Descripción general de Cloud Build

Cloud Build es un servicio que ejecuta tus compilaciones en Google Cloud.

Cloud Build puede importar un código fuente desde varios repositorios o espacios de Cloud Storage, ejecutar una compilación según tus especificaciones y producir artefactos como contenedores de Docker o archivos de Java.

También puedes usar Cloud Build para proteger tu cadena de suministro de software. Las funciones de Cloud Build cumplen con los requisitos de los Niveles de cadena de suministro para artefactos de software (SLSA) de nivel 3. Para obtener indicaciones sobre cómo proteger los procesos de compilación, consulta Cómo proteger compilaciones.

Configuración y pasos de compilación

Puedes escribir una configuración de la compilación para proporcionar instrucciones a Cloud Build sobre qué tareas realizar. Puedes configurar compilaciones para recuperar dependencias, ejecutar pruebas de unidades, realizar análisis de estadísticas y pruebas de integración y crear artefactos con herramientas de compilación como Docker, Gradle, Maven, Bazel y Gulp.

Cloud Build ejecuta tu compilación como una serie de pasos de la compilación, en los que cada paso de la compilación se ejecuta en un contenedor de Docker. La ejecución de pasos de compilación es análoga a la ejecución de comandos en una secuencia de comandos.

Puedes usar los pasos de compilación proporcionados por Cloud Build y la comunidad de Cloud Build o escribir tus propios pasos de compilación personalizados:

Cada paso de compilación se ejecuta con su contenedor conectado a una red de Docker local llamada cloudbuild. Eso permite que los pasos de compilación se comuniquen entre sí y compartan datos. Para obtener más información sobre la red cloudbuild, consulta la red de Cloud Build.

Puedes usar imágenes estándar de Docker Hub en Cloud Build, como Ubuntu y Gradle.

Inicia compilaciones

Puedes iniciar compilaciones de forma manual en Cloud Build con Google Cloud CLI o la API de Cloud Build, o usar los activadores de compilación de Cloud Build para crear un flujo de trabajo automatizado de integración continua/entrega continua (CI/CD) que inicie compilaciones nuevas en respuesta a los cambios de código.

Puedes integrar activadores de compilación en varios repositorios de código, incluidos Cloud Source Repositories, GitHub, y Bitbucket.

Visualiza los resultados de las compilaciones

Puedes ver los resultados de tu compilación con gcloud CLI o la API de Cloud Build, o puedes usar la página Historial de compilaciones en la sección de Cloud Build en la consola de Google Cloud, que muestra detalles y registros de cada compilación que ejecuta Cloud Build. Para obtener instrucciones, consulta Visualiza los resultados de compilación.

Cómo funcionan las compilaciones

En los pasos siguientes, se brinda una descripción general del ciclo de vida de una compilación de Cloud Build:

  1. Prepara tu código de aplicación y cualquier elemento necesario.
  2. Crea un archivo de configuración de la compilación en formato YAML o JSON, que incluya instrucciones para Cloud Build.
  3. Envía la compilación a Cloud Build.
  4. Cloud Build ejecuta la compilación según la configuración de la compilación que proporcionaste.
  5. Si corresponde, todos los artefactos compilados se envían a Artifact Registry.

Docker

Cloud Build usa Docker para ejecutar compilaciones. Para cada paso de compilación, Cloud Build ejecuta un contenedor de Docker como una instancia de docker run. Actualmente, Cloud Build ejecuta la versión 20.10.17 del motor de Docker.

Interfaces de Cloud Build

Puedes usar Cloud Build con Google Cloud Console, la herramienta de línea de comandos de gcloud o la API de REST de Cloud Build.

En la consola de Google Cloud, puedes ver los resultados de la compilación de Cloud Build en la página Historial de compilaciones y automatizar las compilaciones en Activadores de compilación.

Puedes usar gcloud CLI para crear y administrar compilaciones. También puedes ejecutar comandos para realizar tareas como enviar una compilación, crear una lista de compilaciones y cancelar una compilación.

