Configurar contas de serviço especificadas pelo usuário

Para seguir o princípio de privilégio mínimo (em inglês) em o Cloud Build, é possível configurar o Cloud Build para usar um serviço apenas com privilégios suficientes para executar um build. Nesta página, documentamos como para configurar uma conta de serviço.

Se você não especificar uma conta de serviço, o Cloud Build poderá selecionar automaticamente uma conta de serviço para executar builds em seu nome. Esta conta de serviço podem ter permissões que sejam desnecessariamente amplas para seu caso de uso, como acesso ao Cloud Source Repositories e a qualquer bucket do Cloud Storage no projeto.

Para melhorar a postura de segurança dos seus projetos e reduzir o possível impacto de configurações incorretas ou usuários maliciosos, recomendamos seguir o princípio do privilégio mínimo. Adotando esse princípio, é possível atribuir a cada conta de serviço as permissões e os papéis com escopo para a tarefa desempenhada. Por exemplo, é possível usar a mesma conta de serviço para criar e enviar imagens para o Artifact Registry, conforme mostrado no blog do Google Cloud.

Antes de começar

Conceder permissões do IAM

Para permitir que o build acesse os serviços necessários para se conectar, é preciso conceder alguns papéis e permissões:

  1. Abra a página "Configurações" do Cloud Build:

    Abrir a página "Configurações do Cloud Build"

    Você verá a guia Permissões da conta de serviço:

    Captura de tela da página de permissões da conta de serviço

  2. Na lista suspensa, selecione a conta de serviço cujos papéis você quer mudar.

  3. Defina o status do papel que você quer adicionar a Ativar.

  4. Se o papel necessário para o pipeline de compilação não estiver listado aqui, é possível conceder papéis adicionais na página de configurações do IAM.

Encontre mais informações sobre as funções normalmente exigidas base em Como configurar o acesso ao Cloud Build do Cloud Build e na lista completa de serviços de IAM do Cloud Build e as permissões do usuário.

Configurar registros do build

Ao especificar sua própria conta de serviço para builds, você precisa armazenar o build registros no Cloud Logging ou em um bucket do Cloud Storage criado pelo usuário. Você não pode armazenar seus registros no bucket padrão.

Executar um build usando um arquivo de configuração

Para executar um build manualmente usando um arquivo de configuração:

  1. No diretório raiz do projeto, crie um arquivo de configuração de versão do Cloud Build chamado cloudbuild.yaml ou cloudbuild.json.

  2. Adicione o campo serviceAccount e a configuração de geração de registros preferida.

    • Se você estiver armazenando os registros do build no Cloud Logging, adicione um logging e defina o valor dele como CLOUD_LOGGING_ONLY.

    • Se você estiver armazenando os registros de build em um bucket do Cloud Storage criado pelo usuário:

      • Adicione um campo logging e defina o valor dele como GCS_ONLY.
      • Adicione um campo de logsBucket e defina o valor dele como o local do bucket do Cloud Storage.

    O exemplo a seguir configura o Cloud Build para executar builds usando uma conta de serviço especificada pelo usuário e configura registros de build para serem bucket do Cloud Storage criado pelo usuário:

    YAML 

    steps:
- name: 'bash'
  args: ['echo', 'Hello world!']
logsBucket: 'LOGS_BUCKET_LOCATION'
serviceAccount: 'projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT'
options:
  logging: GCS_ONLY

    JSON 

    {
  "steps": [
  {
    "name": "bash",
    "args": [
      "echo",
      "Hello world!"
    ]
  }
  ],
  "logsBucket": "LOGS_BUCKET_LOCATION",
  "serviceAccount": "projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT",
  "options": {
    "logging": "GCS_ONLY"
  }
}

    Substitua os valores de marcador no arquivo de configuração do build pelo seguinte:

    • LOGS_BUCKET_LOCATION é o bucket do Cloud Storage para armazenar registros do build. Por exemplo, gs://mylogsbucket.
    • PROJECT_ID é o ID do projeto do Google Cloud. em que você está executando o build.
    • SERVICE_ACCOUNT é o endereço de e-mail ou o ID exclusivo da conta de serviço que você quer especificar para builds. Por exemplo, um serviço tem esta aparência: service-account-name@project-id.iam.gserviceaccount.com:

  3. Inicie o build usando o arquivo de configuração do build:

    gcloud builds submit --config CONFIG_FILE_PATH SOURCE_DIRECTORY

    Substitua os valores dos marcadores nos comandos acima pelo seguinte:

    • CONFIG_FILE_PATH é o caminho para o arquivo de configuração do build;
    • SOURCE_DIRECTORY é o caminho ou o URL do código-fonte.

    Se você não especificar CONFIG_FILE_PATH e SOURCE_DIRECTORY no comando gcloud builds submit, o Cloud Build presumirá que o arquivo de configuração do build e o código-fonte estão no diretório de trabalho atual.

Executar builds usando gatilhos

Para executar um build com os gatilhos do Cloud Build usando sua própria conta de serviço, configure sua opção preferida de geração de registros e selecione conta de serviço preferencial ao criar o gatilho.

