使用經過驗證的 Cloud Run 服務接收 Pub/Sub 事件

本教學課程說明如何使用經過驗證的 Cloud Run 服務部署容器化應用程式，並透過 Pub/Sub 接收事件。Pub/Sub 是一項全代管的即時訊息服務，可讓您在獨立的應用程式之間收發訊息。

目標

在這個教學課程中，您將執行下列操作：

  1. 將事件接收器服務部署至 Cloud Run，該服務需要經過驗證的叫用。

  2. 建立 Eventarc 觸發條件，將 Pub/Sub 主題連結至 Cloud Run 服務。

  3. 將訊息發布至 Pub/Sub 主題，產生事件。

  4. 在 Cloud Run 記錄檔中查看該事件。

費用

在本文件中，您會使用下列 Google Cloud的計費元件：

如要根據預測用量估算費用，請使用 Pricing Calculator。

初次使用 Google Cloud 的使用者可能符合免費試用期資格。

事前準備

貴機構定義的安全性限制，可能會導致您無法完成下列步驟。如需疑難排解資訊，請參閱「在受限的 Google Cloud 環境中開發應用程式」。

  1. 登入 Google Cloud 帳戶。如果您是 Google Cloud新手，歡迎 建立帳戶，親自評估產品在實際工作環境中的成效。新客戶還能獲得價值 $300 美元的免費抵免額，可用於執行、測試及部署工作負載。

  2. 安裝 Google Cloud CLI。

  3. 若您採用的是外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。

  4. 執行下列指令，初始化 gcloud CLI：

    gcloud init

  5. 建立或選取 Google Cloud 專案。

    選取或建立專案所需的角色

    • 選取專案：選取專案時，不需要具備特定 IAM 角色，只要您已獲授角色，即可選取任何專案。
    • 建立專案：如要建立專案，您需要具備專案建立者角色 (roles/resourcemanager.projectCreator)，其中包含 resourcemanager.projects.create 權限。瞭解如何授予角色。

    • 建立 Google Cloud 專案：

      gcloud projects create PROJECT_ID

      將 PROJECT_ID 替換為您要建立的 Google Cloud 專案名稱。

    • 選取您建立的 Google Cloud 專案：

      gcloud config set project PROJECT_ID

      將 PROJECT_ID 替換為 Google Cloud 專案名稱。

  6. 確認專案已啟用計費功能 Google Cloud 。

  7. 安裝 Google Cloud CLI。

  8. 若您採用的是外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。

  9. 執行下列指令，初始化 gcloud CLI：

    gcloud init

  10. 建立或選取 Google Cloud 專案。

    選取或建立專案所需的角色

    • 選取專案：選取專案時，不需要具備特定 IAM 角色，只要您已獲授角色，即可選取任何專案。
    • 建立專案：如要建立專案，您需要具備專案建立者角色 (roles/resourcemanager.projectCreator)，其中包含 resourcemanager.projects.create 權限。瞭解如何授予角色。

    • 建立 Google Cloud 專案：

      gcloud projects create PROJECT_ID

      將 PROJECT_ID 替換為您要建立的 Google Cloud 專案名稱。

    • 選取您建立的 Google Cloud 專案：

      gcloud config set project PROJECT_ID

      將 PROJECT_ID 替換為 Google Cloud 專案名稱。

  11. 確認專案已啟用計費功能 Google Cloud 。

  12. 更新 Google Cloud CLI 元件： 
    gcloud components update
  13. 登入帳戶： 
    gcloud auth login
  14. 啟用 API： 
    gcloud services enable artifactregistry.googleapis.com \
    cloudbuild.googleapis.com \
    eventarc.googleapis.com \
    pubsub.googleapis.com \
    run.googleapis.com
  15. 設定本教學課程中使用的設定變數： 
    export REGION=us-central1
gcloud config set run/region ${REGION}
gcloud config set run/platform managed
gcloud config set eventarc/location ${REGION}
export SERVICE_NAME=trigger-pubsub

  16. 如果您是專案建立者，系統會授予基本「擁有者」角色 (roles/owner)。根據預設，這個身分與存取權管理 (IAM) 角色包含完全存取大多數 Google Cloud資源所需的權限，因此您可以略過這個步驟。

    如果您不是專案建立者，必須在專案中將必要權限授予適當的主體。舉例來說，主體可以是 Google 帳戶 (適用於使用者)，也可以是服務帳戶 (適用於應用程式和運算工作負載)。詳情請參閱活動目的地的「角色和權限」頁面。

    請注意，根據預設，Cloud Build 權限包含上傳及下載 Artifact Registry 構件的權限。

    所需權限

    如要取得完成本教學課程所需的權限，請要求管理員在專案中授予您下列 IAM 角色：

    如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

    您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

  17. 記下 Compute Engine 預設服務帳戶，因為您會將其附加至 Eventarc 觸發程序，代表觸發程序的身分進行測試。啟用或使用採用 Compute Engine 的服務後，系統會自動建立這個服務帳戶，電子郵件地址格式如下： Google Cloud 

    PROJECT_NUMBER-compute@developer.gserviceaccount.com

    將 PROJECT_NUMBER 替換為 Google Cloud專案編號。您可以在 Google Cloud 控制台的「歡迎」頁面找到專案編號，也可以執行下列指令：

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    在正式環境中，我們強烈建議建立新的服務帳戶，並授予一或多個包含最低必要權限的 IAM 角色，同時遵循最低權限原則。

