Zugriffssteuerung mit IAM

Auf dieser Seite werden Berechtigungen zur Zugriffssteuerung auf Container Registry beschrieben.

Nachdem Sie die Berechtigungen konfiguriert haben, können Sie die Authentifizierung für Docker-Clients konfigurieren, die Sie zum Übertragen von Images per Push und Pull verwenden.

Wenn Sie die Artefaktanalyse für die Arbeit mit Containermetadaten wie Sicherheitslücken in Images verwenden, finden Sie in der Dokumentation zur Artefaktanalyse Informationen dazu, wie Sie Zugriff zum Anzeigen oder Verwalten von Metadaten gewähren.

Hinweise

Prüfen Sie, ob Sie die Berechtigungen zum Verwalten von Nutzern haben. Sie benötigen Berechtigungen in einer der folgenden Rollen:

• Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
• Sicherheitsadministrator (roles/iam.securityAdmin)

Anstelle der Zuweisung dieser Rollen können Sie eine benutzerdefinierte Rolle oder eine vordefinierte Rolle mit denselben Berechtigungen verwenden.

Berechtigungen und Rollen

Alle Nutzer, Dienstkonten und andere identities, die mit Container Registry interagieren, müssen die entsprechenden IAM-Berechtigungen (Identity and Access Management) für Cloud Storage-Speicher haben.

• Google Cloud-Dienste, die normalerweise auf Container Registry zugreifen, werden mit Standardberechtigungen für Registries im selben Google Cloud-Projekt konfiguriert. Wenn die Standardberechtigungen nicht Ihren Anforderungen entsprechen, müssen Sie die entsprechenden Berechtigungen konfigurieren.
• Für andere Identitäten müssen Sie die erforderlichen Berechtigungen konfigurieren.

Sie steuern den Zugriff auf Container Registry-Hosts mit Cloud Storage-Berechtigungen. In der folgenden Tabelle sind die Cloud Storage-Rollen aufgeführt, die über die für Container Registry erforderlichen Berechtigungen verfügen.

Wenn Sie Container Registry-Images über die Google Cloud Console aufrufen, sind einige zusätzliche Berechtigungen erforderlich. Weitere Informationen finden Sie unter Allgemeine Berechtigungen zur Verwendung der Cloud Console.

Erforderlicher Zugriff	Rolle	Berechtigungen erteilen
Images (schreibgeschützt) aus einer vorhandenen Registry abrufen	Storage-Objekt-Betrachter (roles/storage.objectViewer)	Weisen Sie die Rolle für den Registry-Storage-Bucket zu.
Images auf einen vorhandenen Registry-Host in ein Projekt übertragen und daraus abrufen (lesen)	Autor alter Storage-Buckets (roles/storage.legacyBucketWriter)	Weisen Sie die Rolle für den Registry-Storage-Bucket zu. Diese Berechtigung ist nur auf Bucket-Ebene verfügbar und kann nicht auf Projektebene erteilt werden.
Fügen Sie Registry-Hosts zu Google Cloud-Projekten hinzu und erstellen Sie die zugehörigen Storage-Buckets.	Storage-Administrator (roles/storage.admin)	Rolle auf Projektebene zuweisen

Für das Übertragen von Images sind Lese- und Schreibberechtigungen für Objekte sowie die Berechtigung storage.buckets.get erforderlich. Die Rolle "Autor alter Storage-Buckets" enthält die erforderlichen Berechtigungen in einer einzelnen Cloud Storage-Rolle, gewährt jedoch keine vollständige Kontrolle über Storage-Buckets und -Objekte.

Die Rolle „Storage-Administrator“ gewährt vollständige Kontrolle über Storage-Buckets und -Objekte. Wenn Sie diese Berechtigung auf Projektebene gewähren, hat das Hauptkonto Zugriff auf alle Storage-Buckets im Projekt, einschließlich der Buckets, die nicht von Container Registry verwendet werden. Überlegen Sie sorgfältig, für welche Hauptkonten diese Rolle erforderlich ist.

