Cloud-Audit-Log-Ereignis empfangen

---

In dieser Anleitung erfahren Sie, wie Sie einen nicht authentifizierten Cloud Run-Dienst bereitstellen, der mit Cloud-Audit-Logging Ereignisse aus Cloud Storage empfängt. Verwenden Sie diese Anleitung zum Bereitstellen von Produktionsarbeitslasten. Der Eventarc-Trigger filtert Ereignisse anhand von Cloud-Audit-Logging-Einträgen. Weitere Informationen finden Sie unter Ereignisfilter für Cloud-Audit-Logs ermitteln.

Hinweis: Alle Cloud Run-Dienste werden standardmäßig privat bereitgestellt. Das bedeutet, dass sie ohne Authentifizierungsanmeldedaten in der Anfrage nicht zugänglich sind. Für Projekte mit Organisationsrichtlinien für die domaineingeschränkte Freigabe verwenden Sie stattdessen einen authentifizierten Cloud Run-Zieldienst, anstelle eines Dienstes, der den öffentlichen (unauthentifizierten) Zugriff erlaubt.

Sie können diese Anleitung entweder mit der Google Cloud Console oder mit der Google Cloud CLI ausführen.

Ziele

In dieser Anleitung wird Folgendes beschrieben:

1. Cloud Storage-Bucket als Ereignisquelle erstellen

2. Ereignisempfängerdienst für Cloud Run bereitstellen

3. Eventarc-Trigger erstellen

4. Laden Sie eine Datei in den Cloud Storage-Bucket hoch, um ein Ereignis zu erstellen und es in den Cloud Run-Logs aufzurufen.

Kosten

In diesem Dokument verwenden Sie die folgenden kostenpflichtigen Komponenten von Google Cloud:

• Artifact Registry
• Cloud Build
• Cloud Logging
• Cloud Run
• Cloud Storage
• Eventarc
• Pub/Sub

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen. Neuen Google Cloud-Nutzern steht möglicherweise eine kostenlose Testversion zur Verfügung.

Hinweise

Von Ihrer Organisation definierte Sicherheitsbeschränkungen verhindern möglicherweise, dass die folgenden Schritte ausgeführt werden. Informationen zur Fehlerbehebung finden Sie unter Anwendungen in einer eingeschränkten Google Cloud-Umgebung entwickeln.

Wenn Sie der Projektersteller sind, wird Ihnen die einfache Owner-Rolle (roles/owner) zugewiesen. Standardmäßig enthält diese IAM-Rolle (Identity and Access Management) die Berechtigungen, die für den vollständigen Zugriff auf die meisten Google Cloud-Ressourcen erforderlich sind. Sie können diesen Schritt überspringen.

Wenn Sie nicht der Project Creator sind, müssen dem entsprechenden Hauptkonto die erforderlichen Berechtigungen für das Projekt erteilt werden. Ein Hauptkonto kann beispielsweise ein Google-Konto (für Endnutzer) oder ein Dienstkonto (für Anwendungen und Computing-Arbeitslasten) sein. Weitere Informationen finden Sie auf der Seite Rollen und Berechtigungen für Ihr Ereignisziel.

Beachten Sie, dass Cloud Build-Berechtigungen standardmäßig Berechtigungen zum Hochladen und Herunterladen von Artifact Registry-Artefakten enthalten.

Erforderliche Berechtigungen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Ausführen der Anleitung benötigen:

• Cloud Build-Bearbeiter (roles/cloudbuild.builds.editor)
• Cloud Run-Administrator (roles/run.admin)
• Eventarc Admin (roles/eventarc.admin)
• Zugriffsberechtigter für Logbetrachtung (roles/logging.viewAccessor)
• Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
• Service Account Admin (roles/iam.serviceAccountAdmin)
• Service Account User (roles/iam.serviceAccountUser)
• Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
• Storage-Administrator (roles/storage.admin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Führen Sie die folgenden Schritte mit der Google Cloud Console oder der gcloud CLI aus:

Console

1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

2. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

3. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

4. Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage und Eventarc APIs aktivieren.

   Aktivieren Sie die APIs

5. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

6. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

7. Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage und Eventarc APIs aktivieren.

