קבלת אירוע מיומני ביקורת בענן

רגילה

במדריך הזה נסביר איך לפרוס שירות מאומת של Cloud Run שמקבל אירועים מ-Cloud Storage באמצעות יומני ביקורת של Cloud. אפשר להשתמש במדריך הזה כדי לפרוס עומסי עבודה בסביבת ייצור. הטריגר של Eventarc מסנן אירועים על סמך רשומות ביומני הביקורת של Cloud. מידע נוסף זמין במאמר בנושא קביעת מסנני אירועים ליומני ביקורת של Cloud.

הערה: כל השירותים של Cloud Run נפרסים באופן פרטי כברירת מחדל, כלומר אי אפשר לגשת אליהם בלי לספק פרטי אימות בבקשה. בפרויקטים עם מדיניות ארגון של שיתוף מוגבל לדומיין, צריך להשתמש בשירות יעד מאומת של Cloud Run ולא בשירות שמאפשר גישה ציבורית.

אפשר להשלים את המדריך הזה באמצעות מסוף Google Cloud או Google Cloud CLI.

מטרות

במדריך הזה תלמדו:

1. יוצרים קטגוריה של Cloud Storage שתשמש כמקור האירועים.

2. פריסת שירות לקבלת אירועים ב-Cloud Run.

3. יוצרים טריגר Eventarc.

4. יוצרים אירוע על ידי העלאת קובץ לקטגוריה של Cloud Storage, וצופים בו ביומנים של Cloud Run.

עלויות

במסמך הזה משתמשים ברכיבים הבאים של Google Cloud, והשימוש בהם כרוך בתשלום:

• Artifact Registry
• Cloud Build
• Cloud Logging
• Cloud Run
• Cloud Storage
• Eventarc
• Pub/Sub

כדי להעריך את ההוצאות בהתאם לתחזית השימוש שלכם, אתם יכולים להיעזר במחשבון העלויות.

משתמשים חדשים של Google Cloud ? יכול להיות שאתם זכאים לתקופת ניסיון בחינם.

לפני שמתחילים

יכול להיות שהגבלות אבטחה שהוגדרו בארגון שלכם ימנעו מכם להשלים את השלבים הבאים. מידע לפתרון בעיות זמין במאמר פיתוח אפליקציות בסביבה Google Cloud מוגבלת.

אם אתם יוצרי הפרויקט, מוקצה לכם תפקיד הבעלים הבסיסי (roles/owner). כברירת מחדל, תפקיד ניהול הזהויות והרשאות הגישה (IAM) הזה כולל את ההרשאות שנדרשות לגישה מלאה לרוב המשאבים Google Cloud, ואפשר לדלג על השלב הזה.

אם אתם לא יוצרי הפרויקט, צריך להעניק את ההרשאות הנדרשות בחשבון המשתמש המתאים בפרויקט. לדוגמה, חשבון משתמש יכול להיות חשבון Google (למשתמשי קצה) או חשבון שירות (לאפליקציות ולעומסי עבודה ממוחשבים). מידע נוסף זמין בדף תפקידים והרשאות של יעד האירוע.

שימו לב: כברירת מחדל, ההרשאות של Cloud Build כוללות הרשאות להעלאה ולהורדה של ארטיפקטים של Artifact Registry.

ההרשאות הנדרשות

כדי לקבל את ההרשאות שדרושות להשלמת המדריך הזה, צריך לבקש מהאדמין להקצות לכם בפרויקט את תפקידי ה-IAM הבאים:

• עריכה ב-Cloud Build (roles/cloudbuild.builds.editor)
• אדמין ב-Cloud Run (roles/run.admin)
• אדמין ב-Eventarc (roles/eventarc.admin)
• בעל הרשאת גישה לתצוגת יומנים (roles/logging.viewAccessor)
• אדמין IAM בפרויקט (roles/resourcemanager.projectIamAdmin)
• אדמין בחשבון שירות (roles/iam.serviceAccountAdmin)
• משתמש בחשבון שירות (roles/iam.serviceAccountUser)
• אדמין Service Usage (roles/serviceusage.serviceUsageAdmin)
• אדמין באחסון (roles/storage.admin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