• Das Cloud Build-Dienstkonto hat standardmäßig Berechtigungen in der Rolle "Storage-Administrator". Dieses Dienstkonto kann daher mit dem ersten Push- und Push-Push-Images zu vorhandenen Registries im übergeordneten Projekt Registries für das übergeordnete Projekt hinzufügen.
• Wenn Sie Docker oder andere Tools zum Erstellen und Übertragen von Images in eine Registry verwenden, sollten Sie Ihrem Projekt Registries mit einem Konto mit der restriktiveren Rolle des Storage-Administrators hinzufügen und dann Storage Legacy Bucket-Autor oder zuweisen. Storage Object Viewer-Rollen an andere Konten, die Images übertragen oder abrufen müssen.

Weitere Informationen zu Cloud Storage-Rollen und -Berechtigungen finden Sie in der Dokumentation zu Cloud Storage.

IAM-Berechtigungen gewähren

Container Registry verwendet Cloud Storage-Buckets als zugrunde liegenden Speicher für Container-Images. Sie steuern den Zugriff auf Ihre Images, indem Sie dem Bucket Berechtigungen für eine Registry gewähren.

Der erste Image-Push zu einem Hostnamen fügt den Registry-Host und seinen Storage-Bucket einem Projekt hinzu. Durch den ersten Push in gcr.io/my-project wird beispielsweise der Registry-Host gcr.io dem Projekt mit der Projekt-ID my-project hinzugefügt und ein Speicher-Bucket für die Registry erstellt. Der Bucket-Name hat eines der folgenden Formate:

• artifacts.PROJECT-ID.appspot.com für Images, die auf dem Host gcr.io gespeichert sind
• STORAGE-REGION.artifacts.PROJECT-ID.appspot.com für Images, die auf anderen Registry-Hosts gespeichert sind

Damit dieser erste Image-Push erfolgreich durchgeführt werden kann, muss das Konto, das den Push-Vorgang ausführt, in der Rolle "Storage-Administrator" Berechtigungen haben.

Nach dem ersten Push des Images an einen Registry-Host erteilen Sie Berechtigungen für den Registry-Storage-Bucket, um den Zugriff auf Images in der Registry zu steuern:

• Autor alter Storage-Buckets zum Übertragen und Abrufen
• Nur Storage-Objekt-Betrachter

Sie können Berechtigungen für einen Bucket mit der Google Cloud Console oder dem gsutil-Befehlszeilentool gewähren.

Limits und Einschränkungen

Sie können Berechtigungen für Container Registry-Hosts nur auf Storage-Bucket-Ebene erteilen.

• Berechtigungen für einzelne Objekte in einem Cloud Storage-Bucket werden ignoriert.
• Sie können keine Berechtigungen für Repositories in einer Registry gewähren. Wenn Sie eine detailliertere Zugriffssteuerung benötigen, bietet Artifact Registry eine Zugriffssteuerung auf Repository-Ebene und ist möglicherweise besser auf Ihre Anforderungen abgestimmt.
• Wenn Sie den einheitlichen Zugriff auf Bucket-Ebene für einen Container Registry-Storage-Bucket aktivieren, müssen Sie allen Nutzern und Dienstkonten, die auf Ihre Registrys zugreifen, explizit Berechtigungen erteilen. In diesem Fall erteilen die Inhaber- und Bearbeiterrolle möglicherweise nicht die erforderlichen Berechtigungen.

Berechtigungen erteilen

1. Wenn der Registry-Host noch nicht im Projekt vorhanden ist, muss ein Konto mit Berechtigungen in der Rolle "Storage-Administrator" das erste Image in die Registry übertragen. Dadurch wird der Storage-Bucket für den Registry-Host erstellt.

   Cloud Build hat die erforderlichen Berechtigungen zum Ausführen des ersten Image-Push-Vorgangs im selben Projekt. Wenn Sie Images mit einem anderen Tool hochladen, prüfen Sie die Berechtigungen für das Google Cloud-Konto, mit dem Sie sich bei Container Registry authentifizieren.

   Weitere Informationen zum Hochladen des ersten Images mit Docker finden Sie unter Registry hinzufügen.

2. Erteilen Sie im Projekt mit Container Registry die entsprechenden Berechtigungen für den Cloud Storage-Bucket, der vom Registry-Host verwendet wird.

