Créer des dépôts virtuels

Cette page explique comment créer des dépôts virtuels Artifact Registry.

Les dépôts virtuels servent de point d'accès unique pour télécharger, installer ou déployer des artefacts du même format à partir d'un ou de plusieurs dépôts en amont. Un dépôt en amont peut être un dépôt Artifact Registry standard ou distant.

Les autres modes de dépôt sont les suivants:

• Standard: mode de dépôt par défaut. Vous importez ou publiez des artefacts tels que des packages privés directement dans des dépôts standards. Bien que vous puissiez effectuer des téléchargements directement à partir de dépôts standards individuels, accéder à des groupes de dépôts via un dépôt virtuel simplifie la configuration des outils.
• Remote (dépôts de packages de langage uniquement): cache d'extraction pour les artefacts dans des dépôts publics tels que Maven Central ou PyPI. Il agit comme un proxy pour les dépôts publics, ce qui vous permet de mieux contrôler vos dépendances externes.

Pour en savoir plus sur le fonctionnement des dépôts virtuels, consultez la page Présentation des dépôts virtuels.

Avant de commencer

Activez Artifact Registry, y compris en activant l'API Artifact Registry et en installant la dernière version de la Google Cloud CLI.

Rôles requis

Pour obtenir les autorisations nécessaires pour gérer les dépôts, demandez à votre administrateur de vous attribuer les rôles IAM suivants:

• Créez des dépôts virtuels et accordez l'accès à des dépôts individuels : Administrateur de dépôts Artifact Registry (roles/artifactregistry.repoAdmin) sur le projet Google Cloud
• Accordez l'accès aux dépôts au niveau du projet : Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin) sur le projet Google Cloud
• Accordez l'accès aux dépôts au niveau du dossier : Administrateur du dossier (roles/resourcemanager.folderAdmin) sur le dossier
• Accordez l'accès aux dépôts au niveau de l'organisation : Administrateur de l'organisation (roles/resourcemanager.organizationAdmin) sur l'organisation Google Cloud

Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Vous pouvez également obtenir les autorisations requises via des rôles personnalisés ou d'autres rôles prédéfinis.

Si les dépôts en amont se trouvent dans d'autres projets, un administrateur des projets comportant des dépôts en amont doit disposer des autorisations nécessaires pour gérer l'accès à ces dépôts.

Créer des dépôts en amont

Avant de configurer un dépôt virtuel, créez les dépôts en amont que vous souhaitez rendre disponibles avec le dépôt virtuel.

1. Créez les dépôts en amont dans la même région Google Cloud que celle où vous prévoyez de créer le dépôt virtuel.

   • Créer un dépôt standard
   • Créer un dépôt distant

2. Les dépôts virtuels utilisent l'agent de service Artifact Registry pour s'authentifier auprès des dépôts en amont. Vous devez accorder à l'agent de service un accès en lecture aux dépôts en amont.

   Vous pouvez attribuer le rôle Lecteur Artifact Registry à l'agent de service Artifact Registry au niveau du projet pour ne pas avoir à accorder l'accès aux dépôts individuels en amont.

   Dans chaque projet comportant des dépôts en amont, exécutez la commande suivante:

   gcloud projects add-iam-policy-binding UPSTREAM_PROJECT_ID \
       --member serviceAccount:service-VIRTUAL-REPO-PROJECT_NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com \
       --role roles/artifactregistry.reader
   

   Où

   • UPSTREAM_PROJECT_ID est l'ID du projet Google Cloud avec le dépôt en amont.
   • VIRTUAL_REPO_PROJECT_NUMBER est le numéro de projet du projet Google Cloud pour votre dépôt virtuel.

   Si vous souhaitez attribuer un rôle au champ d'application plus restreint à l'agent de service, ajoutez l'autorisation artifactregistry.repositories.readViaVirtualRepository à un rôle personnalisé, puis attribuez ce rôle à l'agent de service.

   Pour en savoir plus sur l'attribution d'autorisations, consultez la documentation sur le contrôle des accès.

Créer un dépôt virtuel

Lorsque vous créez un dépôt, vous devez configurer les paramètres suivants, qui ne peuvent pas être modifiés après la création du dépôt:

• Format de l'artefact.
• Mode du dépôt, si plusieurs modes sont disponibles pour le format sélectionné.
• Emplacement du dépôt.
• Chiffrement avec des clés appartenant à Google et gérées par Google, ou des clés de chiffrement gérées par le client. Artifact Registry utilise par défaut des clés appartenant à Google et gérées par Google.