מבצעים את השלבים הבאים באמצעות מסוף Google Cloud או ה-CLI של gcloud:

המסוף

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs, if any are not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the APIs

1. כדי להגדיר אילו גישות לנתונים יתועדו ביומני הביקורת, צריך להפעיל את סוגי היומנים Admin Read,‏ Data Read ו-Data Write עבור Google Cloud Storage:

   כניסה לדף 'יומני ביקורת'

2. נכנסים לדף Service accounts במסוף Google Cloud .

   לדף Service accounts

3. לוחצים על יצירת חשבון שירות.

4. נותנים לחשבון השירות שם שיוצג במסוף Google Cloud .

   המסוף יוצר מזהה לחשבון השירות על סמך השם הזה. Google Cloud עורכים את המזהה לפי הצורך. אי אפשר יהיה לשנות את המזהה בשלב מאוחר יותר.

5. אופציונלי: מזינים תיאור לחשבון השירות.

6. אם לא רוצים להגדיר את אמצעי בקרת הגישה עכשיו, לוחצים על Done כדי לסיים את יצירת חשבון השירות.

   כדי להגדיר אמצעי בקרת גישה עכשיו, לוחצים על Create and continue וממשיכים לשלב הבא.

7. בוחרים את התפקידים Cloud Run Invoker ו- Eventarc Event Receiver כדי להעניק בפרויקט לחשבון השירות שמשויך לטריגר Eventarc.

   למטרות בדיקה, ההרשאה הזו מקצה את התפקיד Cloud Run Invoker לכל השירותים והמשימות של Cloud Run בפרויקט. עם זאת, אפשר להקצות את התפקיד לשירות. מידע נוסף זמין במאמר בנושא מתן הרשאות לשירות Cloud Run.

   שימו לב: אם יוצרים טריגר לשירות מאומת ב-Cloud Run בלי להעניק את התפקיד Cloud Run Invoker, הטריגר נוצר בהצלחה והוא פעיל. עם זאת, הטריגר לא יפעל כמו שציפיתם ותופיע ביומנים הודעה דומה לזו:

   The request was not authenticated. Either allow public access or set the proper Authorization header.
8. כשמסיימים להוסיף תפקידים, לוחצים על Continue ואז על Done כדי לסיים את יצירת חשבון השירות.

gcloud

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

התקינו את ה-CLI של Google Cloud.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:

gcloud init

יוצרים או בוחרים Google Cloud פרויקט.

תפקידים שנדרשים כדי לבחור או ליצור פרויקט

• Select a project: כדי לבחור פרויקט לא צריך תפקיד IAM ספציפי – אפשר לבחור כל פרויקט שקיבלתם בו תפקיד.
• יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד Project Creator (roles/resourcemanager.projectCreator), שכולל את ההרשאה resourcemanager.projects.create. איך מקצים תפקידים

הערה: אם אתם לא מתכננים לשמור את המשאבים שתיצרו בתהליך הזה, תוכלו ליצור פרויקט חדש במקום לבחור באחד מהפרויקטים הקיימים. בסיום התהליך תוכלו למחוק את הפרויקט ולהסיר את כל המשאבים שמשויכים אליו.

• יוצרים Google Cloud פרויקט:

  gcloud projects create PROJECT_ID

  מחליפים את PROJECT_ID בשם של פרויקט Google Cloud שיוצרים.

• בוחרים את הפרויקט שיצרתם: Google Cloud

  gcloud config set project PROJECT_ID

  מחליפים את PROJECT_ID בשם הפרויקט ב- Google Cloud .

מוודאים שהחיוב מופעל בפרויקט Google Cloud .

