Recibe eventos de Pub/Sub mediante un servicio autenticado de Cloud Run

---

En este instructivo, se muestra cómo implementar una aplicación alojada en contenedores mediante un servicio autenticado de Cloud Run que recibe eventos mediante Pub/Sub. Pub/Sub es un servicio de mensajería en tiempo real completamente administrado que te permite enviar y recibir mensajes entre aplicaciones independientes.

Nota: Según la configuración predeterminada, todos los servicios de Cloud Run se implementan de forma privada, lo que significa que no se puede acceder a ellos sin proporcionar credenciales de autenticación en la solicitud. Para proyectos conpolíticas de la organización de uso compartido restringido al dominio, usa un servicio de destino de Cloud Run autenticado en lugar de uno que permitaacceso público (sin autenticar).

Objetivos

En este instructivo, podrás:

1. Implementar en Cloud Run un servicio de receptor de eventos que requiera invocaciones autenticadas.

2. Crear un activador de Eventarc que conecte un tema de Pub/Sub con el servicio de Cloud Run.

3. Publicar un mensaje en el tema de Pub/Sub para generar un evento.

4. Visualizar el evento en los registros de Cloud Run.

Costos

En este documento, usarás los siguientes componentes facturables de Google Cloud:

• Artifact Registry
• Cloud Build
• Cloud Run
• Eventarc
• Pub/Sub

Para generar una estimación de costos en función del uso previsto, usa la calculadora de precios. Es posible que los usuarios nuevos de Google Cloud califiquen para obtener una prueba gratuita.

Antes de comenzar

Es posible que las restricciones de seguridad que define tu organización no te permitan completar los siguientes pasos. Para obtener información sobre la solución de problemas, consulta Desarrolla aplicaciones en un entorno de Google Cloud restringido.

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Install the Google Cloud CLI.

7. To initialize the gcloud CLI, run the following command:

   gcloud init

8. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

9. Make sure that billing is enabled for your Google Cloud project.

10. Actualiza los componentes de Google Cloud CLI:

    gcloud components update

11. Accede con tu cuenta:

    gcloud auth login

12. Habilita las APIs:

    gcloud services enable artifactregistry.googleapis.com \
        cloudbuild.googleapis.com \
        eventarc.googleapis.com \
        pubsub.googleapis.com \
        run.googleapis.com

13. Establece las variables de configuración que se usan en este instructivo:

    export REGION=us-central1
    gcloud config set run/region ${REGION}
    gcloud config set run/platform managed
    gcloud config set eventarc/location ${REGION}
    export SERVICE_NAME=trigger-pubsub

14. Si eres el creador del proyecto, se te otorga el rol de propietario básico (roles/owner). De forma predeterminada, este rol de Identity and Access Management (IAM) incluye los permisos necesarios para obtener acceso completo a la mayoría de los recursos de Google Cloud, pero puedes omitir este paso.

    Si no eres el creador del proyecto, se deben otorgar los permisos necesarios en el proyecto a la principal correspondiente. Por ejemplo, una principal puede ser una Cuenta de Google (para usuarios finales) o una cuenta de servicio (para aplicaciones y cargas de trabajo de procesamiento). Para obtener más información, consulta la página Roles y permisos para el destino del evento.

    Ten en cuenta que, de forma predeterminada, los permisos de Cloud Build incluyen permisos para subir y descargar artefactos de Artifact Registry.

    Permisos necesarios

    Si quieres obtener los permisos que necesitas para completar este instructivo, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

    • Editor de Cloud Build (roles/cloudbuild.builds.editor)
    • Administrador de Cloud Run (roles/run.admin)
    • Administrador de Eventarc (roles/eventarc.admin)
    • Descriptor de acceso de vista de registros (roles/logging.viewAccessor)
    • Administrador de IAM de proyecto (roles/resourcemanager.projectIamAdmin)
    • Publicador de Pub/Sub (roles/pubsub.publisher)
    • Administrador de cuenta de servicio (roles/iam.serviceAccountAdmin)
    • Usuario de cuenta de servicio (roles/iam.serviceAccountUser)
    • Administrador de Service Usage (roles/serviceusage.serviceUsageAdmin)
    • Administrador de almacenamiento (roles/storage.admin)

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

15. Toma nota del recurso Compute Engine predeterminada, ya que la conectarás a un activador de Eventarc para representar la identidad del activador con fines de prueba. Esta cuenta de servicio se crea automáticamente después de habilitar o usar un servicio de Google Cloud que use Compute Engine, y con la siguiente formato de correo electrónico:

    [e-mail]

    Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud. Para encontrar el número del proyecto, ve a la página de bienvenida de la consola de Google Cloud o ejecuta el siguiente comando:

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    Para entornos de producción, recomendamos crear una cuenta de servicio nueva y otorgarle una o más funciones de IAM que contengan los permisos mínimos requeridos y seguir el principio de privilegio mínimo.

