Cloud Storage から直接イベントを受信する（gcloud CLI）

Cloud Storage から直接イベントを受信する（gcloud CLI）

Standard

このクイックスタートでは、Eventarc を使用して、未承認の Cloud Run サービスで Cloud Audit Logs を使用せずに）Cloud Storage から直接イベントを受信する方法について説明します。

注: すべての Cloud Run サービスは、デフォルトで非公開にデプロイされます。リクエストで認証情報を提供しないと、サービスにアクセスできません。ドメインで制限された共有の組織のポリシーがあるプロジェクトの場合は、公開（未認証）アクセスではなく、認証済みの Cloud Run ターゲット サービスを使用します。

Cloud Storage バケット内のさまざまなイベント（オブジェクトの作成、削除、アーカイブ、メタデータの更新）に応じて通知のトリガーを構成できます。詳細については、Cloud Storage イベントを Cloud Run に転送するトリガーを作成するをご覧ください。

このクイックスタートでは、以下の操作を行います。

1. イベントソースとなる Cloud Storage バケットを作成する。

2. イベント レシーバ サービスを Cloud Run にデプロイする。

3. Eventarc トリガーを作成する。

4. Cloud Storage バケットにファイルをアップロードしてイベントを生成し、Cloud Run のログで確認する。

始める前に

組織で定義されているセキュリティの制約により、次の手順を完了できない場合があります。トラブルシューティング情報については、制約のある Google Cloud 環境でアプリケーションを開発するをご覧ください。

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します。

gcloud init

Google Cloud プロジェクトを作成または選択します。

プロジェクトの選択または作成に必要なロール

• プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
• プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。ロールを付与する方法を確認する。

注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。

• Google Cloud プロジェクトを作成します。

  gcloud projects create PROJECT_ID

  PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。

• 作成した Google Cloud プロジェクトを選択します。

  gcloud config set project PROJECT_ID

  PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

Google Cloud CLI をインストールします。

外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

gcloud CLI を初期化するには、次のコマンドを実行します。

gcloud init

Google Cloud プロジェクトを作成または選択します。

プロジェクトの選択または作成に必要なロール

• プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
• プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。ロールを付与する方法を確認する。

注: この手順で作成するリソースをそのまま保持する予定でない場合、既存のプロジェクトを選択するのではなく、新しいプロジェクトを作成してください。チュートリアルの終了後にそのプロジェクトを削除すれば、プロジェクトに関連するすべてのリソースを削除できます。

• Google Cloud プロジェクトを作成します。

  gcloud projects create PROJECT_ID

  PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。

• 作成した Google Cloud プロジェクトを選択します。

  gcloud config set project PROJECT_ID

  PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

1. Cloud Run、Cloud Storage、Eventarc、Pub/Sub API を有効にします。

   gcloud services enable \
   eventarc.googleapis.com \
   pubsub.googleapis.com \
   run.googleapis.com \
   storage.googleapis.com

2. gcloud コンポーネントを更新します。

   gcloud components update

3. アカウントを使用してログインします。

   gcloud auth login

4. このクイックスタートで使用する構成変数を設定します。

   gcloud config set run/region us-central1
   gcloud config set run/platform managed
   gcloud config set eventarc/location us-central1

5. プロジェクト作成者には、基本オーナーロール（roles/owner）が付与されます。デフォルトでは、この Identity and Access Management（IAM）ロールには、ほとんどの Google Cloudリソースへのフルアクセスに必要な権限が含まれており、この手順は省略できます。

   プロジェクト作成者でない場合は、プロジェクトで適切なプリンシパルに必要な権限を付与する必要があります。プリンシパルは Google アカウント（エンドユーザーの場合）やサービス アカウント（アプリケーションとコンピューティング ワークロードの場合）になることもあります。詳細については、イベントの宛先のロールと権限のページをご覧ください。

   必要な権限

   このチュートリアルを完了するために必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

   • Cloud Run 管理者（roles/run.admin）
   • Eventarc 管理者（roles/eventarc.admin）
   • ログ表示アクセス者（roles/logging.viewAccessor）
   • プロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
   • サービス アカウント管理者（roles/iam.serviceAccountAdmin）
   • サービス アカウント ユーザー（roles/iam.serviceAccountUser）
   • Service Usage 管理者（roles/serviceusage.serviceUsageAdmin）
   • ストレージ管理者（roles/storage.admin）

   ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

   必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

6. Compute Engine のデフォルトのサービス アカウントをメモしておいてください。テスト目的で、Eventarc トリガーにこのサービス アカウントを関連付け、トリガーの ID として使用します。このサービス アカウントは、Compute Engine を使用する Google Cloud サービスを有効にするか使用すると自動的に作成されます。メールアドレスの形式は次のとおりです。

   [e-mail]

   PROJECT_NUMBER は、使用する Google Cloudプロジェクト番号に置き換えます。プロジェクト番号は、 Google Cloud コンソールの [ようこそ] ページで確認できます。また、次のコマンドでも確認できます。

   gcloud projects describe PROJECT_ID --format='value(projectNumber)'

   本番環境では、新しいサービス アカウントを作成して、必要最小限の権限を含む、最小権限の原則に従った 1 つ以上の IAM ロールを付与することを強くおすすめします。

   注:

   iam.automaticIamGrantsForDefaultServiceAccounts 組織のポリシーの制約により、編集者のロールはデフォルトのサービス アカウントに自動的に付与されません。2024 年 5 月 3 日より後に組織を作成した場合、この制約はデフォルトで適用されます。

   この制約を適用して、ロールの自動付与を無効にすることを強くおすすめします。ロールの自動付与を無効にする場合は、デフォルトのサービス アカウントに付与するロールを決定し、ご自身でこれらのロールを付与する必要があります。

   デフォルトのサービス アカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービス アカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

7. プロジェクトの Eventarc イベント レシーバーのロール（roles/eventarc.eventReceiver）を Compute Engine のデフォルト サービス アカウントに付与して、Eventarc トリガーがイベント プロバイダからイベントを受信できるようにします。

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/eventarc.eventReceiver

8. Cloud Storage からの直接イベントのトリガーを作成する前に、Cloud Storage サービス エージェントに Pub/Sub パブリッシャーのロール（roles/pubsub.publisher）を付与します。

   SERVICE_ACCOUNT="$(gcloud storage service-agent --project=PROJECT_ID)"
   
   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:${SERVICE_ACCOUNT}" \
       --role='roles/pubsub.publisher'

9. 2021 年 4 月 8 日以前に、認証済みの Pub/Sub push リクエストをサポートするために Cloud Pub/Sub サービス エージェントを有効にした場合は、サービス アカウント トークン作成者のロール（roles/iam.serviceAccountTokenCreator）をサービス エージェントに付与します。それ以外の場合、このロールはデフォルトで付与されます。

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/iam.serviceAccountTokenCreator

Cloud Storage バケットを作成する

イベントソースとして使用する Cloud Storage バケットを作成します。

gcloud storage buckets create gs://PROJECT_ID-bucket/ --location=us-central1

注: Cloud Storage バケットは、Eventarc トリガーと同じGoogle Cloud プロジェクトおよびリージョンまたはマルチリージョンに存在する必要があります。

イベントソースの作成後、Cloud Run にイベント レシーバー サービスをデプロイできます。

イベント レシーバー サービスを Cloud Run にデプロイする

ビルド済みのイメージ us-docker.pkg.dev/cloudrun/container/hello を使用し、イベントを受信してログに記録する Cloud Run サービスをデプロイします。

gcloud run deploy helloworld-events \
    --image=us-docker.pkg.dev/cloudrun/container/hello \
    --allow-unauthenticated

デプロイに成功すると、コマンドラインにサービスの URL が表示されます。

helloworld-events というイベント レシーバ サービスが Cloud Run にデプロイされました。これでトリガーを設定できます。

Eventarc トリガーを作成する

Eventarc トリガーは、Cloud Storage バケットから helloworld-events Cloud Run サービスにイベントを送信します。

1. Cloud Storage イベントをフィルタし、Compute Engine のデフォルト サービス アカウントを使用するトリガーを作成します。

     gcloud eventarc triggers create storage-events-trigger \
         --destination-run-service=helloworld-events \
         --destination-run-region=us-central1 \
         --event-filters="type=google.cloud.storage.object.v1.finalized" \
         --event-filters="bucket=PROJECT_ID-bucket" \
         --service-account=[e-mail]
   

