העברת אירועים מ-Cloud Pub/Sub ל-GKE

רגילה

תצוגה מקדימה ‫— Eventarc ליעדי GKE

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בגרסת טרום-GA, שמפורטים בחלק "תנאי שירות הכלליים" בתנאים הספציפיים של השירות. השימוש בתכונות בגרסת טרום-GA הוא "כפי שהן" (As is), ויכול להיות שהתמיכה בהן תהיה מוגבלת. מידע נוסף זמין בקטע תיאור שלבי ההשקה.

טריגר ב-Eventarc מציין שיש לכם עניין באירוע מסוים או בקבוצת אירועים. אפשר להגדיר ניתוב אירועים על ידי ציון מסננים לטריגר, כולל מקור האירוע ושירות היעד של Google Kubernetes Engine ‏ (GKE) שפועל באשכול GKE. שימו לב: יעדים יכולים לכלול רק שירותים שפועלים באשכולות GKE (ציבוריים או פרטיים) עם נקודות קצה ציבוריות. כדי לטרגט שירותים באשכולות GKE עם נקודות קצה פרטיות, צריך לנתב אירועים אל נקודות קצה פנימיות של HTTP.

‫Eventarc מעביר אירועים למקבל האירועים בפורמט CloudEvents באמצעות בקשת HTTP.

במאמר הזה נסביר איך להגדיר ניתוב אירועים לשירות GKE שמופעל על ידיCloud Pub/Sub אירוע ישיר. במקרה הזה, מדובר בהודעה שפורסמה בנושא Pub/Sub. פרטים נוספים זמינים ברשימה של אירועים ישירים נתמכים.

הערה: אם גם אירועים ישירים וגם אירועים ביומן הביקורת נתמכים אצל ספק Google, מומלץ ליצור טריגר שמסנן את האירוע הישיר. לאירועים ישירים יש כמה יתרונות בהשוואה לאירועים ביומן הביקורת. מידע נוסף זמין במאמר בנושא ניתוב אירועים.

לפני שמתחילים

צריך להפעיל איחוד זהויות של עומסי עבודה ל-GKE באשכול GKE ובמאגר הצמתים שבו פועל שירות היעד. כדי להגדיר את העברת האירועים בצורה נכונה, צריך להשתמש באיחוד זהויות של עומסי עבודה ל-GKE. זו גם הדרך המומלצת לגשת לשירותי Google Cloud מתוך אפליקציות שפועלות ב-GKE, כי היא מאפשרת אבטחה וניהול משופרים.

איחוד זהויות של עומסי עבודה ל-GKE

יכול להיות שאפליקציות שפועלות ב-GKE יצטרכו גישה ל-Google Cloud APIs. איחוד זהויות של עומסי עבודה ל-GKE מאפשר לחשבון שירות של Kubernetes באשכול GKE לפעול כחשבון שירות של IAM. פודים שמשתמשים בחשבון השירות של Kubernetes שהוגדר עוברים אימות אוטומטי כחשבון השירות של IAM כשניגשים אל ממשקי Google Cloud API. שימוש באיחוד שירותי אימות הזהות של עומסי עבודה ב-GKE מאפשר להקצות זהויות והרשאות שונות ומפורטות לכל אפליקציה באשכול. חשוב לשים לב שצריך להעניק הרשאות ספציפיות לחשבון השירות של טריגר Eventarc. במאמר הזה מוסבר איך יוצרים חשבון שירות.

מידע נוסף על הפעלה והגדרה של איחוד זהויות של עומסי עבודה ל-GKE באשכולות GKE זמין במאמר אימות ל-APIs מתוך עומסי עבודה של GKE. Google Cloud

העברת אירועים

הכלי להעברת אירועים של Eventarc שולף אירועים חדשים מ-Eventarc ומעביר אותם ליעד GKE. הרכיב הזה פועל כמתווך בין שכבת התעבורה של Pub/Sub לבין שירות GKE. הוא פועל בשירותים קיימים ותומך גם בשירותי איתות (כולל כאלה שלא נחשפים מחוץ לאשכול המנוהל באופן מלא), תוך פישוט ההגדרה והתחזוקה. ברמת הרשת, כדי לקבל אירועים בשירות GKE, לא צריך לפתוח את השירות לתעבורה חיצונית כי כל האירועים מועברים ממקור שנמצא באותו אשכול GKE.

