Inoltra gli eventi tra i progetti Google Cloud

Standard

Questo tutorial mostra come utilizzare Eventarc per leggere gli eventi da un' origine in un Google Cloud progetto e instradarli a una destinazione di destinazione in un altro Google Cloud progetto. È possibile farlo utilizzando Pub/Sub come livello di trasporto tra progetti.

Obiettivi

In questo tutorial, imparerai a:

1. Crea un argomento in un progetto, quindi pubblica in quell'argomento da un altro progetto. In questo modo, gli eventi vengono instradati a un servizio Cloud Run non autenticato utilizzando un trigger Eventarc.

2. Utilizza le notifiche Pub/Sub per Cloud Storage per pubblicare eventi di Cloud Storage da un progetto a un altro. Instrada gli eventi a un servizio Cloud Run non autenticato utilizzando un trigger Eventarc.

3. Utilizza i sink di Cloud Logging per pubblicare Cloud Audit Logs da un progetto a un altro. Instrada gli eventi a un servizio Cloud Run non autenticato utilizzando un trigger Eventarc.

Nota: per impostazione predefinita, tutti i servizi Cloud Run vengono sottoposti a deployment privato, il che significa che non è possibile accedervi senza fornire le credenziali di autenticazione nella richiesta. Per i progetti con policy dell'organizzazione di condivisione limitata dei domini, utilizza un servizio di destinazione Cloud Run autenticato anziché uno che consenta l'accesso pubblico (non autenticato).

Costi

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

• Cloud Logging
• Cloud Run
• Cloud Storage
• Compute Engine
• Eventarc
• Pub/Sub

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il calcolatore prezzi.

I nuovi Google Cloud utenti potrebbero avere diritto a una prova senza costi.

Prima di iniziare

I vincoli di sicurezza definiti dalla tua organizzazione potrebbero impedirti di completare i passaggi seguenti. Per informazioni sulla risoluzione dei problemi, vedi Sviluppare applicazioni in un ambiente vincolato Google Cloud .

Tieni presente che per questo tutorial avrai bisogno di due progetti. I passaggi seguenti si applicano a entrambi i progetti.

Accedi al tuo Google Cloud account. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Installa Google Cloud CLI.

Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

Per inizializzare gcloud CLI, esegui questo comando:

gcloud init

1. Aggiorna i componenti di gcloud:

   gcloud components update

2. Accedi utilizzando il tuo account:

   gcloud auth login

Instradare gli eventi Pub/Sub tra i progetti

Poiché Pub/Sub è un servizio distribuito a livello globale, puoi creare un argomento in un progetto, pubblicare in quell'argomento da un altro progetto e poi attivare Eventarc, che instrada il messaggio a un servizio Cloud Run:

1. Imposta l'ID progetto sul secondo progetto: Google Cloud

   gcloud config set project PROJECT_TWO_ID

   Sostituisci PROJECT_TWO_ID con l'ID del secondo Google Cloud progetto.

2. Nel secondo progetto, procedi nel seguente modo:

   1. Abilita le API Cloud Run ed Eventarc:

      gcloud services enable run.googleapis.com eventarc.googleapis.com

   2. Imposta la località predefinita:

      REGION=REGION

      Sostituisci REGION con la località Eventarc supportata che preferisci. Ad esempio, us-central1.

   3. Crea un argomento Pub/Sub:

      TOPIC=my-topic
      gcloud pubsub topics create $TOPIC

   4. Esegui il deployment di un servizio Cloud Run non autenticato utilizzando un'immagine predefinita, us-docker.pkg.dev/cloudrun/container/hello:

      gcloud run deploy hello \
          --image=us-docker.pkg.dev/cloudrun/container/hello \
          --allow-unauthenticated \
          --region=$REGION

      Quando vedi l'URL del servizio, significa che il deployment è stato completato.

   5. Collega l'argomento al servizio con un trigger Eventarc:

      gcloud eventarc triggers create cross-project-trigger \
          --destination-run-service=hello \
          --destination-run-region=${REGION} \
          --location=${REGION} \
          --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
          --transport-topic=projects/PROJECT_TWO_ID/topics/$TOPIC

      Viene creato un trigger denominato cross-project-trigger.

3. Imposta l' Google Cloud ID progetto sul primo progetto:

   gcloud config set project PROJECT_ONE_ID

   Sostituisci PROJECT_ONE_ID con l'ID del primo Google Cloud progetto.