    Nota:

    La restricción de la política de la organización iam.automaticIamGrantsForDefaultServiceAccounts evita que el rol Editor se otorgue de forma automática a las cuentas de servicio predeterminadas. Si creaste tu organización después del 3 de mayo de 2024, esta restricción se aplica de forma predeterminada.

    Recomendamos que apliques esta restricción para inhabilitar la concesión automática de roles. Si inhabilitas la concesión automática de roles, debes decidir qué roles se deben otorgar a las cuentas de servicio predeterminadas y, luego, otorgar estos roles a ti mismo.

    Si la cuenta de servicio predeterminada ya tiene el rol de editor, te recomendamos que reemplaces el rol de editor por roles menos permisivos. Para modificar de forma segura los roles de la cuenta de servicio, usa Policy Simulator para ver el impacto del cambio y, luego, otorga y revoca los roles adecuados.

16. De forma predeterminada, solo los propietarios y los editores del proyecto, y los administradores y los invocadores de Cloud Run pueden llamar a los servicios de Cloud Run. Puedes controlar el acceso según el servicio. Sin embargo, para fines de prueba, otorga el rol de invocador de Cloud Run (run.invoker) en el proyecto de Google Cloud a la cuenta de servicio de Compute Engine. Esto otorga el rol en todos los servicios y trabajos de Cloud Run en un proyecto.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/run.invoker

    Ten en cuenta que si creas un activador para un servicio autenticado de Cloud Run sin otorgar la función de invocador de Cloud Run, el activador se crea de forma correcta y está activo. Sin embargo, el activador no funcionará como se espera y aparecerá en el registro un mensaje similar al siguiente:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
17. Si habilitaste el agente de servicio de Cloud Pub/Sub el 8 de abril de 2021 o antes de esa fecha, para admitir las solicitudes de envío de Pub/Sub autenticadas, otorga el rol de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) al agente de servicio. De lo contrario, este rol se otorga de forma predeterminada:

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/iam.serviceAccountTokenCreator

Crea un repositorio estándar de Artifact Registry

Crea un repositorio estándar de Artifact Registry para almacenar tu imagen de contenedor:

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Reemplaza REPOSITORY por un nombre único para el repositorio.

Implementa un receptor de eventos en Cloud Run

Implementa un servicio de Cloud Run que registre el contenido de un evento.

1. Clona el repositorio de GitHub:

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git

   De manera opcional, puedes descargar la muestra como un archivo zip y extraerla.

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git

   De manera opcional, puedes descargar la muestra como un archivo zip y extraerla.

   Go

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git

   De manera opcional, puedes descargar la muestra como un archivo ZIP y extraerla.

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git

   De manera opcional, puedes descargar la muestra como un archivo ZIP y extraerla.

   Ruby

   git clone https://github.com/GoogleCloudPlatform/ruby-docs-samples.git

   De manera opcional, puedes descargar la muestra como un archivo ZIP y extraerla.

   C#

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git

   De manera opcional, puedes descargar la muestra como un archivo ZIP y extraerla.

2. Ve al directorio que contiene el código de muestra de Cloud Run:

   Node.js

   cd nodejs-docs-samples/eventarc/pubsub/

   Python

   cd python-docs-samples/eventarc/pubsub/

   Go

   cd golang-samples/eventarc/pubsub/

   Java

   cd java-docs-samples/eventarc/pubsub/

   Ruby

   cd ruby-docs-samples/eventarc/pubsub/

   C#

   cd dotnet-docs-samples/eventarc/pubsub/

3. Compila el contenedor y súbelo a Cloud Build:

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

4. Implementa la imagen del contenedor en Cloud Run:

   gcloud run deploy ${SERVICE_NAME} \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

5. En el mensaje ¿Permitir invocaciones no autenticadas en trigger-pubsub (y/N)?, responde n para “No”.

Nota: Según el nivel requerido de acceso de red al servicio de Cloud Run, también puedes configurar la marca de entrada.

Cuando veas la URL del servicio de Cloud Run, la implementación estará completa.