   これにより、storage-events-trigger というトリガーが作成されます。

   Google Cloud プロジェクトで初めて Eventarc トリガーを作成する場合は、Eventarc サービス エージェントのプロビジョニングに遅延が発生する可能性があります。この問題は通常、トリガーを再度作成することで解決できます。詳細については、権限拒否エラーをご覧ください。

2. storage-events-trigger が正常に作成されたことを確認するには、次のコマンドを実行します。

     gcloud eventarc triggers list --location=us-central1
   

   出力は次のようになります。

    NAME                    TYPE                                      DESTINATION_RUN_SERVICE  DESTINATION_RUN_PATH  ACTIVE
    storage-events-trigger  google.cloud.storage.object.v1.finalized  helloworld-events                              Yes
   

注: トリガーはすぐに作成されますが、トリガーが完全に機能するまでに 2 分ほどかかることがあります。

イベントを生成して表示する

1. イベントを生成するには、Cloud Storage にテキスト ファイルをアップロードします。

    echo "Hello World" > random.txt
    gcloud storage cp random.txt gs://PROJECT_ID-bucket/random.txt
   

   アップロードによりイベントが生成され、Cloud Run サービスはイベントのメッセージをロギングします。

2. ログエントリを表示するには、ログエントリをフィルタし、JSON 形式で出力を返します。

   gcloud logging read 'jsonPayload.message: "Received event of type google.cloud.storage.object.v1.finalized."'
   

3. 次のようなログエントリを探します。

   jsonPayload:
     event:
     ...
     eventType: google.cloud.storage.object.v1.finalized
     message: |
       Received event of type google.cloud.storage.object.v1.finalized. Event data: {
         "kind": "storage#object",
         "id": "PROJECT_ID-bucket/random.txt/1713970683868432",
         "selfLink": "https://www.googleapis.com/storage/v1/b/PROJECT_ID-bucket/o/random.txt",
         "name": "random.txt",
         "bucket": "PROJECT_ID-bucket",
         ...
       }
   

   注: ログエントリが表示されない場合は、数分待ってから gcloud logging read コマンドを再試行してください。トリガーが作成されてからイベントのフィルタリングを開始するまでに、2 分ほどかかることがあります。

これで完了です。これで、イベント レシーバ サービスを Cloud Run にデプロイし、Eventarc トリガーを作成して、Cloud Storage からイベントを生成し、それを Cloud Run ログで確認できました。

クリーンアップ

このドキュメントに記載されているタスクの完了後、作成したリソースを削除すると、それ以上の請求は発生しません。

次のことが可能です。

1. Cloud Storage バケットを削除する。

2. Cloud Run サービスを削除する。

3. Eventarc トリガーを削除する。

また、 Google Cloud プロジェクトを削除して、料金が発生しないようにすることもできます。 Google Cloud プロジェクトを削除すると、そのプロジェクト内で使用されているすべてのリソースに対する課金が停止します。

注意: プロジェクトを削除すると、次のような影響があります。

• プロジェクト内のすべてのものが削除されます。既存のプロジェクトを使用してこのドキュメントのタスクを行った場合、そのプロジェクトを削除すると、プロジェクト内で行った他の作業もすべて削除されます。
• カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。そのプロジェクト ID を使用した URL（例: appspot.com）を保持するには、プロジェクト全体ではなく、プロジェクト内の選択したリソースだけを削除します。

Google Cloud プロジェクトを削除します。

gcloud projects delete PROJECT_ID

複数のチュートリアルとクイックスタートを実施する予定がある場合は、プロジェクトを再利用すると、プロジェクトの割り当て上限を超えないようにできます。

次のステップ

• Cloud Run 用のコンテナをビルドする
• Eventarc トリガーを使用してワークフローで Cloud Run ジョブを実行する
• Cloud Run サービスを開発する