Prepara el entorno

Antes de crear una canalización de Image Builder, primero debes preparar tu entorno de Cloud de Confiance . Para preparar tu entorno, completa las siguientes tareas:

• Envía una solicitud de incorporación
• Habilita las APIs de Cloud necesarias
• Configura la cuenta de servicio de Image Builder
• Configura la política de la organización de imágenes confiables
• Configura los requisitos de acceso y la red de VPC
• Configura Artifact Registry

Antes de comenzar

• Si aún no lo hiciste, configura la autenticación. La autenticación verifica tu identidad para acceder a los servicios y las APIs de Cloud de Confiance by S3NS . Para ejecutar código o muestras desde un entorno de desarrollo local, puedes autenticarte en Compute Engine seleccionando una de las siguientes opciones:

  Selecciona la pestaña que corresponda a la forma en que planeas usar las muestras de esta página:

  Console

  Cuando usas la consola de Cloud de Confiance para acceder a los servicios y las APIs de Cloud de Confiance by S3NS , no necesitas configurar la autenticación.

  gcloud

  1. Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada. Después de acceder, inicializa Google Cloud CLI con el siguiente comando:

     gcloud init

• Configura una región y una zona predeterminadas.

REST

Para usar las muestras de la API de REST incluidas en esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a la gcloud CLI.

Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada.

Para obtener más información, consulta Autentícate para usar REST en la documentación de autenticación de Cloud de Confiance .

Roles obligatorios

Para obtener los permisos que necesitas para preparar tu entorno, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

• Administrador de Service Usage ()roles/serviceusage.serviceUsageAdmin
• Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) o administrador de cuentas de servicio (roles/iam.serviceAccountAdmin)
• Administrador de Artifact Registry (roles/artifactregistry.admin)

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Solicitud de integración

Image Builder está disponible de forma general con una lista de entidades permitidas. Para incorporar tu proyecto Cloud de Confiance al canal de personalización de imágenes, envía el formulario de solicitud de acceso o comunícate con tu equipo de cuentas Cloud de Confiance .

Habilita las APIs

Image Builder requiere que habilites las APIs de Compute Engine, Cloud Build, Artifact Registry, Service Usage y Resource Manager. Para habilitar las APIs con la consola de Cloud de Confiance o Google Cloud CLI, selecciona una de las siguientes pestañas:

gcloud services enable compute.googleapis.com cloudbuild.googleapis.com artifactregistry.googleapis.com serviceusage.googleapis.com cloudresourcemanager.googleapis.com

Configura la cuenta de servicio de Image Builder

El organizador de Image Builder se ejecuta con una cuenta de servicio administrada por el usuario. Cuando ejecutas una canalización de compilación de imágenes, Cloud Build adjunta esta cuenta de servicio a instancias temporales de VM de trabajador y de prueba para realizar acciones de personalización y validación. Esta cuenta de servicio necesita los siguientes roles:

• Administrador de Compute (roles/compute.admin): Administra instancias de VM, discos persistentes e imágenes de SO invitado.
• Usuario de cuenta de servicio (roles/iam.serviceAccountUser): Permite que Cloud Build conecte la cuenta de servicio al trabajador efímero y a las instancias de VM de prueba.
• Administrador de almacenamiento (roles/storage.admin): Lee y escribe artefactos y registros de compilación temporales en el bucket de etapa de pruebas workdir de Cloud Storage.
• Logging Log Writer (roles/logging.logWriter): Escribe registros de ejecución en Cloud Logging.
• Visualizador de Service Usage (roles/serviceusage.serviceUsageViewer): Verifica los estados del servicio del proyecto durante la ejecución de la canalización.
• Editor de Cloud Build (roles/cloudbuild.builds.editor): Activa y ejecuta trabajos de Cloud Build, y exporta imágenes.
• (Opcional) Administrador de Artifact Registry (roles/artifactregistry.admin): Sube los archivos .tar de la imagen de SO generada a Artifact Registry.

Puedes usar una cuenta de servicio existente o crear una cuenta de servicio dedicada nueva para tu canalización de compilación. Para crear una nueva cuenta de servicio dedicada y otorgar los roles requeridos con la consola de Cloud de Confiance o gcloud CLI, selecciona una de las siguientes pestañas:

Configura la política de la organización de imágenes confiables

Debido a que Image Builder usa internamente las herramientas estándar de importación y exportación de imágenes de Compute Engine durante la ejecución de la compilación, la política de imágenes de confianza (compute.trustedImageProjects) de tu proyecto debe permitir explícitamente las imágenes del siguiente proyecto:

• projects/compute-image-import

Si la política de la organización restringe este proyecto, fallará la fase de exportación de la imagen.