4. Nel primo progetto, pubblica un messaggio nell'argomento del secondo progetto:

   gcloud pubsub topics publish projects/PROJECT_TWO_ID/topics/$TOPIC --message="hello"

5. Imposta l'ID progetto sul secondo progetto: Google Cloud

   gcloud config set project PROJECT_TWO_ID

6. Nel secondo progetto, verifica che l'evento generato sia stato registrato:

   gcloud logging read "resource.labels.service_name=hello AND jsonPayload.message:hello" --format=json

   Viene restituita una voce di log simile alla seguente:

   "message": "Received event of type google.cloud.pubsub.topic.v1.messagePublished. Event data: hello"

Instradare gli eventi di Cloud Storage tra i progetti

Utilizza le notifiche Pub/Sub per Cloud Storage per pubblicare eventi da un progetto a un altro, quindi instrada gli eventi a un servizio Cloud Run tramite un trigger Eventarc:

1. Imposta l' Google Cloud ID progetto sul primo progetto:

   gcloud config set project PROJECT_ONE_ID

2. Crea un bucket Cloud Storage:

   PROJECT1=$(gcloud config get-value project)
   BUCKET=$PROJECT1-cross-project
   gcloud storage buckets create gs://$BUCKET --location=${REGION}

3. Crea una notifica Pub/Sub per il bucket nell'argomento del secondo progetto:

   gcloud storage buckets notifications create gs://$BUCKET --topic=projects/PROJECT_TWO_ID/topics/$TOPIC --payload-format=json

4. Carica un file nel bucket:

   echo "Hello World" > random.txt
   gcloud storage cp random.txt gs://$BUCKET/random.txt

5. Imposta l'ID progetto sul secondo progetto: Google Cloud

   gcloud config set project PROJECT_TWO_ID

6. Nel secondo progetto, verifica che l'evento generato sia stato registrato:

   gcloud logging read "resource.labels.service_name=hello AND jsonPayload.message:random.txt" --format=json

   Viene restituita una voce di log simile alla seguente:

   Received event of type google.cloud.pubsub.topic.v1.messagePublished. Event data: {
     "kind": "storage#object",
     "id": "project1-cross-project/random.txt/1635327604259719",
     "selfLink": "https://www.googleapis.com/storage/v1/b/project1-cross-project/o/random.txt",
     "name": "random.txt",
     "bucket": "project1-cross-project",
     "generation": "1635327604259719",
   [...]
   }

Instradare gli eventi degli audit log di Cloud tra i progetti

Le richieste al tuo servizio possono essere attivate quando viene creata una voce di audit log che corrisponde ai criteri di filtro del trigger. (Per ulteriori informazioni, vedi Determinare i filtri eventi per gli audit log di Cloud.) In questo caso, quando viene creata un'istanza VM di Compute Engine nel primo progetto, una voce di audit log che corrisponde ai criteri di filtro del trigger ti consente di acquisire e instradare un evento a un servizio Cloud Run nel secondo progetto:

1. Imposta l' Google Cloud ID progetto sul primo progetto:

   gcloud config set project PROJECT_ONE_ID

2. Nel primo progetto, abilita i tipi di log Lettura amministratore, Lettura dati e Scrittura dati per Compute Engine:

   Tieni presente che a livello di progetto devi disporre del roles/owner ruolo Identity and Access Management (IAM) per configurare gli audit log di accesso ai dati per le tue Google Cloud risorse.

   1. Leggi il criterio IAM del progetto e archivialo in un file:

      gcloud projects get-iam-policy PROJECT_ONE_ID > /tmp/policy.yaml
      

   2. Modifica /tmp/policy.yaml, aggiungendo o modificando solo la configurazione degli audit log di accesso ai dati.

      Attenzione: devi conservare le sezioni bindings: e etag: senza modifiche. In caso contrario, il progetto potrebbe diventare inutilizzabile.

      auditConfigs:
      - auditLogConfigs:
        - logType: ADMIN_READ
        - logType: DATA_READ
        - logType: DATA_WRITE
        service: compute.googleapis.com
      

   3. Scrivi il nuovo criterio IAM:

      gcloud projects set-iam-policy PROJECT_ONE_ID /tmp/policy.yaml
      

      Se il comando precedente segnala un conflitto con un'altra modifica, ripeti questi passaggi, a partire dalla lettura del criterio IAM del progetto.