מפעילים את Artifact Registry,‏ Cloud Build,‏ Logging,‏ Pub/Sub,‏ Cloud Run,‏ Cloud Storage ו-Eventarc APIs, אם אחד מהם עדיין לא מופעל:

תפקידים שנדרשים להפעלת ממשקי API

כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
      logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
      storage.googleapis.com  and eventarc.googleapis.com

התקינו את ה-CLI של Google Cloud.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה:

gcloud init

יוצרים או בוחרים Google Cloud פרויקט.

תפקידים שנדרשים כדי לבחור או ליצור פרויקט

• Select a project: כדי לבחור פרויקט לא צריך תפקיד IAM ספציפי – אפשר לבחור כל פרויקט שקיבלתם בו תפקיד.
• יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד Project Creator (roles/resourcemanager.projectCreator), שכולל את ההרשאה resourcemanager.projects.create. איך מקצים תפקידים

הערה: אם אתם לא מתכננים לשמור את המשאבים שתיצרו בתהליך הזה, תוכלו ליצור פרויקט חדש במקום לבחור באחד מהפרויקטים הקיימים. בסיום התהליך תוכלו למחוק את הפרויקט ולהסיר את כל המשאבים שמשויכים אליו.

• יוצרים Google Cloud פרויקט:

  gcloud projects create PROJECT_ID

  מחליפים את PROJECT_ID בשם של פרויקט Google Cloud שיוצרים.

• בוחרים את הפרויקט שיצרתם: Google Cloud

  gcloud config set project PROJECT_ID

  מחליפים את PROJECT_ID בשם הפרויקט ב- Google Cloud .

מוודאים שהחיוב מופעל בפרויקט Google Cloud .

מפעילים את Artifact Registry,‏ Cloud Build,‏ Logging,‏ Pub/Sub,‏ Cloud Run,‏ Cloud Storage ו-Eventarc APIs, אם אחד מהם עדיין לא מופעל:

תפקידים שנדרשים להפעלת ממשקי API

כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
      logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
      storage.googleapis.com  and eventarc.googleapis.com

1. עדכון הרכיבים של gcloud:

   gcloud components update

2. נכנסים באמצעות החשבון:

   gcloud auth login
   

3. מגדירים את משתני ההגדרה שמשמשים במדריך הזה:

   export REGION=us-central1
   gcloud config set run/region ${REGION}
   gcloud config set run/platform managed
   gcloud config set eventarc/location ${REGION}
   export SERVICE_NAME=helloworld-events

4. כדי להגדיר אילו פעולות גישה לנתונים יתועדו ביומני הביקורת, צריך להפעיל את סוגי היומנים ADMIN_READ, DATA_READ ו-DATA_WRITE בשירות storage.googleapis.com:
   1. קוראים את מדיניות ה-IAM של הפרויקט ושומרים אותה בקובץ:

      gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

   2. עורכים את המדיניות ב/tmp/policy.yaml, מוסיפים או משנים רק את ההגדרה של יומני הביקורת Data Access.
      שימו לב: חובה לשמור את הקטעים bindings: ו-etag: ללא שינויים. אם לא תעשו זאת, יכול להיות שלא תוכלו להשתמש בפרויקט.

      auditConfigs:
      - auditLogConfigs:
      - logType: ADMIN_READ
      - logType: DATA_WRITE
      - logType: DATA_READ
      service: storage.googleapis.com

   3. כותבים את מדיניות ה-IAM החדשה:

      gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml

      אם הפקודה הקודמת מדווחת על התנגשות עם שינוי אחר, צריך לחזור על השלבים האלה, החל מקריאת מדיניות ה-IAM של הפרויקט.
5. יוצרים חשבון שירות לפרויקט:

   gcloud iam service-accounts create sample-service-account \
       --description="A sample service account" \
       --display-name="Sample service account"