Puedes solicitar compilaciones mediante la API de REST de Cloud Build.

De la misma manera que con otras API de Cloud Platform, debes autorizar el acceso con OAuth2. Después de autorizar el acceso, puedes usar la API para iniciar compilaciones nuevas, ver el estado y los detalles de la compilación, hacer una lista de compilaciones por proyecto y cancelar compilaciones que están en proceso en ese momento.

Para obtener más información, consulta la documentación de la API.

Grupos predeterminados y grupos privados

De forma predeterminada, cuando ejecutas una compilación en Cloud Build, esta se ejecuta en un entorno seguro y alojado con acceso a la Internet pública. Cada compilación se ejecuta en su propio trabajador y está aislada de las demás cargas de trabajo. Puedes personalizar tu compilación de varias maneras, como aumentar el tamaño del tipo de máquina o asignar más espacio en disco. El grupo predeterminado tiene límites sobre cuánto puedes personalizar el entorno, en particular en torno al acceso a redes privadas.

Los grupos privados son grupos privados y dedicados de trabajadores que ofrecen una mayor personalización en el entorno de compilación, incluida la capacidad de acceder a los recursos en una red privada. Cloud Build aloja y administra por completo los grupos privados, que son similares a los predeterminados, y escalan verticalmente desde cero, sin necesidad de configurar, actualizar ni escalar. Debido a que los grupos privados son recursos específicos del cliente, puedes configurarlos de más maneras.

Para obtener más información sobre los grupos privados y la diferencia de características entre el grupo predeterminado y el grupo privado, consulta Descripción general de los grupos privados.

Seguridad de la compilación

Cloud Build proporciona varias funciones para proteger tus compilaciones, incluidas las siguientes:

  • Compilaciones automatizadas

    Una compilación automatizada o de secuencia de comandos define todos los pasos de compilación en la secuencia de comandos de compilación o en la configuración de compilación, incluidos los pasos para recuperar el código fuente y los pasos para compilar el código. El único comando manual, si lo hay, es el que se ejecuta para ejecutar la compilación. Cloud Build usa un archivo de configuración de compilación para proporcionar pasos de compilación a Cloud Build.

    Las compilaciones automáticas proporcionan coherencia en los pasos de compilación. Sin embargo, también es importante ejecutar compilaciones en un entorno coherente y confiable.

    Aunque las compilaciones locales pueden ser útiles para fines de depuración, lanzar software a partir de compilaciones locales puede generar muchos problemas de seguridad, incoherencias e ineficiencias en el proceso de compilación.

    • Permitir compilaciones locales proporciona una forma para que un atacante con intenciones maliciosas modifique el proceso de compilación.
    • Las incoherencias en los entornos locales y las prácticas para desarrolladores dificultan la reproducción de compilaciones y el diagnóstico de problemas de compilación.

    En los requisitos del framework SLSA, las compilaciones automatizadas son un requisito para el nivel SLSA de 1, y el uso de un servicio de compilación en lugar de entornos de desarrollador para las compilaciones es un requisito en el nivel SLSA 2.

  • Fuente de compilación

    La procedencia del compilación es una recopilación de datos verificables sobre una compilación.

    Los metadatos de procedencia incluyen detalles como los resúmenes de las imágenes compiladas, las ubicaciones del origen de entrada, la cadena de herramientas de compilación y la duración de la compilación.

    Generar la procedencia de las compilaciones te ayuda a hacer lo siguiente:

    • Verifica que se haya creado un artefacto compilado en una ubicación de origen de confianza y mediante un sistema de compilación de confianza.
    • Identifica el código insertado desde una ubicación de origen no confiable o un sistema de compilación.

    Puedes usar mecanismos de alertas y de políticas para usar de forma proactiva los datos de procedencia de compilación. Por ejemplo, puedes crear políticas que solo permitan implementaciones de código compilado a partir de fuentes verificadas.

