Descripción general de los repositorios de conectores

Los repositorios de conectores de Artifact Registry actúan como proxies para las fuentes upstream. Todas las solicitudes al repositorio se envían a la fuente upstream a través de un proxy, y no se almacenan artefactos en caché en Artifact Registry. Esta configuración permite la auditabilidad completa de las fuentes upstream y admite casos en los que las políticas de terceros impiden el almacenamiento en caché de artefactos.

En este documento, se describe cómo funcionan los repositorios de conectores y se proporcionan varios casos de uso. Para obtener instrucciones sobre cómo crear un repositorio de conectores, consulta Crea repositorios de conectores.

Formatos de conectores compatibles

Artifact Registry solo admite repositorios de conectores con formato Docker.

Autenticación upstream

Los repositorios de conectores de Artifact Registry requieren autenticación básica para las fuentes upstream. Para obtener más información sobre cómo autenticarte en las fuentes upstream del repositorio de conectores, consulta Configura la autenticación en las fuentes upstream del repositorio de conectores.

Si solicitas un artefacto de una fuente upstream que no existe o que no contiene la versión que especificaste, la solicitud fallará.

Casos de uso y beneficios

Auditabilidad upstream completa
Los repositorios de conectores no almacenan en caché ningún paquete en Artifact Registry, por lo que todas las solicitudes de repositorios se realizan directamente a tu fuente upstream. Este proceso es útil si la configuración de tu repositorio requiere la auditabilidad completa de las fuentes upstream o si debes cumplir con las políticas de terceros que impiden el almacenamiento en caché de artefactos.
Resolución de dependencias más segura

Usa repositorios de conectores junto con repositorios virtuales para mitigar los riesgos asociados con las dependencias públicas. Algunas herramientas no proporcionan una forma de controlar el orden de búsqueda cuando se configura una combinación de repositorios privados y públicos en el cliente. Este tipo de configuración es vulnerable a un ataque de confusión de dependencias, en el que un atacante sube una versión nueva de un paquete con código incorrecto a un repositorio público para engañar a los clientes y que elijan la versión maliciosa.

En lugar de configurar clientes directamente para buscar en varios repositorios, puedes configurar repositorios virtuales para priorizar tus repositorios privados sobre los repositorios de conectores.

Si Artifact Registry se encuentra en un perímetro de servicio de los Controles del servicio de VPC, Artifact Registry deniega el acceso a las fuentes upstream fuera del perímetro de forma predeterminada. Puedes permitir que los repositorios de conectores en una ubicación específica accedan a sus fuentes externas configuradas fuera del perímetro. Para obtener instrucciones, consulta la configuración de los Controles del servicio de VPC.

Para obtener información sobre otras prácticas recomendadas de administración de dependencias, consulta Administración de dependencias.

Actualizaciones de los índices y metadatos de paquetes

Los archivos mutables, como los índices y los metadatos de paquetes, se actualizan desde la fuente upstream cuando superan la antigüedad predeterminada. Los valores predeterminados para tipos de archivos específicos se enumeran en la siguiente tabla:

Formato Tipo de archivo Antigüedad de actualización predeterminada
Docker Almacenamiento en caché de etiquetas de lista/obtención 1 hora

Fuentes upstream del repositorio de conectores de Artifact Registry

Puedes usar Docker Hub como fuente del repositorio de conectores o ingresar una URL de repositorio personalizada. En la siguiente tabla, se muestra una lista parcial de algunos URI de Docker upstream comunes:

Formato URI upstream Nombre del registro
Docker https://MY_ARTIFACTORY_INSTANCE.jfrog.io/OPTIONAL_REPO JFrog Artifactory
Docker https://ghcr.io GitHub Container Registry
Docker https://registry-1.docker.io Docker Hub
Docker https://public.ecr.aws AWS ECR Public Gallery
Docker https://registry.k8s.io Kubernetes Container Registry
Docker https://MY_NEXUS_IP Nexus

Limitaciones

Además de las cuotas y limitaciones de Artifact Registry, los repositorios de conectores tienen las siguientes limitaciones:

  • Las fuentes upstream deben ser accesibles a través de Internet. Los repositorios de conectores no admiten fuentes upstream locales ni de red de nube privada virtual (VPC) sin una dirección IP pública.

Otros modos de repositorio

Los otros modos de repositorio son los siguientes:

  • Estándar: Es el modo de repositorio predeterminado. Subes o publicas artefactos, como paquetes privados, directamente en repositorios estándar. Aunque puedes descargar directamente desde repositorios estándar individuales, acceder a grupos de repositorios con un repositorio virtual simplifica la configuración de la herramienta.
  • Remoto: Es un repositorio que actúa como proxy para una fuente upstream mediante el almacenamiento en caché de paquetes en Artifact Registry después de que se descargan de la fuente upstream por primera vez. Cuando vuelvas a solicitar la misma versión del paquete, Artifact Registry proporcionará la copia almacenada en caché.
  • Virtual: Es un repositorio que actúa como un solo punto de acceso para varios repositorios upstream, incluidos los repositorios de conectores y estándar.

¿Qué sigue?