認証された Cloud Run サービスを使用して Pub/Sub イベントを受信する

このチュートリアルでは、認証済みの Cloud Run サービスを使用して Pub/Sub 経由でイベントを受信する、コンテナ化されたアプリケーションをデプロイする方法について説明します。Pub/Sub はフルマネージドのリアルタイムメッセージングサービスで、個別のアプリケーション間でメッセージを送受信できます。

目標

このチュートリアルの内容は次のとおりです。

認証された呼び出しが必要なイベントレシーバサービスを Cloud Run にデプロイします。
Pub/Sub トピックを Cloud Run サービスに接続する Eventarc トリガーを作成します。
Pub/Sub トピックにメッセージをパブリッシュしてイベントを生成します。
Cloud Run のログでイベントを確認します。

料金

このドキュメントでは、Google Cloud の次の課金対象のコンポーネントを使用します。

料金計算ツールを使うと、予想使用量に基づいて費用の見積もりを生成できます。新しい Google Cloud ユーザーは無料トライアルをご利用いただける場合があります。

始める前に

組織で定義されているセキュリティの制約により、次の手順を完了できない場合があります。トラブルシューティング情報については、制約のある Google Cloud 環境でアプリケーションを開発するをご覧ください。

Google Cloud アカウントにログインします。Google Cloud を初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

Google Cloud CLI をインストールします。

gcloud CLI を初期化するには:

gcloud init

Google Cloud プロジェクトを作成または選択します。

Google Cloud プロジェクトを作成します。
```
gcloud projects create PROJECT_ID
```
PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。
作成した Google Cloud プロジェクトを選択します。
```
gcloud config set project PROJECT_ID
```
PROJECT_ID は、実際の Google Cloud プロジェクト名に置き換えます。

Google Cloud プロジェクトで課金が有効になっていることを確認します。

Google Cloud CLI をインストールします。

gcloud CLI を初期化するには:

gcloud init

Google Cloud プロジェクトを作成または選択します。

Google Cloud プロジェクトを作成します。
```
gcloud projects create PROJECT_ID
```
PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。
作成した Google Cloud プロジェクトを選択します。
```
gcloud config set project PROJECT_ID
```
PROJECT_ID は、実際の Google Cloud プロジェクト名に置き換えます。

Google Cloud プロジェクトで課金が有効になっていることを確認します。

Google Cloud CLI のコンポーネントを更新します。
```
gcloud components update
```
アカウントを使用してログインします。
```
gcloud auth login
```

API を有効にします。

gcloud services enable artifactregistry.googleapis.com \
    cloudbuild.googleapis.com \
    eventarc.googleapis.com \
    pubsub.googleapis.com \
    run.googleapis.com

このチュートリアルで使用する構成変数を設定します。

export REGION=us-central1
gcloud config set run/region ${REGION}
gcloud config set run/platform managed
gcloud config set eventarc/location ${REGION}
export SERVICE_NAME=trigger-pubsub

プロジェクト作成者には、オーナーロール（roles/owner）が付与されます。デフォルトでは、この Identity and Access Management（IAM）ロールには、ほとんどの Google Cloud リソースへの完全アクセス権に必要な権限が含まれており、この手順は省略できます。

プロジェクト作成者でない場合は、プロジェクトで適切なプリンシパルに必要な権限を付与する必要があります。プリンシパルは Google アカウント（エンドユーザーの場合）やサービスアカウント（アプリケーションとコンピューティングワークロードの場合）になることもあります。詳細については、イベントの宛先のロールと権限のページをご覧ください。

デフォルトでは、Cloud Build 権限には、Artifact Registry アーティファクトをアップロードおよびダウンロードするための権限が含まれています。
必要な権限

