostituendo ORGANIZATION con l'ID organizzazione Google Cloud:

gcloud asset search-all-resources \
    --scope='organizations/ORGANIZATION' \
    --asset-types='containerregistry.googleapis.com/Image' \
    --format=json \
    | jq ".[].project" | sort | uniq

Abilita l'API

Abilitare l'API Artifact Registry in modo che le richieste al dominio gcr.io vengano gestite automaticamente da Artifact Registry quando l'hosting automatico gcr.io viene applicato.

Esegui questo comando:

gcloud services enable \
    artifactregistry.googleapis.com

Se di solito inserisci l'API Container Registry in un perimetro di servizio Controlli di servizio VPC, assicurati di inserire anche l'API Artifact Registry nel perimetro. Per istruzioni, consulta Sicurezza del repository in un perimetro di servizio.

Concedi le autorizzazioni ai repository

Container Registry utilizza i ruoli Cloud Storage per controllare l'accesso. Artifact Registry ha i propri ruoli IAM e questi ruoli separano i ruoli di amministrazione di lettura, scrittura e repository in modo più chiaro rispetto a Container Registry.

Per mappare rapidamente le autorizzazioni esistenti concesse sui bucket di archiviazione ai ruoli Artifact Registry suggeriti, utilizza lo strumento di mappatura dei ruoli.

In alternativa, puoi visualizzare un elenco di entità con accesso ai bucket di archiviazione tramite la console Google Cloud.

Nella console Google Cloud, vai alla pagina Bucket di Cloud Storage.

Vai a Bucket
Fai clic sul bucket di archiviazione per l'host del Registro di sistema che vuoi visualizzare. Nei nomi dei bucket, PROJECT-ID è il tuo ID progetto Google Cloud.
- gcr.io: artifacts.PROJECT-ID.appspot.com
- asia.gcr.io: asia.artifacts.PROJECT-ID.appspot.com
- eu.gcr.io: eu.artifacts.PROJECT-ID.appspot.com
- us.gcr.io: us.artifacts.PROJECT-ID.appspot.com
Fai clic sulla scheda Autorizzazioni.
Nella scheda Autorizzazioni, fai clic sulla sottoscheda Visualizza per ruolo.
Espandi un ruolo per visualizzare le entità con quel ruolo.

L'elenco include i ruoli IAM concessi direttamente nel bucket e i ruoli ereditati dal progetto padre. In base al ruolo, puoi scegliere il ruolo Artifact Registry più appropriato da concedere.

Cloud Storage e ruoli di base

Concedi agli utenti e agli account di servizio che attualmente accedono a Container Registry con accesso ai repository di Artifact Registry. Per i ruoli Cloud Storage ereditati dal progetto padre, devi verificare che l'entità al momento utilizzi Container Registry. Alcune entità potrebbero accedere solo ad altri bucket Cloud Storage non correlati a Container Registry.

I ruoli di base Proprietario, Editor e Visualizzatore prima dell'utilizzo di IAM dispongono di accesso limitato ai bucket di archiviazione. Non forniscono intrinsecamente l'accesso completo alle risorse di Cloud Storage cui i relativi nomi implicano e forniscono autorizzazioni aggiuntive per altri servizi Google Cloud. Verifica quali utenti e account di servizio richiedono l'accesso ad Artifact Registry e utilizza la tabella di mappatura del ruolo per assegnare i ruoli giusti se l'accesso ad Artifact Registry è appropriato.

La seguente tabella mappa i ruoli di Artifact Registry in base alle autorizzazioni concesse dai ruoli Cloud Storage predefiniti per l'accesso a Container Registry.

Accesso richiesto	Ruolo attuale	Ruolo Artifact Registry	Dove concedere il ruolo
Esegui il pull delle immagini (sola lettura)	Visualizzatore oggetti Storage (`roles/storage.objectViewer`)	Lettore Artifact Registry (`roles/artifactregistry.reader)`	Repository di Artifact Registry o progetto Google Cloud
Push e pull delle immagini (lettura e scrittura) Elimina immagini	Writer bucket legacy Storage (`roles/storage.legacyBucketWriter`)	Amministratore repository Artifact Registry (`roles/artifactregistry.repoAdmin)`	Repository di Artifact Registry o progetto Google Cloud
Crea un repository gcr.io in Artifact Registry la prima volta che viene eseguito il push di un'immagine a un nome host gcr.io in un progetto.	Amministratore Storage (`roles/storage.admin`)	Amministratore repository Create-on-push di Artifact Registry `(roles/artifactregistry.createOnPushRepoAdmin)`	Progetto Google Cloud
Creazione, gestione ed eliminazione dei repository	Amministratore Storage (`roles/storage.admin`)	Amministratore Artifact Registry `(roles/artifactregistry.Admin)`	Progetto Google Cloud

Ruoli di agente di servizio ereditati dal progetto

Agli account di servizio predefiniti per i servizi Google Cloud sono assegnati i propri ruoli a livello di progetto. Ad esempio, l'agente di servizio per Cloud Run ha il ruolo Agente di servizio Cloud Run.

Nella maggior parte dei casi, questi ruoli degli agenti di servizio contengono autorizzazioni predefinite equivalenti per Container Registry e Artifact Registry e non è necessario apportare ulteriori modifiche se esegui Artifact Registry nello stesso progetto del servizio Container Registry esistente.

Consulta il riferimento al ruolo dell'agente di servizio per i dettagli sulle autorizzazioni nei ruoli dell'agente di servizio.

Ruoli personalizzati

Utilizza la tabella di mappatura dei ruoli per decidere il ruolo da concedere agli utenti o agli account di servizio in base al livello di accesso richiesto.

