此页面由 Cloud Translation API 翻译。

连接到 Bitbucket Cloud 主机

本页面介绍了如何连接到 Bitbucket Cloud 主机到 Cloud Build

准备工作

Enable the Cloud Build, Secret Manager, and Compute Engine APIs.
Enable the APIs

确保源代码位于 Bitbucket Cloud 代码库中
确保 Bitbucket Cloud 源代码库具有 Dockerfile 或 Cloud Build 配置文件。
安装 Google Cloud CLI 以使用 gcloud 命令。

必需的 IAM 权限

如需获得连接所需的权限，请让您的管理员为您的用户账号授予 Cloud Build Connection Admin (cloudbuild.connectionAdmin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

创建 Bitbucket Cloud 访问令牌

在 Bitbucket Cloud 中创建以下两个访问令牌：

管理员访问令牌 - 用于与代码库建立连接和断开连接。
读取权限令牌 - 用于允许 Cloud Build 访问您的源代码。

如需创建这些令牌，请按以下步骤操作：

登录 Bitbucket Cloud。
按照 Bitbucket Cloud 说明创建与您的代码库、项目或工作区关联的访问令牌。

授予以下权限：
- 管理员访问令牌：
  - 代码库：读取和管理
  - 拉取请求：Read
  - 网络钩子：Read 和 Write
- 读取访问令牌：
  - 代码库：读取
注意：某些令牌类型仅在 Bitbucket Premium 中提供。详细了解 Bitbucket Cloud 中的令牌。
复制您的令牌，以便在以下步骤中使用。

连接到 Bitbucket Cloud 主机

控制台

请完成以下步骤，将 Cloud Build 连接到您的 Bitbucket Cloud 主机：

打开 Google Cloud 控制台中的制品库页面。

打开“代码库”页面

您会看到代码库页面。
在项目选择器中，选择您的 Google Cloud 项目。
在页面顶部，选择第 2 代标签页。
点击创建主机连接，将新主机连接到 Cloud Build。
选择 Bitbucket 作为源代码提供商。
在配置连接部分中，输入以下信息：
1. 区域：为连接选择一个区域。
  
  注意：您必须指定一个区域。您的连接不能全局存在。
2. 名称：输入连接的名称。
3. 在主机详情部分中，选择 Bitbucket Cloud 作为主机类型。
4. 工作区：输入 Bitbucket Cloud 代码库的工作区 ID。
5. 访问令牌：输入之前创建的管理员访问令牌。
6. 读取访问令牌：输入之前创建的读取访问令牌。
点击连接。

新连接会显示在代码库页面中。

gcloud

要存储您的凭据，请完成以下步骤：

运行以下命令，将您的访问令牌存储在 Google Cloud 项目的 Secret Manager 中：
```
echo -n ADMIN_TOKEN | gcloud secrets create ADMIN_SECRET_NAME --data-file=-

echo -n READ_TOKEN | gcloud secrets create READ_SECRET_NAME --data-file=-
```
其中：
- ADMIN_TOKEN 是您的管理员访问令牌。
- ADMIN_SECRET_NAME 是您要为之指定的名称 Secret Manager 中的管理员访问令牌密钥。
- READ_TOKEN 是您的读取访问令牌。
- READ_SECRET_NAME 是您要为在 Secret Manager 中读取访问令牌 Secret。
在 Secret Manager 中创建 webhook Secret 方法是运行以下命令，其中 WEBHOOK_SECRET_NAME 是您要为 webhook Secret 指定的名称：
```
echo -n ${ex.(random-uuid)} | gcloud secrets create WEBHOOK_SECRET_NAME --data-file=-
```

如果您的 Secret 不在同一个项目中，请授予对您运行以下命令，获取 Cloud Build 服务代理：

PN=$(gcloud projects describe PROJECT_ID --format="value(projectNumber)")
CLOUD_BUILD_SERVICE_ACCOUNT="service-${PN}@gcp-sa-cloudbuild.iam.gserviceaccount.com"
gcloud secrets add-iam-policy-binding ADMIN_SECRET_NAME \
    --member="serviceAccount:${CLOUD_BUILD_SERVICE_ACCOUNT}" \
    --role="roles/secretmanager.secretAccessor"

gcloud secrets add-iam-policy-binding READ_SECRET_NAME \
    --member="serviceAccount:${CLOUD_BUILD_SERVICE_ACCOUNT}" \
    --role="roles/secretmanager.secretAccessor"

gcloud secrets add-iam-policy-binding WEBHOOK_SECRET_NAME \
    --member="serviceAccount:${CLOUD_BUILD_SERVICE_ACCOUNT}" \
    --role="roles/secretmanager.secretAccessor"

其中：

PROJECT_ID 是您的 Google Cloud 项目 ID。
ADMIN_SECRET_NAME 是管理员令牌 Secret 的名称。
READ_SECRET_NAME 是您读取令牌密钥。
WEBHOOK_SECRET_NAME 是您的网络钩子 Secret 的名称。

使用以下命令将 Cloud Build 连接到您的 Bitbucket Cloud 主机：

gcloud builds connections create bitbucket-cloud CONNECTION_NAME \
    --workspace=WORKSPACE_ID \
    --project=PROJECT_ID \
    --region=REGION \
    --authorizer-token-secret-version=projects/PROJECT_ID/secrets/ADMIN_SECRET_NAME/versions/latest \
    --read-authorizer-token-secret-version=projects/PROJECT_ID/secrets/READ_SECRET_NAME/versions/latest \
    --webhook-secret-secret-version=projects/PROJECT_ID/secrets/WEBHOOK_SECRET_NAME/versions/1

