Accesso a GitHub da una build tramite chiavi SSH

---

Questo tutorial mostra come utilizzare Secret Manager con Cloud Build per accedere Repository GitHub da una build. Secret Manager è un servizio Google Cloud che archivia in modo sicuro chiavi API, password e altri dati sensibili.

Nota: devi utilizzare Secret Manager per connetterti ai repository GitHub privati solo quando esegui build manuali. Quando esegui build utilizzando i trigger di Cloud Build, puoi connetterti automaticamente a qualsiasi repository privato di tua proprietà senza le tue credenziali in Secret Manager. Per informazioni sulla creazione degli attivatori, consulta Creare e gestire gli attivatori di build.

Obiettivi

• Configura una chiave SSH GitHub.
• Aggiungi la chiave SSH pubblica alle chiavi di deployment del repository privato.
• Memorizza la chiave SSH privata in Secret Manager.
• Invia una build che accede alla chiave da Secret Manager per accedere al repository privato.

Costi

In questo documento utilizzi i seguenti componenti fatturabili di Google Cloud:

• Secret Manager
• Cloud Build

Per generare una stima dei costi basata sull'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi utenti di Google Cloud potrebbero essere idonei per una prova gratuita.

Prima di iniziare

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Cloud Build and Secret Manager APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Cloud Build and Secret Manager APIs.

   Enable the APIs

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

12. Facoltativo. Completa la guida rapida di Secret Manager per acquisire familiarità con questo prodotto.

Crea una chiave SSH

1. Apri una finestra del terminale.

2. Crea una nuova directory denominata workingdir e accedi alla directory:

   mkdir workingdir
   cd workingdir
   

3. Crea una nuova chiave SSH GitHub, dove github-email è il tuo GitHub indirizzo email:

   ssh-keygen -t rsa -b 4096 -N '' -f id_github -C github-email
   

   Questo comando crea una nuova chiave SSH workingdir/id_github senza passphrase per la chiave SSH. Cloud Build non può utilizzare la tua chiave SSH se è protetta con una passphrase.

Archivia la chiave SSH privata in Secret Manager

Quando crei una chiave SSH, nel tuo ambiente viene creato un file id_github. Poiché chiunque può autenticarsi nel tuo account con questo file, devi archiviarlo in Secret Manager prima di utilizzarlo in una compilazione.

1. Per archiviare la chiave SSH in Secret Manager:

   1. Vai alla pagina Secret Manager nella console Google Cloud:

      Vai alla pagina Secret Manager

   2. Nella pagina Secret Manager, fai clic su Crea secret.

   3. Nella pagina Crea secret, in Nome, inserisci un nome per il secret.

   4. Nel campo Valore secret, fai clic su Carica e carica il tuo workingdir/id_github. .

   5. Lascia invariata la sezione Regioni.

   6. Fai clic sul pulsante Crea secret.

Il file id_github verrà caricato in Secret Manager.

Aggiungi la chiave SSH pubblica alle chiavi di deployment del repository privato

1. Accedi a GitHub.

2. Nell'angolo in alto a destra, fai clic sulla tua foto del profilo, quindi fai clic su Il tuo profilo.

3. Nella pagina del tuo profilo, fai clic su Repository, quindi sul nome del tuo repository Git.

4. Dal repository, fai clic su Impostazioni.

5. Nella barra laterale, fai clic su Esegui il deployment delle chiavi, quindi su Aggiungi chiave di deployment.

6. Fornisci un titolo, incolla la chiave SSH pubblica da workingdir/id_github.pub.

7. Seleziona Consenti accesso in scrittura se desideri che la chiave abbia accesso in scrittura repository Git. Una chiave di deployment con accesso in scrittura consente al deployment di eseguire il push nel repository.

8. Fai clic su Aggiungi chiave.

9. Elimina la chiave SSH dal disco:

   rm id_github*
   

Concedi le autorizzazioni

Devi concedere l'autorizzazione di accesso a Secret Manager all'account di servizio che utilizzi per la compilazione.

1. Apri la pagina Impostazioni di Cloud Build:

   Apri la pagina Impostazioni Cloud Build

2. Dall'elenco a discesa, seleziona l'account di servizio di cui vuoi assegnare i ruoli modifica.

3. Imposta lo stato del ruolo Secret Manager Secret Accessor su Attiva.

Aggiungi la chiave SSH pubblica agli host noti

La maggior parte delle macchine contiene un file denominato known_hosts, che contiene chiavi note per gli host remoti. Spesso le chiavi vengono raccolte dagli host remoti durante la connessione ma possono anche essere aggiunti manualmente. Le chiavi in questo vengono utilizzati per verificare l'identità dell'host remoto e proteggerti dal furto d'identità.

Affinché Cloud Build si connetta a GitHub, devi aggiungere la chiave SSH pubblica al file known_hosts nell'ambiente di compilazione di Cloud Build. Tu puoi farlo aggiungendo la chiave a un file known_hosts.github temporaneo e copia dei contenuti di known_hosts.github nel file known_hosts nell'ambiente di build di Cloud Build.

Nella directory workingdir, crea un file denominato known_hosts.github e aggiungere la chiave SSH pubblica a questo file:

ssh-keyscan -t rsa github.com > known_hosts.github

Nella sezione successiva, quando configuri la compilazione, aggiungerai istruzioni nel file di configurazione di Cloud Build per copiare i contenuti di known_hosts.github nel file known_hosts nell'ambiente di compilazione di Cloud Build.