שימו לב שמחזור החיים של מעביר האירועים מנוהל על ידי Eventarc, ואם תמחקו בטעות את מעביר האירועים, Eventarc ישחזר את הרכיב הזה.

לכל טריגר שמפנה ליעד GKE, מעביר האירועים (pod gke-forwarder שהוגדר במיוחד) מבצע את הפעולות הבאות:

1. הוא משתמש ב-Pub/Sub API כדי לפתוח StreamingPull חיבור ל-trigger transporter (נושא ומינוי ב-Pub/Sub) ומקבל אירועים כשהם זמינים.

2. הוא משנה את האירועים לפורמט CloudEvents הנכון, מקודד אותם ושולח אותם כבקשת HTTP POST לשירות היעד של GKE.

לסוכן השירות של Eventarc נדרשת הרשאה להפעלה ולעדכון קבוע של מופע gke-forwarder. צריך להעניק את ההרשאה הזו פעם אחת לכל פרויקט. פרטים נוספים זמינים במאמר הזה בקטע הפעלת יעדים של GKE.

פתרון בעיות

כדי לפתור בעיות שעלולות לקרות כשמשתמשים ב-Eventarc ל-GKE, אפשר לעיין במאמר פתרון בעיות ב-Eventarc ל-Google Kubernetes Engine ‏ (GKE).

הכנות ליצירת טריגר

לכל טריגר שמטרגט שירות GKE,‏ Eventarc יוצר רכיב להעברת אירועים. ל-Eventarc נדרשות הרשאות כדי להתקין את הרכיב ולנהל משאבים באשכול GKE. לפני שיוצרים טריגר Eventarc ליעדי GKE, צריך לבצע את המשימות הבאות.

המסוף

1. בדף לבחירת הפרויקט במסוף Google Cloud , בוחרים פרויקט ב- Google Cloud או יוצרים אותו.

   הערה: אם אתם לא מתכננים לשמור את המשאבים שתיצרו בתהליך הזה, תוכלו ליצור פרויקט חדש במקום לבחור באחד מהפרויקטים הקיימים. בסיום התהליך תוכלו למחוק את הפרויקט ולהסיר את כל המשאבים שמשויכים אליו.

   כניסה לדף לבחירת הפרויקט

2. מפעילים את ממשקי ה-API של Eventarc,‏ Eventarc Publishing,‏ Google Kubernetes Engine ומנהל המשאבים.

   הפעלת ממשקי ה-API

3. אם רלוונטי, מפעילים את ממשק ה-API שקשור לאירועים הישירים. לדוגמה, כדי להשתמש ב Cloud Pub/Sub אירועים, צריך להפעיל את ה-API שלCloud Pub/Sub .

4. אם עדיין אין לכם חשבון שירות, אתם צריכים ליצור חשבון שירות שמנוהל על ידי משתמש, ואז להקצות לו את התפקידים וההרשאות הנדרשים כדי ש-Eventarc יוכל לנהל אירועים בשירות היעד.

   1. במסוף Google Cloud , נכנסים לדף יצירת חשבון שירות.

      כניסה לדף Create service account

   2. בוחרים את הפרויקט הרצוי.

   3. כותבים שם בשדה Service account name. השדה Service account ID ימולא במסוף Google Cloud בהתאם לשם הזה.

      כותבים תיאור בשדה Service account description. לדוגמה, Service account for event trigger.

   4. לוחצים על Create and continue.

   5. כדי לספק גישה מתאימה, ברשימה Select a role בוחרים את תפקידי ניהול הזהויות והגישה (IAM) שרוצים להקצות לחשבון השירות. מידע נוסף זמין במאמר תפקידים והרשאות ליעדי GKE.