Crea un activador de Eventarc

Cuando se publica un mensaje en el tema de Pub/Sub, el evento activa el servicio de Cloud Run.

Nota: De forma predeterminada, las suscripciones de Pub/Sub creadas para Eventarc persisten, sin importar la actividad, y no vencen. Para cambiar la duración de la inactividad, consulta Propiedades de la suscripción.

1. Crea un activador para detectar los mensajes de Pub/Sub:

   Nuevo tema Pub/Sub

     gcloud eventarc triggers create ${SERVICE_NAME} \
         --destination-run-service=${SERVICE_NAME} \
         --destination-run-region=${REGION} \
         --location=${REGION} \
         --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
         --service-account=[e-mail]
   

   Esto crea un nuevo tema de Pub/Sub y un activador llamado trigger-pubsub para este.

   Tema de Pub/Sub existente

     gcloud eventarc triggers create ${SERVICE_NAME} \
         --destination-run-service=${SERVICE_NAME} \
         --destination-run-region=${REGION} \
         --location=${REGION} \
         --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
         --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
         --service-account=[e-mail]
   

   Reemplaza lo siguiente:

   • PROJECT_ID: El ID del proyecto de Google Cloud.
   • TOPIC_ID: el ID del tema de Pub/Sub existente.

   Esto crea un activador llamado trigger-pubsub para el tema de Pub/Sub existente.

   Ten en cuenta que, cuando creas un activador de Eventarc por primera vez en un proyecto de Google Cloud, es posible que haya un retraso en el aprovisionamiento del agente de servicio de Eventarc. Por lo general, este problema se puede resolver si intentas crear el activador de nuevo. Para obtener más información, consulta Errores de permiso denegado.

2. Confirma que el activador se haya creado de forma correcta. Ten en cuenta que, si bien tu activador se crea de inmediato, puede tardar hasta dos minutos para que un activador sea por completo funcional.

   gcloud eventarc triggers list --location=${REGION}

   El estado del activador que se muestra debe ser ACTIVE: Yes.

Genera y visualiza un evento

Publicar un mensaje en un tema de Pub/Sub para generar un evento y activar el servicio de Cloud Run. El servicio de Cloud Run registra los mensajes en los registros del servicio.

1. Busca y establece el tema Pub/Sub como una variable de entorno:

   export TOPIC_ID=$(gcloud eventarc triggers describe ${SERVICE_NAME} \
       --format='value(transport.pubsub.topic)')

2. Envía un mensaje al tema de Pub/Sub para generar un evento:

   gcloud pubsub topics publish $TOPIC_ID --message "Hello there"

   El evento se envía al servicio de Cloud Run, que registra el mensaje del evento.

3. Ve las entradas de registro relacionadas con eventos creadas por tu servicio:

   gcloud logging read 'textPayload: "Hello there!"'

   La entrada de registro debería ser similar a la siguiente:

   textPayload: 'Hello, Hello there!'

Los registros pueden tardar un poco en aparecer. Si no los ves de inmediato, vuelve a revisar en un minuto.

Limpia

Para evitar que se apliquen cargos como el almacenamiento de la imagen de contenedor en Artifact Registry, el almacenamiento de archivos en el bucket de Cloud Storage y la activación de Eventarc, puedes borrar los recursos que creaste para este instructivo:

1. Borrar el servicio de Cloud Run.

2. Borrar tu imagen de contenedor.

3. Borrar el activador de Eventarc.

Como alternativa, puedes borrar tu proyecto de Google Cloud. Si borras tu proyecto de Google Cloud, se dejan de facturar todos los recursos que usaste en ese proyecto.

Precaución: Borrar un proyecto tiene las siguientes consecuencias:

• Se borra todo en el proyecto. Si usaste un proyecto existente para las tareas de este documento, cuando lo borres, también se borrará cualquier otro trabajo que hayas realizado en el proyecto.
• Se pierden los ID personalizados de proyectos. Cuando creaste este proyecto, es posible que hayas creado un ID del proyecto personalizado que desees utilizar en el futuro. Para conservar las URL que utilizan el ID del proyecto, como una URL appspot.com, borra los recursos seleccionados dentro del proyecto en lugar de borrar todo el proyecto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

¿Qué sigue?

• Recibe un evento de Pub/Sub mediante un servicio de Cloud Run no autenticado
• Compilar contenedores
• Crea un activador para enrutar eventos de Pub/Sub a Cloud Run
• Desarrolla servicios de Cloud Run