   Hinweis: Sie können keine Berechtigungen für den Legacy-Autor von Storage-Buckets auf Projektebene gewähren. Wenn Sie Storage-Objekt-Betrachterberechtigungen für ein gesamtes Projekt gewähren, können Sie auf alle Storage-Buckets zugreifen, einschließlich derer, die nicht von Container Registry verwendet werden.

   Console

   1. Rufen Sie in der Google Cloud Console die Seite „Cloud Storage“ auf.

   2. Klicken Sie auf den Link artifacts.PROJECT-ID.appspot.com oder STORAGE-REGION.artifacts.PROJECT-ID.appspot.com für den Bucket.

      Ersetzen Sie PROJECT-ID durch die Google Cloud-Projekt-ID des Projekts, das Container Registry hostet, und STORAGE-REGION durch die Multiregion (asia, eu, oder us) der Registry, die das Image hostet.

   3. Wählen Sie den Tab Berechtigungen.

   4. Klicken Sie auf Add.

   5. Geben Sie im Feld Hauptkonten die E-Mail-Adressen der Konten, die Zugriff benötigen, durch Kommas getrennt ein. Die E-Mail-Adresse kann mit Folgendem verknüpft sein:

      • ein Google-Konto, (z. B. [e-mail])
      • eine Google-Gruppe (z. B. [e-mail])

      • ein IAM-Dienstkonto

        In der Liste der Google Cloud-Dienste, die in der Regel auf Registrys zugreifen, ist die E-Mail-Adresse des zugehörigen Dienstkontos enthalten. Wenn der Dienst in einem anderen Projekt als Container Registry ausgeführt wird, achten Sie darauf, dass Sie die E-Mail-Adresse des Dienstkontos im anderen Projekt verwenden.

   6. Wählen Sie im Drop-down-Menü Rolle auswählen die Kategorie Cloud Storage und dann die entsprechende Berechtigung aus.

      • Storage-Objekt-Betrachter, um nur Images herunterzuladen
      • Autor von Legacy-Storage-Buckets zum Übertragen und Abrufen von Images

   7. Klicken Sie auf Hinzufügen.

   Hinweis :Die E-Mail-Adressen und Domains müssen mit einem aktiven Google- oder Google Apps-Konto verknüpft sein.

   gsutil

   1. Führen Sie den folgenden Befehl aus, um Buckets im Projekt aufzulisten:

      gsutil ls
      

      Die Antwort sieht in etwa so aus:

      gs://[BUCKET_NAME1]/
      gs://[BUCKET_NAME2]/
      gs://[BUCKET_NAME3]/ ...
      

      Suchen Sie den Bucket für den Registry-Host in der Liste der zurückgegebenen Buckets. Der Bucket, in dem Ihre Images gespeichert sind, hat den Namen BUCKET-NAME in einem der folgenden Formate:

      • artifacts.PROJECT-ID.appspot.com für Images, die auf dem Host gcr.io gespeichert sind
      • STORAGE-REGION.artifacts.PROJECT-ID.appspot.com für Images, die auf anderen Registry-Hosts gespeichert sind

      Dabei gilt:

      • PROJECT-ID ist Ihre Google Cloud-Projekt-ID.
      • STORAGE-REGION ist der Standort des Storage-Buckets:
        • us für Registries im Host us.gcr.io
        • eu für Registrys im Host eu.gcr.io
        • asia für Registrys im Host asia.gcr.io

   2. Führen Sie den folgenden Befehl in der Shell oder im Terminalfenster aus:

      gsutil iam ch TYPE:EMAIL-ADDRESS:ROLE gs://BUCKET_NAME
      

      Dabei gilt:

      • TYPE kann einer der folgenden sein:
        • serviceAccount, wenn EMAIL-ADDRESS ein Dienstkonto angibt.
        • user, wenn die EMAIL-ADDRESS ein Google-Konto ist.
        • group, wenn EMAIL-ADDRESS eine Google-Gruppe ist.