Per istruzioni sulla concessione dei ruoli di Artifact Registry, consulta Configurare i ruoli e le autorizzazioni.

Configurazione del bucket di archiviazione

Quando crei un repository in Artifact Registry, Artifact Registry non crea i bucket Cloud Storage corrispondenti nel tuo progetto. Se utilizzi l'automazione di Container Registry che interagisce direttamente con i bucket di archiviazione, devi aggiornarla per apportare le modifiche corrispondenti al repository Artifact Registry.

Ad esempio, se concedi in modo programmatico le autorizzazioni Cloud Storage per i bucket di archiviazione per Container Registry, devi aggiornare l'automazione per concedere le autorizzazioni per Artifact Registry nei repository Artifact Registry che ospitano le immagini per il dominio gcr.io.

In Artifact Registry, imposti il metodo di crittografia per i dati archiviati in un repository anziché su un bucket di archiviazione. L'hosting automatico di gcr.io su Artifact Registry crea repository gcr.io che vengono criptati con chiavi di crittografia gestite da Google. Se vuoi utilizzare chiavi di crittografia gestite dal cliente (CMEK), devi creare personalmente i repository gcr.io e specificare CMEK come metodo di crittografia quando li crei.

Per creare manualmente un repository gcr.io:

Se utilizzi CMEK, crea la chiave che utilizzerai con questo repository e concedi le autorizzazioni per utilizzare la chiave. Vedi Abilitazione delle chiavi di crittografia gestite dal cliente.
Aggiungi il repository.
Console
1. Apri la pagina Repository nella console Google Cloud.
  
  Apri la pagina Repository
2. Fai clic su Crea repository.
3. Specifica il nome del repository.
  
  Nome host Container Registry Nome repository Artifact Registry
  
  gcr.io gcr.io
  
  asia.gcr.io asia.gcr.io
  
  eu.gcr.io eu.gcr.io
  
  us.gcr.io us.gcr.io
4. Specifica Docker come formato del repository.
5. In Tipo di località, specifica più regioni per il repository:
  
  Nome host Container Registry Località del repository Artifact Registry
  
  gcr.io us
  
  asia.gcr.io asia
  
  eu.gcr.io europe
  
  us.gcr.io us
6. Aggiungi una descrizione per il repository. Non includere dati sensibili, poiché le descrizioni del repository non sono criptate.
7. Nella sezione Crittografia, scegli il meccanismo di crittografia per il repository.
  - Chiave gestita da Google: cripta i contenuti del repository con una chiave di crittografia gestita da Google.
  - Chiave gestita dal cliente: cripta il contenuto del repository con una chiave che puoi controllare tramite Cloud Key Management Service. Per istruzioni sulla configurazione delle chiavi, consulta la pagina relativa alla configurazione di CMEK per i repository.
8. Fai clic su Crea.
gcloud
Esegui il comando seguente per creare un nuovo repository.
```
gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=LOCATION \
    --description=DESCRIPTION \
    --kms-key=KMS-KEY
```
Sostituisci i seguenti valori:
- REPOSITORY è il nome del repository.
  
  Nome host Container Registry Nome repository Artifact Registry
  
  gcr.io gcr.io
  
  asia.gcr.io asia.gcr.io
  
  eu.gcr.io eu.gcr.io
  
  us.gcr.io us.gcr.io
- LOCATION è la multiregione per il repository:
  
  Nome host Container Registry Località del repository Artifact Registry
  
  gcr.io us
  
  asia.gcr.io asia
  
  eu.gcr.io europe
  
  us.gcr.io us
- DESCRIPTION è una descrizione del repository. Non includere dati sensibili, poiché le descrizioni dei repository non sono criptate.
- KMS-KEY è il percorso completo della chiave di crittografia di Cloud KMS, se utilizzi una chiave di crittografia gestita dal cliente per criptare i contenuti del repository. Il percorso è nel formato:
```
projects/KMS-PROJECT/locations/KMS-LOCATION/keyRings/KEY-RING/cryptoKeys/KEY
```
  Sostituisci i seguenti valori:
  - KMS-PROJECT è il progetto in cui è archiviata la chiave.
  - KMS-LOCATION è la posizione della chiave.
  - KEY-RING è il nome del keyring.
  - KEY è il nome della chiave.
Puoi confermare che il repository venga creato elencando i tuoi repository con il comando:
```
gcloud artifacts repositories list
```

Nome host Container Registry	Nome repository Artifact Registry
gcr.io	gcr.io
asia.gcr.io	asia.gcr.io
eu.gcr.io	eu.gcr.io
us.gcr.io	us.gcr.io

Nome host Container Registry	Località del repository Artifact Registry
gcr.io	us
asia.gcr.io	asia
eu.gcr.io	europe
us.gcr.io	us

Nome host Container Registry	Nome repository Artifact Registry
gcr.io	gcr.io
asia.gcr.io	asia.gcr.io
eu.gcr.io	eu.gcr.io
us.gcr.io	us.gcr.io

Nome host Container Registry	Località del repository Artifact Registry
gcr.io	us
asia.gcr.io	asia
eu.gcr.io	europe
us.gcr.io	us

Passaggi successivi

Prima che le modifiche vengano applicate ai progetti che non utilizzano attivamente Container Registry, configura il supporto del dominio gcr.io in un progetto di test per verificare che l'automazione e l'integrazione esistenti con servizi come Cloud Build, Google Kubernetes Engine o Cloud Functions funzionino come previsto. Se si verificano problemi quando il reindirizzamento è abilitato, puoi reindirizzare il traffico gcr.io a Container Registry e apportare le modifiche necessarie per risolvere il problema.