  1. No arquivo de configuração de build:

    • Se você estiver armazenando os registros do build no Cloud Logging, adicione um logging e defina o valor dele como CLOUD_LOGGING_ONLY.

    • Se você estiver armazenando os registros de build em um bucket do Cloud Storage criado pelo usuário:

      • Adicione um campo logging e defina o valor dele como GCS_ONLY.
      • Adicione um campo de logsBucket e defina o valor dele como o local do bucket do Cloud Storage.

    O exemplo a seguir configura os registros de build para serem armazenados em um bucket do Cloud Storage criado pelo usuário:

    YAML 

    steps:
- name: 'bash'
  args: ['echo', 'Hello world!']
logsBucket: 'LOGS_BUCKET_LOCATION'
options:
  logging: GCS_ONLY

    JSON 

    {
  "steps": [
  {
    "name": "bash",
    "args": [
      "echo",
      "Hello world!"
    ]
  }
  ],
  "logsBucket": "LOGS_BUCKET_LOCATION",
  "options": {
    "logging": "GCS_ONLY"
  }
}

    Substitua LOGS_BUCKET_LOCATION pelo bucket do Cloud Storage para armazenar logs de build. Por exemplo, gs://mylogsbucket.

  2. Especifique uma conta de serviço para usar com o gatilho de compilação:

    Console

    Para executar builds usando a página "Gatilho" no console do Google Cloud, o a conta de serviço especificada pelo usuário precisa estar no mesmo projeto que seu build gatilho. Para usar gatilhos com contas de serviço entre projetos, crie o gatilho de compilação usando a ferramenta gcloud.

    1. Crie ou edite o gatilho de compilação.

    2. No campo Conta de serviço especifique sua conta de serviço. Se você não especificar uma conta de serviço, o Cloud Build vai usar a conta de serviço padrão.

    3. Clique em Criar para salvar o gatilho de compilação.

    gcloud

    Ao criar um gatilho de compilação, especifique sua conta de serviço usando a sinalização --service-account. No exemplo abaixo, o gcloud cria um gatilho de compilação que extrai o código de um repositório Git:

    gcloud builds triggers create github \
   --name=TRIGGER_NAME \
   --repo-name=REPO_NAME \
   --repo-owner=REPO_OWNER \
   --branch-pattern=BRANCH_PATTERN
   --build-config=BUILD_CONFIG_FILE
   --service-account=SERVICE_ACCOUNT
   --project=BUILD_PROJECT

    Substitua os valores de marcador no arquivo de configuração do build pelo seguinte:

    • TRIGGER_NAME é o nome do gatilho de compilação.
    • REPO_NAME é o nome do repositório;
    • REPO_OWNER é o nome de usuário do proprietário do repositório.
    • BRANCH_PATTERN é o nome da ramificação no seu repositório para invocar o build.
    • TAG_PATTERN é o nome da tag no repositório para invocar o build.
    • BUILD_CONFIG_FILE é o caminho para seu arquivo de configuração da compilação.
    • SERVICE_ACCOUNT é sua conta de serviço em no formato /projects/PROJECT_ID/serviceAccounts/ACCOUNT_ID_OR_EMAIL.
    • BUILD_PROJECT é o projeto em que você está para iniciar builds.

Configuração entre projetos

Se a conta de serviço especificada pelo usuário estiver em um projeto diferente do em que você está iniciando builds, conceda o acesso necessário:

  • No projeto com a conta de serviço especificada pelo usuário, verifique se o iam.disableCrossProjectServiceAccountUsage restrição da política da organização não é aplicada. Essa restrição é aplicada por padrão. Para desativar esta restrição de política da organização, execute o seguinte comando, em que SERVICE_ACCOUNT_PROJECT_ID é o projeto que contém a conta de serviço especificada pelo usuário:

    gcloud resource-manager org-policies disable-enforce \
   iam.disableCrossProjectServiceAccountUsage \
   --project=SERVICE_ACCOUNT_PROJECT_ID

  • No projeto que tem sua conta de serviço especificada pelo usuário, conceda Papel roles/iam.serviceAccountTokenCreator para o Agente de serviço do Cloud Build do projeto builds em execução:

    gcloud projects add-iam-policy-binding SERVICE_ACCOUNT_PROJECT_ID \
    --member="serviceAccount:BUILD_SERVICE_AGENT" \
    --role="roles/iam.serviceAccountTokenCreator"

    Substitua os valores de marcador no comando pelo seguinte:

    • SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto do que contém a conta de serviço especificada pelo usuário.
    • BUILD_SERVICE_AGENT: o ID do e-mail do agente de serviço no formato service-BUILD_PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com, em que BUILD_PROJECT_NUMBER é o número do projeto do em que você está executando builds. Você pode encontrar o número do projeto na página de configurações do projeto.

Limitações:

  • Seu projeto do Google Cloud precisa estar em uma organização do Google Cloud.

  • É necessário iniciar builds na linha de comando usando gcloud builds submit ou gcloud builds triggers create. Para usar a página "Gatilhos" no console do Google Cloud: a conta de serviço especificada pelo usuário e o gatilho de compilação precisam estar no mesmo em um projeto de IA.

A seguir