Nota: per motivi di sicurezza, verifica le impronte dell'host nel file known_hosts in base alle impronte delle chiavi host SSH pubblicate da GitHub.

Configura la build

Per configurare la compilazione:

1. Crea un file di configurazione della build denominato cloudbuild.yaml in due passaggi: il primo passaggio gcloud accede alla chiave SSH in Secret Manager e la salva come id_rsa in un volume denominato ssh, insieme a una copia del file known_hosts.github. Il volume viene utilizzato per mantenere i file durante i passaggi di compilazione. Il secondo passaggio git utilizza la chiave in id_rsa per connettersi al repository in [e-mail]:git-username/git-repository.

   # Access the id_github file from Secret Manager, and setup SSH
   steps:
   - name: 'gcr.io/cloud-builders/git'
     secretEnv: ['SSH_KEY']
     entrypoint: 'bash'
     args:
     - -c
     - |
       echo "$$SSH_KEY" >> /root/.ssh/id_rsa
       chmod 400 /root/.ssh/id_rsa
       cp known_hosts.github /root/.ssh/known_hosts
     volumes:
     - name: 'ssh'
       path: /root/.ssh
   
   # Clone the repository
   - name: 'gcr.io/cloud-builders/git'
     args:
     - clone
     - --recurse-submodules
     - [e-mail]:GIT_USERNAME/GIT_REPOSITORY
     volumes:
     - name: 'ssh'
       path: /root/.ssh
   
   availableSecrets:
     secretManager:
     - versionName: projects/PROJECT_ID/secrets/SECRET_NAME/versions/latest
       env: 'SSH_KEY'
   

Sostituisci i valori segnaposto nei comandi precedenti con quanto segue:

• GIT_USERNAME: il nome utente GitHub del proprietario del repository.
• GIT_REPOSITORY: il nome del repository GitHub che hai selezionato a cui vuoi accedere.
• PROJECT_ID: l'ID del progetto Google Cloud dove hai archiviato i tuoi secret.
• SECRET_NAME: il nome del secret creato in Secret Manager.

Per saperne di più sulle stringhe YAML multiriga utilizzate nello snippet sopra, consulta YAML multilinea.

Invia la build

Per inviare la build, esegui questo comando:

gcloud builds submit --config=cloudbuild.yaml .

L'output è simile al seguente:

Creating temporary tarball archive of 3 file(s) totalling 4.1 KiB before compression.
Uploading tarball of [.] to [gs://[PROJECT-ID]_cloudbuild/source/1504288639.02---.tgz]
Created [https://cloudbuild.googleapis.com/v1/projects/[PROJECT-ID]/builds/871b68bc---].
Logs are available at [https://console.cloud.google.com/cloud-build/builds/871b68bc---?project=[PROJECT-ID]].
----------------------------- REMOTE BUILD OUTPUT ------------------------------
starting build "871b68bc-cefc-4411-856c-2a2b7c7d2487"

FETCHSOURCE
Fetching storage object: gs://[PROJECT-ID]_cloudbuild/source/1504288639.02---.tgz#1504288640827178
Copying gs://[PROJECT-ID]_cloudbuild/source/1504288639.02---.tgz#1504288640827178...
/ [1 files][  3.9 KiB/  3.9 KiB]
Operation completed over 1 objects/3.9 KiB.
BUILD
Step #0: Already have image (with digest): gcr.io/cloud-builders/gcloud
Starting Step #0
Finished Step #0
Step #1: Already have image (with digest): gcr.io/cloud-builders/git
Starting Step #1
Step #1: # github.com SSH-2.0-libssh_0.7.0
Finished Step #1
Step #2: Already have image (with digest): gcr.io/cloud-builders/git
Starting Step #2
Step #2: Cloning into '[REPOSITORY-NAME]'...
Step #2: Warning: Permanently added the RSA host key for IP address 'XXX.XXX.XXX.XXX' to the list of known hosts.
Finished Step #2
PUSH
DONE
-----------------------------------------------------------------------------------------------------------------

ID                                    CREATE_TIME                DURATION  SOURCE                                                                              IMAGES  STATUS
871b68bc-cefc-4411-856c-2a2b7c7d2487  XXXX-XX-XXT17:57:21+00:00  13S       gs://[PROJECT-ID]_cloudbuild/source/1504288639.02---.tgz  -                                 SUCCESS

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Elimina il progetto

Il modo più semplice per eliminare la fatturazione creato per il tutorial.

Per eliminare il progetto:

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività descritte in questo documento, quando lo elimini elimini anche tutto il lavoro svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un appspot.com URL, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, il riuso dei progetti può aiutarti a non superare i limiti di quota.

1. In the Google Cloud console, go to the Manage resources page.

   Go to Manage resources

2. In the project list, select the project that you want to delete, and then click Delete.
3. In the dialog, type the project ID, and then click Shut down to delete the project.

Elimina la chiave di deployment dal repository

1. Su GitHub, vai alla pagina principale del repository.

2. Sotto il nome del repository, fai clic su Impostazioni.

3. Nella barra laterale sinistra, fai clic su Esegui il deployment delle chiavi.

4. Nella pagina Chiavi di deployment, cerca le chiavi di deployment associate al tuo repository e fai clic su Elimina.

Passaggi successivi

• Scopri come creare trigger di GitHub.
• Scopri di più sull'utilizzo delle risorse criptate in Cloud Build.
• Scopri di più su Secret Manager.