Les dépôts de connecteurs Artifact Registry font office de proxys pour les sources en amont. Toutes les requêtes adressées au dépôt sont transmises par proxy à la source en amont, et aucun artefact n'est mis en cache dans Artifact Registry. Cette configuration permet une auditabilité complète des sources en amont et est compatible avec les cas où les règles tierces empêchent la mise en cache des artefacts.
Ce document explique le fonctionnement des dépôts de connecteurs et fournit plusieurs cas d'utilisation. Pour savoir comment créer un dépôt de connecteurs, consultez Créer des dépôts de connecteurs.
Formats de connecteurs compatibles
Artifact Registry n'est compatible qu'avec les dépôts de connecteurs au format Docker.
Authentification en amont
Les dépôts de connecteurs Artifact Registry nécessitent une authentification de base auprès des sources en amont. Pour en savoir plus sur l'authentification auprès des sources en amont des dépôts de connecteurs, consultez Configurer l'authentification auprès des sources en amont des dépôts de connecteurs.
Si vous demandez un artefact à une source en amont qui n'existe pas ou qui ne contient pas la version que vous avez spécifiée, la requête échouera.
Cas d'utilisation et avantages
- Auditabilité complète en amont
- Les dépôts de connecteurs ne mettent en cache aucun package dans Artifact Registry. Toutes les requêtes de dépôt sont donc adressées directement à votre source en amont. Ce processus est utile si la configuration de votre dépôt nécessite une auditabilité complète des sources en amont ou si vous devez respecter des règles tierces qui empêchent la mise en cache des artefacts.
- Résolution des dépendances plus sûre
Utilisez des dépôts de connecteurs avec des dépôts virtuels pour atténuer les risques associés aux dépendances publiques. Certains outils ne permettent pas de contrôler l'ordre de recherche lorsqu'un mélange de dépôts privés et publics est configuré dans le client. Ce type de configuration est vulnérable à une attaque de confusion de dépendances, dans laquelle un attaquant importe une nouvelle version d'un package avec du code malveillant dans un dépôt public pour inciter les clients à choisir la version malveillante.
Au lieu de configurer directement les clients pour qu'ils recherchent dans plusieurs dépôts, vous pouvez configurer des dépôts virtuels pour qu'ils donnent la priorité à vos dépôts privés plutôt qu'aux dépôts de connecteurs.
Si Artifact Registry se trouve dans un périmètre de service VPC Service Controls, il refuse par défaut l'accès aux sources en amont situées en dehors du périmètre. Vous pouvez autoriser les dépôts de connecteurs dans un emplacement spécifique à accéder à leurs sources externes configurées en dehors du périmètre. Pour obtenir des instructions, consultez Configuration de VPC Service Controls.
Pour en savoir plus sur les autres bonnes pratiques de gestion des dépendances, consultez Gestion des dépendances.
Mises à jour des index et des métadonnées de packages
Les fichiers modifiables tels que les index et les métadonnées de packages sont mis à jour à partir de la source en amont lorsqu'ils dépassent l'âge par défaut. Les valeurs par défaut pour des types de fichiers spécifiques sont répertoriées dans le tableau suivant :
| Format | Type de fichier | Âge de mise à jour par défaut |
|---|---|---|
| Docker | Cache de tags List/Get | 1 heure |
Sources en amont des dépôts de connecteurs Artifact Registry
Vous pouvez utiliser Docker Hub comme source de votre dépôt de connecteurs ou saisir une URL de dépôt personnalisée. Le tableau suivant présente une liste partielle de quelques URI Docker en amont courants :
| Format | URI en amont | Nom du registre |
|---|---|---|
| Docker | https://MY_ARTIFACTORY_INSTANCE.jfrog.io/OPTIONAL_REPO |
JFrog Artifactory |
| Docker | https://ghcr.io |
GitHub Container Registry |
| Docker | https://registry-1.docker.io |
Docker Hub |
| Docker | https://public.ecr.aws |
AWS ECR Public Gallery |
| Docker | https://registry.k8s.io |
Kubernetes Container Registry |
| Docker | https://MY_NEXUS_IP |
Nexus |
Limites
Outre les quotas et limites d'Artifact Registry, les dépôts de connecteurs sont soumis aux limites suivantes :
- Les sources en amont doivent être accessibles sur Internet. Les dépôts de connecteurs ne sont pas compatibles avec les sources en amont sur site ou de réseau de cloud privé virtuel (VPC) sans adresse IP publique.
Autres modes de dépôt
Les autres modes de dépôt sont les suivants :
- Standard : mode de dépôt par défaut. Vous importez ou publiez des artefacts tels que des packages privés directement dans des dépôts standards. Bien que vous puissiez télécharger directement à partir de dépôts standards individuels, l'accès à des groupes de dépôts avec un dépôt virtuel simplifie la configuration des outils.
- Distant : dépôt qui fait office de proxy pour une source en amont en mettant en cache les packages dans Artifact Registry après leur premier téléchargement à partir de la source en amont. Lorsque vous demandez ensuite la même version de package, Artifact Registry fournit la copie mise en cache.
- Virtuel : dépôt qui fait office de point d'accès unique pour plusieurs dépôts en amont, y compris les dépôts de connecteurs et standards.
Étape suivante
- Créer des dépôts de connecteurs.
- Pour en savoir plus sur les dépôts Artifact Registry, consultez la Présentation des dépôts.