Recibe eventos mediante Registros de auditoría de Cloud (gcloud)

Recibe eventos mediante Registros de auditoría de Cloud (gcloud)

Vista previa

Este producto está sujeto a las "Condiciones de las Ofertas de Fase Previa a la DG" de la sección Condiciones Generales del Servicio de las Condiciones específicas del Servicio. Los productos de la fase previa a la DG están disponibles “tal cual” y podrían tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

En esta guía de inicio rápido, se muestra cómo configurar un servicio de Google Kubernetes Engine (GKE) como destino para recibir eventos de Cloud Storage mediante Eventarc.

Nota: Compatibilidad con GKE como Eventarc de destino incluye los extremos públicos de los servicios privados y públicos que se ejecutan en un clúster de GKE.

En esta guía de inicio rápido, podrás hacer lo siguiente:

1. Configura una cuenta de servicio para que Eventarc pueda extraer eventos y reenviarlos al destino.
2. Crear un bucket de Cloud Storage para que sea la fuente del evento
3. Crear un clúster de GKE
4. Inicializar los destinos de GKE en Eventarc
5. Implementar un servicio de GKE que reciba eventos.
6. Crear un activador de Eventarc que envíe eventos desde Cloud Storage al servicio de GKE.
7. Subir un archivo al bucket de Cloud Storage para generar un evento y visualizarlo en los registros del Pod de GKE.

Antes de comenzar

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Install the Google Cloud CLI.

7. To initialize the gcloud CLI, run the following command:

   gcloud init

8. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

9. Make sure that billing is enabled for your Google Cloud project.

10. Actualiza los componentes de Google Cloud CLI:

    gcloud components update

11. Habilita las APIs de Eventarc, Resource Manager y Google Kubernetes Engine:

    gcloud services enable eventarc.googleapis.com \
        cloudresourcemanager.googleapis.com \
        container.googleapis.com

12. Establece las variables de configuración que se usan en esta guía de inicio rápido:

    PROJECT_ID=$(gcloud config get-value project)
    TRIGGER_SA=eventarc-sa
    CLUSTER_NAME=events-cluster
    SERVICE_NAME=hello-gke

13. Si eres el creador del proyecto, se te otorga el rol de propietario básico (roles/owner). De forma predeterminada, este rol de Identity and Access Management (IAM) incluye los permisos necesarios para obtener acceso completo a la mayoría de los recursos de Google Cloud, pero puedes omitir este paso.

    Si no eres el creador del proyecto, se deben otorgar los permisos necesarios en el proyecto a la principal correspondiente. Por ejemplo, una principal puede ser una Cuenta de Google (para usuarios finales) o una cuenta de servicio (para aplicaciones y cargas de trabajo de procesamiento). Para obtener más información, consulta la página Roles y permisos para el destino del evento.

    Permisos necesarios

    Si quieres obtener los permisos que necesitas para completar esta guía de inicio rápido, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

    • Administrador de Eventarc (roles/eventarc.admin)
    • Administrador de Kubernetes Engine (roles/container.admin)
    • Descriptor de acceso de vista de registros (roles/logging.viewAccessor)
    • Administrador de IAM de proyecto (roles/resourcemanager.projectIamAdmin)
    • Administrador de cuenta de servicio (roles/iam.serviceAccountAdmin)
    • Usuario de cuenta de servicio (roles/iam.serviceAccountUser)
    • Administrador de Service Usage (roles/serviceusage.serviceUsageAdmin)
    • Administrador de almacenamiento (roles/storage.admin)

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

14. Toma nota del recurso Compute Engine predeterminada, ya que la conectarás a un activador de Eventarc para representar la identidad del activador con fines de prueba. Esta cuenta de servicio se crea automáticamente después de habilitar o usar un servicio de Google Cloud que use Compute Engine, y con la siguiente formato de correo electrónico:

    [e-mail]

    Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud. Para encontrar el número del proyecto, ve a la página de bienvenida de la consola de Google Cloud o ejecuta el siguiente comando:

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    Para entornos de producción, recomendamos crear una cuenta de servicio nueva y otorgarle una o más funciones de IAM que contengan los permisos mínimos requeridos y seguir el principio de privilegio mínimo.

    Nota:

    La restricción de la política de la organización iam.automaticIamGrantsForDefaultServiceAccounts evita que el rol Editor se otorgue de forma automática a las cuentas de servicio predeterminadas. Si creaste tu organización después del 3 de mayo de 2024, esta restricción se aplica de forma predeterminada.