Artifact Registry applique des contraintes liées aux règles d'administration qui nécessitent une clé CMEK pour chiffrer les ressources ou limiter les clés Cloud KMS pouvant être utilisées pour la protection CMEK.

Créer un dépôt virtuel à l'aide de la console Google Cloud

1. Ouvrez la page Dépôts de la console Google Cloud.

   Ouvrir la page "Dépôts"

2. Cliquez sur Créer un dépôt.

3. Spécifiez le nom du dépôt. Pour chaque emplacement de dépôt d'un projet, les noms de dépôt doivent être uniques.

4. Sélectionnez le format du dépôt.

5. Sous Mode Dépôt, sélectionnez Virtuel.

6. Sous Dépôt virtuel en amont, cliquez sur Ajouter en amont pour ajouter un dépôt en amont.

   • Un dépôt en amont peut être un dépôt standard, distant ou virtuel.
   • Un dépôt en amont doit se trouver au même emplacement que le dépôt virtuel, mais il peut se trouver dans un autre projet Google Cloud.
   • Un dépôt en amont doit avoir le même format d'artefact que le dépôt virtuel.

   Spécifiez une priorité et un nom de règle pour chaque dépôt en amont. Les valeurs de priorité supérieure prévalent sur les valeurs inférieures. Laissez de l'espace entre les valeurs de priorité afin de pouvoir ajouter des dépôts en amont avec des priorités comprises entre les valeurs existantes.

7. Sous Type d'emplacement, sélectionnez l'emplacement du dépôt :

   1. Choisissez le type d'emplacement : régional ou multirégional. La liste des emplacements change pour refléter votre sélection.

   2. Dans la liste Région ou Multirégional, sélectionnez un emplacement.

   Pour en savoir plus sur les types d'emplacements et les emplacements compatibles, consultez la page Emplacements des dépôts.

8. Ajoutez une description pour le dépôt. Les descriptions aident à identifier l'objectif du dépôt et le type d'artefacts qu'il contient.

   N'incluez pas de données sensibles, car les descriptions de dépôts ne sont pas chiffrées.

9. Si vous souhaitez utiliser des libellés pour organiser vos dépôts, cliquez sur Ajouter une étiquette, puis saisissez la paire clé-valeur du libellé. Vous pouvez ajouter, modifier ou supprimer des libellés après avoir créé le dépôt.

10. Dans la section Chiffrement, choisissez le mécanisme de chiffrement du dépôt.

    • Clé gérée par Google : chiffrez le contenu du dépôt à l'aide d'une clé appartenant à Google et gérée par Google.
    • Clé gérée par le client : chiffre le contenu du dépôt à l'aide d'une clé que vous contrôlez via Cloud Key Management Service. Pour obtenir des instructions sur la configuration de la clé, consultez la page Configurer des CMEK pour les dépôts.

11. Cliquez sur Créer.

Artifact Registry crée le dépôt et l'ajoute à la liste des dépôts.

Une fois le dépôt créé:

• Accordez l'accès au dépôt.

• Configurer Docker, les gestionnaires de packages et d'autres clients tiers pour qu'ils s'authentifient auprès des dépôts.

  • Images de conteneurs: Docker, Helm
  • Packages de langage: Java, Node.js, Python, Go
  • Autre: modèles de pipeline Kubeflow

Créer un dépôt virtuel à l'aide de gcloud CLI

Pour créer un dépôt virtuel, vous devez définir vos dépôts en amont dans un fichier de stratégie, puis créer le dépôt à l'aide de ce fichier.

1. Créez un fichier de règle en amont au format JSON avec les paramètres suivants:

   [{
   "id" : "POLICY_ID",
   "repository" : "UPSTREAM_REPOSITORY_RESOURCE_NAME",
   "priority" : PRIORITY
   }, {...}]
   

   • POLICY_ID est le nom de la règle. Chaque dépôt en amont de la règle doit avoir un ID de règle unique.

   • UPSTREAM_REPO_RESOURCE_NAME est le nom du dépôt en amont au format suivant:

     projects/PROJECT_ID/locations/LOCATION/repositories/REPOSITORY
     

     • Un dépôt en amont peut être un dépôt standard, distant ou virtuel.
     • Un dépôt en amont doit se trouver au même emplacement que le dépôt virtuel, mais il peut se trouver dans un autre projet Google Cloud.
     • Un dépôt en amont doit avoir le même format d'artefact que le dépôt virtuel.

   • PRIORITY est un entier qui indique la priorité du dépôt en amont. Les valeurs de priorité supérieure prévalent sur les valeurs inférieures.