このチュートリアルを完了するために必要な権限を取得するには、プロジェクトに対して次の IAM ロールを付与するよう管理者に依頼してください。
- Cloud Build 編集者（roles/cloudbuild.builds.editor）
- Cloud Run 管理者（roles/run.admin）
- Eventarc 管理者（roles/eventarc.admin）
- ログ表示アクセス者（roles/logging.viewAccessor）
- プロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
- Pub/Sub パブリッシャー（roles/pubsub.publisher）
- サービスアカウント管理者（roles/iam.serviceAccountAdmin）
- サービスアカウントユーザー（roles/iam.serviceAccountUser）
- Service Usage 管理者（roles/serviceusage.serviceUsageAdmin）
- ストレージ管理者（roles/storage.admin）
ロールの付与の詳細については、アクセスの管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
Compute Engine を使用する Google Cloud サービスを有効にするか、使用すると、Compute Engine のデフォルトのサービスアカウントが自動的に作成されます。

テスト目的で、このサービスアカウントを Eventarc トリガーに関連付けて、トリガーの ID を示すこともできます。トリガーの作成時に使用するメールの形式に注意してください。
```
PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
PROJECT_NUMBER は、実際の Google Cloud プロジェクトの番号に置き換えます。プロジェクト番号は、Google Cloud コンソールの [ようこそ] ページで確認できます。また、次のコマンドで確認することもできます。
```
gcloud projects describe PROJECT_ID --format='value(projectNumber)'
```
Compute Engine サービスアカウントには、プロジェクトの編集者ロール（roles/editor）が自動的に付与されます。ただし、自動ロール付与が無効になっている場合は、該当するロールと権限の手順に沿って新しいサービスアカウントを作成し、必要なロールを付与してください。

注意: Compute Engine のデフォルトのサービスアカウントは、テスト目的でのみ使用することをおすすめします。本番環境では、新しいサービスアカウントを作成して、必要最小限のアクセス許可を含む、最小権限の原則に従う 1 つ以上の IAM ロールを付与することを強くおすすめします。
デフォルトでは、Cloud Run サービスを呼び出すことができるのは、プロジェクトオーナー、プロジェクト編集者、Cloud Run 管理者、起動元のみです。サービスごとにアクセスを制御できます。ただし、テスト目的の場合は、Google Cloud プロジェクトの Cloud Run 起動元ロール（run.invoker）を Compute Engine サービスアカウントに付与してください。これにより、プロジェクト内のすべての Cloud Run サービスとジョブにロールが付与されます。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/run.invoker
```
Cloud Run 起動元ロールを付与せずに認証済みの Cloud Run サービスのトリガーを作成すると、トリガーは正常に作成され、アクティブになります。ただし、トリガーが期待どおりに機能せず、次のようなメッセージがログに記録されます。
The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
2021 年 4 月 8 日以前に、認証済みの Pub/Sub push リクエストをサポートするために Cloud Pub/Sub サービスエージェントを有効にした場合は、サービスアカウントトークン作成者のロール（roles/iam.serviceAccountTokenCreator）を Google マネージドサービスアカウントに付与します。それ以外の場合、このロールはデフォルトで付与されます。
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator
```

Artifact Registry 標準リポジトリを作成する

コンテナイメージを保存する Artifact Registry 標準リポジトリを作成します。

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

REPOSITORY は、リポジトリの一意の名前に置き換えます。

Cloud Run にイベントレシーバーをデプロイする

イベントの内容をログに記録する Cloud Run サービスをデプロイします。

GitHub リポジトリのクローンを作成します。
Node.js
```
git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
```
また、zip 形式のサンプルをダウンロードしてファイルを抽出してもかまいません。
Python
```
git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
```
また、zip 形式のサンプルをダウンロードしてファイルを抽出してもかまいません。
Go
```
git clone https://github.com/GoogleCloudPlatform/golang-samples.git
```
また、zip 形式のサンプルをダウンロードしてファイルを抽出してもかまいません。
Java
```
git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
```
または、zip 形式のサンプルをダウンロードし、ファイルを抽出してもかまいません。
Ruby
```