   Aktivieren Sie die APIs

8. Aktivieren Sie die Logtypen Admin Read, Data Read und Data Write für Google Cloud Storage, um zu konfigurieren, welcher Datenzugriff in Ihren Audit-Logs aufgezeichnet wird:

   Zu den Audit-Logs

9. Rufen Sie in der Google Cloud Console die Seite Dienstkonten auf:

   Zur Seite „Dienstkonten“

10. Klicken Sie auf Dienstkonto erstellen.

11. Geben Sie den Dienstkontonamen ein, der in der Google Cloud Console angezeigt werden soll.

    Die Cloud Console generiert anhand dieses Namens eine Dienstkonto-ID. Bearbeiten Sie gegebenenfalls die ID. Sie können die ID später nicht mehr ändern.

12. Optional: Geben Sie eine Beschreibung für das Dienstkonto ein.

13. Wenn Sie die Zugriffssteuerungen derzeit nicht festlegen möchten, klicken Sie auf Fertig, um das Erstellen des Dienstkontos abzuschließen.

    Wenn Sie die Zugriffssteuerungen jetzt festlegen möchten, klicken Sie auf Erstellen und fortfahren und fahren mit dem nächsten Schritt fort.

14. Wählen Sie die Rollen Cloud Run Invoker und Eventarc Event Receiver aus, die dem Projekt für das Dienstkonto, das Ihrem Eventarc-Trigger zugeordnet ist, zugewiesen werden sollen. eine

    Zu Testzwecken wird die Rolle "Cloud Run Invoker" für alle Cloud Run-Dienste und -Jobs im Projekt zugewiesen. Sie können die Rolle jedoch für den Dienst zuweisen. Weitere Informationen finden Sie unter Cloud Run-Dienstberechtigungen erteilen.

    Wenn Sie einen Trigger für einen authentifizierten Cloud Run-Dienst erstellen, ohne die Rolle "Cloud Run Invoker" zuzuweisen, wird der Trigger erfolgreich erstellt und ist aktiv. Der Trigger funktioniert jedoch nicht wie erwartet und in den Logs wird eine Meldung wie die folgende angezeigt:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
15. Wenn Sie alle Rollen hinzugefügt haben, klicken Sie auf Weiter und Fertig, um das Erstellen des Dienstkontos abzuschließen.

gcloud

1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.
2. Installieren Sie die Google Cloud CLI.

3. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

4. Google Cloud-Projekt erstellen oder auswählen.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   • Erstellen Sie ein Google Cloud-Projekt:

     gcloud projects create PROJECT_ID

     Ersetzen Sie PROJECT_ID durch einen Namen für das Google Cloud-Projekt, das Sie erstellen.

   • Wählen Sie das von Ihnen erstellte Google Cloud-Projekt aus:

     gcloud config set project PROJECT_ID

     Ersetzen Sie PROJECT_ID durch den Namen Ihres Google Cloud-Projekts.

5. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

6. Aktivieren Sie die Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage und Eventarc APIs:

   gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
         logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
         storage.googleapis.com und eventarc.googleapis.com

7. Installieren Sie die Google Cloud CLI.

8. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

9. Google Cloud-Projekt erstellen oder auswählen.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   • Erstellen Sie ein Google Cloud-Projekt:

     gcloud projects create PROJECT_ID

     Ersetzen Sie PROJECT_ID durch einen Namen für das Google Cloud-Projekt, das Sie erstellen.

   • Wählen Sie das von Ihnen erstellte Google Cloud-Projekt aus:

     gcloud config set project PROJECT_ID

     Ersetzen Sie PROJECT_ID durch den Namen Ihres Google Cloud-Projekts.

10. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

11. Aktivieren Sie die Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage und Eventarc APIs:

    gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
          logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
          storage.googleapis.com und eventarc.googleapis.com

12. Aktualisieren Sie die gcloud-Komponenten:

    gcloud components update

13. Melden Sie sich mit Ihrem -Konto an:

    gcloud auth login
    

14. Legen Sie die in dieser Anleitung verwendeten Konfigurationsvariablen fest:

    export REGION=us-central1
    gcloud config set run/region ${REGION}
    gcloud config set run/platform managed
    gcloud config set eventarc/location ${REGION}
    export SERVICE_NAME=helloworld-events
    

15. Um zu konfigurieren, welcher Datenzugriff in Ihren Audit-Logs aufgezeichnet wird, aktivieren Sie die Logtypen ADMIN_READ, DATA_READ und DATA_WRITE für den Dienst storage.googleapis.com:
    1. Lesen Sie die IAM-Richtlinie des Projekts und speichern Sie sie in einer Datei:

       gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

    2. Bearbeiten Sie die Richtlinie in /tmp/policy.yaml, wobei Sie nur die Konfiguration der Audit-Logs zum Datenzugriff hinzufügen oder ändern.
       Achtung: Sie müssen die Abschnitte bindings: und etag: unverändert beibehalten. Andernfalls kann das Projekt möglicherweise nicht mehr verwendet werden.

       auditConfigs:
       - auditLogConfigs:
       - logType: ADMIN_READ
       - logType: DATA_WRITE
       - logType: DATA_READ
       service: storage.googleapis.com

    3. Schreiben Sie die neue IAM-Richtlinie:

       gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml

       Wenn der vorhergehende Befehl einen Konflikt mit einer anderen Änderung meldet, wiederholen Sie diese Schritte, beginnend mit dem Lesen der IAM-Richtlinie des Projekts.
16. Erstellen Sie ein Dienstkonto für das Projekt:

    gcloud iam service-accounts create sample-service-account \
        --description="A sample service account" \
        --display-name="Sample service account"

    Nachdem Sie ein Dienstkonto erstellt haben, kann es bis zu sieben Minuten dauern, bis Sie das Dienstkonto verwenden können. Wenn Sie ein Dienstkonto direkt nach dem Erstellen verwenden und eine Fehlermeldung erhalten, warten Sie mindestens 60 Sekunden und versuchen Sie es dann noch einmal.
17. Führen Sie diesen Befehl aus, um zu prüfen, ob sample-service-account erstellt wurde:

    gcloud iam service-accounts list

    Die Ausgabe sollte in etwa so aussehen:

    DISPLAY NAME                     EMAIL                                                               DISABLED
    Default compute service account  [e-mail]                False
    Sample service account           sample-service-account@PROJECT_ID.iam.gserviceaccount.com           False

18. Gewähren Sie die Rolle Cloud Run Invoker (run.invoker) und die Eventarc-Ereignisempfänger (roles/eventarc.eventReceiver) ) für das Projekt für das Dienstkonto, das Ihrem Eventarc-Trigger zugeordnet ist:

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
        --role="roles/run.invoker"

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
        --role="roles/eventarc.eventReceiver"

    Ersetzen Sie PROJECT_ID durch Ihre Google Cloud-Projekt-ID.

    Zu Testzwecken wird ihm die Rolle „Cloud Run-Aufrufer” für alle Cloud Run-Dienste und -Jobs im Projekt zugewiesen. Sie können die Rolle jedoch für den Dienst zuweisen. Weitere Informationen finden Sie unter Cloud Run-Dienstberechtigungen erteilen.

    Wenn Sie einen Trigger für einen authentifizierten Cloud Run-Dienst erstellen, ohne die Rolle "Cloud Run Invoker" zuzuweisen, wird der Trigger erfolgreich erstellt und ist aktiv. Der Trigger funktioniert jedoch nicht wie erwartet und in den Logs wird eine Meldung wie die folgende angezeigt:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
Hinweis: Wenn Sie das Pub/Sub-Dienstkonto am oder vor dem 8. April 2021 aktiviert haben, erteilen Sie dem Pub/Sub-Dienstkonto die iam.serviceAccountTokenCreatorRolle .

Artifact Registry-Standard-Repository erstellen

Erstellen Sie ein Artifact Registry-Standard-Repository zum Speichern des Docker-Container-Images:

Console

1. Rufen Sie in der Google Cloud Console die Seite Repositories auf.
   

   Zu Repositories

2. Klicken Sie auf Repository erstellen.
3. Repository konfigurieren
   1. Geben Sie einen eindeutigen Namen ein.
   2. Wählen Sie als Format die Option Docker aus.
   3. Wählen Sie für Mode (Modus) die Option Standard aus.
   4. Wählen Sie als Standorttyp die Option Region aus.
   5. Wählen Sie in der Liste Region die Option us-central1 (Iowa) aus.
4. Übernehmen Sie alle anderen Standardeinstellungen und klicken Sie auf Erstellen.

gcloud

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Ersetzen Sie REPOSITORY durch einen eindeutigen Namen für das Artifact Registry-Repository.

