Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Cloud Storage バケットの IAP を有効にする

このドキュメントでは、Cloud Run と Identity-Aware Proxy を使用して Cloud Storage から安全な静的コンテンツを提供する方法について説明します。

Cloud Run を使用すると、限定公開の Cloud Storage バケットから静的コンテンツを提供するウェブサーバーをホストできます。IAP を追加すると、Cloud Run サービスのセキュリティを強化し、コンテンツが変更されたときにコンテナイメージを再構築する必要がなくなります。

Cloud Storage の静的ウェブサイトホスティングは公開コンテンツのみを提供し、allUsers に読み取りアクセス権を付与する必要があります。組織が公開バケットを公開アクセスの防止やドメイン制限付き共有などのポリシーを使用して制限している場合、組み込みの Cloud Storage 静的ウェブサイトホスティング機能は使用できません。代わりに、バケットを非公開のままにして、バケットをボリュームとしてマウントした NGINX ウェブサーバーを Cloud Run にデプロイし、IAP を使用して Cloud Run サービスへのアクセスを制御します。

始める前に

このドキュメントの手順を完了するには、次のものが必要です。

課金が有効になっているプロジェクト。 Google Cloud コンソールに移動 Google Cloud
静的ファイル（index.html、CSS、画像など）を含む限定公開の Cloud Storage バケット。バケットが公開されていないことを確認してください。
Google Cloud CLI がインストールされていること。

Cloud Storage バケットへのアクセス権を付与する

Cloud Run には、限定公開の Cloud Storage バケットからファイルを読み取る権限が必要です。Cloud Run サービス ID に、バケットに対する Storage オブジェクト閲覧者（roles/storage.objectViewer）ロールを付与する必要があります。

デフォルトの Compute Engine サービスアカウントではなく、Cloud Run サービスにユーザー管理のサービスアカウントを使用することをおすすめします。

サービス ID として使用するサービスアカウントを作成します。

gcloud iam service-accounts create RUN_SERVICE_ACCOUNT \
    --description="Service account for Cloud Run serving Cloud Storage" \
    --display-name="Cloud Run Cloud Storage Reader"

バケットに対する Storage オブジェクト閲覧者（roles/storage.objectViewer）ロールをサービスアカウントに付与します。

gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
    --member="serviceAccount:RUN_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/storage.objectViewer"

Cloud Run サービスをデプロイする

NGINX ウェブサーバーを Cloud Run にデプロイし、Cloud Storage バケットをマウントします。ボリュームマウントをサポートするには、第 2 世代の実行環境を使用する必要があります。

バケットをマウントするには、ボリュームフラグを使用してサービスをデプロイします。

gcloud run deploy SERVICE_NAME \
    --image=nginx \
    --port=80 \
    --execution-environment=gen2 \
    --service-account=RUN_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com \
    --add-volume=name=static,type=cloud-storage,bucket=BUCKET_NAME,readonly=true \
    --add-volume-mount=volume=static,mount-path=/usr/share/nginx/html \
    --no-allow-unauthenticated

次のように置き換えます。

SERVICE_NAME: Cloud Run サービスの名前
RUN_SERVICE_ACCOUNT: 前の手順で作成したサービスアカウント
PROJECT_ID: 実際の Google Cloud プロジェクト ID
BUCKET_NAME: Cloud Storage バケットの名前

バケットは /usr/share/nginx/html にマウントされます。これは、NGINX が静的アセットを検索するデフォルトのディレクトリです。つまり、バケット内のファイルはサービスのルートパスに直接マッピングされます。たとえば、gs://BUCKET_NAME/index.html に保存されたファイルには https://SERVICE_URL/index.html からアクセスできます。

デプロイを確認するには、認証されていないアクセスがブロックされ、認証情報なしでアクセスすると 403 Forbidden ステータスが返されることを確認します。

curl -I SERVICE_URL

または、IAP アクセスを構成する前に、コンテナが限定公開の Cloud Storage バケットからファイルを正しくレンダリングしているかどうかをテストできます。これを行うには、次のコマンドを実行して、デベロッパー認証情報を使用して認証済みリクエストを送信します。

curl -H "Authorization: Bearer $(gcloud auth print-identity-token)" SERVICE_URL

SERVICE_URL は、Cloud Run サービスの URL に置き換えます。

IAP を有効にする

Cloud Run サービスをデプロイしたら、IAP を有効にして保護できます。

Cloud Run サービスで IAP を直接有効にすることをおすすめします。手順については、Cloud Run 用の IAP を構成するをご覧ください。

または、Cloud Run サービスの前に外部 HTTPS ロードバランサを使用する場合は、バックエンドサービスで IAP を有効にできます。手順については、バックエンドサービスまたはロードバランサから IAP を有効にするをご覧ください。

キャッシュとパフォーマンス

Cloud Storage ボリュームマウントを使用すると、Cloud Run によって読み取られる各ファイルは Cloud Storage API 呼び出しに変換されます。レイテンシと API 費用を最小限に抑えるには、ウェブサーバーでキャッシュを構成するか（NGINX キャッシュディレクティブを使用するなど）、Cloud Storage FUSE マウントオプションを構成します。

外部 HTTPS ロードバランサを使用する場合は、バックエンドサービスで Cloud CDN を有効にすることもできます。 IAP には同じバックエンドサービス上の Cloud CDN との互換性がないため、両方が必要な場合は、アーキテクチャを適切に構成する必要があります。

制限事項

Cloud Storage ボリュームマウントからファイルを読み取る速度は、ローカルファイルシステムへのアクセスよりも遅くなる可能性があります。読み取りレイテンシを軽減するには、キャッシュを構成します。

その他のユースケース

Cloud Storage ボリュームマウントは、他のシナリオでも使用できます。

イベントドリブン関数: 関数は、アップロードされたファイルをファイルシステムから直接読み取ります。
生成 AI アプリケーション: アプリケーションは、標準のファイルシステム読み取りを使用して、Cloud Storage バケットからベクトルデータベース（ Chroma など）を読み込みます。

代替方法: NFS ボリュームをマウントする

ファイルが Filestore または自己ホスト型 NFS サーバーに保存されている場合は、Cloud Storage バケットの代わりに NFS ボリュームを Cloud Run サービスにマウントできます。詳細については、 NFS ボリュームをマウントするをご覧ください。

Cloud Storage バケットの IAP を有効にする コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。