   אחרי שיוצרים חשבון שירות, יכולות לחלוף עד שבע דקות לפני שאפשר יהיה להשתמש בו. אם ניסיתם להשתמש בחשבון שירות מיד אחרי שיצרתם אותו וקיבלתם הודעת שגיאה, צריך להמתין לפחות 60 שניות ולנסות שוב.
6. כדי לוודא ש-sample-service-account נוצר, מריצים את הפקודה:

   gcloud iam service-accounts list

   הפלט אמור להיראות כך:

   DISPLAY NAME                     EMAIL                                                               DISABLED
   Default compute service account  [e-mail]                False
   Sample service account           sample-service-account@PROJECT_ID.iam.gserviceaccount.com           False

7. מקצים לחשבון השירות שמשויך לטריגר Eventarc את התפקידים Cloud Run Invoker‏ (run.invoker) ו- Eventarc Event Receiver‏ (roles/eventarc.eventReceiver) בפרויקט:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/run.invoker"

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
       --role="roles/eventarc.eventReceiver"

   מחליפים את PROJECT_ID במזהה הפרויקט ב- Google Cloud.

   למטרות בדיקה, הפקודה הזו מעניקה את התפקיד Cloud Run Invoker בכל השירותים והמשימות של Cloud Run בפרויקט. עם זאת, אפשר להעניק את התפקיד בשירות. מידע נוסף זמין במאמר בנושא הענקת הרשאות לשירות Cloud Run.

   שימו לב: אם יוצרים טריגר לשירות מאומת ב-Cloud Run בלי להעניק את התפקיד Cloud Run Invoker, הטריגר נוצר בהצלחה והוא פעיל. עם זאת, הטריגר לא יפעל כמו שצריך ותופיע הודעה דומה לזו שמופיעה ביומנים:

   The request was not authenticated. Either allow public access or set the proper Authorization header.
הערה: אם הפעלתם את חשבון השירות של Pub/Sub ב-8 באפריל 2021 או לפני כן, צריך להקצות לחשבון השירות של Pub/Sub את התפקיד iam.serviceAccountTokenCreator.

יצירת מאגר רגיל ב-Artifact Registry

יוצרים מאגר רגיל ב-Artifact Registry כדי לאחסן את קובץ אימג' של קונטיינר.

המסוף

1. נכנסים לדף Repositories במסוף Google Cloud .
   

   כניסה לדף Repositories

2. לוחצים על Create repository (יצירת מאגר).
3. מגדירים את המאגר:
   1. מזינים שם ייחודי.
   2. בקטע פורמט, בוחרים באפשרות Docker.
   3. בשדה Mode (מצב), בוחרים באפשרות Standard (רגיל).
   4. בקטע Location type, בוחרים באפשרות Region.
   5. ברשימה Region בוחרים באפשרות us-central1 (Iowa).
4. מאשרים את שאר ברירות המחדל ולוחצים על יצירה.

gcloud

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

מחליפים את REPOSITORY בשם ייחודי למאגר Artifact Registry.

יצירת קטגוריה של Cloud Storage

במדריך הזה נעשה שימוש ב-Cloud Storage כמקור האירועים. כדי ליצור קטגוריית אחסון:

המסוף

1. נכנסים לדף Buckets במסוף Google Cloud .
   

   כניסה לדף Buckets

2. לוחצים על Create bucket.
3. מזינים את פרטי הקטגוריה ולוחצים על Continue כדי להשלים כל שלב:
   1. מזינים שם ייחודי. לדוגמה, eventarcbucket.
   2. בוחרים באפשרות Region (אזור) בתור Location Type (סוג המיקום).
   3. בוחרים באפשרות us-central1 (Iowa) בשדה מיקום.
   4. בוחרים באפשרות Standard בשביל default storage class.
   5. בוחרים באפשרות Uniform בשביל בקרת גישה.
4. לוחצים על יצירה.

gcloud

gcloud storage buckets create gs://events-tutorial-PROJECT_ID/ --location=$REGION

אחרי שיוצרים את מקור האירועים, אפשר לפרוס את שירות מקבל האירועים ב-Cloud Run.

