gcloud または Terraform を使用してカスタム OS イメージ パイプラインを作成する

gcloud

イメージ カスタマイズ パイプラインをデプロイして実行するには、両方の構成ファイルを含むローカル ターミナル ディレクトリから gcloud builds submit コマンドを実行します。

gcloud builds submit . \
    --config=cloudbuild.yaml \
    --project=PROJECT_ID \
    --service-account="projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_EMAIL" \
    --region=REGION

次のように置き換えます。

• PROJECT_ID: 実際の Cloud de Confiance プロジェクト ID。
• REGION: イメージ カスタマイズ パイプライン ジョブを実行する Cloud de Confiance リージョン。
• SERVICE_ACCOUNT_EMAIL: 必要な IAM 権限で構成されたサービス アカウントのメールアドレス。

このコマンドは、カスタマイズ ワークスペースをアップロードし、Cloud Build 実行を登録して、オーケストレーション コンテナを起動します。

Terraform

カスタマイズされた OS イメージを自動的にビルドして検証するために必要なインフラストラクチャをプロビジョニングするには、Terraform を使用します。この Terraform 構成は、次のタスクを完了します。

• 必要な Cloud de Confiance API を有効にします。
• 一時ログとビルド アーティファクトを保存する専用の Cloud Storage バケット（workdir_bucket）を作成します。
• Developer Connect GitHub リポジトリ接続にリンクされた Cloud Build トリガー（image_builder_trigger）を構成します。

Terraform 構成ファイルを作成する

Terraform を使用してパイプライン インフラストラクチャを整理してデプロイするには、次の手順を完了します。

1. ローカル ワークステーションまたは CI/CD 環境に、アプリケーション リポジトリとは別の専用ディレクトリを作成し、そのディレクトリに移動します。

   mkdir terraform-image-builder && cd terraform-image-builder
   

2. このディレクトリに、次の 5 つの Terraform 構成ファイルを作成します。

   • terraform.tfvars: プロジェクト固有の変数の値を設定します。
   • main.tf: 必要な API の有効化、Cloud Storage ステージング バケット（workdir_bucket）の作成、Cloud Build ビルドトリガー（image_builder_trigger）のデプロイなど、 Cloud de Confiance プロジェクトでリソースをプロビジョニングします。
   • outputs.tf: デプロイ後にターミナルに表示される出力値（トリガー ID やステージング バケット名など）を定義します。
   • providers.tf: 必要な Terraform バージョン（>= 1.3）を指定し、 Cloud de Confiance by S3NS プロバイダ（hashicorp/google）を構成します。
   • variables.tf: デプロイの入力変数、デフォルト値、検証ルールを定義します。

   次のいずれかのタブを選択して、各ファイルの設定を表示し、ローカル ディレクトリにコピーします。

   terraform.tfvars

   このファイルでは、宣言された変数の環境のパラメータ値を指定します。

   project_id                = "PROJECT_ID"
   builder_service_account   = "SERVICE_ACCOUNT_EMAIL"
   github_repo_name          = "projects/PROJECT_ID/locations/LOCATION/connections/CONNECTION/repositories/REPO_NAME"
   region                    = "REGION"
   trigger_name              = "TRIGGER_NAME"
   cloudbuild_yaml_path      = "CLOUDBUILD_YAML_PATH"
   image_builder_config_path = "RECIPE_PATH"
   gcs_lifecycle_age_days    = LIFECYCLE_DAYS
   ar_repository_id          = "REPOSITORY_NAME"
   ar_package_name           = "PACKAGE_NAME"
   

   既存のリソースの次のプレースホルダを置き換えます。

   • PROJECT_ID: 既存のCloud de Confiance by S3NS プロジェクト ID。
   • SERVICE_ACCOUNT_EMAIL: Image Builder サービス アカウントを構成するで構成したビルド サービス アカウントのメールアドレス。
   • LOCATION、CONNECTION、REPO_NAME: リポジトリを接続するで構成された Developer Connect のホスト リージョン、接続名、リポジトリ リンク。
   • CLOUDBUILD_YAML_PATH: ローカル ディレクトリ内の cloudbuild.yaml ファイルの相対パス。cloudbuild.yaml を Git リポジトリにチェックインする必要はありません。
   • RECIPE_PATH: Git リポジトリにチェックインされた imagebuilder.yaml カスタマイズ レシピ ファイルの相対パス。
   • REPOSITORY_NAME: Artifact Registry を構成するで作成された既存の汎用 Artifact Registry リポジトリ。

