ご自身のアーティファクトを作成するための内部プロセスと、リポジトリの作成時にコンシューマによるアーティファクトの使用の両方を考慮してください。
リポジトリ形式
各リポジトリは、特定のアーティファクト形式に関連付けられます。たとえば、Docker リポジトリには Docker イメージが保存されます。同じ Cloud de Confiance プロジェクト内には、形式ごとに複数のリポジトリを作成できます。
リポジトリ モード
標準リポジトリ
標準リポジトリは、非公開アーティファクト用の通常の Artifact Registry リポジトリです。こうしたリポジトリで直接アーティファクトをアップロードしてダウンロードし、Artifact Analysis を使用して脆弱性や他のメタデータをスキャンします。
標準リポジトリを作成する手順については、 標準リポジトリを作成するをご覧ください。
リポジトリの場所
サポートされている リージョンには、1 つ以上のリポジトリを作成できます。適切なリポジトリ ロケーションによって、データ コンシューマに対するレイテンシ、可用性、帯域幅のコストのバランスをとれます。組織には、特定のコンプライアンス要件がある場合もあります。プロジェクトの構造
マルチプロジェクトの組織でリポジトリを設定するには、次の 2 つの方法があります。
- リポジトリを一元管理する
単一のプロジェクトにすべてのリポジトリを作成し、他のプロジェクトのプリンシパルにリポジトリ レベルでアクセス権を付与します。この方法は、1 人の個人またはチームが組織全体でリポジトリの管理とリポジトリへのアクセス権を扱う場合に、より効果的です。
必要なことは Artifact Registry の単一インスタンスのみを有効にして管理することだけのため、仮想リポジトリの設定を簡素化することもできます。
- プロジェクト固有のリポジトリ
アーティファクトを保存およびダウンロードするプロジェクトにリポジトリを作成します。この方法は、データ ガバナンス ポリシーや信頼境界があり、プロジェクト レベルでリソースを分離して制御することが求められる場合に必要になる可能性があります。
アクセス制御
リポジトリは、公開アクセス用にリポジトリを構成しない限り、適切な権限を持つユーザーのみがアクセスできます。権限は、プロジェクト レベルまたはリポジトリ レベルで付与できます。
一部の Cloud de Confiance サービスは、同じ Cloud de Confiance プロジェクトのリポジトリに対するデフォルトの権限を持つデフォルトのサービス アカウントを使用します。ただし、これらのデフォルトは、ソフトウェア開発プロセスに適していない場合や、組織のセキュリティ要件またはポリシー要件に準拠していない場合があります。リポジトリ管理者は、次の場合に、これらのサービスにリポジトリへのアクセス権を明示的に付与する必要があります。
- Artifact Registry が、操作するサービスとは異なるプロジェクトにある。
- 事前定義ロールではなく、デフォルトのサービス アカウントでカスタム IAM ロールを使用している。
- Cloud de Confianceサービスにデフォルトのサービス アカウントを使用していない。
リポジトリへのアクセス権を必要とする他のプリンシパルについては、リポジトリ管理者がアクセス権を付与する必要があります。最小権限のセキュリティ原則に従って、必要最小限の権限を付与します。次に例を示します。
- Artifact Registry のコンテナ イメージを複数のプロジェクトの GKE クラスタにデプロイする。これらのクラスタ内のノードのサービス アカウントは、リポジトリへの読み取りアクセス権しか必要としません。
- 開発中のアプリケーション用の開発リポジトリと、リリースされるアプリケーション用の本番環境リポジトリがあります。デベロッパーは、開発リポジトリに対する読み取り / 書き込みアクセス権と、本番環境リポジトリに対する読み取り専用アクセス権を必要とします。
- サンプル アプリケーションを含むデモリポジトリが用意されている。セールスチームは、デモをダウンロードするための読み取り専用権限しか必要としません。
データ暗号化
データを保護する鍵に関連する具体的なコンプライアンス要件や規制要件 がある場合は、 顧客管理の暗号鍵（CMEK）で暗号化されたリポジトリを作成できます。Artifact Registry は、組織のポリシーの制約 もサポートしており、リソースを保護するために CMEK を必要とする場合があります。
ラベル
ラベルは、 Cloud de Confianceサービスに固有のリソースを整理する方法を提供します。Artifact Registry では、リポジトリにラベルを追加して、リポジトリをグループ化したり、ラベルでリポジトリ リストをフィルタしたりできます。たとえば、自動化や課金を目的として、ラベルを使用して開発ステージまたはチーム別にリポジトリをグループ化できます。リポジトリ ラベルの作成と使用の詳細については、リポジトリのラベル付けをご覧ください。