פריסת שירות לקבלת אירועים ב-Cloud Run

פריסת שירות Cloud Run שמקבל אירועים ומתעד אותם ביומן. כדי לפרוס את שירות קבלת האירועים לדוגמה:

המסוף

1. משכפלים את המאגר לדוגמה ומעבירים אותו לחשבון ב-GitHub:

המשך

1. ב-GitHub, עוברים אל GoogleCloudPlatform/golang-samples
2. לוחצים על Fork.

3. אם מופיעה בקשה, בוחרים את המיקום שבו רוצים ליצור הסתעפות של המאגר.

Java

1. ב-GitHub, עוברים אל GoogleCloudPlatform/java-docs-samples.
2. לוחצים על Fork.

3. אם מופיעה בקשה, בוחרים את המיקום שבו רוצים ליצור את הפיצול של המאגר.

‎.NET

1. ב-GitHub, עוברים אל GoogleCloudPlatform/dotnet-docs-samples.
2. לוחצים על Fork.

3. אם מופיעה בקשה, בוחרים את המיקום שבו רוצים ליצור הסתעפות של המאגר.

Node.js

1. ב-GitHub, עוברים אל GoogleCloudPlatform/nodejs-docs-samples.
2. לוחצים על Fork.

3. אם מופיעה בקשה, בוחרים את המיקום שבו רוצים ליצור הסתעפות של המאגר.

Python

1. ב-GitHub, עוברים אל GoogleCloudPlatform/python-docs-samples.
2. לוחצים על Fork.

3. אם מופיעה בקשה, בוחרים את המיקום שבו רוצים ליצור הסתעפות של המאגר.
2. נכנסים לדף Services במסוף Google Cloud .

כניסה לדף Services

3. לוחצים על Create service כדי להציג את הטופס Create service.
4. בוחרים באפשרות פריסה רציפה ממאגר.

   שינויים במאגר GitHub שלכם נבנים אוטומטית בקובצי אימג' של קונטיינרים ב-Artifact Registry ונפרסים ב-Cloud Run.

5. לוחצים על Set up with Cloud Build כדי לפתוח את הטופס Set up with Cloud Build.
1. אם מופיעה בקשה, מפעילים את Cloud Build API ואת Artifact Analysis API.
2. בוחרים באפשרות GitHub בתור ספק המאגר.
   הערה: אם עדיין לא עברתם אימות, לוחצים על אימות ופועלים לפי ההוראות לחיבור למאגר באמצעות אפליקציית Cloud Build GitHub.
3. אם מוצגת בקשה, לוחצים על Install Google Cloud Build (התקנת Google Cloud Build).
4. בוחרים את המאגר המחובר ב-GitHub כמאגר.
5. לוחצים על הבא.
6. בשדה Branch, מזינים ^main$.
7. בוחרים באפשרות Dockerfile בתור Build Type ומזינים את מיקום המקור של קובץ ה-Dockerfile:
   • eventarc/audit-storage/Dockerfile

     או

   • eventarc/audit_storage/Dockerfile(Go)
8. לוחצים על Save.
6. בטופס Create service, מזינים שם לשירות. לדוגמה, helloworld-events.
7. בוחרים באפשרות us-central1(Iowa) בשדה Region שבו רוצים למקם את השירות.
8. בוחרים באחת מהאפשרויות של תעבורת נתונים נכנסת (ingress) על סמך תעבורת הנתונים הנכנסת שרוצים לאפשר בשירות Cloud Run.
9. בוחרים באפשרות דרישת אימות.
10. לוחצים על יצירה.

gcloud

1. משכפלים את המאגר מ-GitHub:

   המשך

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git
   cd golang-samples/eventarc/audit_storage
   

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
   cd java-docs-samples/eventarc/audit-storage

