Controllo dell'accesso con IAM

In questa pagina vengono descritte le autorizzazioni per controllare l'accesso a Container Registry.

Dopo aver configurato le autorizzazioni, puoi configurare l'autenticazione per i client Docker che utilizzi per eseguire il push e il pull delle immagini.

Se utilizzi Artifact Analysis per lavorare con i metadati del container, ad esempio le vulnerabilità trovate nelle immagini, consulta la documentazione di Artifact Analysis per informazioni su come concedere l'accesso per visualizzare o gestire i metadati.

Prima di iniziare

Verifica di disporre delle autorizzazioni per gestire gli utenti. Devi disporre delle autorizzazioni in uno dei seguenti ruoli:

• Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin)
• Amministratore sicurezza (roles/iam.securityAdmin)

In alternativa alla concessione di questi ruoli, puoi utilizzare un ruolo personalizzato o un ruolo predefinito con le stesse autorizzazioni.

Autorizzazioni e ruoli

Tutti gli utenti, gli account di servizio e altre identities che interagiscono con Container Registry devono disporre delle autorizzazioni IAM (Identity and Access Management) appropriate per Cloud Storage.

• I servizi Google Cloud che in genere accedono a Container Registry sono configurati con autorizzazioni predefinite per i registry nello stesso progetto Google Cloud. Se le autorizzazioni predefinite non soddisfano le tue esigenze, devi configurare le autorizzazioni appropriate.
• Per le altre identità, devi configurare le autorizzazioni richieste.

Puoi controllare l'accesso agli host di Container Registry con le autorizzazioni di Cloud Storage. La seguente tabella elenca i ruoli Cloud Storage che dispongono delle autorizzazioni richieste da Container Registry.

Per visualizzare le immagini di Container Registry mediante la console Google Cloud, sono necessarie alcune autorizzazioni aggiuntive. Consulta Autorizzazioni comuni richieste per l'utilizzo della console Cloud.

Accesso richiesto	Ruolo	Dove concedere le autorizzazioni
Esegui il pull delle immagini (sola lettura) da un registro esistente	Visualizzatore oggetti Storage (roles/storage.objectViewer)	Concedi il ruolo nel bucket di archiviazione del Registro di sistema.
Esegui il push (scrittura) delle immagini e il pull (lettura) delle immagini da un host del registro esistente in un progetto	Writer bucket legacy Storage (roles/storage.legacyBucketWriter)	Concedi il ruolo nel bucket di archiviazione del Registro di sistema. Questa autorizzazione è disponibile solo a livello di bucket, non puoi concederla a livello di progetto.
Aggiungi host del registro ai progetti Google Cloud e crea i bucket di archiviazione associati.	Amministratore Storage (roles/storage.admin)	Concedere il ruolo a livello di progetto

Il push delle immagini richiede autorizzazioni di lettura e scrittura degli oggetti e l'autorizzazione storage.buckets.get. Il ruolo Writer bucket legacy di Storage include le autorizzazioni richieste in un singolo ruolo di Cloud Storage, ma non concede il controllo completo sui bucket e sugli oggetti di archiviazione.

Il ruolo Amministratore Storage concede il controllo completo sui bucket e sugli oggetti di archiviazione. Se concedi questa autorizzazione a livello di progetto, l'entità ha accesso a tutti i bucket di archiviazione del progetto, inclusi i bucket non utilizzati da Container Registry. Valuta attentamente quali entità richiedono questo ruolo.

• Per impostazione predefinita, l'account di servizio Cloud Build dispone delle autorizzazioni nel ruolo Amministratore Storage. Di conseguenza, questo account di servizio può aggiungere registri al progetto padre con la prima immagine push e push alle registrazioni esistenti nel progetto padre.
• Se utilizzi Docker o altri strumenti per creare immagini ed eseguirne il push in un registro, valuta la possibilità di aggiungere registri al tuo progetto utilizzando un account con il ruolo Amministratore Storage più permissivo, quindi concedi i ruoli Writer bucket legacy di Storage o Visualizzatore oggetti Storage ad altri account che devono eseguire il push o il pull delle immagini.

Per ulteriori informazioni sui ruoli e sulle autorizzazioni di Cloud Storage, consulta la documentazione di Cloud Storage.