Cloud Storage-Bucket erstellen

In dieser Anleitung wird Cloud Storage als Ereignisquelle verwendet. So erstellen Sie einen Storage-Bucket:

Console

1. Rufen Sie in der Google Cloud Console die Seite Buckets auf.
   

   Buckets aufrufen

2. Klicken Sie auf Bucket erstellen.
3. Geben Sie die Bucket-Informationen ein und klicken Sie zum Ausführen der einzelnen Schritte jeweils auf Weiter:
   1. Geben Sie einen eindeutigen Namen ein. Beispiel: eventarcbucket.
   2. Wählen Sie Region als Standorttyp aus.
   3. Wählen Sie us-central1 (Iowa) als Standort aus.
   4. Wählen Sie Standard als Standardspeicherklasse aus.
   5. Wählen Sie unter Zugriffssteuerung die Option Einheitlich aus.
4. Klicken Sie auf Erstellen.

gcloud

gsutil mb -l $REGION gs://events-tutorial-PROJECT_ID/

Nachdem die Ereignisquelle erstellt wurde, können Sie den Ereignisempfängerdienst in Cloud Run bereitstellen.

Dienst zum Empfangen von Ereignissen in Cloud Run bereitstellen

Stellen Sie einen Cloud Run-Dienst bereit, der Ereignisse empfängt und loggt. So stellen Sie den Beispiel-Ereignisempfängerdienst bereit:

Console

1. Klonen Sie das Beispiel-Repository in Ihr GitHub-Konto:

Go

1. Rufen Sie in GitHub GoogleCloudPlatform/golang-samples auf.
2. Klicken Sie auf Fork.

3. Wählen Sie bei entsprechender Aufforderung den Standort für die Verzweigung des Repositorys aus.

Java

1. Rufen Sie in GitHub GoogleCloudPlatform/java-docs-samples auf.
2. Klicken Sie auf Fork.

3. Wählen Sie bei entsprechender Aufforderung den Standort für die Verzweigung des Repositorys aus.

.NET

1. Rufen Sie in GitHub GoogleCloudPlatform/dotnet-docs-samples auf.
2. Klicken Sie auf Fork.

3. Wählen Sie bei entsprechender Aufforderung den Standort für die Verzweigung des Repositorys aus.

Node.js

1. Rufen Sie in GitHub GoogleCloudPlatform/nodejs-docs-samples auf.
2. Klicken Sie auf Fork.

3. Wählen Sie bei entsprechender Aufforderung den Standort für die Verzweigung des Repositorys aus.

Python

1. Rufen Sie in GitHub GoogleCloudPlatform/python-docs-samples auf.
2. Klicken Sie auf Fork.

3. Wählen Sie bei entsprechender Aufforderung den Standort für die Verzweigung des Repositorys aus.
2. Öffnen Sie in der Google Cloud Console die Seite Dienste.

Zu Dienste

3. Klicken Sie auf Dienst erstellen, um das Formular Dienst erstellen aufzurufen.
4. Wählen Sie Kontinuierlich aus einem Repository bereitstellen.

   Änderungen an Ihrem GitHub-Repository werden automatisch in Container-Images in Artifact Registry eingebunden und in Cloud Run bereitgestellt.

5. Klicken Sie auf Mit Cloud Build einrichten, um das Formular Mit Cloud Build einrichten zu öffnen.
1. Aktivieren Sie bei entsprechender Aufforderung die Cloud Build API und die Artefaktanalyse-API.
2. Wählen Sie GitHub als Repository-Anbieter aus.
   Hinweis: Klicken Sie auf Authentifizieren und folgen Sie der Anleitung, um eine Verbindung zu Ihrem Repository mithilfe der Cloud Build-GitHub-Anwendung herzustellen.
3. Wenn Sie dazu aufgefordert werden, klicken Sie auf Google Cloud Build installieren.
4. Wählen Sie das von Ihnen verzweigte GitHub-Repository als Repository aus.
5. Klicken Sie auf Next (Weiter).
6. Geben Sie im Feld Branch den Wert ^main$ ein.
7. Wählen Sie als Build-Typ die Option Dockerfile aus und geben Sie den Speicherort des Dockerfiles an.
   • eventarc/audit-storage/Dockerfile

