הגדרה ידנית של פריסה רציפה באמצעות Cloud Build

ההוראות הבאות מניחות שיש לכם מאגר git עם Dockerfile בשורש שלו.

כדי לבצע אוטומציה של פריסה מ-Git באמצעות Cloud Build:

  1. יוצרים הגדרה של Cloud Build שכוללת:

    • יוצר את קובץ האימג' של הקונטיינר
    • העלאת התמונה ל-Container Registry (הוצא משימוש)
    • פריסת גרסה חדשה בשירות Cloud Run

    כדי לעשות את זה, מוסיפים קובץ בשם cloudbuild.yaml בשורש של המאגר עם התוכן הזה:

     steps:
 # build the container image
 - name: 'gcr.io/cloud-builders/docker'
   args: ['build', '-t', 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA', '.']
 # push the container image to Container Registry
 - name: 'gcr.io/cloud-builders/docker'
   args: ['push', 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA']
 # Deploy container image to Cloud Run
 - name: 'gcr.io/cloud-builders/gcloud'
   args:
   - 'run'
   - 'deploy'
   - '[SERVICE-NAME]'
   - '--image'
   - 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA'
   - '--region'
   - '[REGION]'
 images:
 - 'gcr.io/$PROJECT_ID/[SERVICE-NAME]:$COMMIT_SHA'

    החלפה

    • ‫[SERVICE-NAME] מחליפים בשם של שירות Cloud Run.
    • ‫[REGION] מחליפים באזור של שירות Cloud Run שפורסים.

    השימוש במשתנה ההחלפה $COMMIT_SHA מתבצע על ידי Cloud Build כשהוא מופעל ממאגר Git.

  2. מקצים לחשבון השירות של Cloud Build את התפקידים אדמין של Cloud Run ומשתמש בחשבון שירות:

    1. פותחים את דף ההגדרות של Cloud Build במסוף Cloud de Confiance :

      כניסה לדף ההגדרות של Cloud Build

    2. בחלונית Service account permissions (הרשאות חשבון השירות), מגדירים את הסטטוס של התפקיד Cloud Run Admin (אדמין של Cloud Run) ל-Enable (הפעלה):

      צילום מסך של דף ההרשאות של חשבון השירות

    3. בוחרים באפשרות GRANT ACCESS TO ALL SERVICE ACCOUNTS כדי להקצות את התפקיד Service Account User לכל חשבונות השירות בפרויקט בדף.

  3. בחלונית הניווט הימנית, לוחצים על מפעילים כדי לפתוח את הדף מפעילים:

    לדף 'טריגרים'

    1. לוחצים על Create Trigger (יצירת טריגר).
    2. בשדה שם, מזינים שם לטריגר.
    3. בקטע Event (אירוע), בוחרים את אירוע המאגר כדי להפעיל את הטריגר.
    4. בקטע Source (מקור), בוחרים את המאגר ואת שם הענף או התג שיתחילו את הטריגר. מידע נוסף על הגדרת ההסתעפויות שייבנו באופן אוטומטי זמין במאמר בנושא יצירת טריגר לפיתוח גרסת Build.
    5. בקטע Cloud Build configuration file (yaml or json) (קובץ תצורת build של Cloud‏ (yaml או json)), בוחרים באפשרות Cloud Build configuration file (קובץ תצורת build של Cloud).
    6. בשדה Cloud Build configuration file location, מקלידים cloudbuild.yaml אחרי /.
    7. לוחצים על יצירה כדי לשמור את טריגר לפיתוח גרסת Build.

  4. סיימתם! מעכשיו, בכל פעם שתבצעו פעולת push למאגר, יופעלו אוטומטית גרסת build ופריסה לשירות Cloud Run.

פריסה רציפה עם הרשאות IAM מינימליות

כשפריסת קונטיינר מתבצעת לשירות Cloud Run, הוא מורץ עם הזהות של חשבון השירות של זמן הריצה של שירות Cloud Run הזה. מכיוון ש-Cloud Build יכול לפרוס קונטיינרים חדשים באופן אוטומטי, הוא צריך לפעול בתור חשבון השירות של זמן הריצה של שירות Cloud Run.

כדי לתת ל-Cloud Build גישה מוגבלת לפריסה בשירות Cloud Run:

ממשק המשתמש של המסוף

  1. נכנסים לדף Service accounts במסוף Cloud de Confiance :

    כניסה לדף Service accounts

  2. לוחצים על כתובת האימייל של חשבון השירות של זמן הריצה של שירות Cloud Run (כברירת מחדל, היא PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com).

  3. לוחצים על הכרטיסייה Principals with access (גורמים עם גישה).

  4. לוחצים על Grant access.

  5. מזינים את חשבון השירות של Cloud Build‏ (PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com).

  6. בתפריט הנפתח Select a role, בוחרים בתפקיד Service Accounts > Service Account User.

  7. לוחצים על Save.

gcloud

משתמשים בפקודה gcloud iam service-accounts add-iam-policy-binding:

gcloud iam service-accounts add-iam-policy-binding \
  PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com \
  --member="serviceAccount:PROJECT_NUMBER@cloudbuild.s3ns-system.iam.gserviceaccount.com" \
  --role="roles/iam.serviceAccountUser"

מחליפים את PROJECT_NUMBER במזהה המספרי של הפרויקט.

אם משתמשים ב-Cloud Run באמצעות זהות שירות בהתאמה אישית, מחליפים את PROJECT_NUMBER-compute@developer.s3ns-system.iam.gserviceaccount.com בכתובת של חשבון השירות.

מידע נוסף זמין במאמר בנושא הרשאות פריסה.

המאמרים הבאים