Mengotomatiskan pembuatan ulang image container untuk menyinkronkan pembaruan image dasar

Cloud Workstations memungkinkan Anda membuat dan menggunakan image kustom untuk workstation. Setelah image kustom digunakan, sebaiknya otomatiskan pembuatan ulang image kustom untuk mengambil perbaikan dan update yang tersedia di image dasar.

Dalam tutorial ini, Anda akan mempelajari cara membuat pipeline otomatis untuk membantu memastikan bahwa Anda menyertakan update dan patch keamanan dalam image workstation kustom.

Tujuan

Dengan mengikuti tutorial ini, Anda akan mem-build pipeline otomatis untuk image dasar dengan langkah-langkah berikut:

  1. Buat repositori Artifact Registry untuk menyimpan dan memindai image kustom Anda.
  2. Konfigurasikan GitHub dengan Google Cloud untuk menyimpan konfigurasi image Anda.
  3. Buat pemicu Cloud Build untuk mengotomatiskan pembuatan dan deployment image kustom ke Artifact Registry.
  4. Konfigurasikan Cloud Scheduler untuk memulai build secara berkala.
  5. Tinjau hasil proses otomatis.

Biaya

Dalam dokumen ini, Anda akan menggunakan komponen Google Cloud yang dapat ditagih berikut:

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga. Pengguna baru Google Cloud mungkin memenuhi syarat untuk mendapatkan uji coba gratis.

Setelah menyelesaikan tugas yang dijelaskan dalam dokumen ini, Anda dapat menghindari penagihan berkelanjutan dengan menghapus resource yang Anda buat. Untuk mengetahui informasi selengkapnya, lihat Pembersihan.

Sebelum memulai

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs.

    Enable the APIs

  5. Install the Google Cloud CLI.

  6. To initialize the gcloud CLI, run the following command: 

    gcloud init

  7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  8. Make sure that billing is enabled for your Google Cloud project.

  9. Enable the Artifact Registry, Container Scanning API, Cloud Build, and Cloud Scheduler APIs.

    Enable the APIs

  10. Install the Google Cloud CLI.

  11. To initialize the gcloud CLI, run the following command: 

    gcloud init

Menyiapkan lingkungan

Sebelum melanjutkan, pastikan Anda menetapkan variabel lingkungan berikut.

  1. Tetapkan project ID untuk project cloud yang ingin Anda gunakan:

    PROJECT_ID=$PROJECT_ID

  2. Tetapkan nama pengguna GitHub tempat Anda berencana menyimpan repositori:

    GITHUB_USER=$GITHUB_ID

  3. Tetapkan variabel PROJECT_NUMBER dan REGION yang akan digunakan melalui proses:

    PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID \
    --format='value(projectNumber)')

REGION=$REGION

    Pada contoh sebelumnya, ganti $REGION dengan nama region yang ingin Anda gunakan—misalnya, us-central1.

    Untuk mengetahui informasi selengkapnya tentang region yang tersedia, lihat lokasi Cloud Workstations.

Membuat repositori Artifact Registry

Dalam tutorial ini, Anda akan menggunakan Artifact Registry untuk menyimpan dan memindai image.

  1. Buat repositori dengan perintah berikut:

    gcloud artifacts repositories create custom-images \
      --repository-format=docker \
      --location=$REGION \
      --description="Docker repository"

    Ganti $REGION dengan nama region yang ingin Anda gunakan.

  2. Konfigurasikan Docker untuk menggunakan kredensial CLI gcloud Anda saat mengakses Artifact Registry.

    gcloud auth configure-docker $REGION-docker.pkg.dev

    Untuk menonaktifkan Analisis Artefak, jalankan perintah berikut:

    gcloud services disable containerscanning.googleapis.com

Mengonfigurasi repositori GitHub Anda

Dalam praktiknya, Anda menyimpan Dockerfile untuk image kustom di repositori Git. Proses otomatis mengakses repositori tersebut selama proses build untuk mengambil konfigurasi dan Dockerfile yang relevan.

Melakukan fork repositori contoh

Untuk membuat fork repositori contoh yang menyediakan definisi penampung, ikuti langkah-langkah berikut:

  1. Klik link ini untuk Membuat fork baru. dari repositori software-delivery-workshop.
  2. Jika diminta, login ke GitHub.
  3. Pilih nama pengguna GitHub Anda sebagai Pemilik. Nama Repositori akan muncul sebagai software-delivery-workshop.
  4. Klik Create fork dan tunggu beberapa detik hingga proses selesai.

Menghubungkan Cloud Build ke GitHub

Selanjutnya, hubungkan repositori tersebut ke Cloud Build menggunakan kemampuan koneksi GitHub bawaan. Klik link ke repositori GitHub dan ikuti petunjuk yang menjelaskan cara menyelesaikan prosesnya. Anda tidak perlu membuat pemicu di langkah terakhir wizard, dan Anda dapat melewati langkah terakhir karena Anda dapat melakukannya nanti dari command line.

Jika menggunakan solusi repositori Git yang berbeda, Anda juga dapat mengikuti petunjuk untuk menghubungkan Cloud Build ke GitLab atau Bitbucket.