Concedi autorizzazioni IAM

Container Registry utilizza i bucket Cloud Storage come spazio di archiviazione sottostante per le immagini container. Puoi controllare l'accesso alle immagini concedendo al bucket le autorizzazioni per il registro.

Il primo push dell'immagine a un nome host aggiunge l'host del registro e il relativo bucket di archiviazione a un progetto. Ad esempio, il primo push a gcr.io/my-project aggiunge l'host del registro gcr.io al progetto con l'ID progetto my-project e crea un bucket di archiviazione per il registro. Il nome del bucket ha uno dei seguenti formati:

• artifacts.PROJECT-ID.appspot.com per le immagini archiviate sull'host gcr.io
• STORAGE-REGION.artifacts.PROJECT-ID.appspot.com per le immagini archiviate su altri host del Registro di sistema

Per eseguire correttamente il push della prima immagine, l'account che lo esegue deve disporre delle autorizzazioni nel ruolo Amministratore Spazio di archiviazione.

Dopo il push iniziale dell'immagine a un host del registro, concedi le autorizzazioni nel bucket di archiviazione del registro per controllare l'accesso alle immagini nel registro:

• Writer bucket legacy Storage per il push e il pull
• Visualizzatore oggetti Storage per il solo pull

Puoi concedere l'autorizzazione per un bucket utilizzando la console Google Cloud o lo strumento a riga di comando gsutil.

Limitazioni e restrizioni

Puoi concedere autorizzazioni a livello di bucket di archiviazione solo per gli host di Container Registry.

• Container Registry ignora le autorizzazioni impostate per i singoli oggetti all'interno di un bucket Cloud Storage.
• Non puoi concedere autorizzazioni per i repository all'interno di un registro. Se hai bisogno di controllo dell'accesso più granulare, Artifact Registry fornisce un controllo dell'accesso a livello di repository e potrebbe essere più adatto alle tue esigenze.
• Se abiliti l'accesso uniforme a livello di bucket per qualsiasi bucket di archiviazione di Container Registry, devi concedere esplicitamente le autorizzazioni a tutti gli utenti e agli account di servizio che accedono ai tuoi registri. In questo caso, i ruoli Proprietario ed Editor potrebbero non concedere le autorizzazioni richieste.

Concedi le autorizzazioni

1. Se l'host del Registro di sistema non esiste ancora nel progetto, un account con autorizzazioni con il ruolo Amministratore archiviazione deve eseguire il push della prima immagine nel Registro di sistema. Viene creato il bucket di archiviazione per l'host del registro.

   Cloud Build dispone delle autorizzazioni necessarie per eseguire il push delle immagini iniziale all'interno dello stesso progetto. Se esegui il push delle immagini con un altro strumento, verifica le autorizzazioni per l'account Google Cloud che utilizzi per l'autenticazione con Container Registry.

   Per ulteriori informazioni sul push dell'immagine iniziale con Docker, consulta Aggiunta di un registro.

2. Nel progetto con Container Registry, concedi le autorizzazioni appropriate per il bucket Cloud Storage utilizzato dall'host del registro.

   Nota: non puoi concedere le autorizzazioni di Writer bucket legacy di Storage a livello di progetto e la concessione delle autorizzazioni Visualizzatore oggetti Storage per un intero progetto consente di accedere a tutti i bucket di archiviazione, inclusi quelli non utilizzati da Container Registry.

   Console

   1. Vai alla pagina Cloud Storage nella console Google Cloud.

   2. Fai clic sul link artifacts.PROJECT-ID.appspot.com o STORAGE-REGION.artifacts.PROJECT-ID.appspot.com per il bucket.

      Sostituisci PROJECT-ID con l'ID progetto Google Cloud del progetto che ospita Container Registry e STORAGE-REGION con più regioni (asia, eu o us) del registry che ospita l'immagine.

   3. Seleziona la scheda Autorizzazioni.

   4. Fai clic su Aggiungi.

   5. Nel campo Entità, inserisci gli indirizzi email degli account che richiedono l'accesso, separati da virgole. Questo indirizzo email può essere uno dei seguenti:

      • Un Account Google (ad esempio, [e-mail])
      • Un gruppo Google (ad esempio [e-mail])

      • Un account di servizio IAM.

        Consulta l'elenco dei servizi Google Cloud che in genere accedono ai registry per trovare l'indirizzo email dell'account di servizio associato. Se il servizio è in esecuzione in un progetto diverso da Container Registry, assicurati di utilizzare l'indirizzo email dell'account di servizio nell'altro progetto.

