Définir des pools de nœuds de calcul de compilation (déploiement source)

Lorsque vous déployez votre code source dans Cloud Run, ce code source est stocké dans un bucket Cloud Storage. Cloud Build compile ensuite automatiquement votre code dans une image de conteneur, puis transfère cette image dans un registre d'images. Chaque compilation s'exécute sur son propre nœud de calcul. Cloud Run importe l'image compilée lors du déploiement.

Si vous souhaitez personnaliser le pool de nœuds de calcul de compilation que Cloud Build utilise pour un contexte de compilation sécurisé VPC Service Controls, vous devez personnaliser le pool de nœuds de calcul. Cette page est destinée aux développeurs de plates-formes qui déploient à partir de la source vers Cloud Run, y compris lors du déploiement d'une fonction, et configurent des pools privés utilisés par Cloud Build.

Avant de commencer

Activez l'API Cloud Build :

gcloud services enable cloudbuild.googleapis.com

Rôles requis

Pour obtenir les autorisations nécessaires pour déployer à partir de la source, demandez à votre administrateur de vous accorder les rôles IAM suivants sur votre projet :

Développeur de source Cloud Run (roles/run.sourceDeveloper)
Utilisateur du compte de service (roles/iam.serviceAccountUser)

Pour obtenir la liste des rôles et des autorisations IAM associés à Cloud Run, consultez les sections Rôles IAM Cloud Run et Autorisations IAM Cloud Run. Si votre service Cloud Run communique avec les API Google Cloud, telles que les bibliothèques clientes Cloud, consultez le guide de configuration de l'identité du service. Pour en savoir plus sur l'attribution de rôles, consultez les sections Autorisations de déploiement et Gérer les accès.

Sécuriser votre build à l'aide de pools privés

Par défaut, Cloud Build dispose d'un accès à Internet illimité pendant le processus de compilation. Si vous avez configuré un périmètre VPC Service Controls (VPC SC) et que vous souhaitez limiter l'accès de la compilation uniquement aux dépendances stockées dans ce périmètre (par exemple, les packages npm), vous pouvez utiliser la fonctionnalité de pools de nœuds de calcul privés de Cloud Build.

En général, vous pouvez utiliser la procédure suivante pour configurer votre pool privé :

Créez votre pool de nœuds de calcul privé. Consultez la page Créer et gérer des pools privés.
Configurez votre périmètre VPC Service Controls. Consultez la page Utiliser VPC Service Controls.
Si votre pool de nœuds de calcul privé se trouve dans un projet différent de celui de votre service Cloud Run, vous devez attribuer à l'agent de service Cloud Run (service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com) le rôle Utilisateur de pool de nœuds de calcul Cloud Build (cloudbuild.workerPoolUser) afin que le service Cloud Build puisse accéder au pool de nœuds de calcul.
```
gcloud projects add-iam-policy-binding PRIVATE_POOL_PROJECT_ID \
    --member serviceAccount:service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com \
    --role roles/cloudbuild.workerPoolUser
```
Remplacez :
- PROJECT_NUMBER par le numéro du projet dans lequel le service est exécuté.
- PRIVATE_POOL_PROJECT_ID avec l'ID du projet dans lequel se trouve le pool de nœuds de calcul. Pour en savoir plus, consultez la page Exécuter des compilations dans un pool privé.
Déployez votre service à partir de la source pour le compiler à l'aide d'un pool privé :

gcloud

Pour spécifier un pool privé à compiler lors du déploiement à partir du code source, procédez comme suit :

gcloud beta run deploy SERVICE \
  --source . \
  --build-worker-pool WORKER_POOL

Remplacez :

SERVICE par le nom de votre service.
WORKER_POOL avec le nom du pool privé.

Si vous déployez une fonction, ajoutez l'option --function avec le point d'entrée de votre fonction à partir de votre code source.

Supprimer des pools de nœuds de calcul de compilation

Vous pouvez supprimer des pools de nœuds de calcul de compilation pour des services existants.

gcloud

Pour effacer le pool de nœuds de calcul Cloud Build pour les déploiements sources :

gcloud beta run deploy SERVICE \
  --source . \
  --clear-build-worker-pool WORKER_POOL

Remplacez :

SERVICE par le nom de votre service.
WORKER_POOL avec le nom du pool privé que vous souhaitez supprimer.