     oder

   • eventarc/audit_storage/Dockerfile(Go)
8. Klicken Sie auf Speichern.
6. Geben Sie im Formular Dienst erstellen einen Dienstnamen ein. Beispiel: helloworld-events.
7. Wählen Sie us-central1(Iowa) als Region für den Dienst aus.
8. Wählen Sie eine der Ingress-Optionen basierend auf dem eingehenden Traffic aus, den Sie im Cloud Run-Dienst zulassen möchten.
9. Wählen Sie Authentifizierung erforderlich aus.
10. Klicken Sie auf Erstellen.

gcloud

1. Klonen Sie das GitHub-Repository:

   Einfach loslegen (Go)

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git
   cd golang-samples/eventarc/audit_storage
   

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
   cd java-docs-samples/eventarc/audit-storage

   .NET

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
   cd dotnet-docs-samples/eventarc/audit-storage

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
   cd nodejs-docs-samples/eventarc/audit-storage

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/eventarc/audit-storage

2. Erstellen Sie den Container und laden Sie ihn in Cloud Build hoch:

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

3. Stellen Sie das Container-Image in Cloud Run bereit:

   gcloud run deploy $SERVICE_NAME \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

   Hinweis: Abhängig von der erforderlichen Stufe des Netzwerkzugriffs auf den Cloud Run-Dienst können Sie auch das Ingress-Flag festlegen.

   Geben Sie n ein, wenn Sie nicht authentifizierte Aufrufe zulassen möchten.

   Wenn die Bereitstellung erfolgreich war, wird in der Befehlszeile die Dienst-URL angezeigt.

Sie haben den Ereignisempfänger mithilfe von helloworld-events in Cloud Run bereitgestellt. Nun können Sie einen Trigger einrichten.

Eventarc-Trigger erstellen

Der Eventarc-Trigger sendet Ereignisse aus dem Cloud Storage-Bucket an den Cloud Run-Dienst helloworld-events.

Console

1. Öffnen Sie in der Google Cloud Console die Seite Triggers.

   Zur Seite "Trigger"

2. Klicken Sie auf Trigger erstellen.
3. Geben Sie einen Triggernamen ein.

   Dies ist die ID des Triggers. Sie muss mit einem Buchstaben beginnen. Sie kann bis zu 63 Kleinbuchstaben, Ziffern oder Bindestriche enthalten.

4. Wählen Sie einen Triggertyp aus:
   • Eigene: Filtert Ereignisse, die von Google Cloud-Anbietern (direkt oder über Cloud-Audit-Logs) oder Anbietern mit Pub/Sub-Nachrichten gesendet werden.
   • Drittanbieter: Filtert Ereignisse, die von Drittanbietern gesendet werden.
5. Wählen Sie in der Liste Ereignisanbieter Cloud Storage als Ereignisquelle aus.
6. Wählen Sie in der Liste Ereignistyp die Option storage.objects.create aus.
7. Wählen Sie in der Liste Region die Region us-central1 aus, von der Ereignisse empfangen werden sollen.
8. Wählen Sie das von Ihnen erstellte Dienstkonto aus. Beispiel: SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
9. Wählen Sie in der Liste Ereignisziel die Option Cloud Run aus.
10. Wählen Sie in der Liste Cloud Run-Dienst auswählen die Option helloworld-events aus.
11. Klicken Sie auf Erstellen.
Sie können auch einen Eventarc-Trigger auf der Seite der Cloud Run-Konsole erstellen.

gcloud

1. Erstellen Sie einen Trigger, der Cloud Storage-Ereignisse filtert, die das von Ihnen erstellte Dienstkonto verwenden:

   gcloud eventarc triggers create events-tutorial-trigger \
       --destination-run-service=$SERVICE_NAME \
       --destination-run-region=$REGION \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com

   Ersetzen Sie PROJECT_ID durch die Google Cloud-Projekt-ID.