   6. Dal menu a discesa Seleziona un ruolo, seleziona la categoria Cloud Storage, quindi scegli l'autorizzazione appropriata.

      • Visualizzatore oggetti Storage per il pull solo delle immagini
      • Writer bucket legacy di archiviazione per eseguire il push e il pull delle immagini

   7. Fai clic su Aggiungi.

   Nota: gli indirizzi email e i domini devono essere associati a un Account Google o Google Apps attivo.

   gsutil

   1. Esegui questo comando per elencare i bucket del progetto:

      gsutil ls
      

      La risposta è simile al seguente esempio:

      gs://[BUCKET_NAME1]/
      gs://[BUCKET_NAME2]/
      gs://[BUCKET_NAME3]/ ...
      

      Trova il bucket per l'host del registro nell'elenco dei bucket restituito. Il bucket in cui vengono archiviate le immagini è denominato BUCKET-NAME in uno dei seguenti formati:

      • artifacts.PROJECT-ID.appspot.com per le immagini archiviate sull'host gcr.io
      • STORAGE-REGION.artifacts.PROJECT-ID.appspot.com per le immagini archiviate su altri host del Registro di sistema

      Dove

      • PROJECT-ID è il tuo ID progetto Google Cloud.
      • STORAGE-REGION è la località del bucket di archiviazione:
        • us per i registry nell'host us.gcr.io
        • eu per i registry nell'host eu.gcr.io
        • asia per i registry nell'host asia.gcr.io

   2. Esegui questo comando nella shell o nella finestra del terminale:

      gsutil iam ch TYPE:EMAIL-ADDRESS:ROLE gs://BUCKET_NAME
      

      Dove

      • TYPE può essere uno dei seguenti:
        • serviceAccount, se EMAIL-ADDRESS specifica un account di servizio.
        • user, se EMAIL-ADDRESS è un Account Google.
        • group, se EMAIL-ADDRESS è un gruppo Google.

      • EMAIL-ADDRESS può essere uno dei seguenti:

        • Un Account Google (ad esempio, [e-mail])
        • Un gruppo Google (ad esempio [e-mail])

        • Un account di servizio IAM.

          Consulta l'elenco dei servizi Google Cloud che in genere accedono ai registry per trovare l'indirizzo email dell'account di servizio associato. Se il servizio è in esecuzione in un progetto diverso da Container Registry, assicurati di utilizzare l'indirizzo email dell'account di servizio nell'altro progetto.

      • ROLE è il ruolo di Cloud Storage che vuoi concedere.

        • objectViewer per eseguire il pull delle immagini
        • legacyBucketWriter immagini push e pull

      • BUCKET_NAME è il nome del bucket Cloud Storage nel formato artifacts.PROJECT-ID.appspot.com o STORAGE-REGION.artifacts.PROJECT-ID.appspot.com

   Ad esempio, questo comando concede all'account di servizio [e-mail] le autorizzazioni per eseguire il push e il pull delle immagini nel bucket my-example-bucket:

   gsutil iam ch \
     serviceAccount:[e-mail]:legacyBucketWriter \
     gs://my-example-bucket
   

   Il comando gsutil iam ch modifica le autorizzazioni IAM del bucket di archiviazione in cui è ospitato il registro. Ulteriori esempi sono disponibili nella documentazione di gsutil.

   Nota: gli indirizzi email e i domini devono essere associati a un Account Google o Google Apps attivo.

3. Se stai configurando l'accesso per le VM di Compute Engine o i nodi GKE che eseguono il push delle immagini a Container Registry, consulta Configurazione di VM e cluster per ulteriori passaggi di configurazione.

Configura l'accesso pubblico alle immagini

Container Registry è accessibile pubblicamente se il bucket di archiviazione sottostante della località host è accessibile pubblicamente. All'interno di un progetto, tutte le immagini in ogni posizione host sono pubbliche o meno. All'interno dell'host di un progetto, non è possibile pubblicare pubblicamente solo immagini specifiche. Se hai immagini specifiche che vuoi rendere pubbliche:

• Conservali in una posizione host separata da rendere pubblici, oppure
• Crea un nuovo progetto per contenere le immagini accessibili pubblicamente.