3. Nel primo progetto, crea un sink di Cloud Logging per instradare Cloud Audit Logs all'argomento del secondo progetto:

   gcloud logging sinks create cross-project-sink \
       pubsub.googleapis.com/projects/PROJECT_TWO_ID/topics/my-topic \
       --log-filter='protoPayload.methodName="beta.compute.instances.insert"'

   Dovrebbe essere restituito un promemoria simile al seguente:

   Please remember to grant `serviceAccount:[e-mail]` the Pub/Sub Publisher role on the topic.

4. Imposta l'ID progetto sul secondo progetto: Google Cloud

   gcloud config set project PROJECT_TWO_ID

5. Nel secondo progetto, concedi il ruolo al account di servizio:

   gcloud pubsub topics add-iam-policy-binding my-topic \
       --member=SERVICE_ACCOUNT \
       --role=roles/pubsub.publisher

   Sostituisci SERVICE_ACCOUNT con l'indirizzo email del account di servizio restituito nel passaggio precedente.

6. Imposta l' Google Cloud ID progetto sul primo progetto:

   gcloud config set project PROJECT_ONE_ID

7. Nel primo progetto, crea un'istanza VM di Compute Engine.

   Se utilizzi la Google Cloud console per creare l'istanza VM, puoi accettare i valori predefiniti per questo tutorial.

8. Imposta l'ID progetto sul secondo progetto: Google Cloud

   gcloud config set project PROJECT_TWO_ID

9. Nel secondo progetto, verifica che l'evento generato sia stato registrato:

   gcloud logging read "resource.labels.service_name=hello AND jsonPayload.message:beta.compute.instances.insert" --format=json

   Viene restituita una voce di log simile alla seguente:

   Received event of type google.cloud.pubsub.topic.v1.messagePublished. Eventdata: {
     "logName": "projects/workflows-atamel/logs/cloudaudit.googleapis.com%2Factivity",
     "operation": {
       "id": "operation-1635330842489-5cf5321f4f454-ecc363cd-3883c08d",
       "last": true,
       "producer": "compute.googleapis.com"
     },
     "protoPayload": {
       "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
       "methodName": "beta.compute.instances.insert",
     }
   [...]
   }

Libera spazio

Se hai creato un nuovo progetto per questo tutorial, eliminalo. Se hai utilizzato un progetto esistente e vuoi conservarlo senza le modifiche aggiunte in questo tutorial, elimina le risorse create per il tutorial.

Elimina il progetto

Il modo più semplice per eliminare la fatturazione è eliminare il progetto creato per il tutorial.

Per eliminare il progetto:

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per, le attività descritte in questo documento, eliminerai anche tutto il lavoro che hai svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, puoi riutilizzare i progetti ed evitare così di superare i limiti di quota.

1. Nella Google Cloud console, vai alla pagina Gestisci risorse.

   Vai a Gestisci risorse

2. Nell'elenco dei progetti, seleziona il progetto che vuoi eliminare, quindi fai clic su Elimina.
3. Nella finestra di dialogo, digita l'ID progetto e fai clic su Chiudi per eliminare il progetto.

Elimina le risorse del tutorial

1. Elimina il servizio Cloud Run di cui hai eseguito il deployment in questo tutorial:

   gcloud run services delete SERVICE_NAME

   Dove SERVICE_NAME è il nome del servizio scelto.

   Puoi eliminare i servizi Cloud Run anche dalla Google Cloud console.

2. Rimuovi le configurazioni predefinite di gcloud CLI che hai aggiunto durante la configurazione del tutorial.

   Ad esempio:

   gcloud config unset run/region

   o

   gcloud config unset project

3. Elimina le altre Google Cloud risorse create in questo tutorial:

   • Elimina il trigger Eventarc:

     gcloud eventarc triggers delete TRIGGER_NAME
     

     Sostituisci TRIGGER_NAME con il nome del trigger.

   • Elimina l'argomento Pub/Sub:

     gcloud pubsub topics delete TOPIC TOPIC_ID
     

     Sostituisci TOPIC_ID con l'ID dell'argomento.

   • Elimina il sink di Cloud Logging:

     gcloud logging sinks delete SINK_NAME
     

     Sostituisci SINK_NAME con il nome del sink.

Passaggi successivi

• Scopri le località Eventarc
• Prova altri tutorial