Kontinuierliche Bereitstellung mit Cloud Build manuell einrichten

In der folgenden Anleitung wird davon ausgegangen, dass Sie ein Git-Repository mit einem Dockerfile im Stammverzeichnis haben.

So automatisieren Sie die Bereitstellung über Git mit Cloud Build:

Erstellen Sie eine Cloud Build-Konfiguration, die:

Das Container-Image erstellt
Das Image per Push in die Container Registry überträgt (Eingestellt)
Eine neue Überarbeitung für den Cloud Run-Dienst bereitstellt

Fügen Sie dazu eine Datei namens cloudbuild.yaml mit folgendem Inhalt im Stammverzeichnis Ihres Repositorys hinzu:

 steps:
 # build the container image
 - name: 'gcr.io/cloud-builders/docker'
   args: ['build', '-t', 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA', '.']
 # push the container image to Container Registry
 - name: 'gcr.io/cloud-builders/docker'
   args: ['push', 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA']
 # Deploy container image to Cloud Run
 - name: 'gcr.io/cloud-builders/gcloud'
   args:
   - 'run'
   - 'deploy'
   - '[SERVICE-NAME]'
   - '--image'
   - 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA'
   - '--region'
   - '[REGION]'
 images:
 - 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA'

Ersetzen

[SERVICE-NAME] durch den Namen des Cloud Run-Dienstes.
[REGION] durch die Region des Cloud Run-Dienstes, den Sie bereitstellen.

Die Substitutionsvariable $COMMIT_SHA wird von Cloud Build ersetzt, wenn sie von einem Git-Repository ausgelöst wird.

Weisen Sie dem Cloud Build-Dienstkonto die Rollen Cloud Run-Administrator und Dienstkontonutzer zu:
1. Öffnen Sie die Seite mit den Cloud Build-Einstellungen in der Google Cloud Console:
  
  Zur Seite „Cloud Build-Einstellungen“
2. Legen Sie im Bereich „Dienstkontoberechtigungen“ den Status der Rolle Cloud Run-Administrator auf Aktivieren fest:
3. Wählen Sie Zugriff auf alle Dienstkonten gewähren aus, um allen Dienstkonten im Projekt auf der Seite die Rolle Dienstkontonutzer zu gewähren.
  
  Hinweis: Für eine höhere Sicherheit sollten Sie nur Cloud Build erlauben, als bestimmter Cloud Run-Dienst zu fungieren.
Klicken Sie im linken Navigationsbereich auf Trigger, um die Seite Trigger zu öffnen:

Zur Seite „Trigger“
1. Klicken Sie auf Trigger erstellen.
2. Geben Sie im Feld Name einen Namen für den Trigger ein.
3. Wählen Sie unter Ereignis das Repository-Ereignis aus, um den Trigger zu starten.
4. Wählen Sie unter Quelle Ihr Repository und den Branch- oder Tag-Namen aus, der den Trigger auslöst. Weitere Informationen zum Angeben, welche Branches automatisch erstellt werden sollen, finden Sie unter Build-Trigger erstellen.
5. Wählen Sie unter Cloud Build-Konfigurationsdatei (YAML oder JSON) die Option Cloud Build-Konfigurationsdatei aus.
6. Geben Sie im Feld Speicherort der Cloud Build-Konfigurationsdatei cloudbuild.yaml nach / ein.
7. Klicken Sie auf Erstellen, um den Build-Trigger zu speichern.
Fertig! Von nun an werden bei jeder Übertragung in Ihr Repository automatisch ein Build und eine Bereitstellung für Ihren Cloud Run-Dienst ausgelöst.

Kontinuierliche Bereitstellung mit minimalen IAM-Berechtigungen

Wenn ein Container in einem Cloud Run-Dienst bereitgestellt wird, wird er mit der Identität des Laufzeitdienstkontos dieses Cloud Run-Dienstes ausgeführt. Da Cloud Build neue Container automatisch bereitstellen kann, muss Cloud Build als Laufzeitdienstkonto Ihres Cloud Run-Dienstes fungieren können.

So gewähren Sie Cloud Build eingeschränkten Zugriff für die Bereitstellung in einem Cloud Run-Dienst:

Console-UI

Rufen Sie in der Google Cloud Console die Seite Dienstkonten auf.
Zur Seite „Dienstkonten“
Klicken Sie auf die E-Mail-Adresse des Laufzeitdienstkontos Ihres Cloud Run-Dienstes (standardmäßig PROJECT_NUMBER-compute@developer.gserviceaccount.com).
Klicken Sie auf den Tab Berechtigungen.
Klicken Sie auf Zugriff erlauben.
Geben Sie das Cloud Build-Dienstkonto ein (PROJECT_NUMBER@cloudbuild.gserviceaccount.com).
Wählen Sie im Drop-down-Menü Rolle auswählen die Rolle Dienstkonten > Dienstkontonutzer aus.
Klicken Sie auf Speichern.

gcloud

Führen Sie den Befehl gcloud iam service-accounts add-iam-policy-binding aus:

gcloud iam service-accounts add-iam-policy-binding \
  PROJECT_NUMBER-compute@developer.gserviceaccount.com \
  --member="serviceAccount:PROJECT_NUMBER@cloudbuild.gserviceaccount.com" \
  --role="roles/iam.serviceAccountUser"

Ersetzen Sie PROJECT_NUMBER durch die numerische ID Ihres Projekts.

Wenn Sie Cloud Run mit einer benutzerdefinierten Dienstidentität verwenden, ersetzen Sie PROJECT_NUMBER-compute@developer.gserviceaccount.com durch die Adresse Ihres Dienstkontos.

Weitere Informationen finden Sie unter Bereitstellungsberechtigungen.

Weitere Informationen

Informationen zum Bereitstellen oder Veröffentlichen eines Container-Images in einer privaten Registry in einem anderen Projekt finden Sie unter Dienstkontoberechtigungen festlegen.