Per pubblicare le immagini container pubblicamente, rendi pubblicamente accessibile il bucket di archiviazione sottostante:

Avviso: quando il bucket di archiviazione sottostante per un progetto Container Registry è accessibile pubblicamente, chiunque può eseguire il pull delle immagini da quella località host. Per istruzioni sul pull delle immagini da un registro, consulta Pull delle immagini da un registro.

1. Assicurati di aver eseguito il push di un'immagine su Container Registry in modo che esista il bucket di archiviazione sottostante.

2. Trova il nome del bucket Cloud Storage per il registro. Per farlo, elenca i bucket:

   gsutil ls
   

   L'URL del bucket di Container Registry sarà elencato come gs://artifacts.PROJECT-ID.appspot.com o gs://STORAGE-REGION.artifacts.PROJECT-ID.appspot.com, dove:

   • PROJECT-ID è il tuo ID progetto Google Cloud. I progetti con ambito di dominio presenteranno il nome di dominio nell'ID progetto.
   • STORAGE-REGION è la località del bucket di archiviazione:
     • us per i registry nell'host us.gcr.io
     • eu per i registry nell'host eu.gcr.io
     • asia per i registry nell'host asia.gcr.io

3. Rendi accessibile pubblicamente il bucket di archiviazione di Container Registry eseguendo questo comando. Questo comando renderà accessibili pubblicamente tutte le immagini nel bucket.

   gsutil iam ch allUsers:objectViewer gs://BUCKET-NAME
   

   dove:

   • gs://BUCKET-NAME è l'URL del bucket di Container Registry

Nota: al progetto verranno addebitati i costi di networking in uscita per la gestione degli oggetti di archiviazione. Per saperne di più sui costi del traffico in uscita per Cloud Storage, consulta la pagina Prezzi di Cloud Storage.

Rimuovere l'accesso pubblico alle immagini

Console

1. Assicurati di aver eseguito il push di un'immagine su Container Registry in modo che esista il bucket di archiviazione sottostante.

2. Apri la pagina Container Registry nella console Google Cloud.

   Apri la pagina di Container Registry

3. Nel riquadro a sinistra, fai clic su Impostazioni.

4. Nella pagina Impostazioni, in Accesso pubblico, imposta la visibilità su Privato. Questa impostazione controlla l'accesso al bucket di archiviazione sottostante.

gsutil

1. Trova il nome del bucket Cloud Storage per il registro. Per farlo, elenca i bucket:

   gsutil ls
   

   L'URL del bucket di Container Registry sarà elencato come gs://artifacts.PROJECT-ID.appspot.com o gs://STORAGE-REGION.artifacts.PROJECT-ID.appspot.com, dove:

   • PROJECT-ID è l'ID progetto della console Google Cloud. I progetti con ambito di dominio presenteranno il nome di dominio nell'ID progetto.
   • STORAGE-REGION è la località del bucket di archiviazione:
     • us per i registry nell'host us.gcr.io
     • eu per i registry nell'host eu.gcr.io
     • asia per i registry nell'host asia.gcr.io

2. Per rimuovere l'accesso pubblico al bucket di archiviazione, esegui questo comando nella shell o nella finestra del terminale:

   gsutil iam ch -d allUsers:objectViewer gs://BUCKET-NAME
   

dove:

• BUCKET-NAME è il nome del bucket desiderato

Revoca autorizzazioni

Per revocare le autorizzazioni IAM, segui questi passaggi.

Console

1. Visita la pagina di Cloud Storage nella console Google Cloud.

2. Fai clic sul link artifacts.PROJECT-ID.appspot.com o STORAGE-REGION.artifacts.PROJECT-ID.appspot.com per il bucket. Qui, PROJECT-ID è l'ID progetto Google Cloud del progetto che ospita Container Registry e STORAGE-REGION è la più regioni (asia, eu o us) del Registro di sistema che ospita l'immagine.

3. Seleziona la scheda Autorizzazioni.

4. Fai clic sull'icona del cestino accanto a un'entità da rimuovere.

gsutil

Esegui questo comando nella shell o nella finestra del terminale:

gsutil iam ch -d PRINCIPAL gs://BUCKET-NAME

dove:

• PRINCIPAL può essere uno dei seguenti:
  • user:EMAIL-ADDRESS per un Account Google
  • serviceAccount:EMAIL-ADDRESS per un account di servizio IAM
  • group:EMAIL-ADDRESS per un gruppo Google.
  • allUsers per la revoca dell'accesso pubblico
• BUCKET-NAME è il nome del bucket desiderato

Esegui l'integrazione con i servizi Google Cloud

Per la maggior parte degli account di servizio Google Cloud, per configurare l'accesso a un registry devi solo concedere le autorizzazioni IAM appropriate.