      כדי להוסיף עוד תפקידים, לוחצים על Add another role ומוסיפים אותם אחד אחרי השני.

   6. לוחצים על Continue.

   7. כדי לסיים את יצירת החשבון, לוחצים על סיום.

gcloud

1. במסוף Google Cloud , מפעילים את Cloud Shell.

   הפעלת Cloud Shell

   בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

2. מפעילים את ממשקי ה-API של Eventarc,‏ Eventarc Publishing,‏ Google Kubernetes Engine ומנהל המשאבים.

   gcloud services enable eventarc.googleapis.com \
       eventarcpublishing.googleapis.com \
       container.googleapis.com \
       cloudresourcemanager.googleapis.com

3. אם רלוונטי, מפעילים את ממשק ה-API שקשור לאירועים הישירים. לדוגמה, כדי להפעיל את האפשרות pubsub.googleapis.com לאירועים, צריך להזין את הערך Cloud Pub/Sub events.

4. אם עדיין אין לכם חשבון שירות בניהול המשתמש, אתם צריכים ליצור אותו ולהעניק לו את התפקידים וההרשאות הנדרשים כדי ש-Eventarc יוכל לנהל אירועים ביעד GKE.

   1. יוצרים את חשבון השירות:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      מחליפים את SERVICE_ACCOUNT_NAME בשם של חשבון השירות. הוא צריך להיות באורך שבין 6 ל-30 תווים, והוא יכול לכלול תווים אלפאנומריים ומקפים. אחרי שיוצרים חשבון שירות, אי אפשר לשנות את השם שלו.

   2. מעניקים את התפקידים או ההרשאות הנדרשים לניהול זהויות והרשאות גישה (IAM). מידע נוסף זמין במאמר תפקידים והרשאות ליעדי GKE.

הפעלת יעדי GKE

כדי לאפשר ל-Eventarc לנהל משאבים באשכול GKE, צריך להפעיל יעדי GKE ולקשר את סוכן השירות של Eventarc לתפקידים הנדרשים.

1. הפעלת יעדי GKE ל-Eventarc:

   gcloud eventarc gke-destinations init

2. בהנחיה לקשירת התפקידים הנדרשים, מזינים y.

   התפקידים הבאים מקושרים:

   • roles/compute.viewer
   • roles/container.developer
   • roles/iam.serviceAccountAdmin

יצירת טריגר

אפשר ליצור טריגר Eventarc באמצעות Google Cloud CLI או דרך מסוף Google Cloud .

הערה: הסינון מתבצע באמצעות התאמה מדויקת, ולא תומך בתווים כלליים לחיפוש או בביטויים רגולריים.

המסוף

1. נכנסים לדף Triggers ב-Eventarc במסוף Google Cloud .

   כניסה לדף Triggers

2. לוחצים על Create trigger (יצירת ביטוי להפעלה).
3. מקלידים Trigger name.

   זהו המזהה של הטריגר, והוא חייב להתחיל באות. הוא יכול להכיל עד 63 אותיות קטנות, ספרות או מקפים.

4. בשדה Trigger type, בוחרים באפשרות Google sources.
5. ברשימה Event provider בוחרים באפשרות Cloud Pub/Sub.

   שימו לב: יכול להיות שבשם ספק האירועים שמופיע בGoogle Cloud מסמכי התיעוד המשויכים לא מופיעה הקידומת Cloud או Google Cloud. לדוגמה, במסוף, Memorystore for Redis נקרא Google Cloud Memorystore for Redis.

6. ברשימה Event type (סוג האירוע), בוחרים באפשרות google.cloud.pubsub.topic.v1.messagePublished מתוך האירועים Direct (ישירים).
7. ברשימה Select a Cloud Pub/Sub topic, בוחרים נושא או מאשרים את ברירת המחדל None כדי ליצור נושא חדש.
8. ברשימה Region, בוחרים את אותו אזור כמוGoogle Cloud השירות שמייצר את האירועים.