Para actualizar la política de la organización, haz lo siguiente:

1. En la política de la organización para la restricción compute.trustedImageProjects, agrega projects/compute-image-import a tu lista de publicadores permitidos.
2. Para obtener instrucciones detalladas sobre cómo configurar restricciones de políticas de la organización, consulta Configura políticas de imágenes confiables y Exporta una imagen personalizada a Cloud Storage.

Configura los requisitos de acceso y la red de VPC

Durante las fases de compilación y validación, Image Builder aprovisiona VMs de trabajador y de prueba temporales en tu proyecto Cloud de Confiance . De forma predeterminada, Image Builder conecta las instancias a tu red de VPC default y les asigna direcciones IP externas efímeras.

Si especificas un network o un subnetwork personalizados, o bien configuras externalIP: none en tu archivo de receta imagebuilder.yaml, haz lo siguiente:

• Acceso privado a Google y Cloud NAT: Si las VMs de trabajador o de prueba están configuradas con externalIP: none (sin IP externa), tu subred de VPC debe tener habilitado el acceso privado a Google para que las instancias puedan acceder a las APIs y los servicios de Google (como Cloud Storage y Artifact Registry). Si los pasos de personalización descargan paquetes del SO o dependencias de repositorios externos de Internet, también debes configurar Cloud NAT en la subred.
• Reglas de firewall: Asegúrate de que las reglas de firewall de tu VPC permitan el tráfico de salida a las APIs de Google y a los repositorios de software necesarios. Si planeas conectarte a VMs de trabajadores activas para la depuración interactiva (debug: true), asegúrate de que las reglas de firewall permitan la entrada en el puerto TCP 22. Si las instancias de VM no tienen una IP externa, permite la entrada desde el rango de IP de Identity-Aware Proxy (IAP) 35.235.240.0/20 para el reenvío de TCP.

Configura Artifact Registry

Para almacenar y administrar tus imágenes de SO personalizadas, los metadatos de seguridad y las certificaciones de procedencia de la compilación de SLSA, debes configurar un repositorio genérico en Artifact Registry. Almacenar tus imágenes en Artifact Registry te permite mantener un registro seguro e inmutable de las imágenes publicadas.

Cuando configuras un destino de Artifact Registry, Image Builder realiza los siguientes pasos:

• Exporta el disco de arranque de la VM finalizado como un archivo tar estándar (.tar.gz).
• Sube el archivo .tar a tu repositorio genérico en Artifact Registry.
• Genera y firma certificaciones de procedencia de compilación de SLSA para el artefacto y, así, lo vincula a los metadatos de origen.
• Registra la imagen de Compute Engine lista para producción en Compute Engine con el URI del archivo tar de Artifact Registry como la fuente de la plantilla.

Para configurar un Artifact Registry genérico, completa las siguientes tareas:

1. Asegúrate de que la cuenta de servicio que se usa para ejecutar la canalización de Image Builder tenga el rol de administrador de Artifact Registry (roles/artifactregistry.admin) a nivel del repositorio o del proyecto. Para obtener instrucciones detalladas, consulta Configura la cuenta de servicio de Image Builder.

2. Crea un repositorio con el formato generic. Para crear tu repositorio, ejecuta el comando gcloud artifacts repositories create:

   gcloud artifacts repositories create REPOSITORY_NAME \
       --repository-format=generic \
       --location=REPOSITORY_LOCATION
   

   Reemplaza los marcadores de posición que se indican más abajo:

   • REPOSITORY_NAME: Es un nombre para tu repositorio genérico. Por ejemplo, custom-os-images
   • REPOSITORY_LOCATION: Es una región compatible. Por ejemplo, us-central1.

¿Qué sigue?

• Crea y administra canalizaciones con la Cloud de Confiance consola.
• Crea y administra canalizaciones de forma programática.
• Obtén información para definir recetas de personalización en el esquema de recetas de personalización.
• Revisa la estructura del archivo de configuración de compilación (cloudbuild.yaml).