Os repositórios de conectores do Artifact Registry atuam como proxies para origens upstream. Todas as solicitações ao repositório são enviadas por proxy para a origem upstream, e nenhum artefato é armazenado em cache no Artifact Registry. Essa configuração permite a capacidade de auditoria completa das origens upstream e oferece suporte a casos em que políticas de terceiros impedem o armazenamento em cache de artefatos.
Este documento descreve como os repositórios de conectores funcionam e oferece vários casos de uso. Para instruções sobre como criar um repositório de conectores, consulte Criar repositórios de conectores.
Formatos de conectores compatíveis
O Artifact Registry oferece suporte apenas a repositórios de conectores no formato Docker.
Autenticação upstream
Os repositórios de conectores do Artifact Registry exigem autenticação básica para origens upstream. Para mais informações sobre como autenticar origens upstream de repositórios de conectores, consulte Configurar a autenticação para origens upstream de repositórios de conectores.
Se você solicitar um artefato de uma origem upstream que não existe ou não contém a versão especificada, a solicitação vai falhar.
Casos de uso e benefícios
- Capacidade de auditoria upstream completa
- Os repositórios de conectores não armazenam em cache nenhum pacote no Artifact Registry. Portanto, todas as solicitações de repositório são feitas diretamente para a origem upstream. Esse processo é útil se a configuração do repositório exigir capacidade de auditoria completa das origens upstream ou se você precisar obedecer a políticas de terceiros que impedem o armazenamento em cache de artefatos.
- Resolução de dependências mais segura
Use repositórios de conectores com repositórios virtuais para reduzir os riscos associados a dependências públicas. Algumas ferramentas não oferecem uma maneira de controlar a ordem de pesquisa quando uma combinação de repositórios particulares e públicos é configurada no cliente. Esse tipo de configuração é vulnerável a um ataque de confusão de dependência, em que um invasor faz o upload de uma nova versão de um pacote com código ruim para um repositório público para enganar os clientes e fazer com que eles escolham a versão maliciosa.
Em vez de configurar clientes diretamente para pesquisar vários repositórios, você pode configurar repositórios virtuais para priorizar seus repositórios particulares em relação aos repositórios de conectores.
Se o Artifact Registry estiver em um perímetro de serviço do VPC Service Controls, ele vai negar o acesso a origens upstream fora do perímetro por padrão. É possível permitir que repositórios de conectores em um local específico acessem as origens externas configuradas fora do perímetro. Para instruções, consulte Configuração do VPC Service Controls.
Para saber mais sobre outras práticas recomendadas de gerenciamento de dependências, consulte Gerenciamento de dependências.
Atualizações de índices e metadados de pacotes
Arquivos mutáveis, como índices e metadados de pacotes, são atualizados da origem upstream quando ficam mais antigos do que a idade padrão. Os padrões para tipos de arquivo específicos estão listados na tabela a seguir:
| Formato | Tipo de arquivo | Idade de atualização padrão |
|---|---|---|
| Docker | Cache de tags de lista/recebimento | 1 hora |
Origens upstream de repositórios de conectores do Artifact Registry
É possível usar o Docker Hub como origem do repositório de conectores ou inserir um URL de repositório personalizado. A tabela a seguir mostra uma lista parcial de alguns URIs comuns do Docker upstream:
| Formato | URI upstream | Nome do registro |
|---|---|---|
| Docker | https://MY_ARTIFACTORY_INSTANCE.jfrog.io/OPTIONAL_REPO |
JFrog Artifactory |
| Docker | https://ghcr.io |
GitHub Container Registry |
| Docker | https://registry-1.docker.io |
Docker Hub |
| Docker | https://public.ecr.aws |
AWS ECR Public Gallery |
| Docker | https://registry.k8s.io |
Kubernetes Container Registry |
| Docker | https://MY_NEXUS_IP |
Nexus |
Limitações
Além das cotas e limitações do Artifact Registry, os repositórios de conectores têm as seguintes limitações:
- As origens upstream precisam ser acessíveis pela Internet. Os repositórios de conectores não oferecem suporte a origens upstream de redes locais ou de nuvem privada virtual (VPC) sem um endereço IP público.
Outros modos de repositório
Os outros modos de repositório são os seguintes:
- Padrão: o modo de repositório padrão. Você faz o upload ou publica artefatos, como pacotes particulares, diretamente em repositórios padrão. Embora seja possível fazer o download diretamente de repositórios padrão individuais, o acesso a grupos de repositórios com um repositório virtual simplifica a configuração da ferramenta.
- Remoto: um repositório que atua como um proxy para uma origem upstream , armazenando pacotes em cache no Artifact Registry depois que eles são baixados da origem upstream pela primeira vez. Quando você solicitar a mesma versão do pacote novamente, o Artifact Registry vai fornecer a cópia armazenada em cache.
- Virtual: um repositório que atua como um único ponto de acesso para vários repositórios upstream, incluindo repositórios de conectores e padrão.
A seguir
- Criar repositórios de conectores.
- Saiba mais sobre os repositórios do Artifact Registry lendo a Visão geral do repositório.