   מידע נוסף זמין במאמר בנושא מיקומי Eventarc.

9. בוחרים את חשבון השירות שיפעיל את השירות או את תהליך העבודה.

   אפשר גם ליצור חשבון שירות חדש.

   כאן מציינים את כתובת האימייל בחשבון השירות של ניהול הזהויות והרשאות הגישה (IAM) שמשויך לטריגר, ושקודם לכן הענקתם לו תפקידים ספציפיים שנדרשים על ידי Eventarc.

10. ברשימה Event destination, בוחרים באפשרות Kubernetes Engine.
11. בוחרים שירות.
    

    זהו שם השירות שמקבל את האירועים להפעלת הטריגר. השירות צריך להיות באותו פרויקט כמו הטריגר, והוא יקבל אירועים כבקשות HTTP POST שנשלחות לנתיב של כתובת ה-URL הבסיסית שלו (/), בכל פעם שהאירוע נוצר.

12. אפשר לציין נתיב לכתובת ה-URL של השירות כדי לשלוח את הבקשה הנכנסת.

    זהו הנתיב היחסי בשירות היעד שאליו יישלחו האירועים של הטריגר. לדוגמה: /, /route, route, route/subroute.

13. אפשר גם ללחוץ על הוספת תווית. תוויות הן צמדי מפתח/ערך שעוזרים לכם לארגן אתGoogle Cloud המשאבים. מידע נוסף זמין במאמר מהן תוויות?
14. לוחצים על יצירה.

אחרי שיוצרים טריגר, אי אפשר לשנות את המסננים של מקור האירוע. במקום זאת, צריך ליצור טריגר חדש ולמחוק את הטריגר הישן. מידע נוסף זמין במאמר בנושא ניהול טריגרים.

gcloud

כדי ליצור טריגר, מריצים פקודה עם דגלים נדרשים ואופציונליים.gcloud eventarc triggers create

הודעות Pub/Sub (נושא קיים)

gcloud eventarc triggers create TRIGGER \
    --location=LOCATION \
    --destination-gke-cluster=DESTINATION_GKE_CLUSTER \
    --destination-gke-location=DESTINATION_GKE_LOCATION \
    --destination-gke-namespace=DESTINATION_GKE_NAMESPACE \
    --destination-gke-service=DESTINATION_GKE_SERVICE \
    --destination-gke-path=DESTINATION_GKE_PATH \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
    --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

מחליפים את מה שכתוב בשדות הבאים:

• TRIGGER: המזהה של הטריגר או מזהה מוגדר במלואו
• ‫LOCATION: המיקום של טריגר Eventarc. אפשרות אחרת היא להגדיר את המאפיין eventarc/location, לדוגמה, gcloud config set eventarc/location us-central1.

  טריגרים של Pub/Sub ל-Eventarc זמינים רק במיקומים של אזור יחיד, ואי אפשר ליצור טריגר Eventarc גלובלי. מידע נוסף זמין במאמר בנושא מיקומי Eventarc.

• ‫DESTINATION_GKE_CLUSTER: השם של אשכול GKE שבו פועל שירות GKE היעד שמקבל אירועים.
• ‫DESTINATION_GKE_LOCATION: (אופציונלי) אזור Compute Engine של אשכול GKE שבו פועל שירות היעד של GKE. אם לא מציינים זאת, המערכת מניחה שהאשכול הוא אשכול אזורי, והוא נמצא באותו אזור כמו הטריגר.
• ‫DESTINATION_GKE_NAMESPACE: (אופציונלי) מרחב השמות שבו פועל שירות היעד של GKE. אם לא מציינים מרחב שמות, המערכת משתמשת במרחב השמות default.
• ‫DESTINATION_GKE_SERVICE: השם של שירות GKE שמקבל את האירועים להפעלת הטריגר. השירות יכול להיות בכל אחד מהמיקומים שנתמכים ב-GKE, והוא לא צריך להיות באותו מיקום כמו הטריגר. עם זאת, השירות צריך להיות באותו פרויקט כמו הטריגר והוא יקבל אירועים כבקשות HTTP POST שנשלחות לנתיב כתובת ה-URL הבסיסית שלו (/), בכל פעם שהאירוע נוצר.
• ‫DESTINATION_GKE_PATH: (אופציונלי) הנתיב היחסי שאתם מציינים בשירות GKE של היעד שאליו יישלחו האירועים של הטריגר. לדוגמה: /, /route, route, route/subroute.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