    Recomendamos que apliques esta restricción para inhabilitar la concesión automática de roles. Si inhabilitas la concesión automática de roles, debes decidir qué roles se deben otorgar a las cuentas de servicio predeterminadas y, luego, otorgar estos roles a ti mismo.

    Si la cuenta de servicio predeterminada ya tiene el rol de editor, te recomendamos que reemplaces el rol de editor por roles menos permisivos. Para modificar de forma segura los roles de la cuenta de servicio, usa Policy Simulator para ver el impacto del cambio y, luego, otorga y revoca los roles adecuados.

15. Otorga el rol de suscriptor de Pub/Sub (roles/pubsub.subscriber) en el proyecto a la cuenta de servicio predeterminada de Compute Engine para que el activador de Eventarc pueda extraer eventos desde Pub/Sub.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/pubsub.subscriber

16. Otorga el rol de receptor de eventos de Eventarc (roles/eventarc.eventReceiver) en el proyecto a la cuenta de servicio predeterminada de Compute Engine para que el activador de Eventarc pueda recibir eventos de proveedores de eventos.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/eventarc.eventReceiver

17. Si habilitaste el agente de servicio de Cloud Pub/Sub el 8 de abril de 2021 o antes de esa fecha, para admitir las solicitudes de envío de Pub/Sub autenticadas, otorga el rol de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) al agente de servicio. De lo contrario, este rol se otorga de forma predeterminada:

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/iam.serviceAccountTokenCreator

18. En Google Cloud Storage, habilita los tipos de registro para estos servicios: Lectura de administración, Lectura de datos y Escritura de datos:
    1. Lee la política de IAM de tu proyecto y almacénala en un archivo:

       gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

    2. Edita tu política /tmp/policy.yaml, agrega o cambia solamente la configuración de los registros de auditoría de acceso de datos. Precaución: Debes conservar las secciones “bindings:” y “etag:” sin cambios. De lo contrario, tu proyecto podría volverse inutilizable.

       auditConfigs:
         - auditLogConfigs:
           - logType: ADMIN_READ
           - logType: DATA_WRITE
           - logType: DATA_READ
           service: storage.googleapis.com
         bindings:
         - members:
           - user:EMAIL_ADDRESS
           role: roles/owner
         etag: BwW_bHKTV5U=
         version: 1

       Reemplaza EMAIL_ADDRESS por tu dirección de correo electrónico.
    3. Escribe tu nueva política de IAM:

       gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml

       Si el comando anterior informa de un conflicto con otro cambio, repite estos pasos y comienza por leer la lectura de la política de IAM del proyecto.

Cree un bucket de Cloud Storage

En esta guía de inicio rápido, se usa Cloud Storage como la fuente del evento. Crea un bucket de Cloud Storage

gcloud storage buckets create gs://events-quickstart-$(gcloud config get-value project) /
    --location=us-central1

Después de crear la fuente del evento, puedes implementar el servicio del receptor de eventos en GKE.

Crea un clúster de GKE

Un clúster consta de al menos una máquina de plano de control y varias máquinas trabajadoras llamadas nodos. Los nodos son instancias de máquinas virtuales (VM) de Compute Engine que ejecutan los procesos de Kubernetes necesarios para que sean parte del clúster. Las aplicaciones se implementan en los clústeres y se ejecutan en los nodos.

Crea un clúster de Autopilot con el nombreevents-cluster:

gcloud container clusters create-auto $CLUSTER_NAME --region us-central1

La creación del clúster puede tardar varios minutos en completarse. Una vez que se crea el clúster, el resultado debe ser similar al siguiente:

Creating cluster events-cluster...done.
Created [https://container.googleapis.com/v1/projects/MY_PROJECT/zones/us-central1/clusters/events-cluster].
[...]
STATUS: RUNNING

Esto crea un clúster de GKE llamado events-cluster en un proyecto con un ID del proyecto de Google Cloud de MY_PROJECT.

Habilita los destinos de GKE

Para cada activador que se orienta a un servicio de GKE, Eventarc crea un componente de reenvío de eventos que extrae eventos de Pub/Sub y los reenvía al destino. Para crear el componente y administrar los recursos en el clúster de GKE, otorga permisos al agente de servicio de Eventarc:

1. Habilita los destinos de GKE para Eventarc:

   gcloud eventarc gke-destinations init

2. Cuando se te solicite vincular los roles necesarios, ingresa y.

   Los siguientes roles están vinculados a la cuenta de servicio:

   • compute.viewer
   • container.developer
   • iam.serviceAccountAdmin

Crea un destino de servicio de GKE

Implementa un servicio de GKE que reciba y registre eventos con una imagen compilada con anterioridad, us-docker.pkg.dev/cloudrun/container/hello:

