如何跨GCP项目同步Artifact Registry中的多类型制品？

一、基于GCP官方CLI的分类型批量同步脚本 #

虽然没有通用第三方工具，但可以结合GCP官方CLI工具，针对不同制品类型编写批量同步脚本，整合后实现一键同步：

1. Docker镜像同步 #

通过gcloud artifacts docker images命令完成镜像的列表与复制：

# 配置源和目标项目、仓库信息
SOURCE_PROJECT="source-project-id"
SOURCE_REPO="source-docker-repo"
SOURCE_LOCATION="us-central1"
TARGET_PROJECT="target-project-id"
TARGET_REPO="target-docker-repo"
TARGET_LOCATION="us-central1"

# 遍历源仓库所有镜像并复制到目标仓库
gcloud artifacts docker images list "${SOURCE_LOCATION}-docker.pkg.dev/${SOURCE_PROJECT}/${SOURCE_REPO}" --format="value(IMAGE_PATH)" | while read -r image; do
  target_image=$(echo "${image}" | sed "s/${SOURCE_PROJECT}/${TARGET_PROJECT}/g" | sed "s/${SOURCE_REPO}/${TARGET_REPO}/g")
  gcloud artifacts docker images copy "${image}" "${target_image}" --quiet
done

2. Helm Chart同步 #

利用gcloud artifacts helm charts命令同步Chart及其所有版本：

SOURCE_PROJECT="source-project-id"
SOURCE_REPO="source-helm-repo"
SOURCE_LOCATION="us-central1"
TARGET_PROJECT="target-project-id"
TARGET_REPO="target-helm-repo"
TARGET_LOCATION="us-central1"

# 遍历所有Chart及版本，逐个复制到目标仓库
gcloud artifacts helm charts list "${SOURCE_LOCATION}-docker.pkg.dev/${SOURCE_PROJECT}/${SOURCE_REPO}" --format="value(CHART)" | while read -r chart; do
  gcloud artifacts helm charts versions list "${chart}" --format="value(VERSION)" | while read -r version; do
    target_chart=$(echo "${chart}" | sed "s/${SOURCE_PROJECT}/${TARGET_PROJECT}/g" | sed "s/${SOURCE_REPO}/${TARGET_REPO}/g")
    gcloud artifacts helm charts copy "${chart}@${version}" "${target_chart}" --quiet
  done
done

3. Python包同步 #

Python包存储在Artifact Registry关联的GCS桶中，通过gcloud artifacts列出版本文件，再用gsutil复制文件：

SOURCE_PROJECT="source-project-id"
SOURCE_REPO="source-python-repo"
SOURCE_LOCATION="us-central1"
TARGET_PROJECT="target-project-id"
TARGET_REPO="target-python-repo"
TARGET_LOCATION="us-central1"

# 定位源和目标仓库对应的GCS桶路径
SOURCE_BUCKET="artifacts.${SOURCE_PROJECT}.appspot.com/${SOURCE_LOCATION}/python/${SOURCE_REPO}"
TARGET_BUCKET="artifacts.${TARGET_PROJECT}.appspot.com/${TARGET_LOCATION}/python/${TARGET_REPO}"

# 遍历所有包版本文件并复制
gcloud artifacts packages list --repository="${SOURCE_REPO}" --location="${SOURCE_LOCATION}" --project="${SOURCE_PROJECT}" --format="value(PACKAGE)" | while read -r pkg; do
  gcloud artifacts packages versions list "${pkg}" --repository="${SOURCE_REPO}" --location="${SOURCE_LOCATION}" --project="${SOURCE_PROJECT}" --format="value(FILES)" | while read -r file_path; do
    gsutil cp "gs://${SOURCE_BUCKET}/${file_path}" "gs://${TARGET_BUCKET}/${file_path}"
  done
done

可以将上述三个脚本段整合为一个Shell文件，通过参数配置源和目标信息，实现一次执行完成全类型同步。

二、用Cloud Build实现自动同步 #

如果需要定时或触发式同步，可借助Cloud Build编排流程：

• 创建cloudbuild.yaml配置文件，嵌入上述同步脚本步骤
• 配置触发器：可以基于源Artifact Registry的制品上传事件触发，或设置定时触发器（如每日同步）
• 为Cloud Build服务账号授予源项目roles/artifactregistry.reader、目标项目roles/artifactregistry.writer，以及GCS桶的读写权限

示例cloudbuild.yaml核心片段：

steps:
  - name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
    entrypoint: 'bash'
    args: ['-c', '
      SOURCE_PROJECT="source-project-id"
      SOURCE_REPO="source-docker-repo"
      SOURCE_LOCATION="us-central1"
      TARGET_PROJECT="target-project-id"
      TARGET_REPO="target-docker-repo"
      TARGET_LOCATION="us-central1"
      gcloud artifacts docker images list "${SOURCE_LOCATION}-docker.pkg.dev/${SOURCE_PROJECT}/${SOURCE_REPO}" --format="value(IMAGE_PATH)" | while read -r image; do
        target_image=$(echo "${image}" | sed "s/${SOURCE_PROJECT}/${TARGET_PROJECT}/g" | sed "s/${SOURCE_REPO}/${TARGET_REPO}/g")
        gcloud artifacts docker images copy "${image}" "${target_image}" --quiet
      done
    ']
  # 后续添加Helm Chart和Python包同步步骤，与上述逻辑一致

三、关键权限配置 #

• 执行同步的账号（本地CLI或Cloud Build服务账号）需拥有源项目的roles/artifactregistry.reader和目标项目的roles/artifactregistry.writer权限
• Python包同步额外需要源GCS桶的roles/storage.objectViewer和目标GCS桶的roles/storage.objectCreator权限

内容的提问来源于stack exchange，提问作者DavidGreen55