   Terraform が作成するリソースの次のプレースホルダを置き換えます。

   • REGION: Terraform が Cloud Storage ステージング バケットと Cloud Build ビルドトリガーをプロビジョニングするターゲット Cloud de Confianceリージョン（例: us-central1）。
   • TRIGGER_NAME: Terraform によって作成された新しい Cloud Build リポジトリ トリガーの名前（例: git-push-os-builder）。
   • LIFECYCLE_DAYS: Terraform によって作成された Cloud Storage ステージング バケット内の中間アーティファクトが自動的に削除されるまでの保持期間（日数）。たとえば、30 など。
   • PACKAGE_NAME: Artifact Registry リポジトリ内に作成されたパッケージに Terraform で使用する名前。このパッケージには、公開された OS イメージ バージョン（ubuntu-custom など）が保存されます。

   main.tf

   このファイルでは、デプロイのコア インフラストラクチャ リソースとデータソースを宣言します。

   # Main resource configurations for Image Builder.
   # 1. Enable Required APIs
   resource "google_project_service" "apis" {
     for_each = toset([
       "compute.googleapis.com",
       "cloudbuild.googleapis.com",
       "artifactregistry.googleapis.com",
       "serviceusage.googleapis.com",
       "cloudresourcemanager.googleapis.com",
       "iam.googleapis.com",
       "storage.googleapis.com"
     ])
     project = var.project_id
     service = each.key
     disable_on_destroy = false
   }
   
   # 2. Project data source to retrieve Project Number
   data "google_project" "project" {
     project_id = var.project_id
     depends_on = [google_project_service.apis]
   }
   
   locals {
     builder_sa = var.builder_service_account
   }
   
   # 3. Storage Bucket for Image Builder Workdir
   resource "google_storage_bucket" "workdir_bucket" {
     name                        = var.gcs_bucket_name != "" ? var.gcs_bucket_name : "${var.project_id}-vm-builder-workdir"
     project                     = var.project_id
     location                    = var.region
     force_destroy               = true
     uniform_bucket_level_access = true
     lifecycle_rule {
       action {
         type = "Delete"
       }
       condition {
         age = var.gcs_lifecycle_age_days
       }
     }
     depends_on = [google_project_service.apis]
   }
   
   # 4. Cloud Build Trigger
   resource "google_cloudbuild_trigger" "image_builder_trigger" {
     name        = var.trigger_name
     location    = var.region
     project     = var.project_id
     description = "Trigger that runs Image Builder customization"
   
     service_account = var.builder_service_account != "" ? "projects/${var.project_id}/serviceAccounts/${var.builder_service_account}" : null
   
     repository_event_config {
       repository = replace(var.github_repo_name, "gitRepositoryLinks", "repositories")
       push {
         branch = "^main$"
       }
     }
     filename = var.cloudbuild_yaml_path
   
     substitutions = {
       _GCS_WORKDIR                    = "gs://${google_storage_bucket.workdir_bucket.name}/workdir/"
       _SERVICE_ACCOUNT                = "projects/${var.project_id}/serviceAccounts/${local.builder_sa}"
       _IMAGE_OUTPUT_PATH              = "image-builder/binaryOut"
       _PROJECT_ID                     = var.project_id
       _LOCATION                       = var.region
       _REPOSITORY_NAME                = var.ar_repository_id
       _PACKAGE_NAME                   = var.ar_package_name
       _IMAGE_BUILDER_CONFIG_PATH      = var.image_builder_config_path
       _ARTIFACT_REGISTRY_RESOURCE_URI = "projects/${var.project_id}/locations/${var.region}/repositories/${var.ar_repository_id}/packages/${var.ar_package_name}/versions/v$${BUILD_ID}"
     }
     depends_on = [
       google_project_service.apis
     ]
   }
   