1. Kubernetes usa un archivo YAML llamado kubeconfig a fin de almacenar información de autenticación de clúster para kubectl. Actualiza el archivo kubeconfig con las credenciales y la información del extremo para apuntar kubectl al clúster de GKE:

   gcloud container clusters get-credentials $CLUSTER_NAME \
       --region us-central1
   

2. Crea una Deployment de Kubernetes:

   kubectl create deployment $SERVICE_NAME \
       --image=us-docker.pkg.dev/cloudrun/container/hello
   

3. Exponlo como un servicio de Kubernetes:

   kubectl expose deployment $SERVICE_NAME \
       --type ClusterIP --port 80 --target-port 8080
   

Crea un activador de Eventarc

Cuando subes un archivo a Cloud Storage, el activador de Eventarc envía eventos desde Cloud Storage al servicio de GKE hello-gke.

1. Crea un activador de registros de auditoría de Cloud:

   gcloud eventarc triggers create my-gke-trigger \
       --location="us-central1" \
       --destination-gke-cluster="events-cluster" \
       --destination-gke-location="us-central1" \
       --destination-gke-namespace="default" \
       --destination-gke-service="hello-gke" \
       --destination-gke-path="/" \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account="[e-mail]"
   

   Esto crea un activador llamado my-gke-trigger.

2. Confirma que el activador se haya creado correctamente:

   gcloud eventarc triggers list

   Nota: Pueden pasar hasta dos minutos hasta que el activador comience a funcionar por completo.

   El resultado debería ser similar al siguiente ejemplo:

   NAME: my-gke-trigger
   TYPE: google.cloud.audit.log.v1.written
   DESTINATION: GKE: hello-gke
   ACTIVE: By 20:39:43
   LOCATION: us-central1
   

Genera y visualiza un evento

Sube un archivo de texto a Cloud Storage para generar un evento y activar el servicio de GKE. Luego, puedes ver el mensaje del evento en los registros del Pod.

1. Sube un archivo de texto a Cloud Storage:

   echo "Hello World" > random.txt
   gcloud storage cp random.txt gs://events-quickstart-$(gcloud config get-value project)/random.txt

   La carga genera un evento y el Pod de GKE registra el mensaje del evento.

2. Para ver el mensaje del evento, sigue estos pasos:

   1. Busca el ID del Pod:

      kubectl get pods

      El resultado debería ser similar al siguiente ejemplo:

      NAME                                         READY   STATUS             RESTARTS   AGE
      hello-gke-645964f578-2mjjt                   1/1     Running            0          35s

      Copia el NAME del Pod para usarlo en el siguiente paso.

   2. Verifica los registros del Pod:

      kubectl logs NAME

      Reemplaza NAME por el nombre del Pod que copiaste.

   3. Busca una entrada de registro similar a lo siguiente:

      2022/02/24 22:23:49 Hello from Cloud Run! The container started successfully and is listening for HTTP requests on $PORT
      {"severity":"INFO","eventType":"google.cloud.audit.log.v1.written","message":"Received event of type google.cloud.audit.log.v1.written. [...]}
      

Realiza una limpieza

Cuando finalices las tareas que se describen en este documento, puedes borrar los recursos que creaste para evitar que continúe la facturación.

Puedes hacer lo siguiente:

1. Borra el depósito de Cloud Storage

2. Borrar el activador de Eventarc.

3. Borra el clúster de GKE.

Como alternativa, puedes borrar el proyecto de Cloud para evitar que se generen cargos. Si borras tu proyecto de Google Cloud, se dejan de facturar todos los recursos que usaste en ese proyecto.

Precaución: Borrar un proyecto tiene las siguientes consecuencias:

• Se borra todo en el proyecto. Si usaste un proyecto existente para las tareas de este documento, cuando lo borres, también se borrará cualquier otro trabajo que hayas realizado en el proyecto.
• Se pierden los ID personalizados de proyectos. Cuando creaste este proyecto, es posible que hayas creado un ID del proyecto personalizado que desees utilizar en el futuro. Para conservar las URL que utilizan el ID del proyecto, como una URL appspot.com, borra los recursos seleccionados dentro del proyecto en lugar de borrar todo el proyecto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Si planeas explorar varios instructivos y guías de inicio rápido, la reutilización de proyectos puede ayudarte a evitar exceder los límites de las cuotas del proyecto.

¿Qué sigue?

Recibe eventos mediante Pub/Sub (Google Cloud CLI)