    Cloud Build puede generar procedencia de compilación para imágenes de contenedor que proporcionan la garantía de SLSA de nivel 3. Para obtener más información, consulta Visualiza la procedencia de la compilación.

  • Entorno de compilación efímero

    Los entornos efímeros son entornos temporales diseñados para durar una sola invocación de compilación. Después de la compilación, se limpia o borra el entorno. Las compilaciones efímeras garantizan que el servicio de compilación y los pasos de compilación se ejecuten en un entorno efímero, como un contenedor o una VM. En lugar de reutilizar un entorno de compilación existente, el servicio de compilación aprovisiona un entorno nuevo para cada compilación y, luego, lo destruye una vez que se completa el proceso de compilación.

    Los entornos efímeros garantizan compilaciones limpias, ya que no hay archivos residuales ni parámetros de configuración de entorno de compilaciones anteriores que puedan interferir en el proceso de compilación. Un entorno no efímero ofrece la oportunidad de que los atacantes inyecten archivos y contenido maliciosos. Un entorno efímero también reduce la sobrecarga de mantenimiento y las incoherencias en el entorno de compilación.

    Cloud Build establece un nuevo entorno de máquina virtual para cada compilación y lo destruye después de la compilación.

  • Políticas de implementación

    Puedes integrar Cloud Build en la autorización binaria para comprobar las certificaciones de compilación y las implementaciones de bloque de las imágenes que Cloud Build no genera. Este proceso puede reducir el riesgo de implementar software no autorizado.

  • Claves de encriptación administradas por el cliente

    Cloud Build proporciona cumplimiento de claves de encriptación administradas por el cliente (CMEK) de forma predeterminada. Los usuarios no necesitan configurar nada de forma específica. Cloud Build proporciona cumplimiento de CMEK mediante la encriptación del disco persistente (PD) en tiempo de compilación con una clave efímera que se genera para cada compilación. La clave se genera de manera única para cada compilación.

    En cuanto se completa la compilación, la clave se limpia de la memoria y se destruye. No está almacenada en ningún lugar, los ingenieros de Google o el personal de asistencia no pueden acceder a ella, y no se puede restablecer. Los datos que se protegieron con esa clave son inaccesibles de forma permanente. Para obtener más información, consulta Cumplimiento de CMEK en Cloud Build.

  • Panel de estadísticas de seguridad

    Cloud Build incluye un panel de Estadísticas de seguridad en la consola de Google Cloud que muestra una descripción general de alto nivel de varias métricas de seguridad. Puedes usar este panel para identificar y mitigar los riesgos en el proceso de compilación.

    En este panel, se muestra la siguiente información:

    • Niveles de cadena de suministro para el nivel de artefactos de software (SLSA): Identifica el nivel de madurez del proceso de compilación de tu software de acuerdo con la especificación de SLSA.

    • Vulnerabilidades: Una descripción general de las vulnerabilidades encontradas en tus artefactos y el nombre de la imagen que Artifact Analysis analizó. Puedes hacer clic en el nombre de la imagen para ver los detalles de la vulnerabilidad. Por ejemplo, en la captura de pantalla, puedes hacer clic en java-guestbook-backend.

    • Detalles de compilación: Detalles de la compilación, como el compilador y el vínculo para ver los registros

    • Procedencia de compilación: Es la procedencia de la compilación.

  • Software Delivery Shield (Escudo de entrega de software)

    Cloud Build forma parte de la solución Software Delivery Shield. Software Delivery Shield es una solución de seguridad de la cadena de suministro de software de extremo a extremo y completamente administrada que te ayuda a mejorar la postura de seguridad de los flujos de trabajo y las herramientas de los desarrolladores, las dependencias de software, los sistemas de CI/CD utilizados para compilar e implementar el software, y los entornos de ejecución como Google Kubernetes Engine y Cloud Run. Si deseas obtener información sobre cómo usar Cloud Build con otros componentes del Software Delivery Shield para mejorar la postura de seguridad de tu cadena de suministro de software, consulta la descripción general del Software Delivery Shield.

¿Qué sigue?