   L'exemple suivant montre un fichier de stratégie nommé policies.json avec quatre dépôts en amont. upstream1 ayant la valeur la plus élevée pour priority, Artifact Registry la recherche en premier. upstream-test ayant la valeur priority la plus faible, Artifact Registry la recherche en dernier. upstream2 et upstream3 ont la même priorité. Si Artifact Registry trouve un package demandé dans des dépôts de même priorité, il peut le diffuser à partir de l'un ou l'autre des dépôts.

   [{
   "id" : "upstream1",
   "repository" : "projects/myproject/locations/us-west1/repositories/python-repo1",
   "priority" : 100
   }, {
   "id" : "upstream2",
   "repository" : "projects/myproject/locations/us-west1/repositories/python-repo2",
   "priority" : 80
   }, {
   "id" : "upstream3",
   "repository" : "projects/myproject/locations/us-west1/repositories/python-repo2",
   "priority" : 80
   }, {
   "id" : "upstream-test",
   "repository" : "projects/myproject/locations/us-west1/repositories/python-test-repo",
   "priority" : 20
   }]
   

   Cet exemple laisse également un espace entre les valeurs de priorité. Ces écarts permettent d'ajouter des dépôts en amont dont les priorités sont comprises entre les valeurs existantes. Par exemple, vous pouvez ajouter un dépôt upstream-3 avec une priorité de 70 afin qu'Artifact Registry le recherche avant upstream-test.

   Envisagez de stocker votre fichier de règle en amont dans votre système de contrôle des sources afin de pouvoir le réutiliser ultérieurement pour modifier les paramètres du dépôt en amont et suivre l'historique des modifications.

2. Dans le répertoire contenant votre fichier de règle en amont, exécutez la commande suivante pour créer le dépôt virtuel:

   gcloud artifacts repositories create VIRTUAL-REPOSITORY-NAME \
       --project=PROJECT_ID \
       --repository-format=FORMAT \
       --mode=virtual-repository \
       --location=LOCATION \
       --description="DESCRIPTION" \
       --upstream-policy-file=UPSTREAM_POLICY_FILE
   

   Remplacez les éléments suivants :

   • VIRTUAL-REPOSITORY-NAME est le nom du dépôt virtuel.
   • PROJECT_ID est l'ID du projet dans lequel vous créez le dépôt virtuel. Si cette option est ignorée, le projet en cours ou par défaut est utilisé.
   • FORMAT est le format du dépôt. Les valeurs suivantes sont disponibles :
     • apt (aperçu privé)
     • docker
     • maven
     • npm
     • python
     • yum (aperçu privé)

   • LOCATION est l'emplacement régional ou multirégional du dépôt. Vous pouvez ignorer cette option si vous définissez une valeur par défaut. Pour afficher la liste des emplacements acceptés, exécutez la commande suivante :

     gcloud artifacts locations list
     

   • DESCRIPTION est une description facultative du dépôt. N'incluez pas de données sensibles, car les descriptions de dépôts ne sont pas chiffrées.

   • UPSTREAM_POLICY_FILE est un chemin d'accès au fichier de règle en amont.

   Par exemple, la commande suivante crée un dépôt virtuel nommé virtual-repo pour les packages Python situés dans la région us-west1 avec les paramètres définis dans policies.json.

   gcloud artifacts repositories create virtual-repo \
   --repository-format=python \
   --mode=virtual-repository \
   --location=us-west1 \
   --description="Python virtual repository" \
   --upstream-policy-file=policies.json
   

Artifact Registry crée le dépôt virtuel.

Créer un dépôt virtuel à l'aide de Terraform

Utilisez la ressource google_artifact_registry_repository pour créer des dépôts. La version 5.0.0 ou ultérieure de terraform-provider-google est requise.

Si vous débutez avec Terraform pour Google Cloud, consultez la page Get Started - Google Cloud (Premiers pas - Google Cloud) sur le site Web de HashiCorp.