   ‎.NET

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
   cd dotnet-docs-samples/eventarc/audit-storage

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
   cd nodejs-docs-samples/eventarc/audit-storage

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/eventarc/audit-storage

2. יוצרים את הקונטיינר ומעלים אותו ל-Cloud Build:

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

3. פורסים את קובץ האימג' של הקונטיינר ב-Cloud Run:
   ‫

   gcloud run deploy $SERVICE_NAME \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

   הערה: בהתאם לרמת הגישה לרשת שנדרשת לשירות Cloud Run, אפשר גם להגדיר את דגל הכניסה.

   בבקשה לאפשר הפעלות לא מאומתות, מזינים n.

   כשפריסת השירות מסתיימת בהצלחה, כתובת ה-URL של השירות מוצגת בשורת הפקודה.

אחרי שפורסים את שירות מקבל האירועים שנקרא helloworld-events ב-Cloud Run, אפשר להגדיר את הטריגר.

יצירת טריגר Eventarc

הטריגר של Eventarc ישלח אירועים מהקטגוריה של Cloud Storage לשירות helloworld-events של Cloud Run.

המסוף

1. נכנסים לדף Triggers במסוף Google Cloud .

   כניסה לדף Triggers

2. לוחצים על Create trigger (יצירת ביטוי להפעלה).
3. מקלידים Trigger name.

   זהו המזהה של הטריגר, והוא חייב להתחיל באות. הוא יכול להכיל עד 63 אותיות קטנות, מספרים או מקפים.

4. בוחרים סוג טריגר:
   • מאינטראקציה ישירה (First-Party): סינון אירועים שנשלחים מספקי Google Cloud שירות (ישירות או דרך רשומות ביומני הביקורת של Cloud) או מספקים באמצעות הודעות Pub/Sub.
   • צד שלישי: מסנן אירועים שנשלחים מספקים של צד שלישי.
5. ברשימה ספק האירועים, בוחרים באפשרות Cloud Storage כמקור האירועים.
6. ברשימה Event type (סוג האירוע), בוחרים באפשרות storage.objects.create.
7. ברשימה Region, בוחרים באפשרות us-central1 כאזור שממנו יתקבלו האירועים.
8. בוחרים את חשבון השירות שיצרתם. לדוגמה, SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
9. ברשימה Event destination, בוחרים באפשרות Cloud Run.
10. ברשימה Select a Cloud Run service, בוחרים באפשרות helloworld-events.
11. לוחצים על יצירה.
שימו לב שאפשר גם ליצור טריגר Eventarc באמצעות דף המסוף של Cloud Run.

gcloud

1. יוצרים טריגר שמסנן אירועים ב-Cloud Storage ומשתמש בחשבון השירות שיצרתם:
   ‫

   gcloud eventarc triggers create events-tutorial-trigger \
       --destination-run-service=$SERVICE_NAME \
       --destination-run-region=$REGION \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com

   מחליפים את PROJECT_ID במזהה הפרויקט Google Cloud.

   כאשר:

   • ‫type: מציין שיומני ביקורת נוצרים כשמתקיימים קריטריוני הסינון של הטריגר.
   • ‫serviceName: השירות שכותב את יומן הביקורת, שהוא Cloud Storage.
   • ‫methodName: הפעולה שנבדקת, שהיא storage.objects.create.
   הפעולה הזו יוצרת טריגר בשם events-tutorial-trigger.
2. כדי לוודא שevents-tutorial-trigger נוצר בהצלחה, מריצים את הפקודה:

   gcloud eventarc triggers list --location=$REGION

הטריגר events-tutorial-trigger מופיע עם יעד של helloworld-events.

הערה: הטריגר נוצר באופן מיידי, אבל יכולות לעבור עד שתי דקות עד שהוא יפעל באופן מלא.

