O Container Registry é um registro de imagem de contêiner particular executado no Google Cloud. O Container Registry é compatível com o Docker Image Manifest V2 e com formatos de imagem OCI.
Muitas pessoas usam o Dockerhub como um registro central para armazenar imagens públicas do Docker. No entanto, para controlar o acesso às suas imagens, é necessário usar um registro privado como o Container Registry.
Acesse o Container Registry nos pontos de extremidade HTTPS seguros para executar pull, push e gerenciar de imagens de qualquer sistema, instância de VM ou do próprio hardware. Além disso, você pode usar a ferramenta de linha de comando auxiliar de credenciais para configurar o Docker. Assim, a autenticação será feita diretamente com o Container Registry.
Nome do registro
Registros no Container Registry são nomeados pelo host e pelo código do projeto. Para trabalhar com imagens (por exemplo, push, pull, delete), identifique a imagem usando o seguinte formato:
[HOSTNAME]/[PROJECT-ID]/[IMAGE]:[TAG]
,
[HOSTNAME]/[PROJECT-ID]/[IMAGE]@[IMAGE_DIGEST]
em que:
[HOSTNAME]é o local onde a imagem está armazenada:gcr.iohospeda as imagens nos Estados Unidos, mas o local pode mudar no futurous.gcr.iohospeda a imagem nos Estados Unidos, em um intervalo de armazenamento separado das imagens hospedadas porgcr.ioeu.gcr.iohospeda as imagens na União Europeiaasia.gcr.iohospeda as imagens na Ásia
Esses locais correspondem às multirregiões para os intervalos de armazenamento do Cloud Storage. Quando você envia uma imagem para um registro com um novo nome do host, o Container Registry cria um intervalo de armazenamento no local multirregional especificado. Esse intervalo é o armazenamento subjacente para o registro. Em um projeto, todos os registros com o mesmo nome de host compartilham um intervalo de armazenamento.
[PROJECT-ID]é o ID do projeto do seu Console do Google Cloud. Se o código do projeto contiver dois pontos (:), consulte Projetos com escopo de domínio abaixo.[IMAGE]é o nome da imagem. Ele pode ser diferente do nome local da imagem. No Console do Google Cloud, os registros do projeto são listados pelo nome da imagem. Cada repositório pode conter várias imagens com o mesmo nome. Por exemplo, ele pode conter versões diferentes de uma imagem chamada "quickstart-image".adicionar
:[TAG]e@[IMAGE_DIGEST]no final permite distinguir uma versão específica da imagem, mas também é opcional. Se você não especificar uma tag ou o resumo, o Container Registry procurará a imagem com a tag padrãolatest. Consulte abaixo versões de imagens dentro de um registro.
Por exemplo, no guia de início rápido, o registro da imagem do guia de início rápido é gcr.io/[PROJECT-ID]. Para efetuar push e pull na imagem, use o formato:
gcr.io/[PROJECT-ID]/quickstart-image:tag1
em que [PROJECT-ID] é o ID do projeto do seu Console do Google Cloud.
Versões de imagens dentro de um registro
Um registro pode conter muitas imagens, e essas imagens podem ter versões diferentes. Para identificar uma versão específica da imagem em um registro, você pode especificar a tag ou o resumo da imagem. As tags são exclusivas de uma imagem em um registro. Os resumos são gerados automaticamente, são exclusivos de uma versão de uma imagem e têm a forma @[IMAGE_DIGEST], em que [IMAGE_DIGEST] é o valor de hash sha256 do conteúdo da imagem.
Por exemplo, no guia de início rápido, para identificar uma versão específica da imagem:
adicione a tag da imagem:
gcr.io/[PROJECT-ID]/quickstart-image:tag1ou adicione o resumo da imagem:
gcr.io/[PROJECT-ID]/quickstart-image@sha256:4d11e24ba8a615cc85a535daa17b47d3c0219f7eeb2b8208896704ad7f88ae2d
em que [PROJECT-ID] é o ID do projeto do seu Console do Google Cloud.
Se o código do projeto contiver dois pontos (:), consulte Projetos com escopo de domínio abaixo.
No console, na tela Imagens, a coluna Tags lista as tags da imagem. Clique na respectiva versão para ver os metadados, incluindo o Resumo da imagem.
Consulte Como incluir tags em imagens para saber como modificar tags.
Projetos de escopo de domínio
Se seu projeto estiver no escopo de seu domínio, o ID do projeto incluirá o nome do domínio seguido por dois pontos (:). Por causa de como o Docker trata dois-pontos, você deve substituir o caractere de dois pontos por uma barra quando especificar um resumo de imagem no Container Registry. Identifique imagens nesses tipos de projetos usando o seguinte formato:
[HOSTNAME]/[DOMAIN]/[PROJECT]/[IMAGE]
Por exemplo, o projeto com o ID example.com:my-project poderia ter a seguinte imagem:
gcr.io/example.com/my-project/image-name
Nomes de registro como URLs
O URL https://[HOSTNAME]/[PROJECT-ID]/[IMAGE] é um URL deste registro no Console do Cloud. Esses links podem ser acessados por qualquer usuário autenticado que tenha permissão para acessar o registro. Veja acima como definir o nome do registro.