  18. 根據預設，只有專案擁有者、專案編輯者，以及 Cloud Run 管理員和叫用者可以呼叫 Cloud Run 服務。您可以依據服務控管存取權，但為了測試，請在 Google Cloud 專案中將 Cloud Run 叫用者角色 (run.invoker) 授予 Compute Engine 服務帳戶。這會授予專案中所有 Cloud Run 服務和工作的角色。
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/run.invoker

    請注意，如果您為經過驗證的 Cloud Run 服務建立觸發條件，但未授予 Cloud Run Invoker 角色，系統仍會成功建立並啟用觸發條件。不過，觸發條件不會正常運作，記錄中會顯示類似下列內容的訊息：

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
  19. 如果您是在 2021 年 4 月 8 日當天或之前啟用 Cloud Pub/Sub 服務代理，請將服務帳戶權杖建立者角色 (roles/iam.serviceAccountTokenCreator) 授予服務代理，以支援已驗證的 Pub/Sub 推送要求。否則，系統會預設授予這個角色： 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator

建立 Artifact Registry 標準存放區

建立 Artifact Registry 標準存放區，用於儲存容器映像檔：

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

將 REPOSITORY 替換為存放區的專屬名稱。

將事件接收器部署至 Cloud Run

部署 Cloud Run 服務，記錄事件內容。

  1. 複製 GitHub 存放區：

    Node.js 

    git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

    Python

    git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

    Go

    git clone https://github.com/GoogleCloudPlatform/golang-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

    Java

    git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

    Ruby 

    git clone https://github.com/GoogleCloudPlatform/ruby-docs-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

    C# 

    git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git

    您也可以下載 zip 格式的範例檔案，然後將檔案解壓縮。

  2. 變更為包含 Cloud Run 範例程式碼的目錄：

    Node.js

    cd nodejs-docs-samples/eventarc/pubsub/

    Python

    cd python-docs-samples/eventarc/pubsub/

    Go

    cd golang-samples/eventarc/pubsub/

    Java 

    cd java-docs-samples/eventarc/pubsub/

    Ruby

    cd ruby-docs-samples/eventarc/pubsub/

    C#

    cd dotnet-docs-samples/eventarc/pubsub/

  3. 建構容器並上傳至 Cloud Build：

    gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

  4. 將容器映像檔部署至 Cloud Run：

    gcloud run deploy ${SERVICE_NAME} \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

  5. 在「Allow unauthenticated invocations to trigger-pubsub (y/N)?」(允許未經驗證的叫用來觸發 trigger-pubsub 嗎？(y/N)) 提示中，輸入 n 代表「否」。

看到 Cloud Run 服務網址時，表示部署作業已完成。

建立 Eventarc 觸發條件

訊息發布至 Pub/Sub 主題時，事件會觸發 Cloud Run 服務。

  1. 建立觸發條件，監聽 Pub/Sub 訊息：

    新增 Pub/Sub 主題

      gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

    這會建立新的 Pub/Sub 主題，以及名為 trigger-pubsub 的觸發條件。

    現有 Pub/Sub 主題

      gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

    更改下列內容：

    • PROJECT_ID：您的 Google Cloud 專案 ID
    • TOPIC_ID：現有 Pub/Sub 主題的 ID

    這會為現有的 Pub/Sub 主題建立名為 trigger-pubsub 的觸發條件。

    請注意，在 Google Cloud 專案中首次建立 Eventarc 觸發條件時，Eventarc 服務代理程式的佈建作業可能會延遲。通常只要再次嘗試建立觸發條件，就能解決這個問題。詳情請參閱「權限遭拒錯誤」。

  2. 確認觸發條件已成功建立。請注意，雖然觸發條件會立即建立，但最多可能需要兩分鐘才能正常運作。

    gcloud eventarc triggers list --location=${REGION}

    傳回的觸發條件狀態應為 ACTIVE: Yes。

產生及查看活動

將訊息發布至 Pub/Sub 主題，產生事件並觸發 Cloud Run 服務。Cloud Run 服務會在服務記錄中記錄訊息。

  1. 找出 Pub/Sub 主題並設為環境變數：

    export TOPIC_ID=$(gcloud eventarc triggers describe ${SERVICE_NAME} \
    --format='value(transport.pubsub.topic)')

  2. 將訊息傳送到 Pub/Sub 主題，產生事件：

    gcloud pubsub topics publish $TOPIC_ID --message "Hello there"

    事件會傳送至 Cloud Run 服務，該服務會記錄事件訊息。

  3. 查看服務建立的事件相關記錄項目：

    gcloud logging read 'textPayload: "Hello there!"'

    記錄項目內容大致如下：

    textPayload: 'Hello, Hello there!'

記錄需要一些時間才會出現。如果沒有立即看到記錄，請稍待一分鐘後再檢查。

清除所用資源

如要避免產生在 Artifact Registry 中儲存容器映像檔、在 Cloud Storage 值區中儲存檔案，以及觸發 Eventarc 等費用，請刪除您為本教學課程建立的資源：

  1. 刪除 Cloud Run 服務。

  2. 刪除容器映像檔。

  3. 刪除 Eventarc 觸發條件。

或者，您也可以刪除 Google Cloud 專案。刪除Google Cloud 專案後，系統就會停止對專案使用的所有資源收取費用。

刪除 Google Cloud 專案：

gcloud projects delete PROJECT_ID

後續步驟