git clone https://github.com/GoogleCloudPlatform/ruby-docs-samples.git
```
または、zip 形式のサンプルをダウンロードし、ファイルを抽出してもかまいません。
C#
```
git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
```
または、zip 形式のサンプルをダウンロードし、ファイルを抽出してもかまいません。

Cloud Run のサンプルコードが含まれているディレクトリに移動します。

Node.js

cd nodejs-docs-samples/eventarc/pubsub/

Python

cd python-docs-samples/eventarc/pubsub/

Go

cd golang-samples/eventarc/pubsub/

Java

cd java-docs-samples/eventarc/pubsub/

Ruby

cd ruby-docs-samples/eventarc/pubsub/

C#

cd dotnet-docs-samples/eventarc/pubsub/

コンテナをビルドして、Cloud Build にアップロードします。

gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

コンテナイメージを Cloud Run にデプロイします。

gcloud run deploy ${SERVICE_NAME} \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

[Allow unauthenticated invocations to trigger-pubsub (y/N)?] というプロンプトで、「n」と入力します。

Cloud Run サービスの URL が表示されたら、デプロイは完了しています。

Eventarc トリガーを作成する

Pub/Sub トピックにメッセージがパブリッシュされると、イベントにより Cloud Run サービスがトリガーされます。

Pub/Sub メッセージをリッスンするトリガーを作成します。
新しい Pub/Sub トピック
```
  gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
これにより、新しい Pub/Sub トピックと trigger-pubsub というトリガーが作成されます。
既存の Pub/Sub トピック
```
  gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID
- TOPIC_ID: 既存の Pub/Sub トピックの ID
これにより、既存の Pub/Sub トピックに trigger-pubsub というトリガーが作成されます。
Google Cloud プロジェクトで初めて Eventarc トリガーを作成する場合、Eventarc サービスエージェントのプロビジョニングに遅延が発生することがあります。この問題は通常、トリガーを再度作成することで解決できます。詳細については、権限拒否エラーをご覧ください。
トリガーが正常に作成されたことを確認します。トリガーはすぐに作成されますが、トリガーが完全に機能するまでに 2 分ほどかかることがあります。
```
gcloud eventarc triggers list --location=${REGION}
```
返されたトリガーのステータスは ACTIVE: Yes になります。

イベントを生成して表示する

Pub/Sub トピックにメッセージをパブリッシュしてイベントを生成し、Cloud Run サービスをトリガーします。Cloud Run サービスは、メッセージをサービスログに記録します。

Pub/Sub トピックを検索して、環境変数として設定します。

export TOPIC_ID=$(gcloud eventarc triggers describe ${SERVICE_NAME} \
    --format='value(transport.pubsub.topic)')

Pub/Sub トピックにメッセージを送信してイベントを生成します。
```
gcloud pubsub topics publish $TOPIC_ID --message "Hello there"
```
イベントが Cloud Run サービスに送信され、イベントメッセージがログに記録されます。
サービスによって作成されたイベント関連ログエントリを表示します。
```
gcloud logging read 'textPayload: "Hello there!"'
```
ログエントリは次のようになります。
```
textPayload: 'Hello, Hello there!'
```

ログが表示されるまで少し時間がかかることがあります。すぐに表示されない場合は、1 分後に再度確認してください。

クリーンアップ

Artifact Registry へのコンテナイメージの保存、Cloud Storage バケットへのファイルの保存、Eventarc のトリガーなどに対する料金が発生しないようにするには、このチュートリアルで作成したリソースを削除します。

または、Google Cloud プロジェクトを削除することもできます。Google Cloud プロジェクトを削除すると、対象のプロジェクト内で使用されているすべてのリソースに対する課金が停止します。

Google Cloud プロジェクトを削除します。

gcloud projects delete PROJECT_ID

認証された Cloud Run サービスを使用して Pub/Sub イベントを受信する

目標

料金

始める前に

必要な権限

Artifact Registry 標準リポジトリを作成する

Cloud Run にイベント レシーバーをデプロイする

Node.js

Python

Go

Java

Ruby

C#

Node.js

Python

Go

Java

Ruby

C#

Eventarc トリガーを作成する

新しい Pub/Sub トピック

既存の Pub/Sub トピック

イベントを生成して表示する

クリーンアップ

次のステップ

Cloud Run にイベントレシーバーをデプロイする