   outputs.tf

   このファイルは、デプロイ後にターミナルに返される出力属性を定義します。

   output "builder_service_account" {
     value       = local.builder_sa
     description = "The email representation of the resolved Image Builder service account."
   }
   
   output "workdir_bucket" {
     value       = google_storage_bucket.workdir_bucket.name
     description = "The name of the storage workdir bucket."
   }
   
   output "artifact_registry_repository" {
     value       = "projects/${var.project_id}/locations/${var.region}/repositories/${var.ar_repository_id}"
     description = "The fully qualified resource path of the Artifact Registry repository."
   }
   
   output "cloud_build_trigger_id" {
     value       = google_cloudbuild_trigger.image_builder_trigger.trigger_id
     description = "The unique ID for the created Cloud Build Trigger."
   }
   

   providers.tf

   このファイルは、必要な Terraform のバージョンとリージョンの設定を構成します。

   terraform {
     required_version = ">= 1.3"
     required_providers {
       google = {
         source  = "hashicorp/google"
         version = ">= 5.0, < 7.0"
       }
     }
   }
   
   provider "google" {
     project = var.project_id
     region  = var.region
   }
   

   variables.tf

   このファイルでは、必須の入力変数と省略可能な入力変数、検証ルールをすべて宣言します。

   variable "project_id" {
     type        = string
     description = "The target Project ID where resources will be created."
     validation {
       condition     = can(regex("^[a-z0-9-]{6,30}$", var.project_id))
       error_message = "The project_id must consist of lowercase letters, numbers, and hyphens, and be between 6 and 30 characters."
     }
   }
   
   variable "region" {
     type        = string
     default     = "us-central1"
     description = "Location used for cloud build triggers, storage buckets, and artifact registry."
   }
   
   variable "github_repo_name" {
     type        = string
     default     = ""
     description = "Developer Connect github repository details, format: projects/PROJECT_ID/locations/LOCATION/connections/CONNECTION/repositories/REPO_LINK"
     validation {
       condition     = can(regex("^projects/[^/]+/locations/[^/]+/connections/[^/]+/(gitRepositoryLinks|repositories)/[^/]+$", var.github_repo_name))
       error_message = "The github_repo_name must follow either the Cloud Build v2 repository link format (using '/repositories/') or the Developer Connect resource format (using '/gitRepositoryLinks/')."
     }
   }
   
   variable "builder_service_account" {
     type        = string
     default     = ""
     description = "The email representation of the pre-existing Image Builder service account. If omitted, the default Cloud Build service account will be used."
   }
   
   variable "gcs_bucket_name" {
     type        = string
     default     = ""
     description = "Custom name for the workdir storage bucket. If left empty, a default name using the project ID will be constructed."
   }
   
   variable "gcs_lifecycle_age_days" {
     type        = number
     default     = 30
     description = "The number of days after which temporary logs and artifacts in the storage workdir bucket are deleted."
   }
   
   variable "ar_repository_id" {
     type        = string
     default     = "vm-images"
     description = "The repository ID for the generic Artifact Registry hosting the final OS image tarballs."
   }
   
   variable "ar_package_name" {
     type        = string
     default     = "image-builder"
     description = "The package name under which the generic OS image artifact will be registered in Artifact Registry."
   }
   
   variable "trigger_name" {
     type        = string
     default     = "custom-os-image-builder"
     description = "The name of the Cloud Build trigger."
   }
   
   variable "cloudbuild_yaml_path" {
     type        = string
     default     = "cloudbuild.yaml"
     description = "The path to the cloudbuild.yaml configuration file relative to the repository root."
   }
   
   variable "image_builder_config_path" {
     type        = string
     default     = "imagebuilder.yaml"
     description = "The path to the imagebuilder.yaml configuration file relative to the repository root."
   }
   

3. 構成をデプロイするには、Terraform ファイルを含むディレクトリで次のコマンドを実行します。

   1. ディレクトリを初期化します。

      terraform init

   2. 構文を検証します。

      terraform validate

   3. デプロイをプレビューします。

      terraform plan

   4. 構成を適用します。

      terraform apply