使用经过身份验证的 Cloud Run 服务接收 Pub/Sub 事件

---

本教程介绍如何使用经过身份验证的 Cloud Run 服务来部署容器化应用，该服务负责接收使用 Pub/Sub 的事件。 Pub/Sub 是一种全代管式实时消息传递服务，可让您在独立的应用之间发送和接收消息。

注意：所有 Cloud Run 服务在默认情况下都会以私密方式部署，这意味着，如果不在请求中提供身份验证凭据，就无法访问这些服务。对于采用网域限定共享组织政策的项目，请使用经过身份验证的 Cloud Run 目标服务，而不是允许公开（未经身份验证）访问的服务。

目标

在此教程中，您将学习以下操作：

1. 将事件接收器服务部署到 Cloud Run（需要使用经过身份验证的调用）。

2. 创建一个用于将 Pub/Sub 主题连接到 Cloud Run 服务的 Eventarc 触发器。

3. 向 Pub/Sub 主题发布消息以生成事件。

4. 在 Cloud Run 日志中查看事件。

费用

在本文档中，您将使用 Google Cloud 的以下收费组件：

• Artifact Registry
• Cloud Build
• Cloud Run
• Eventarc
• Pub/Sub

您可使用价格计算器根据您的预计使用情况来估算费用。 Google Cloud 新用户可能有资格申请免费试用。

准备工作

您的组织定义的安全限制条件可能会导致您无法完成以下步骤。如需了解相关问题排查信息，请参阅在受限的 Google Cloud 环境中开发应用。

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Install the Google Cloud CLI.

7. To initialize the gcloud CLI, run the following command:

   gcloud init

8. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

9. Make sure that billing is enabled for your Google Cloud project.

10. 更新 Google Cloud CLI 组件：

    gcloud components update

11. 使用您的账号登录：

    gcloud auth login

12. 启用 API：

    gcloud services enable artifactregistry.googleapis.com \
        cloudbuild.googleapis.com \
        eventarc.googleapis.com \
        pubsub.googleapis.com \
        run.googleapis.com

13. 设置本教程中使用的配置变量：

    export REGION=us-central1
    gcloud config set run/region ${REGION}
    gcloud config set run/platform managed
    gcloud config set eventarc/location ${REGION}
    export SERVICE_NAME=trigger-pubsub

14. 如果您是项目创建者，则会被授予基本 Owner 角色 (roles/owner)。默认情况下，此 Identity and Access Management (IAM) 角色可提供完全访问大多数 Google Cloud 资源所需的权限，您可以跳过此步骤。

    如果您不是项目创建者，则必须向主账号授予项目的必需权限。例如，主账号可以是 Google 账号（针对最终用户）或服务账号（针对应用和计算工作负载）。如需了解详情，请参阅事件目标位置的角色和权限页面。

    请注意，默认情况下，Cloud Build 权限包含上传和下载 Artifact Registry 工件的权限。

    所需权限

    如需获得完成本教程所需的权限，请让您的管理员为您授予项目的以下 IAM 角色：

    • Cloud Build Editor (roles/cloudbuild.builds.editor)
    • Cloud Run Admin (roles/run.admin)
    • Eventarc Admin (roles/eventarc.admin)
    • Logs View Accessor (roles/logging.viewAccessor)
    • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
    • Pub/Sub Publisher (roles/pubsub.publisher)
    • Service Account Admin (roles/iam.serviceAccountAdmin)
    • Service Account User (roles/iam.serviceAccountUser)
    • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
    • Storage Admin (roles/storage.admin)

    如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

    您也可以通过自定义角色或其他预定义角色来获取所需的权限。

15. 记下 Compute Engine 默认服务账号，因为您将把它附加到 Eventarc 触发器以代表触发器的身份信息进行测试。启用或使用包含 Compute Engine 的 Google Cloud 服务后，系统会自动创建此服务账号，其电子邮件地址格式如下：

    [e-mail]

