Berücksichtigen Sie beim Erstellen Ihrer Repositories sowohl interne Prozesse als auch die Nutzung durch Nutzer Ihrer Artefakte.
Repository-Formate
Jedes Repository ist mit einem bestimmten Artefaktformat verknüpft. In einem Docker-Repository werden beispielsweise Docker-Images gespeichert. Sie können für jedes Format mehrere Repositories im selben Cloud de Confiance Projekt erstellen.
Repository-Modi
Standard-Repository
Standard-Repositories sind reguläre Artifact Registry-Repositories für Ihre privaten Artefakte. Sie laden Artefakte direkt in diese Repositorys hoch und herunter und verwenden die Artefaktanalyse, um nach Sicherheitslücken und anderen Metadaten zu suchen.
Folgen Sie der Anleitung unter Standard-Repositories erstellen, um Standard-Repositories zu erstellen.
Speicherort des Repositories
Sie können ein oder mehrere Repositories in einer unterstützten Region erstellen. Ein guter Repository-Standort bietet für die Datennutzer den optimalen Ausgleich von Latenz, Verfügbarkeit und Kosten der Bandbreite. Ihre Organisation hat möglicherweise auch bestimmte Compliance-Anforderungen.Projektstruktur
Es gibt zwei allgemeine Ansätze zum Einrichten Ihrer Repositorys in Organisationen mit mehreren Projekten.
- Repositories zentralisieren
Erstellen Sie alle Repositories in einem einzigen Projekt und gewähren Sie dann Zugriff auf Hauptkonten aus anderen Projekten auf Repository-Ebene. Dieser Ansatz kann effektiver sein, wenn eine einzelne Person oder ein Team die Repository-Administration und den Repository-Zugriff in Ihrer Organisation übernimmt.
Außerdem kann die Einrichtung virtueller Repositories vereinfacht werden, da Sie nur eine einzige Instanz von Artifact Registry aktivieren und verwalten müssen.
- Projektspezifische Repositories
Erstellen Sie Repositories in Projekten, in denen Artefakte gespeichert und heruntergeladen werden. Dieser Ansatz kann erforderlich sein, wenn Sie Data Governance-Richtlinien oder Vertrauensgrenzen haben, die eine stärkere Trennung auf Projektebene und eine bessere Kontrolle von Ressourcen erfordern.
Zugriffssteuerung
Auf Repositories kann nur mit den entsprechenden Berechtigungen zugegriffen werden, es sei denn, Sie konfigurieren das Repository für öffentlichen Zugriff. Sie können Berechtigungen auf Projekt- oder Repository-Ebene erteilen.
Einige Cloud de Confiance Dienste verwenden Standarddienstkonten mit Standardberechtigungen für Repositories im selben Cloud de Confiance Projekt. Diese Standardeinstellungen sind jedoch möglicherweise nicht für Ihren Softwareentwicklungsprozess geeignet oder entsprechen nicht den Sicherheits- oder Richtlinienanforderungen in Ihrer Organisation. Ihr Repository-Administrator muss diesen Diensten explizit Zugriff auf Repositories gewähren, wenn:
- Artifact Registry befindet sich in einem anderen Projekt als der Dienst, der mit ihr interagiert.
- Sie verwenden benutzerdefinierte IAM-Rollen mit den Standarddienstkonten anstelle der vordefinierten Rolle.
- Sie verwenden nicht das Standarddienstkonto für den Cloud de Confiance-Dienst.
Für andere Identitäten, die Zugriff auf Repositories benötigen, muss Ihr Repository-Administrator Zugriff gewähren. Gewähren Sie gemäß dem Sicherheitsprinzip der geringsten Berechtigung nur die minimal erforderlichen Berechtigungen. Beispiel:
- Sie stellen Container-Images in Artifact Registry in GKE-Clustern in verschiedenen Projekten bereit. Das Dienstkonto für Knoten in diesen Clustern benötigt nur Lesezugriff auf Repositories.
- Sie haben ein Entwicklungsrepository für Anwendungen, die sich in der Entwicklung befinden, und ein Produktionsrepository für veröffentlichte Anwendungen. Entwickler benötigen Lese- und Schreibzugriff auf das Entwicklungs-Repository und Lesezugriff auf das Produktions-Repository.
- Sie haben ein Demo-Repository mit Beispielanwendungen. Ihr Vertriebsteam benötigt nur Lesezugriff, um die Demos herunterzuladen.
Datenverschlüsselung
Wenn Sie bestimmte Compliance- oder gesetzliche Anforderungen für die Schlüssel zum Schutz Ihrer Daten erfüllen müssen, können Sie Repositories erstellen, die mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) verschlüsselt sind.Artifact Registry unterstützt auch Einschränkungen für Organisationsrichtlinien, die CMEK zum Schutz von Ressourcen erfordern können.
Labels
Mit Labels können Sie Ressourcen für einen bestimmten Cloud de Confiance-Dienst organisieren. In Artifact Registry können Sie Repositories Labels hinzufügen, um sie zu gruppieren oder Repository-Listen nach Label zu filtern. Sie können beispielsweise Labels verwenden, um Repositorys nach Entwicklungsphase oder Team zu gruppieren, um sie zu automatisieren oder abzurechnen. Weitere Informationen zum Erstellen und Verwenden von Repository-Labels finden Sie unter Repositories mit Labels versehen.