请求更新Cloud Build定义以纳入子模块及相关技术咨询

我来帮你搞定将子模块纳入Cloud Build构建流程的问题，下面是具体的配置步骤、身份验证要求以及官方文档的核心要点：

1. 修改Cloud Build配置文件（cloudbuild.yaml） #

默认情况下，Cloud Build克隆主仓库时不会自动拉取子模块，你可以通过两种方式解决：

方式一：用Git命令手动拉取子模块 #

这种方式灵活性更高，适合需要自定义拉取逻辑的场景（比如嵌套子模块）：

steps:
  # 第一步：拉取所有子模块（包含嵌套子模块需加--recursive）
  - name: 'gcr.io/cloud-builders/git'
    args: ['submodule', 'update', '--init', '--recursive']
  # 后续的构建步骤，比如编译、打包镜像等
  - name: 'gcr.io/cloud-builders/docker'
    args: ['build', '-t', 'gcr.io/$PROJECT_ID/your-image', '.']

方式二：用Cloud Build内置配置自动拉取 #

如果不需要自定义逻辑，可以直接在配置的options里开启子模块拉取：

options:
  gitSubmoduleConfig:
    fetchSubmodules: true
steps:
  # 这里直接执行后续构建即可，子模块已经被自动拉取
  - name: 'gcr.io/cloud-builders/docker'
    args: ['build', '-t', 'gcr.io/$PROJECT_ID/your-image', '.']

2. 身份验证要求（必须配置） #

子模块仓库不管是私有还是公开，Cloud Build服务账号都需要有访问权限才能拉取，具体分两种情况：

• 如果子模块是Google Cloud Source Repositories（GCSR）：
  找到Cloud Build的默认服务账号（格式为[你的项目编号]@cloudbuild.gserviceaccount.com），给它授予子模块仓库的Reader角色即可。

• 如果子模块是GitHub/GitLab等外部仓库：
  需要创建SSH密钥或者个人访问令牌（PAT），然后把密钥存到Google Secret Manager，在构建步骤中调用：

  steps:
    - name: 'gcr.io/cloud-builders/git'
      entrypoint: 'bash'
      args:
        - '-c'
        - |
          mkdir -p /root/.ssh
          echo "$$SSH_PRIVATE_KEY" > /root/.ssh/id_rsa
          chmod 600 /root/.ssh/id_rsa
          ssh-keyscan github.com >> /root/.ssh/known_hosts
          git submodule update --init --recursive
      secretEnv: ['SSH_PRIVATE_KEY']
  availableSecrets:
    secretManager:
      - versionName: projects/$PROJECT_ID/secrets/your-ssh-key/versions/latest
        env: 'SSH_PRIVATE_KEY'
  

3. 官方文档核心参考要点 #

Google Cloud官方文档中关于子模块构建的关键内容：

• 支持两种子模块拉取方式：手动Git命令和内置配置
• 明确了服务账号权限配置的要求，区分GCSR和外部仓库的验证方案
• 强调了使用Secret Manager存储敏感凭证的最佳实践，禁止硬编码密钥

内容的提问来源于stack exchange，提问作者Prasidha