      • EMAIL-ADDRESS kann eines der Folgenden sein:

        • ein Google-Konto, (z. B. [e-mail])
        • eine Google-Gruppe (z. B. [e-mail])

        • ein IAM-Dienstkonto

          In der Liste der Google Cloud-Dienste, die in der Regel auf Registrys zugreifen, ist die E-Mail-Adresse des zugehörigen Dienstkontos enthalten. Wenn der Dienst in einem anderen Projekt als Container Registry ausgeführt wird, achten Sie darauf, dass Sie die E-Mail-Adresse des Dienstkontos im anderen Projekt verwenden.

      • ROLE ist die Cloud Storage-Rolle, die Sie zuweisen möchten.

        • objectViewer, um Images herunterzuladen
        • legacyBucketWriter Images hoch- und herunterladen

      • BUCKET_NAME ist der Name des Cloud Storage-Buckets im Format artifacts.PROJECT-ID.appspot.com oder STORAGE-REGION.artifacts.PROJECT-ID.appspot.com

   Dieser Befehl gewährt dem Dienstkonto [e-mail] beispielsweise Berechtigungen zum Hoch- und Herunterladen von Images in den Bucket my-example-bucket:

   gsutil iam ch \
     serviceAccount:[e-mail]:legacyBucketWriter \
     gs://my-example-bucket
   

   Mit dem Befehl gsutil iam ch ändern Sie die IAM-Berechtigungen des Storage-Buckets, in dem die Registry gehostet wird. Weitere Beispiele finden Sie in der Dokumentation zu gsutil.

   Hinweis: Die E-Mail-Adressen und Domains müssen mit einem aktiven Google- oder Google Apps-Konto verknüpft sein.

3. Wenn Sie den Zugriff für Compute Engine-VMs oder GKE-Knoten konfigurieren, die Images in Container Registry übertragen, finden Sie unter VMs und Cluster konfigurieren weitere Konfigurationsschritte.

Öffentlichen Zugriff auf Images konfigurieren

Container Registry ist öffentlich zugänglich, wenn der dem Hoststandort zugrunde liegende Storage-Bucket öffentlich zugänglich ist. Innerhalb eines Projekts sind alle Images an jedem Hoststandort entweder öffentlich oder nicht. Innerhalb des Hosts eines Projekts ist es nicht möglich, nur bestimmte Images öffentlich bereitzustellen. Wenn Sie bestimmte Images öffentlich zugänglich machen möchten:

• legen Sie diese an einem eigenen Hoststandort ab, den Sie öffentlich freigeben, oder
• Erstellen Sie ein neues Projekt für öffentlich zugängliche Images.

So machen Sie den zugrunde liegenden Storage-Bucket öffentlich zugänglich, um Container-Images öffentlich bereitzustellen:

Warnung: Wenn der zugrunde liegende Storage-Bucket für ein Container Registry-Projekt öffentlich zugänglich ist, kann jeder Images von diesem Hoststandort abrufen. Eine Anleitung zum Abrufen von Images aus einer Registry finden Sie unter Images aus einer Registry herunterladen.

1. Prüfen Sie, ob ein Image per Push an Container Registry übertragen wurde und der zugrunde liegende Storage-Bucket vorhanden ist.

2. Suchen Sie den Namen des Cloud Storage-Buckets für diese Registry. Listen Sie dazu die Buckets auf:

   gsutil ls
   

   Die URL des Container Registry-Buckets wird als gs://artifacts.PROJECT-ID.appspot.com oder gs://STORAGE-REGION.artifacts.PROJECT-ID.appspot.com aufgeführt. Dabei gilt:

   • PROJECT-ID ist Ihre Google Cloud-Projekt-ID. Auf eine Domain beschränkte Projekte enthalten den Domainnamen in der Projekt-ID.
   • STORAGE-REGION ist der Standort des Storage-Buckets:
     • us für Registries im Host us.gcr.io
     • eu für Registrys im Host eu.gcr.io
     • asia für Registrys im Host asia.gcr.io

3. Machen Sie den Storage-Bucket von Container Registry mit dem folgenden Befehl öffentlich zugänglich. Dadurch werden alle Images in der Registry öffentlich zugänglich.

   gsutil iam ch allUsers:objectViewer gs://BUCKET-NAME
   

   Dabei gilt:

   • gs://BUCKET-NAME ist die URL des Container Registry-Buckets.