• ‫TOPIC_ID: המזהה של נושא ה-Pub/Sub הקיים. הנושא חייב להיות באותו פרויקט כמו הטריגר.
• ‫SERVICE_ACCOUNT_NAME: השם של חשבון השירות שמנוהל על ידי המשתמש.

הערות:

• הדגל --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" הוא חובה ואי אפשר לשנות אותו. אם רוצים להשתמש בסוג אירוע אחר, צריך ליצור טריגר חדש.
• לכל טריגר יכולים להיות כמה מסנני אירועים, מופרדים בפסיקים בדגל אחד --event-filters=[ATTRIBUTE=VALUE,...] או שאפשר לחזור על הדגל כדי להוסיף עוד מסננים. רק אירועים שתואמים לכל המסננים נשלחים ליעד. אין תמיכה בתווים כלליים לחיפוש ובביטויים רגולריים.
• הדגל --transport-topic משמש לציון המזהה של נושא Pub/Sub קיים או המזהה המוגדר במלואו שלו.
• כברירת מחדל, מינויים ל-Pub/Sub שנוצרו עבור Eventarc נשמרים ללא קשר לפעילות ולא פוקע תוקפם. כדי לשנות את משך הזמן של חוסר הפעילות, אפשר לעיין במאמר בנושא ניהול מינויים.

דוגמה:

gcloud eventarc triggers create helloworld-trigger \
    --destination-gke-cluster=gke-events-cluster \
    --destination-gke-location=us-central1-a \
    --destination-gke-namespace=default \
    --destination-gke-service=helloworld \
    --destination-gke-path=/ \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --transport-topic=projects/${PROJECT_ID}/topics/${TOPIC_ID} \
    --service-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com

הפקודה הזו יוצרת טריגר בשם helloworld-trigger לנושא Pub/Sub שמזוהה על ידי projects/${PROJECT_ID}/topics/${TOPIC_ID}.

הודעות Pub/Sub (נושא חדש)

gcloud eventarc triggers create TRIGGER \
    --location=LOCATION \
    --destination-gke-cluster=DESTINATION_GKE_CLUSTER \
    --destination-gke-location=DESTINATION_GKE_LOCATION \
    --destination-gke-namespace=DESTINATION_GKE_NAMESPACE \
    --destination-gke-service=DESTINATION_GKE_SERVICE \
    --destination-gke-path=DESTINATION_GKE_PATH \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

מחליפים את מה שכתוב בשדות הבאים:

• TRIGGER: המזהה של הטריגר או מזהה מוגדר במלואו
• ‫LOCATION: המיקום של טריגר Eventarc. אפשרות אחרת היא להגדיר את המאפיין eventarc/location, לדוגמה, gcloud config set eventarc/location us-central1.

  טריגרים של Pub/Sub ל-Eventarc זמינים רק במיקומים של אזור יחיד, ואי אפשר ליצור טריגר גלובלי של Eventarc. מידע נוסף זמין במאמר בנושא מיקומי Eventarc.

