컬렉션을 사용해 정리하기 내 환경설정을 기준으로 콘텐츠를 저장하고 분류하세요.
빠른 시작: Cloud Run에 배포 및 보안 통계 보기

Cloud Run에 배포 및 보안 통계 보기

이 빠른 시작에서는 컨테이너 이미지를 Cloud Run에 배포하고 Google Cloud 콘솔의 Software Delivery Shield 보안 패널에서 배포에 대한 보안 통계를 확인하는 방법을 설명합니다. 실습할 내용은 다음과 같습니다.

  • Google Cloud Deploy를 사용하여 Cloud Run에 이미지를 배포합니다. Google Cloud Deploy는 정의된 승격 시퀀스에 따라 일련의 타겟 환경으로 애플리케이션을 자동으로 전달하는 Google Cloud 서비스입니다.
  • 배포에 대한 다음 보안 통계를 확인합니다.

    • 배포의 ID 및 암호화 정보
    • Supply-chain Levels for Software Artifacts(SLSA) 수준: 배포의 보증 수준을 식별합니다.
    • 빌드 아티팩트의 취약점.
    • 빌드 출처: 빌드에 대한 검증 가능한 메타데이터의 모음. 빌드된 이미지의 다이제스트, 입력 소스 위치, 빌드 도구 모음, 빌드 단계, 빌드 기간과 같은 세부정보가 포함됩니다.

시작하기 전에

  1. Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.
  2. Google Cloud CLI를 설치하고 초기화합니다.
  3. Google Cloud 프로젝트를 만들거나 선택합니다.

    • 클라우드 프로젝트를 만듭니다.

      gcloud projects create PROJECT_ID
    • 생성한 클라우드 프로젝트를 선택합니다.

      gcloud config set project PROJECT_ID
  4. Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다. 프로젝트에 결제가 사용 설정되어 있는지 확인하는 방법을 알아보세요.

  5. Cloud Build, Artifact Registry, Google Cloud Deploy, Cloud Run, and Container Scanning API를 사용 설정합니다.

    gcloud services enable cloudbuild.googleapis.com artifactregistry.googleapis.com clouddeploy.googleapis.com run.googleapis.com containerscanning.googleapis.com
  6. Google Cloud CLI를 설치하고 초기화합니다.
  7. Google Cloud 프로젝트를 만들거나 선택합니다.

    • 클라우드 프로젝트를 만듭니다.

      gcloud projects create PROJECT_ID
    • 생성한 클라우드 프로젝트를 선택합니다.

      gcloud config set project PROJECT_ID
  8. Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다. 프로젝트에 결제가 사용 설정되어 있는지 확인하는 방법을 알아보세요.

  9. Cloud Build, Artifact Registry, Google Cloud Deploy, Cloud Run, and Container Scanning API를 사용 설정합니다.

    gcloud services enable cloudbuild.googleapis.com artifactregistry.googleapis.com clouddeploy.googleapis.com run.googleapis.com containerscanning.googleapis.com

기본 설정 지정

  1. 프로젝트 ID의 환경 변수를 설정합니다.

    export PROJECT_ID=$(gcloud config get project)
    
  2. Google Cloud Deploy의 기본 리전을 설정합니다.

    gcloud config set deploy/region us-central1
    

액세스 권한 부여

기본 Compute Engine 서비스 계정에 IAM 역할을 부여합니다. Google Cloud Deploy가 워크로드를 Cloud Run에 배포하는 데 필요합니다.

 gcloud projects add-iam-policy-binding $PROJECT_ID \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/clouddeploy.jobRunner"
 gcloud iam service-accounts add-iam-policy-binding $(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/iam.serviceAccountUser" \
     --project=$PROJECT_ID
 gcloud projects add-iam-policy-binding $PROJECT_ID \
     --member=serviceAccount:$(gcloud projects describe $PROJECT_ID \
     --format="value(projectNumber)")-compute@developer.gserviceaccount.com \
     --role="roles/run.developer"

이러한 역할을 추가하는 데 문제가 있으면 프로젝트 관리자에게 문의하세요.

Artifact Registry에서 Docker 저장소 만들기

  1. us-central1 위치에 'Docker 저장소' 설명과 함께 containers라는 새 Docker 저장소를 만듭니다.

    gcloud artifacts repositories create containers --repository-format=docker \
        --location=us-central1 --description="Docker repository"
    
  2. 저장소가 만들어졌는지 확인합니다.

    gcloud artifacts repositories list
    

    표시된 저장소 목록에 containers가 표시됩니다.

샘플 애플리케이션 준비

빌드하고 배포하려면 몇 가지 샘플 소스 코드가 필요합니다. 이 섹션에서는 자바 코드 샘플이 포함된 기존 소스 저장소를 클론합니다.

  1. 자바 코드 샘플이 포함된 저장소를 클론합니다.

    git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
    cd software-delivery-shield-demo-java/backend
    
  2. cloudrun.clouddeploy.yaml를 업데이트하여 PROJECT_ID를 프로젝트 ID로 바꿉니다.

    sed -i "s/PROJECT_ID/${PROJECT_ID}/g" cloudrun.clouddeploy.yaml
    

애플리케이션 빌드

  1. Cloud Build를 사용하여 자바 애플리케이션을 빌드하고 컨테이너화합니다. 다음 명령어는 자바 애플리케이션을 빌드 및 컨테이너화하고 빌드된 컨테이너를 Artifact Registry Docker 저장소에 저장합니다.

    gcloud builds submit --config=cloudbuild.yaml --region=us-central1
    

    빌드가 완료되면 다음과 비슷한 성공 상태 메시지가 표시됩니다.