יצירה והצגה של אירוע

1. כדי ליצור אירוע:

   המסוף

   1. יוצרים קובץ טקסט עם שם הקובץ random.txt והטקסט Hello World.
   2. נכנסים לדף Buckets במסוף Google Cloud .

      כניסה לדף Buckets

   3. בוחרים את קטגוריית האחסון שיצרתם.
   4. בכרטיסייה Objects לוחצים על Upload files ומעלים את הקובץ random.txt.

   gcloud

   העלאת קובץ טקסט ל-Cloud Storage:

   echo "Hello World" > random.txt
   gcloud storage cp random.txt gs://events-tutorial-PROJECT_ID/random.txt

2. כדי לראות את הרשומה ביומן:

המסוף

1. נכנסים לדף Services במסוף Google Cloud .

   כניסה לדף Services

2. ברשימת השירותים, לוחצים על שם השירות שיצרתם כדי לעבור לדף פרטי השירות.
3. לוחצים על הכרטיסייה Logs (יומנים) כדי לראות את יומני הבקשות והמאגרים של כל הגרסאות של השירות הזה. אפשר לסנן לפי רמת החומרה של היומן.
4. מחפשים רשומה ביומן שדומה ל:
   ‫

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   כאשר BUCKET_NAME הוא השם של קטגוריה של Cloud Storage.

gcloud

1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json

2. מחפשים רשומה ביומן שדומה ל:
   ‫

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   כאשר BUCKET_NAME הוא השם של קטגוריית Cloud Storage.
   הערה: אם לא מופיע רשומה ביומן, צריך לחכות כמה דקות ולנסות שוב את הפקודה gcloud logging read. יכול להיות שיחלפו עד שתי דקות מרגע היצירה של הטריגר ועד שהוא יתחיל לסנן אירועים.

פרסתם בהצלחה שירות לקבלת אירועים ב-Cloud Run, יצרתם טריגר של Eventarc, יצרתם אירוע מ-Cloud Storage וצפיתם בו ביומנים של Cloud Run.

הסרת המשאבים

ב-Cloud Run לא מחייבים כשלא משתמשים בשירות, אבל יכול להיות שעדיין תחויבו על אחסון קובץ האימג' של הקונטיינר ב-Artifact Registry, על אחסון קבצים בקטגוריה של Cloud Storage ועל משאבי Eventarc.

אתם יכולים:

1. מחיקת קובץ אימג' של קונטיינר.

2. מחיקת קטגוריית האחסון.

3. מחיקת טריגר Eventarc.

אפשר גם למחוק את הפרויקט Google Cloud כדי למנוע חיובים. כשמוחקים פרויקט ב- Google Cloud , החיוב על כל המשאבים שנעשה בהם שימוש באותו פרויקט מופסק.

זהירות: כשמוחקים פרויקט:

• התוכן של הפרויקט נמחק כולו. אם השתמשתם בפרויקט קיים כדי לתרגל את המשימות במדריך הזה, כשתמחקו אותו תימחק גם כל העבודה שביצעתם באותו פרויקט.
• מאבדים את מזהה הפרויקט בהתאמה אישית. כשיצרתם את הפרויקט, יכולתם לבחור לו מזהה פרויקט בהתאמה אישית כדי להשתמש בו בעתיד. כדי לשמור על כתובות ה-URL שמשתמשות במזהה הפרויקט, כמו appspot.com, צריך למחוק את המשאבים שנבחרו בפרויקט אבל לא את הפרויקט כולו.

כדי למחוק Google Cloud פרויקט:

gcloud projects delete PROJECT_ID

המאמרים הבאים

• פיתוח קונטיינרים
• יצירת טריגר להפניית אירועים מיומני ביקורת של Cloud אל Cloud Run
• פיתוח שירותים ב-Cloud Run
• קבלת אירועים מ-Pub/Sub באמצעות שירות מאומת של Cloud Run
• מדריך: ניפוי באגים בשירות Cloud Run באמצעות Eventarc