   Wobei:

   • type: Gibt an, dass Audit-Logs erstellt werden, wenn die Filterkriterien des Triggers erfüllt sind.
   • serviceName: der Dienst, der das Audit-Log schreibt (Cloud Storage).
   • methodName ist der zu prüfende Vorgang, also storage.objects.create.
   Dadurch wird ein Trigger mit dem Namen events-tutorial-trigger erstellt.
2. Führen Sie diesen Befehl aus, um zu prüfen, ob events-tutorial-trigger erfolgreich erstellt wurde:

   gcloud eventarc triggers list --location=$REGION

Der Trigger events-tutorial-trigger wird mit dem Ziel helloworld-events aufgelistet.

Hinweis: Der Trigger wird zwar sofort erstellt, es kann jedoch bis zu zwei Minuten dauern, bis Trigger vollständig funktionieren.

Ereignis erstellen und abrufen

1. So erstellen Sie ein Ereignis:

   Console

   1. Erstellen Sie eine Textdatei mit dem Dateinamen random.txt und dem Text „Hello World“.
   2. Rufen Sie in der Google Cloud Console die Seite Buckets auf.

      Buckets aufrufen

   3. Wählen Sie den von Ihnen erstellten Storage-Bucket aus.
   4. Klicken Sie auf dem Tab Objekte auf Dateien hochladen und laden Sie die Datei random.txt hoch.

   gcloud

   Laden Sie eine Datei in Cloud Storage hoch:

   echo "Hello World" > random.txt
   gsutil cp random.txt gs://events-tutorial-PROJECT_ID/random.txt

2. So rufen Sie den Logeintrag auf:

Console

1. Öffnen Sie in der Google Cloud Console die Seite Dienste.

   Zu Dienste

2. Klicken Sie in der Liste der Dienste auf den Namen des erstellten Dienstes, um die zugehörige Seite Dienstdetails aufzurufen.
3. Klicken Sie auf den Tab Logs, um die Anfrage- und Containerlogs für alle Überarbeitungen des Dienstes abzurufen. Sie können nach Logschweregrad filtern.
4. Suchen Sie nach einem Logeintrag wie dem folgenden:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   Dabei ist BUCKET_NAME der Name des Cloud Storage-Buckets.

gcloud

1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json

2. Suchen Sie nach einem Logeintrag wie dem folgenden:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   Dabei ist BUCKET_NAME der Name des Cloud Storage-Buckets.
   Hinweis: Wenn kein Logeintrag angezeigt wird, warten Sie einige Minuten und führen Sie den Befehl gcloud logging read noch einmal aus. Nach dem Erstellen eines Triggers kann es bis zu zwei Minuten dauern, bis Ereignisse gefiltert werden können.

Sie haben einen Ereignisempfängerdienst in Cloud Run erfolgreich bereitgestellt, einen Eventarc-Trigger erstellt sowie ein Ereignis aus Cloud Storage generiert und in den Cloud Run-Logs angesehen.

Bereinigen

Für Cloud Run fallen keine Kosten an, wenn der Dienst nicht verwendet wird. Allerdings können für das Speichern des Container-Images in Artifact Registry und das Speichern der Dateien in Ihrem Cloud Storage-Bucket und Eventarc-Ressourcen Kosten anfallen.

Sie können:

1. Löschen Sie das Container-Image.

2. Ihren Storage-Bucket löschen.

3. Den Eventarc-Trigger löschen.

Alternativ können Sie Ihr Google Cloud-Projekt löschen, um wiederkehrende Gebühren zu vermeiden. Wenn Sie Ihr Google Cloud-Projekt löschen, wird die Abrechnung für alle in diesem Projekt verwendeten Ressourcen beendet.

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:

• Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
• Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, z. B. eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, statt das gesamte Projekt.

Google Cloud-Projekt löschen:

gcloud projects delete PROJECT_ID

Nächste Schritte

• Container erstellen
• Trigger zum Weiterleiten von Cloud-Audit-Logereignissen an Cloud Run erstellen
• Cloud Run-Dienste entwickeln
• Pub/Sub-Ereignisse mit einem authentifizierten Cloud Run-Dienst empfangen
• Anleitung: Fehler in einem Cloud Run-Dienst mit Eventarc beheben