Pub/Sub 通知の構成

Docker リポジトリへの変更に関する通知は、Pub/Sub から受信できます。通知は、OCI 形式でパッケージ化された Helm 3 グラフを含む、リポジトリに保存されているすべてのコンテナ イメージに適用されます。

Pub/Sub は、リポジトリに関するメッセージをトピックという名前付きリソースに公開します。Pub/Sub トピックをサブスクライブするアプリケーションは、これらのメッセージを受信し、リポジトリの状態が変更されたときに通知を受け取ります。

Artifact Registry では、次の変更に対するメッセージが公開されます。

• イメージのアップロード
• 新しいタグがイメージに追加された
• イメージの削除

また、通知を公開またはサブスクライブするためのロールと権限を構成することもできます。

概要

Artifact Registry は、gcr という名前のトピックにリポジトリの変更に関するメッセージをパブリッシュします。

通知を受け取るには次を行う必要があります。

1. Artifact Registry を使用して、プロジェクトで gcr という名前のトピックを作成します。
2. トピックのサブスクリプションを作成します。
3. リポジトリの変更に関するメッセージを受信するようにサブスクライバー アプリケーションを設定します
4. 必要に応じて、権限を構成してトピックとサブスクリプションへのアクセスを制御します。

Artifact Registry トピックの作成

Google Cloud 提供の 暗号鍵を使用して gcr トピックを作成するには:

    gcloud pubsub topics create gcr --project=PROJECT-ID

CMEK 暗号化を使用して gcr トピックを作成するには、Pub/Sub のトピックを暗号化する手順をご覧ください。

gcr トピックを作成した、またはこのトピックが存在することを確認したら、トピックに対するサブスクリプションを作成できます。

サブスクリプションの作成

リポジトリの変更に対してトピックを作成した後、push 配信または pull 配信のいずれかを使用するサブスクリプションを構成できます。CI/CD システムでは保存されたアーティファクトに多数の変更が発生する可能性があり、pull 配信は大量のメッセージに対してより効果的であるため、pull 配信をおすすめします。

pull 配信でサブスクリプションを作成するには、次のようにします。

gcloud pubsub subscriptions create SUBSCRIPTION-NAME --topic=gcr

gcr トピックへのサブスクリプションが作成されました。次のステップでは、リポジトリ内の変更をトリガーする ID の権限を構成します。

サブスクライバー アプリケーションの構成

トピックとそのトピックへのサブスクリプションを作成したら、サブスクライバー アプリケーション、リポジトリの変更に関するメッセージを受信アプリケーションを設定できます。サブスクライバー アプリケーションは、イベント通知、システム ロギング、アプリケーション間の通信などのタスクを遂行します。

リポジトリ ユーザーがイメージを push または削除するときに、次の手順を行います。

1. Artifact Registry サービス アカウントは、gcr トピックに変更をパブリッシュします。サービス アカウントは service-PROJECT-NUMBER@gcp-sa-artifactregistry.s3ns-system.iam.gserviceaccount.com です。ここで、PROJECT-NUMBER は Trusted Cloud のプロジェクト番号です。Artifact Registry サービス アカウントには、変更をトピックにパブリッシュできるように、デフォルトで pubsub.topics.publish 権限が付与されています。

   管理者が Artifact Registry サービス アカウントに対する pubsub.topics.publish 権限を取り消すと、Artifact Registry はリポジトリ ユーザーとしてメッセージを公開しようとします。この場合、メッセージを正常に公開するには、リポジトリ ユーザーのアカウントに pubsub.topics.publish 権限が必要です。

2. Pub/Sub は、トピックからサブスクリプションにメッセージを転送します。

3. サブスクライバー アプリケーションがメッセージをリクエストすると、サブスクリプションから新しいメッセージが pull されます。

   サブスクライバーに代わってメッセージを pull する ID には、サブスクリプションにアクセスするための権限が付与されている必要があります。Pub/Sub サブスクライバーのロールを使用して、この権限を付与できます。

pull 配信でサブスクリプションからメッセージを受信するようにサブスクライバーを設定することについて詳しくは、pull を使用してメッセージを受信するをご覧ください。

権限の構成

Pub/Sub 権限を使用して、トピックとサブスクリプションへのアクセスを制御できます。

Pub/Sub 権限、トピックとサブスクリプションへのアクセス権の付与について詳しくは、Pub/Sub のアクセス制御ドキュメントをご覧ください。

通知の例

Pub/Sub は、通知を JSON 形式の文字列として送信します。以下の例を確認して、Pub/Sub から Artifact Registry 通知を受信するときに期待される内容を学習してください。

イメージが Container Registry に push された際の通知ペイロードの例を次に示します。

{
  "action":"INSERT",
  "digest":"u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/hello-world@sha256:6ec128e26cd5..."
}

新しいイメージタグが Artifact Registry に push された際の通知ペイロードの例を次に示します。

{
  "action":"INSERT",
  "digest":"u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/hello-world@sha256:6ec128e26cd5...",
  "tag":"u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/hello-world:1.1"
}

メッセージは、digest または tag キーを使用して関連イメージを識別します。

Artifact Registry からイメージタグが削除された際の通知ペイロードの例を次に示します。

{
  "action":"DELETE",
  "tag":"u-france-east1-docker.s3nsregistry.fr/my-project/my-repo/hello-world:1.1"
}

メッセージには、action キーの値として DELETE または INSERT が含まれている場合があります。

次のステップ

• Pub/Sub のドキュメントを読む。
• Pub/Sub の詳細について Pub/Sub とはを確認する。
• Pub/Sub アクセス制御の役割の詳細を確認する。