vpc 中的 Packer 谷歌云身份验证

Question

我们正在使用 Packer 在 GCP 计算实例中构建图像。 Packer 尝试根据项目和图像抓取图像如下：

https://www.googleapis.com/compute/v1/projects/<project-name>/global/images/<image-name>?alt=json

然后它抛出一个错误： oauth2: cannot fetch token: Post https://accounts.google.com/o/oauth2/token: dial tcp 108.177.111.84:443: i/o timeout

基于安全原则，我们的计算实例没有外部 IP 地址，因此无法访问互联网。在这种情况下，accounts.google.com 不再可访问。那么我们如何认证google apis呢？

我尝试启用防火墙规则并为互联网访问提供路由。但是根据here的要求，如果没有外部IP地址，实例仍然无法访问。

这意味着我们必须有一种单独的方式来验证 googleapis。 但是 Packer 支持吗？

这是我们的打包器生成器：

"builders": [
    {
        "type": "googlecompute",
        "project_id": "test",
        "machine_type": "n1-standard-4",
        "source_image_family": "{{user `source_family`}}",
        "source_image": "{{user `source_image`}}",
        "source_image_project_id": "{{user `source_project_id`}}",
        "region": "{{user `region`}}",
        "zone": "{{user `zone`}}",
        "network": "{{user `network`}}",
        "subnetwork": "{{user `subnetwork`}}",
        "image_name": "test-{{timestamp}}",
        "disk_size": 10,
        "disk_type": "pd-ssd",
        "state_timeout": "5m",
        "ssh_username": "build",
        "ssh_timeout": "1000s",
        "ssh_private_key_file": "./gcp-instance-key.pem",
        "service_account_email": "test-account@test-mine.iam.gserviceaccount.com",
        "omit_external_ip": true,
        "use_internal_ip": true,
        "metadata": {
            "user": "build"
        }
    }

Answer 1

要手动执行您想要的操作，您需要在项目内的工作计算实例上或在您想要访问的计算所在的网络上启用对等互连的 vpc 中打开 ssh 隧道。

如果您随后将 CI 与 gitlab-ci 之类的运行器一起使用，请确保在同一 vpc 或具有对等互连的 vpc 中创建运行器。

如果您不想使用外部 ip 创建计算，您可以尝试打开与项目的 vpn 连接并通过 vpn 进行。