Autorizzazioni predefinite per i servizi Google Cloud

I servizi Google Cloud come Cloud Build o Google Kubernetes Engine utilizzano un account di servizio predefinito o gestito da Google per interagire con le risorse all'interno dello stesso progetto.

Devi configurare o modificare le autorizzazioni autonomamente se:

• Il servizio Google Cloud si trova in un progetto diverso da Container Registry.
• Le autorizzazioni predefinite non soddisfano le tue esigenze. Ad esempio, l'account di servizio Compute Engine predefinito ha accesso di sola lettura allo spazio di archiviazione nello stesso progetto. Se vuoi eseguire il push di un'immagine dalla VM a un registro, devi modificare le autorizzazioni per l'account di servizio VM o eseguire l'autenticazione nel registro con un account che abbia accesso in scrittura allo spazio di archiviazione.
• Stai utilizzando un account di servizio personalizzato per interagire con Container Registry

In genere, i seguenti account di servizio accedono a Container Registry. L'indirizzo email dell'account di servizio include l'ID o il numero di progetto Google Cloud del progetto in cui è in esecuzione il servizio.

Servizio	Account di servizio	Indirizzo email	Autorizzazioni
Ambiente flessibile di App Engine	Account di servizio predefinito di App Engine	[e-mail]	Ruolo Editor che può leggere e scrivere nello spazio di archiviazione
Compute Engine	Account di servizio predefinito di Compute Engine	[e-mail]	Ruolo Editor, limitato all'accesso di sola lettura allo spazio di archiviazione
Cloud Build	Account di servizio Cloud Build	[e-mail]	Le autorizzazioni predefinite includono la creazione di bucket di archiviazione e l'accesso in lettura e scrittura allo spazio di archiviazione.
Cloud Run	Account di servizio predefinito Compute Engine L'account di servizio di runtime predefinito per le revisioni.	[e-mail]	Ruolo Editor, limitato all'accesso di sola lettura allo spazio di archiviazione
GKE	Account di servizio predefinito di Compute Engine L'account di servizio predefinito per i nodi.	[e-mail]	Ruolo Editor, limitato all'accesso di sola lettura allo spazio di archiviazione

Configura VM e cluster per il push delle immagini

Compute Engine e qualsiasi servizio Google Cloud che utilizza Compute Engine ha un account di servizio predefinito di Compute Engine come identità predefinita.

Sia le autorizzazioni IAM che gli ambiti di accesso influiscono sulla capacità delle VM di leggere e scrivere nello spazio di archiviazione.

• Le autorizzazioni IAM determinano l'accesso a una risorsa.
• Gli ambiti di accesso determinano gli ambiti OAuth predefiniti per le richieste effettuate tramite gcloud CLI e le librerie client su un'istanza VM. Di conseguenza, gli ambiti di accesso possono limitare ulteriormente l'accesso ai metodi API durante l'autenticazione con le credenziali predefinite dell'applicazione.
  • Per eseguire il pull di un'immagine privata, l'account di servizio VM deve disporre dell'autorizzazione read per il bucket di archiviazione dell'immagine.
  • Per eseguire il push di un'immagine privata, l'account di servizio VM deve avere l'ambito di accesso read-write, cloud-platform o full-control nel bucket di archiviazione dell'immagine.

L'account di servizio predefinito di Compute Engine ha il ruolo Editor per impostazione predefinita, che include le autorizzazioni per creare e aggiornare le risorse per la maggior parte dei servizi Google Cloud. Tuttavia, sia per l'account di servizio predefinito sia per un account di servizio personalizzato associato a una VM, l'ambito di accesso predefinito per i bucket di archiviazione è di sola lettura. Ciò significa che, per impostazione predefinita, le VM non possono eseguire il push delle immagini.

Se intendi eseguire il deployment di immagini solo in ambienti come Compute Engine e GKE, non devi modificare l'ambito di accesso. Se in questi ambienti vuoi eseguire applicazioni che eseguono il push delle immagini al registro, devi eseguire una configurazione aggiuntiva.

