Artifact Registry verwendet ein von Google verwaltetes Dienstkonto namens Artifact Registry Service Agent, um in Ihrem Namen eine Verbindung zu anderen Cloud de Confiance Diensten herzustellen. Sie können dem Dienst-Agent IAM-Rollen zuweisen, damit er in Dienste wie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) im Cloud Key Management Service und Repository-Ereignisbenachrichtigungen in Pub/Sub eingebunden werden kann.
Der Artifact Registry-Dienst-Agent wird von Artifact Registry erstellt, wenn Sie das erste Artifact Registry-Repository in einemCloud de Confiance -Projekt erstellen. Die Kennung des Dienst-Agents lautet:
service-PROJECT-NUMBER@gcp-sa-artifactregistry.s3ns-system.iam.gserviceaccount.com
PROJECT-NUMBER ist die Projektnummer desCloud de Confiance -Projekts, in dem Artifact Registry ausgeführt wird.
Sie können den Dienst-Agent in einem Projekt ohne Repositorys mit dem folgenden Befehl manuell erstellen:
gcloud beta services identity create \
--service=artifactregistry.s3nsapis.fr \
--project=PROJECT-ID
Ersetzen Sie PROJECT-ID durch die Cloud de Confiance Projekt-ID.
Dem Artifact Registry-Dienst-Agent wird die Rolle „Artifact Registry-Dienst-Agent“ (roles/artifactregistry.serviceAgent) für Ressourcen im Projekt zugewiesen. Um das Prinzip der geringsten Berechtigung zu erzwingen, hat die Rolle nur die minimal erforderlichen Berechtigungen:
- Pub/Sub-Themen veröffentlichen:
pubsub.topics.publish - Artefakte aus Artifact Registry-Repositories herunterladen:
artifactregistry.repositories.downloadArtifacts - Repository-Metadaten lesen:
artifactregistry.repositories.get - Artefakte mit virtuellen Repositories lesen:
artifactregistry.repositories.readViaVirtualRepository - Artefakte löschen:
artifactregistry.versions.delete
Nächste Schritte
Informationen zu Artifact Registry-Rollen und zum Konfigurieren des Zugriffs auf Repositories