其中：

CONNECTION_NAME 是您要为与 Bitbucket Cloud 主机的连接指定的名称。
WORKSPACE_ID 是 Bitbucket Cloud 代码库的工作区 ID。
PROJECT_ID 是您的 Google Cloud 项目 ID。
REGION 是主机连接的区域。
ADMIN_SECRET_NAME 是您的管理员令牌密钥的名称。
READ_SECRET_NAME 是您的读取访问令牌 Secret 的名称。
WEBHOOK_SECRET_NAME 是您的 Webhook Secret 的名称。

Terraform

您可以使用以下命令将 Bitbucket Cloud 主机连接到 Cloud Build： Terraform。

在以下示例中，代码段将执行以下操作：

配置 Terraform Google 提供程序。
创建一个 Secret Manager Secret 以存储 Bitbucket 令牌。
向 Cloud Build 服务代理授予必要的权限，访问密钥。

创建 Bitbucket Cloud 连接。

// Configure the Terraform Google provider
terraform {
  required_providers {
    google = {}
  }
}

provider "google" {
  project = "PROJECT_ID"
  region = "REGION"
}

// Create secrets and grant permissions to the Cloud Build service agent
resource "google_secret_manager_secret" "admin-token-secret" {
    project = "PROJECT_ID"
    secret_id = "ADMIN_TOKEN_NAME"

    replication {
        auto {}
    }
}

resource "google_secret_manager_secret_version" "admin-token-secret-version" {
    secret = google_secret_manager_secret.admin-token-secret.id
    secret_data = "ADMIN_TOKEN_VALUE"
}

resource "google_secret_manager_secret" "read-token-secret" {
    project = "PROJECT_ID"
    secret_id = "READ_TOKEN_NAME"

    replication {
        auto {}
    }
}

resource "google_secret_manager_secret_version" "read-token-secret-version" {
    secret = google_secret_manager_secret.read-token-secret.id
    secret_data = "READ_TOKEN_VALUE"
}

resource "google_secret_manager_secret" "webhook-secret-secret" {
    project = "PROJECT_ID"
    secret_id = "WEBHOOK_SECRET_NAME"

    replication {
        auto {}
    }
}

resource "google_secret_manager_secret_version" "webhook-secret-secret-version" {
    secret = google_secret_manager_secret.webhook-secret-secret.id
    secret_data = "WEBHOOK_SECRET_VALUE"
}

data "google_iam_policy" "p4sa-secretAccessor" {
    binding {
        role = "roles/secretmanager.secretAccessor"
        members = ["serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com"]
    }
}

resource "google_secret_manager_secret_iam_policy" "policy-pak" {
  project = google_secret_manager_secret.admin-token-secret.project
  secret_id = google_secret_manager_secret.admin-token-secret.secret_id
  policy_data = data.google_iam_policy.p4sa-secretAccessor.policy_data
}

resource "google_secret_manager_secret_iam_policy" "policy-rpak" {
  project = google_secret_manager_secret.read-token-secret.project
  secret_id = google_secret_manager_secret.read-token-secret.secret_id
  policy_data = data.google_iam_policy.p4sa-secretAccessor.policy_data
}

resource "google_secret_manager_secret_iam_policy" "policy-whs" {
  project = google_secret_manager_secret.webhook-secret-secret.project
  secret_id = google_secret_manager_secret.webhook-secret-secret.secret_id
  policy_data = data.google_iam_policy.p4sa-secretAccessor.policy_data
}

// Create the connection and add the repository resource
resource "google_cloudbuildv2_connection" "my-connection" {
    project = "PROJECT_ID"
    location = "REGION"
    name = "CONNECTION_NAME"

    bitbucket_cloud_config {
        workspace = "WORKSPACE_ID"
        authorizer_credential {
            user_token_secret_version = google_secret_manager_secret_version.admin-token-secret-version.id
        }
        read_authorizer_credential {
            user_token_secret_version = google_secret_manager_secret_version.read-token-secret-version.id
        }
        webhook_secret_secret_version = google_secret_manager_secret_version.webhook-secret-secret-version.id
    }

    depends_on = [
        google_secret_manager_secret_iam_policy.policy-pak,
        google_secret_manager_secret_iam_policy.policy-rpak,
        google_secret_manager_secret_iam_policy.policy-whs
    ]
}

其中：

PROJECT_ID 是您的 Google Cloud 项目 ID。
PROJECT_NUMBER 是您的 Google Cloud 项目数字。
ADMIN_TOKEN_NAME 是您的令牌名称， webhook、repository、repository:admin 和 pullrequest 范围访问权限。
ADMIN_TOKEN_VALUE是指 ADMIN_TOKEN_NAME。
READ_TOKEN_NAME 是您的令牌名称， repository:read 范围。
READ_TOKEN_VALUE是指 READ_TOKEN_NAME。
WEBHOOK_SECRET_NAME 是您的 Webhook Secret 的名称。
WEBHOOK_SECRET_VALUE 是 WEBHOOK_SECRET_NAME 的值。
REGION 是以下各项的区域：您的连接。
CONNECTION_NAME 是连接的名称。
WORKSPACE_ID 是您的 Bitbucket Cloud 代码库的 Workspace ID。

连接到 Bitbucket Cloud 主机

准备工作

必需的 IAM 权限

创建 Bitbucket Cloud 访问令牌

连接到 Bitbucket Cloud 主机

控制台

gcloud

Terraform

后续步骤