Le seguenti configurazioni richiedono modifiche alle autorizzazioni IAM o alla configurazione dell'ambito di accesso.

Push delle immagini da una VM o un cluster

Se vuoi eseguire il push delle immagini, l'account di servizio dell'istanza VM deve avere l'ambito storage-rw anziché storage-ro.

La VM e Container Registry si trovano in progetti separati

Devi concedere all'account di servizio le autorizzazioni IAM per accedere al bucket di archiviazione utilizzato da Container Registry.

Esecuzione dei comandi gcloud sulle VM

L'account di servizio deve avere l'ambito cloud-platform. Questo ambito concede le autorizzazioni per eseguire il push e il pull delle immagini, nonché per eseguire i comandi gcloud.

I passaggi per configurare gli ambiti sono riportati nelle sezioni seguenti.

Configura gli ambiti per le VM

Per impostare gli ambiti di accesso durante la creazione di una VM, utilizza l'opzione --scopes.

gcloud compute instances create INSTANCE --scopes=SCOPE

Dove

• INSTANCE è il nome dell'istanza VM.
• SCOPE è l'ambito che vuoi configurare per l'account di servizio VM:
  • Esegui il pull delle immagini: storage-ro
  • Esegui il pull e il push delle immagini: storage-rw
  • Esegui il pull e il push delle immagini, esegui i comandi gcloud: cloud-platform

Per modificare gli ambiti per un'istanza VM esistente:

Imposta l'ambito di accesso con l'opzione --scopes.

1. Arresta l'istanza VM. Vedi Arresto di un'istanza.

2. Modifica l'ambito di accesso con il comando seguente.

   gcloud compute instances set-service-account INSTANCE --scopes=SCOPE
   

   Dove

   • INSTANCE è il nome dell'istanza VM.
   • SCOPE è l'ambito che vuoi configurare per l'account di servizio VM:
     • Esegui il pull delle immagini: storage-ro
     • Esegui il pull e il push delle immagini: storage-rw
     • Esegui il pull e il push delle immagini, esegui i comandi gcloud: cloud-platform

3. Riavvia l'istanza VM. Vedi Avvio di un'istanza arrestata.

Se vuoi utilizzare un account di servizio personalizzato per le VM anziché l'account di servizio predefinito, puoi specificare l'account di servizio e gli ambiti di accesso da utilizzare quando crei la VM o modifichi le impostazioni della VM.

Configura gli ambiti per i cluster di Google Kubernetes Engine

Per impostazione predefinita, i nuovi cluster GKE vengono creati con autorizzazioni di sola lettura per i bucket Cloud Storage.

Per impostare l'ambito di archiviazione read-write durante la creazione di un cluster Google Kubernetes Engine, utilizza l'opzione --scopes. Ad esempio, il seguente comando crea un cluster con gli ambiti bigquery, storage-rw e compute-ro:

gcloud container clusters create example-cluster \
--scopes=bigquery,storage-rw,compute-ro

Per ulteriori informazioni sugli ambiti che puoi impostare durante la creazione di un nuovo cluster, consulta la documentazione relativa al comando gcloud container clusters create.

Nota: a partire dalla versione 1.10 di Google Kubernetes Engine, i nuovi cluster e i nuovi pool di nodi non hanno l'ambito di accesso compute-rw per impostazione predefinita. Inoltre, il comando gcloud container create non aggiunge più automaticamente ambiti di accesso compute-rw o storage-ro quando specifichi il flag --scopes nel comando. Per ulteriori informazioni su questa modifica, consulta la documentazione di GKE.

L'account di servizio Container Registry

L'agente di servizio Container Registry è un account di servizio gestito da Google che agisce per conto di Container Registry durante l'interazione con i servizi Google Cloud. L'account di servizio dispone dell'insieme minimo di autorizzazioni richieste se hai abilitato l'API Container Registry dopo il 5 ottobre 2020. L'account di servizio aveva in precedenza il ruolo Editor. Per ulteriori informazioni sull'account e sulla modifica delle relative autorizzazioni, consulta Account di servizio Container Registry.

Provalo

Se non hai mai utilizzato Google Cloud, crea un account per valutare le prestazioni di Container Registry in scenari reali. I nuovi clienti ricevono anche 300 $ di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

Prova Container Registry gratuitamente