Übersicht über Connector-Repositories

Artifact Registry-Connector-Repositories fungieren als Proxys für Upstream-Quellen. Alle Anfragen an das Repository werden an die Upstream-Quelle weitergeleitet und keine Artefakte werden in Artifact Registry im Cache gespeichert. Diese Konfiguration ermöglicht eine vollständige Prüfbarkeit von Upstream-Quellen und unterstützt Fälle, in denen Richtlinien von Drittanbietern das Caching von Artefakten verhindern.

In diesem Dokument wird beschrieben, wie Connector-Repositories funktionieren, und es werden mehrere Anwendungsfälle vorgestellt. Eine Anleitung zum Erstellen eines Connector-Repository finden Sie unter Connector-Repositories erstellen.

Unterstützte Connector-Formate

Artifact Registry unterstützt nur Connector-Repositories im Docker-Format.

Upstream-Authentifizierung

Für Artifact Registry-Connector-Repositories ist eine einfache Authentifizierung bei Upstream-Quellen erforderlich. Weitere Informationen zur Authentifizierung bei Upstream-Quellen von Connector-Repositories finden Sie unter Authentifizierung für Upstreams von Connector-Repositories konfigurieren.

Wenn Sie ein Artefakt aus einer Upstream-Quelle anfordern, die nicht vorhanden ist oder nicht die von Ihnen angegebene Version enthält, schlägt die Anfrage fehl.

Anwendungsfälle und Vorteile

Vollständige Prüfbarkeit von Upstreams
In Connector-Repositories werden keine Pakete in Artifact Registry im Cache gespeichert. Alle Repository-Anfragen werden direkt an Ihre Upstream-Quelle gesendet. Dieser Prozess ist hilfreich, wenn Ihre Repository-Konfiguration eine vollständige Prüfbarkeit von Upstream-Quellen erfordert oder wenn Sie Richtlinien von Drittanbietern einhalten müssen, die das Caching von Artefakten verhindern.
Sicherere Auflösung von Abhängigkeiten

Verwenden Sie Connector-Repositories zusammen mit virtuellen Repositories, um Risiken im Zusammenhang mit öffentlichen Abhängigkeiten zu minimieren. Bei einigen Tools lässt sich die Suchreihenfolge nicht steuern, wenn im Client eine Kombination aus privaten und öffentlichen Repositories konfiguriert ist. Diese Art der Konfiguration ist anfällig für einen Angriff durch Verwechslung von Abhängigkeiten. Dabei lädt ein Angreifer eine neue Version eines Pakets mit schädlichem Code in ein öffentliches Repository hoch, um Clients dazu zu bringen, die schädliche Version auszuwählen.

Anstatt Clients direkt so zu konfigurieren, dass sie mehrere Repositories durchsuchen, können Sie virtuelle Repositories so konfigurieren, dass Ihre privaten Repositories Vorrang vor Connector-Repositories haben.

Wenn sich Artifact Registry in einem VPC Service Controls-Dienstperimeter befindet, lehnt Artifact Registry standardmäßig den Zugriff auf Upstream-Quellen außerhalb des Perimeters ab. Sie können Connector-Repositories an einem bestimmten Standort erlauben, auf ihre konfigurierten externen Quellen außerhalb des Perimeters zuzugreifen. Eine Anleitung finden Sie unter VPC Service Controls-Konfiguration.

Weitere Best Practices für die Verwaltung von Abhängigkeiten finden Sie unter Verwaltung von Abhängigkeiten.

Aktualisierungen von Paketindizes und Metadaten

Veränderliche Dateien wie Paketindizes und Metadaten werden aus der Upstream-Quelle aktualisiert, wenn sie das Standardalter überschreiten. Die Standardwerte für bestimmte Dateitypen sind in der folgenden Tabelle aufgeführt:

Format Dateityp Standardalter für Aktualisierung
Docker Cache für Tags auflisten/abrufen 1 Stunde

Upstreams von Artifact Registry-Connector-Repositories

Sie können Docker Hub als Quelle für Ihr Connector-Repository verwenden oder eine benutzerdefinierte Repository-URL eingeben. Die folgende Tabelle enthält eine Teilliste einiger gängiger Upstream-Docker-URIs:

Format Upstream-URI Name der Registry
Docker https://MY_ARTIFACTORY_INSTANCE.jfrog.io/OPTIONAL_REPO JFrog Artifactory
Docker https://ghcr.io GitHub Container Registry
Docker https://registry-1.docker.io Docker Hub
Docker https://public.ecr.aws AWS ECR Public Gallery
Docker https://registry.k8s.io Kubernetes Container Registry
Docker https://MY_NEXUS_IP Nexus

Beschränkungen

Zusätzlich zu den Kontingenten und Beschränkungen von Artifact Registry gelten für Connector-Repositories die folgenden Beschränkungen:

  • Upstream-Quellen müssen über das Internet zugänglich sein. Connector-Repositories unterstützen keine lokalen oder VPC-Netzwerk-Upstream-Quellen ohne öffentliche IP-Adresse.

Andere Repository-Modi

Die anderen Repository-Modi sind:

  • Standard: Der Standard-Repository-Modus. Sie laden Artefakte wie private Pakete direkt in Standard-Repositories hoch oder veröffentlichen sie dort. Sie können zwar direkt aus einzelnen Standard-Repositories herunterladen, aber der Zugriff auf Repository-Gruppen mit einem virtuellen Repository vereinfacht die Toolkonfiguration.
  • Remote: Ein Repository, das als Proxy für eine Upstream- Quelle fungiert, indem es Pakete in Artifact Registry im Cache speichert, nachdem sie zum ersten Mal aus der Upstream-Quelle heruntergeladen wurden. Wenn Sie die gleiche Paketversion das nächste Mal anfordern, stellt Artifact Registry die im Cache gespeicherte Kopie bereit.
  • Virtuell: Ein Repository, das als einzelner Zugriffspunkt für mehrere Upstream-Repositories dient, einschließlich Connector- und Standard-Repositories.

Nächste Schritte