    DONE
    -----------------------------------------------------------------------------
    ID: 3e08565f-7f57-4449-bc68-51c46cf33d03
    CREATE_TIME: 2022-09-19T15:41:07+00:00
    DURATION: 54S
    SOURCE: gs://sds-docs-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f78055e9.tgz
    IMAGES: us-central1-docker.pkg.dev/sds-docs-project/containers/java-guestbook-backend:quickstart
    STATUS: SUCCESS
    

Google Cloud Deploy를 사용하여 Cloud Run에서 컨테이너 배포

  1. Google Cloud Deploy 서비스에 파이프라인 및 대상을 등록합니다.

    gcloud deploy apply --file cloudrun.clouddeploy.yaml
    

    이제 타겟이 포함된 파이프라인을 사용하여 첫 번째 타겟에 애플리케이션을 배포할 수 있습니다.

  2. 파이프라인이 있는지 확인하려면 Google Cloud 콘솔에서 전송 파이프라인 페이지로 이동합니다.

    배포 파이프라인 페이지 열기

    방금 만든 전송 파이프라인 cloudrun-guestbook-backend-delivery가 표시됩니다.

  3. 진행 상황을 모니터링하려면 cloudrun-guestbook-backend-delivery를 클릭하세요. 전송 파이프라인 세부정보 페이지가 열립니다.

  4. Cloud Shell에서 Google Cloud Deploy에 출시 버전을 만듭니다.

    gcloud deploy releases create test-release-007 \
        --delivery-pipeline=cloudrun-guestbook-backend-delivery \
        --skaffold-file=cloudrun.skaffold.yaml \
        --images=java-guestbook-backend=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart
    

    새 출시 버전이 전송 파이프라인 세부정보 페이지의 출시 섹션에 표시됩니다.

  5. dev-cluster승격 버튼이 표시될 때까지 전송 파이프라인 세부정보 페이지에서 파이프라인 시각화 뷰를 모니터링합니다. 페이지를 새로 고쳐야 할 수도 있습니다.

  6. 배포 파이프라인 시각화의 첫 번째 타겟인 cloudrun-dev에서 승격을 클릭합니다.

    출시 승격 대화상자가 표시됩니다. 승격하는 타겟의 세부정보가 표시됩니다.

  7. 승격을 클릭합니다.

    이제 출시가 cloudrun-prod에 배포 대기 중입니다. 배포가 완료되면 배포 파이프라인 시각화에 배포된 것으로 표시됩니다.

    배포 스크린샷

배포에 대한 보안 통계 보기

  1. 소프트웨어 공급망 보안 Cloud Run 서비스 페이지를 엽니다.

    Cloud Run 서비스 페이지 열기

  2. Cloud Run 서비스 테이블에서 guestbook-backend-prod를 클릭합니다.

  3. 서비스 세부정보 페이지에서 버전을 클릭합니다.

  4. 버전 패널에서 보안을 클릭합니다.

배포에 대한 Software Delivery Shield 보안 패널이 표시됩니다.

보안 패널 스크린샷

이 패널에는 다음과 같은 정보가 표시됩니다.

  • ID 및 암호화: 기본 Compute Engine 서비스 계정의 이메일 주소 및 배포에 사용되는 암호화 키.

  • SLSA 수준: 이 빌드는 SLSA 수준 3입니다. 이 보안 수준의 의미에 대해 알아보려면 자세히 알아보기 링크를 클릭하세요.

  • 취약점: 종속 항목에서 발견된 모든 취약점. 이미지 이름(java-guestbook-backend)을 클릭하여 종속 항목이 스캔된 아티팩트를 확인합니다. Software Delivery Shield는 식별된 취약점에 대한 세부정보를 보여주므로 애플리케이션에 미치는 영향과 이를 해결하기 위한 조치를 평가할 수 있습니다.

  • 빌드 세부정보: 빌더 및 로그 보기 링크와 같은 빌드 세부정보.

  • 빌드 출처: 빌드의 출처.

삭제

이 페이지에서 사용한 리소스 비용이 Google Cloud 계정에 청구되지 않도록 하려면 리소스가 포함된 Cloud 프로젝트를 삭제하면 됩니다.

  1. Container Scanning API를 사용 중지합니다.

    gcloud services disable containerscanning.googleapis.com --force
    
  2. guestbook-backend-dev Cloud Run 서비스를 삭제합니다.

    gcloud run services delete guestbook-backend-dev --region=us-central1 \
        --project=${PROJECT_ID}
    
  3. guestbook-backend-prod 서비스를 삭제합니다.

    gcloud run services delete guestbook-backend-prod --region=us-central1 \
        --project=${PROJECT_ID}
    
  4. 출시 버전 및 출시를 포함한 배포 파이프라인을 삭제합니다.

    gcloud deploy delivery-pipelines delete cloudrun-guestbook-backend-delivery \
        --force --region=us-central1 --project=${PROJECT_ID}
    

    이 명령어는 배포 파이프라인 자체와 해당 파이프라인에 대해 생성된 모든 releaserollout 리소스 공급망 보안을 삭제합니다.

  5. Artifact Registry 저장소를 삭제합니다.

    gcloud artifacts repositories delete containers \
        --location=us-central1 --async
    

이제 빠른 시작이 완료되었습니다.

다음 단계