L'exemple suivant définit le fournisseur, un dépôt virtuel avec le nom de ressource Terraform my-repo et un dépôt en amont portant le nom de ressource Terraform my-repo-upstream.

provider "google" {
    project = "PROJECT-ID"
}
resource "google_artifact_registry_repository" "my-repo-upstream" {
  location      = "UPSTREAM_LOCATION"
  repository_id = "UPSTREAM_REPOSITORY_ID"
  description   = "UPSTREAM_REPOSITORY_DESCRIPTION"
  format        = "docker"
}

resource "google_artifact_registry_repository" "my-repo" {
  depends_on    = []
  location      = "LOCATION"
  repository_id = "REPOSITORY_ID"
  description   = "VIRTUAL_REPOSITORY_DESCRIPTION"
  format        = "docker"
  kms_key_name = "KEY"
  mode          = "VIRTUAL_REPOSITORY"
  virtual_repository_config {
    upstream_policies {
      id          = "UPSTREAM_REPOSITORY_ID"
      repository  = google_artifact_registry_repository.my-repo-upstream.id
      priority    = PRIORITY
    }
  }
}

provider "google" {
    project = "PROJECT-ID"
}
resource "google_artifact_registry_repository" "my-repo-upstream" {
  location      = "UPSTREAM_LOCATION"
  repository_id = "UPSTREAM_REPOSITORY_ID"
  description   = "UPSTREAM_REPOSITORY_DESCRIPTION"
  format        = "maven"
}

resource "google_artifact_registry_repository" "my-repo" {
  depends_on    = []
  location      = "LOCATION"
  repository_id = "REPOSITORY_ID"
  description   = "VIRTUAL_REPOSITORY_DESCRIPTION"
  format        = "maven"
  kms_key_name = "KEY"
  mode          = "VIRTUAL_REPOSITORY"
  virtual_repository_config {
    upstream_policies {
      id          = "UPSTREAM_REPOSITORY_ID"
      repository  = google_artifact_registry_repository.my-repo-upstream.id
      priority    = PRIORITY
    }
  }
}

provider "google" {
project = "my-project"
}

resource "google_artifact_registry_repository" "my-repo" {
provider = google-beta

location = "us-central1"
repository_id = "my-repo"
description = "Maven repository"
format = "MAVEN"
maven_config {
  version_policy = "RELEASE"
}
}

provider "google" {
    project = "PROJECT-ID"
}
resource "google_artifact_registry_repository" "my-repo-upstream" {
  location      = "UPSTREAM_LOCATION"
  repository_id = "UPSTREAM_REPOSITORY_ID"
  description   = "UPSTREAM_REPOSITORY_DESCRIPTION"
  format        = "npm"
}

resource "google_artifact_registry_repository" "my-repo" {
  depends_on    = []
  location      = "LOCATION"
  repository_id = "REPOSITORY_ID"
  description   = "VIRTUAL_REPOSITORY_DESCRIPTION"
  format        = "npm"
  kms_key_name = "KEY"
  mode          = "VIRTUAL_REPOSITORY"
  virtual_repository_config {
    upstream_policies {
      id          = "UPSTREAM_REPOSITORY_ID"
      repository  = google_artifact_registry_repository.my-repo-upstream.id
      priority    = PRIORITY
    }
  }
}

provider "google" {
    project = "PROJECT-ID"
}
resource "google_artifact_registry_repository" "my-repo-upstream" {
  location      = "UPSTREAM_LOCATION"
  repository_id = "UPSTREAM_REPOSITORY_ID"
  description   = "UPSTREAM_REPOSITORY_DESCRIPTION"
  format        = "python"
}

resource "google_artifact_registry_repository" "my-repo" {
  depends_on    = []
  location      = "LOCATION"
  repository_id = "REPOSITORY_ID"
  description   = "VIRTUAL_REPOSITORY_DESCRIPTION"
  format        = "python"
  kms_key_name = "KEY"
  mode          = "VIRTUAL_REPOSITORY"
  virtual_repository_config {
    upstream_policies {
      id          = "UPSTREAM_REPOSITORY_ID"
      repository  = google_artifact_registry_repository.my-repo-upstream.id
      priority    = PRIORITY
    }
  }
}

Artifact Registry crée votre dépôt. Exécutez la commande suivante pour afficher une description du dépôt:

gcloud artifacts repositories describe REPOSITORY \
    --location=LOCATION

Une fois le dépôt créé:

• Accordez l'accès au dépôt.

• Configurer Docker, les gestionnaires de packages et d'autres clients tiers pour qu'ils s'authentifient auprès des dépôts.

  • Images de conteneur: Docker, Helm
  • Packages de langages : Java, Node.js, Python, Go
  • Packages du système d'exploitation: Debian, RPM
  • Autre: modèles de pipeline Kubeflow

Mettre à jour les dépôts en amont

Vous pouvez modifier la liste des dépôts en amont ou ajuster la priorité des dépôts en amont.

Modifier les descriptions du dépôt

Vous pouvez modifier la description du dépôt depuis la console Google Cloud ou la gcloud CLI.

gcloud artifacts repositories update REPOSITORY \
    --project=PROJECT \
    --location=LOCATION \
    --description="DESCRIPTION"