Hinweis: Die Kosten für ausgehenden Netzwerktraffic zur Bereitstellung der Storage-Objekte werden Ihrem Projekt in Rechnung gestellt. Weitere Informationen zu den Kosten für ausgehenden Cloud Storage-Traffic finden Sie unter Cloud Storage – Preise.

Öffentlichen Zugriff auf Images entfernen

Console

1. Prüfen Sie, ob ein Image per Push an Container Registry übertragen wurde und der zugrunde liegende Storage-Bucket vorhanden ist.

2. Öffnen Sie in der Google Cloud Console die Seite Container Registry.

   Zur Seite "Container Registry"

3. Klicken Sie im linken Bereich auf Einstellungen.

4. Ändern Sie die Sichtbarkeit auf der Seite Einstellungen unter Öffentlicher Zugriff zu Privat. Diese Einstellung steuert den Zugriff auf den zugrunde liegenden Storage-Bucket.

gsutil

1. Suchen Sie den Namen des Cloud Storage-Buckets für diese Registry. Listen Sie dazu die Buckets auf:

   gsutil ls
   

   Die URL des Container Registry-Buckets wird als gs://artifacts.PROJECT-ID.appspot.com oder gs://STORAGE-REGION.artifacts.PROJECT-ID.appspot.com aufgeführt. Dabei gilt:

   • PROJECT-ID ist die Projekt-ID der Google Cloud Console. Auf eine Domain beschränkte Projekte enthalten den Domainnamen in der Projekt-ID.
   • STORAGE-REGION ist der Standort des Storage-Buckets:
     • us für Registries im Host us.gcr.io
     • eu für Registrys im Host eu.gcr.io
     • asia für Registrys im Host asia.gcr.io

2. Führen Sie den folgenden Befehl im Shell- oder Terminalfenster aus, um den öffentlichen Zugriff auf Ihren Storage-Bucket zu entfernen:

   gsutil iam ch -d allUsers:objectViewer gs://BUCKET-NAME
   

Dabei gilt:

• BUCKET-NAME ist der Name des jeweiligen Buckets.

Berechtigungen widerrufen

Führen Sie die folgenden Schritte aus, um IAM-Berechtigungen aufzuheben.

Console

1. Rufen Sie in der Google Cloud Console die Seite „Cloud Storage“ auf.

2. Klicken Sie auf den Link artifacts.PROJECT-ID.appspot.com oder STORAGE-REGION.artifacts.PROJECT-ID.appspot.com für den Bucket. Hier ist PROJECT-ID die Google Cloud-Projekt-ID des Projekts, das Container Registry hostet, und STORAGE-REGION ist die Mehrfachregion (asia, eu, oder us) der Registry, in der das Image gehostet wird.

3. Wählen Sie den Tab Berechtigungen.

4. Klicken Sie auf das Papierkorbsymbol neben jedem Hauptkonto, das Sie entfernen möchten.

gsutil

Führen Sie den folgenden Befehl in der Shell oder im Terminalfenster aus:

gsutil iam ch -d PRINCIPAL gs://BUCKET-NAME

Dabei gilt:

• PRINCIPAL kann einer der folgenden sein:
  • user:EMAIL-ADDRESS für ein Google-Konto
  • serviceAccount:EMAIL-ADDRESS für ein IAM-Dienstkonto
  • group:EMAIL-ADDRESS für eine Google-Gruppe
  • allUsers für den Widerruf des öffentlichen Zugriffs
• BUCKET-NAME ist der Name des jeweiligen Buckets.

In Google Cloud-Dienste einbinden

Für die meisten Google Cloud-Dienstkonten müssen für die Konfiguration des Zugriffs auf eine Registry nur die entsprechenden IAM-Berechtigungen erteilt werden.

Standardberechtigungen für Google Cloud-Dienste

Google Cloud-Dienste wie Cloud Build oder Google Kubernetes Engine verwenden ein Standard- oder von Google verwaltetes Dienstkonto, um mit Ressourcen innerhalb desselben Projekts zu interagieren.

