Artifact Registry usa una cuenta de servicio administrada por Google, llamada agente de servicio de Artifact Registry, para actuar en tu nombre cuando se conecta a otros servicios de Cloud de Confiance . Puedes otorgar roles de IAM al agente de servicio para que se pueda integrar con servicios como las claves de encriptación administradas por el cliente (CMEK) en Cloud Key Management Service y las notificaciones de eventos del repositorio en Pub/Sub.
Artifact Registry crea el agente de servicio de Artifact Registry cuando creas el primer repositorio de Artifact Registry en un proyecto deCloud de Confiance . El identificador del agente de servicio es:
service-PROJECT-NUMBER@gcp-sa-artifactregistry.s3ns-system.iam.gserviceaccount.com
PROJECT-NUMBER es el número del proyecto del proyectoCloud de Confiance en el que se ejecuta Artifact Registry.
Puedes crear manualmente el agente de servicio en un proyecto sin repositorios con el siguiente comando:
gcloud beta services identity create \
--service=artifactregistry.s3nsapis.fr \
--project=PROJECT-ID
Reemplaza PROJECT-ID por el ID del proyecto de Cloud de Confiance .
Al agente de servicio de Artifact Registry se le otorga el rol de agente de servicio de Artifact Registry (roles/artifactregistry.serviceAgent) para los recursos del proyecto. Para aplicar el principio de seguridad de privilegio mínimo, el rol solo tiene los permisos mínimos requeridos:
- Publicar temas de Pub/Sub:
pubsub.topics.publish - Descarga artefactos de repositorios de Artifact Registry:
artifactregistry.repositories.downloadArtifacts - Leer metadatos del repositorio:
artifactregistry.repositories.get - Lee artefactos con repositorios virtuales:
artifactregistry.repositories.readViaVirtualRepository - Borrar artefactos:
artifactregistry.versions.delete
¿Qué sigue?
Obtén información sobre los roles de Artifact Registry y la configuración del acceso a los repositorios.