• ‫DESTINATION_GKE_CLUSTER: השם של אשכול GKE שבו פועל שירות GKE היעד שמקבל אירועים.
• ‫DESTINATION_GKE_LOCATION: (אופציונלי) אזור Compute Engine של אשכול GKE שבו פועל שירות היעד של GKE. אם לא מציינים זאת, המערכת מניחה שהאשכול הוא אשכול אזורי, והוא נמצא באותו אזור כמו הטריגר.
• ‫DESTINATION_GKE_NAMESPACE: (אופציונלי) מרחב השמות שבו פועל שירות היעד של GKE. אם לא מציינים מרחב שמות, המערכת משתמשת במרחב השמות default.
• ‫DESTINATION_GKE_SERVICE: השם של שירות GKE שמקבל את האירועים להפעלת הטריגר. השירות יכול להיות בכל אחד מהמיקומים שנתמכים ב-GKE, והוא לא צריך להיות באותו מיקום כמו הטריגר. עם זאת, השירות צריך להיות באותו פרויקט כמו הטריגר והוא יקבל אירועים כבקשות HTTP POST שנשלחות לנתיב כתובת ה-URL הבסיסית שלו (/), בכל פעם שהאירוע נוצר.
• ‫DESTINATION_GKE_PATH: (אופציונלי) הנתיב היחסי שאתם מציינים בשירות GKE של היעד שאליו יישלחו האירועים של הטריגר. לדוגמה: /, /route, route, route/subroute.
• ‫SERVICE_ACCOUNT_NAME: השם של חשבון השירות שמנוהל על ידי המשתמש.
• ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

הערות:

• הדגל --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" הוא חובה ואי אפשר לשנות אותו. אם רוצים להשתמש בסוג אירוע אחר, צריך ליצור טריגר חדש.
• לכל טריגר יכולים להיות כמה מסנני אירועים, מופרדים בפסיקים בדגל אחד --event-filters=[ATTRIBUTE=VALUE,...] או שאפשר לחזור על הדגל כדי להוסיף עוד מסננים. רק אירועים שתואמים לכל המסננים נשלחים ליעד. אין תמיכה בתווים כלליים לחיפוש ובביטויים רגולריים.
• כברירת מחדל, מינויים ל-Pub/Sub שנוצרו עבור Eventarc נשמרים ללא קשר לפעילות ולא פוקע תוקפם. כדי לשנות את משך הזמן של חוסר הפעילות, אפשר לעיין במאמר בנושא ניהול מינויים.

דוגמה:

gcloud eventarc triggers create helloworld-trigger \
    --location=us-central1 \
    --destination-gke-cluster=gke-events-cluster \
    --destination-gke-location=us-central1-a \
    --destination-gke-namespace=default \
    --destination-gke-service=helloworld \
    --destination-gke-path=/ \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --service-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com

כך נוצר נושא Pub/Sub חדש וטריגר בשם helloworld-trigger.

Terraform

אפשר ליצור טריגר ליעד GKE באמצעות Terraform. פרטים נוספים זמינים במאמר יצירת טריגר באמצעות Terraform.

הערה: הטריגר נוצר באופן מיידי, אבל יכולות לחלוף עד שתי דקות עד שהטריגר יופעל ויסנן את האירועים.

הצגת טריגר

אפשר לאשר את יצירת הטריגר באמצעות רשימת הטריגרים של Eventarc ב-Google Cloud CLI או במסוף Google Cloud .

המסוף

1. נכנסים לדף Triggers ב-Eventarc במסוף Google Cloud .

   כניסה לדף Triggers

   בדף הזה מפורטים הטריגרים בכל המיקומים, כולל פרטים כמו שמות, אזורים, ספקי אירועים, יעדים ועוד.

2. כדי לסנן את הטריגרים:

   1. לוחצים על Filter (מסנן) או על השדה Filter triggers (טריגרים של מסנן).
   2. ברשימה Properties, בוחרים אפשרות לסינון הטריגרים.

   אפשר לבחור נכס אחד או להשתמש באופרטור הלוגי OR כדי להוסיף עוד נכסים.

3. כדי למיין את הטריגרים, לוחצים על מיון לצד כותרת של עמודה נתמכת.

gcloud

מריצים את הפקודה הבאה כדי להציג את הטריגרים:

gcloud eventarc triggers list --location=-

הפקודה הזו מציגה רשימה של הטריגרים בכל המיקומים, וכוללת פרטים כמו שמות, סוגים, יעדים וסטטוסים.

המאמרים הבאים

• מידע נוסף על Eventarc
• איך מנהלים טריגרים