In folgenden Fällen müssen Sie Berechtigungen selbst konfigurieren oder ändern:

• Der Google Cloud-Dienst befindet sich in einem anderen Projekt als Container Registry.
• Die Standardberechtigungen erfüllen Ihre Anforderungen nicht. Beispielsweise hat das Compute Engine-Standarddienstkonto schreibgeschützten Zugriff auf den Speicher im selben Projekt. Wenn Sie ein Image von der VM in eine Registry hochladen möchten, müssen Sie die Berechtigungen für das VM-Dienstkonto ändern oder sich mit einem Konto bei der Registry authentifizieren, das über Schreibzugriff auf den Speicher verfügt.
• Sie verwenden ein benutzerdefiniertes Dienstkonto für die Interaktion mit Container Registry.

Die folgenden Dienstkonten greifen normalerweise auf Container Registry zu. Die E-Mail-Adresse für das Dienstkonto enthält die Projekt-ID oder Projektnummer des Google Cloud-Projekts des Projekts, in dem der Dienst ausgeführt wird.

Dienst	Dienstkonto	E-Mail-Adresse	Berechtigungen
Flexible App Engine-Umgebung	App Engine-Standarddienstkonto	[e-mail]	Bearbeiterrolle, kann in den Speicher lesen und schreiben
Compute Engine	Standardmäßiges Compute Engine-Dienstkonto	[e-mail]	Bearbeiterrolle, auf Lesezugriff beschränkt
Cloud Build	Cloud Build-Dienstkonto	[e-mail]	Standardberechtigungen umfassen das Erstellen von Storage-Buckets sowie Lese- und Schreibzugriff auf den Speicher.
Cloud Run	Compute Engine-Standarddienstkonto Das Standardlaufzeitdienstkonto für Überarbeitungen.	[e-mail]	Bearbeiterrolle, auf Lesezugriff beschränkt
GKE	Compute Engine-Standarddienstkonto Das Standarddienstkonto für Knoten.	[e-mail]	Bearbeiterrolle, auf Lesezugriff beschränkt

VMs und Cluster zum Übertragen von Images konfigurieren

Compute Engine und jeder Google Cloud-Dienst, der Compute Engine verwendet, hat das Compute Engine-Standarddienstkonto als Standardidentität.

Sowohl IAM-Berechtigungen als auch Zugriffsbereiche wirken sich auf die Lese- und Schreibvorgänge von VMs im Speicher aus.

• IAM-Berechtigungen bestimmen den Zugriff auf Ressourcen.
• Mit Zugriffsbereichen werden die standardmäßigen OAuth-Bereiche für Anfragen festgelegt, die über die gcloud CLI und Clientbibliotheken auf einer VM-Instanz erfolgen. Daher können Zugriffsbereiche den Zugriff auf API-Methoden bei der Authentifizierung mit Standardanmeldedaten für Anwendungen weiter einschränken.
  • Zum Herunterladen eines privaten Images muss das VM-Dienstkonto die Berechtigung read für den Storage-Bucket des Images haben.
  • Zum Hochladen privater Images muss das VM-Dienstkonto den Zugriffsbereich read-write, cloud-platform oder full-control für den Storage-Bucket des Images haben.

Das Compute Engine-Standarddienstkonto hat standardmäßig die Bearbeiterrolle, die Berechtigungen zum Erstellen und Aktualisieren von Ressourcen für die meisten Google Cloud-Dienste enthält. Sowohl für das Standarddienstkonto als auch für ein benutzerdefiniertes Dienstkonto, das Sie einer VM zuordnen, ist der Standardzugriffsbereich für Storage-Buckets jedoch schreibgeschützt. Das bedeutet, dass VMs standardmäßig keine Images übertragen können.

Wenn Sie nur Images in Umgebungen wie Compute Engine und GKE bereitstellen möchten, müssen Sie den Zugriffsbereich nicht ändern. Wenn Sie in diesen Umgebungen Anwendungen ausführen möchten, die Images in die Registry übertragen, müssen Sie zusätzliche Konfigurationen vornehmen.

Die folgenden Konfigurationen erfordern Änderungen an IAM-Berechtigungen oder des Zugriffsbereichs.

Images von einer VM oder einem Cluster herunterladen

Wenn Sie Images übertragen möchten, muss das Dienstkonto der VM-Instanz den Bereich storage-rw anstelle von storage-ro haben.