Membuat pemicu Cloud Build

Repositori contoh berisi definisi penampung dan konfigurasi Cloud Build yang digunakan untuk mem-build image penampung. Pada langkah ini, Anda akan membuat pemicu Cloud Build yang menjalankan petunjuk dalam file cloudbuild.yaml yang dapat Anda temukan di folder labs/cloudbuild-scheduled-jobs/code-oss-java.

gcloud builds triggers create manual \
    --name=custom-image-trigger \
    --repo=$GITHUB_USER/software-delivery-workshop \
    --repo-type=GITHUB \
    --branch=main \
    --build-config=labs/cloudbuild-scheduled-jobs/code-oss-java/cloudbuild.yaml \
    --substitutions=_REGION=$REGION,_AR_REPO_NAME=custom-images,_AR_IMAGE_NAME=code-oss-java,_IMAGE_DIR=labs/cloudbuild-scheduled-jobs/code-oss-java

TRIGGER_ID=$(gcloud builds triggers list \
    --filter=name="custom-image-trigger" --format="value(id)")

Contoh ini mengonfigurasi hal berikut:

  • Perintah CLI gcloud membuat pemicu manual dalam Cloud Build bernama custom-image-trigger seperti yang ditunjukkan oleh flag name di baris kedua.
  • Tiga baris berikutnya berisi flag yang terkait dengan repositori GitHub sumber:
  • Flag build-config menunjukkan jalur ke file Cloud Build di repositori Git.

  • Untuk membuat tugas menjadi dinamis, gunakan flag substitutions. Untuk tugas ini, perintah akan meneruskan variabel berikut:

    • Region, $_REGION
    • Nama repositori Artifact Registry, $_AR_REPO_NAME
    • Nama image container, $_AR_IMAGE_NAME
    • Lokasi Dockerfile yang akan di-build, $_IMAGE_DIR

    Lihat file cloudbuild.yaml untuk melihat cara variabel ini digunakan dalam proses.

  • Setelah pemicu dibuat, nama unik pemicu akan diambil dan disimpan di variabel lingkungan $TRIGGER_ID untuk digunakan nanti.

Mengonfigurasi Cloud Scheduler

Untuk membantu memastikan image Anda selalu menggunakan update dan patch terbaru, gunakan Cloud Scheduler untuk menjalankan pemicu Cloud Build dengan frekuensi yang ditetapkan. Untuk tutorial ini, tugas berjalan setiap hari. Dalam prakteknya, tetapkan frekuensi ini sesuai dengan kebutuhan organisasi Anda untuk membantu memastikan bahwa update terbaru selalu disertakan.

  1. Berikan peran yang diperlukan ke akun layanan default untuk memanggil pemicu Cloud Build:

    gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member="serviceAccount:$PROJECT_NUMBER-compute@developer.gserviceaccount.com" \
    --role="roles/cloudbuild.builds.editor"

  2. Berikan peran yang diperlukan ke akun layanan Cloud Build untuk mengupload gambar ke Artifact Registry:

    gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member=serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com \
    --role="roles/artifactregistry.admin"

  3. Buat tugas Cloud Scheduler dengan perintah berikut:

    gcloud scheduler jobs create http run-build \
    --schedule='0 1 * * *' \
    --uri=https://cloudbuild.googleapis.com/v1/projects/$PROJECT_ID/locations/global/triggers/$TRIGGER_ID:run \
    --location=us-central1 \
    --oauth-service-account-email=$PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --oauth-token-scope=https://www.googleapis.com/auth/cloud-platform

  4. Tugas ditetapkan untuk dieksekusi satu kali setiap hari; namun, untuk segera menguji fitur, jalankan tugas secara manual dari Cloud Scheduler:

    Buka Cloud Scheduler

    1. Di halaman Cloud Scheduler, temukan entri yang baru saja Anda buat yang bernama run-build.
    2. Di kolom Tindakan, klik menu opsi more_vertMore untuk baris tersebut.
    3. Klik Paksa tugas dijalankan untuk menguji sistem secara manual.

    4. Setelah perintah berhasil dieksekusi, beralihlah ke halaman histori Cloud Build untuk meninjau progresnya:

      Buka Histori Cloud Build

Meninjau hasil

Karena Anda mengaktifkan Container Scanning API sebagai bagian dari proses penyiapan, Artifact Registry akan otomatis memindai image untuk mendeteksi kerentanan keamanan.

Untuk meninjau kerentanan:

  1. Buka halaman Repositori Artifact Registry:

    Buka Repositori Artifact Registry

  2. Di daftar repositori, klik repositori.

  3. Klik nama gambar. Jumlah total kerentanan untuk setiap ringkasan gambar muncul di kolom Kerentanan.

    Halaman Repositori Artifact Registry yang menampilkan nama image contoh

  4. Untuk melihat daftar kerentanan image, klik link di kolom Vulnerabilities. Daftar kerentanan menunjukkan keparahan, ketersediaan perbaikan, dan nama paket yang berisi kerentanan.

    Halaman Kerentanan Artifact Registry yang menampilkan contoh daftar kerentanan

Pembersihan

Agar tidak perlu membayar biaya pada akun Google Cloud Anda untuk resource yang digunakan dalam tutorial ini, hapus project yang berisi resource tersebut, atau simpan project dan hapus setiap resource.

Agar tidak menimbulkan biaya pada akun Google Cloud Anda untuk resource yang digunakan di halaman ini, pastikan Anda tidak lupa untuk menghapus resource yang tidak lagi Anda perlukan.

Untuk menghapus project Google Cloud dari konsol Google Cloud atau dari CLI gcloud:

Konsol

  1. In the Google Cloud console, go to the Manage resources page.

    Go to Manage resources

  2. In the project list, select the project that you want to delete, and then click Delete.
  3. In the dialog, type the project ID, and then click Shut down to delete the project.

gcloud

    Delete a Google Cloud project:

    gcloud projects delete PROJECT_ID

Untuk informasi selengkapnya tentang cara menghapus resource lain, seperti cluster workstation, konfigurasi workstation, dan workstation, lihat Menghapus resource.

Langkah selanjutnya