Por exemplo, os URLs a seguir vinculam a registros públicos no Console do Cloud:
Formatos de imagem de contêiner
O Container Registry é compatível com o Docker Image Manifest V2 e com formatos de imagem OCI.
Para mais informações, consulte Formatos de imagem de contêiner.
Controle de acesso
No Container Registry, as tags e os arquivos de camada para imagens de contêiner são armazenados em um intervalo do Cloud Storage no mesmo projeto que o registro. O acesso ao intervalo é configurado com as definições de gerenciamento de acesso e identidade (IAM, na sigla em inglês) do Cloud Storage.
Por padrão, os proprietários e editores do projeto têm permissões de push e pull para esse intervalo do projeto do Container Registry. Os leitores do projeto têm apenas permissão de pull.
Para mais informações, consulte Como configurar Controle de acesso.
Acesse os avisos de suspensão e veja mais informações sobre planos que mudam metadados de imagem do Cloud Storage para uma base de dados de back-end de alto desempenho.
Autenticação
Antes de enviar ou extrair imagens, você deve configurar a autenticação. Você pode configurar o Docker para usar a ferramenta de linha de comando gcloud para autenticar solicitações para o Container Registry. O Container Registry é compatível com métodos avançados de autenticação com uso de tokens de acesso ou arquivos de chave JSON.
Auxiliar de credenciais do Docker
É necessário que o Docker tenha acesso ao Container Registry para enviar e receber imagens. Use a ferramenta de linha de comando auxiliar de credenciais do Docker para configurar as credenciais do Container Registry para uso com o Docker.
As credenciais do Container Registry são fornecidas ao auxiliar de credenciais automaticamente ou a partir de uma localização especificada por meio da sinalização --token-source. Em seguida, elas são gravadas no arquivo de configuração do Docker. Dessa forma, você pode usar a ferramenta de linha de comando do Docker, docker, para interagir diretamente com o Container Registry.
Para mais informações, consulte Autenticação avançada.
Conta do serviço do Container Registry
Quando você ativa a Container Registry API, o Container Registry adiciona ao seu projeto uma conta de serviço com o seguinte nome:
service-[PROJECT_NUMBER]@containerregistry.iam.gserviceaccount.com
Essa conta de serviço foi criada especificamente para que o Container Registry possa executar as tarefas do serviço no seu projeto. O Google é proprietário desta conta, mas ela é específica para seu projeto e está listada nas seções Contas de serviço e IAM do Console do Cloud.
Se você excluir essa conta de serviço ou alterar suas permissões, alguns recursos do Container Registry não funcionarão corretamente. Você não deve modificar papéis nem excluir a conta.
Espelhamento
O registro mirror.gcr.io é um espelho global do Container Registry para repositórios oficiais do Docker Hub.
Usar o espelhamento pode acelerar a execução de pulls para repositórios do Docker Hub. Quando você usa o mirror.gcr.io, o cliente tenta primeiro executar pull de imagens oficiais do Docker Hub do espelhamento do Container Registry.
Para mais informações, consulte Como usar o Container Registry e o espelhamento do Docker Hub.
Notificações
É possível usar o Pub/Sub para receber notificações sobre alterações nas imagens do contêiner.
Para obter mais informações, consulte Como configurar notificações do Pub/Sub.
Como usar o Container Registry com o Google Cloud
As instâncias do Compute Engine e os clusters do Google Kubernetes Engine podem enviar e extrair imagens do Container Registry por push ou pull com base nos escopos do Cloud Storage nas instâncias. Consulte Como usar o Container Registry com o Google Cloud.
As imagens armazenadas no Container Registry podem ser implantadas no ambiente flexível do App Engine.
Integrações de ferramenta de entrega contínua
O Container Registry trabalha com sistemas de entrega contínua conhecidos.
Usar o Container Registry com soluções de terceiros
Ao desenvolver seus aplicativos, você pode usar o gerenciamento de cluster de terceiros, a integração contínua ou outras soluções fora do Google Cloud. É possível integrar o Container Registry a esses serviços externos.
Essas soluções podem não fornecer acesso à ferramenta de linha de comando gcloud para autenticação. Nesses casos, você pode usar docker login para autenticar diretamente com o Container Registry. Para mais informações, consulte Autenticação avançada.
Algumas soluções de terceiros, como Kubernetes, dispõem de documentação sobre a integração com o Container Registry.
Para a lista completa de soluções de terceiros que podem ser integradas ao Container Registry, consulte Integrações de ferramenta de entrega contínua.