Die VM und die Container Registry befinden sich in separaten Projekten

Sie müssen dem Dienstkonto IAM-Berechtigungen für den Zugriff auf den von Container Registry verwendeten Storage-Bucket erteilen.

gcloud-Befehle auf VMs ausführen

Das Dienstkonto muss den Bereich cloud-platform haben. Dieser Bereich gewährt Berechtigungen zum Hoch- und Herunterladen von Images sowie zum Ausführen von gcloud-Befehlen.

Die Schritte zum Konfigurieren von Bereichen finden Sie in den folgenden Abschnitten.

Bereiche für VMs konfigurieren

Verwenden Sie die Option --scopes, um beim Erstellen einer VM Zugriffsbereiche festzulegen.

gcloud compute instances create INSTANCE --scopes=SCOPE

Dabei gilt:

• INSTANCE ist der Name der VM-Instanz.
• SCOPE ist der Bereich, den Sie für das VM-Dienstkonto konfigurieren möchten:
  • Images abrufen: storage-ro
  • Images per Pull und Push übertragen: storage-rw
  • Images hoch- und herunterladen und gcloud-Befehle ausführen: cloud-platform

So ändern Sie Bereiche für eine vorhandene VM-Instanz:

Legen Sie den Zugriffsbereich mit der Option --scopes fest.

1. Stoppen Sie die VM-Instanz. Siehe Instanz beenden.

2. Ändern Sie den Zugriffsbereich mit dem folgenden Befehl.

   gcloud compute instances set-service-account INSTANCE --scopes=SCOPE
   

   Dabei gilt:

   • INSTANCE ist der Name der VM-Instanz.
   • SCOPE ist der Bereich, den Sie für das VM-Dienstkonto konfigurieren möchten:
     • Images abrufen: storage-ro
     • Images per Pull und Push übertragen: storage-rw
     • Images hoch- und herunterladen und gcloud-Befehle ausführen: cloud-platform

3. Starten Sie die VM-Instanz neu. Siehe Beendete Instanz starten.

Wenn Sie anstelle des Standarddienstkontos ein benutzerdefiniertes Dienstkonto für VMs verwenden möchten, können Sie das Dienstkonto und die Zugriffsbereiche angeben, die beim Erstellen der VM oder Ändern der VM-Einstellungen verwendet werden sollen.

Bereiche für Google Kubernetes Engine-Cluster konfigurieren

Standardmäßig werden neue GKE-Cluster mit Leseberechtigungen für Cloud Storage-Buckets erstellt.

Wenn Sie beim Erstellen eines Google Kubernetes Engine-Clusters den read-write-Speicherbereich festlegen möchten, verwenden Sie die Option --scopes. Der folgende Befehl erstellt beispielsweise einen Cluster mit den Bereichen bigquery, storage-rw und compute-ro:

gcloud container clusters create example-cluster \
--scopes=bigquery,storage-rw,compute-ro

Weitere Informationen zu Bereichen, die Sie beim Erstellen eines neuen Clusters festlegen können, finden Sie in der Dokumentation zum Befehl gcloud container clusters create.

Hinweis: Ab Google Kubernetes Engine Version 1.10 haben neue Cluster und neue Knotenpools standardmäßig nicht den Zugriffsbereich compute-rw. Darüber hinaus fügt der Befehl gcloud container create nicht mehr automatisch die Zugriffsbereiche compute-rw oder storage-ro hinzu, wenn Sie im Befehl das Flag --scopes angeben. Weitere Informationen zu dieser Änderung finden Sie in der GKE-Dokumentation.

Das Container Registry-Dienstkonto

Der Container Registry-Dienst-Agent ist ein von Google verwaltetes Dienstkonto, das im Namen von Container Registry agiert, wenn es mit Google Cloud-Diensten interagiert. Das Dienstkonto hat mindestens erforderliche Berechtigungen, wenn Sie die Container Registry API nach dem 5. Oktober 2020 aktiviert haben. Das Dienstkonto hatte zuvor die Rolle Bearbeiter. Weitere Informationen zu dem Konto und zum Ändern seiner Berechtigungen finden Sie unter Container Registry-Dienstkonto.

Überzeugen Sie sich selbst

Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit von Container Registry in der Praxis prüfen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

Container Registry kostenlos testen