    将 PROJECT_NUMBER 替换为您的 Google Cloud 项目编号。您可以在 Google Cloud 控制台的欢迎页面上或者通过运行以下命令找到项目编号：

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    对于生产环境，我们强烈建议创建新的服务账号，并为其授予一个或多个 IAM 角色，这些角色包含所需的最小权限并遵循最小权限原则。

    注意：

    iam.automaticIamGrantsForDefaultServiceAccounts 组织政策限制条件可以防止将 Editor 角色自动授予默认服务账号。如果您的组织是在 2024 年 5 月 3 日之后创建的，则默认情况下会强制执行此限制条件。

    我们强烈建议您实施此限制条件，以停用自动角色授予功能。如果您停用自动角色授予功能，则必须决定向默认服务账号授予哪些角色，然后自行授予这些角色。

    如果默认服务账号已具有 Editor 角色，我们建议您将 Editor 角色替换为权限较少的角色。如需安全地修改服务账号的角色，请使用 Policy Simulator 查看更改的影响，然后授予和撤消相应的角色。

16. 默认情况下，只有 Project Owner、Project Editor 以及 Cloud Run Admin 和 Invoker 才能调用 Cloud Run 服务。您可以按服务控制访问权限；但是，出于测试目的，请向 Compute Engine 服务账号授予 Google Cloud 项目的 Cloud Run Invoker 角色 (run.invoker)。此操作会授予项目中所有 Cloud Run 服务和作业的角色。

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/run.invoker

    请注意，如果您在未授予 Cloud Run Invoker 角色的情况下为经过身份验证的 Cloud Run 服务创建触发器，则触发器会成功创建且处于活动状态。但是，触发器将无法按预期运行，并且日志中会显示类似于以下内容的消息：

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
17. 如果您在 2021 年 4 月 8 日或之前启用了 Cloud Pub/Sub 服务代理，以支持经过身份验证的 Pub/Sub 推送请求，请向该服务代理授予 Service Account Token Creator 角色 (roles/iam.serviceAccountTokenCreator)。否则，系统会默认授予此角色：

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/iam.serviceAccountTokenCreator

创建 Artifact Registry 标准制品库

创建 Artifact Registry 标准制品库以存储您的容器映像：

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

将 REPOSITORY 替换为制品库的唯一名称。

将事件接收器部署到 Cloud Run

部署记录事件内容的 Cloud Run 服务。

1. 克隆 GitHub 代码库：

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

   Go

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

   Ruby

   git clone https://github.com/GoogleCloudPlatform/ruby-docs-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

   C#

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git

   或者，您也可以下载该示例的 zip 文件并将其解压缩。

2. 切换到包含 Cloud Run 示例代码的目录：

   Node.js

   cd nodejs-docs-samples/eventarc/pubsub/

   Python

   cd python-docs-samples/eventarc/pubsub/

   Go

   cd golang-samples/eventarc/pubsub/

   Java

   cd java-docs-samples/eventarc/pubsub/

   Ruby

   cd ruby-docs-samples/eventarc/pubsub/

   C#

   cd dotnet-docs-samples/eventarc/pubsub/

3. 构建容器并将其上传到 Cloud Build：

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

4. 将容器映像部署到 Cloud Run：

   gcloud run deploy ${SERVICE_NAME} \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

5. 在出现是否允许未经身份验证的调用触发 pubsub (y/N)？ 提示时，回复 n 表示“否”。

注意：根据针对 Cloud Run 服务所需的网络访问权限级别，您还可以设置入站流量标志。

当您看到 Cloud Run 服务网址时，表示部署完成。

创建 Eventarc 触发器

当消息发布到 Pub/Sub 主题时，该事件会触发 Cloud Run 服务。

注意：默认情况下，无论活动如何为 Eventarc 创建的 Pub/Sub 订阅都会持续存在，并且不会过期。如需更改非活跃状态持续时间，请参阅订阅属性。

1. 创建一个触发器来监听 Pub/Sub 消息：

   新的 Pub/Sub 主题

     gcloud eventarc triggers create ${SERVICE_NAME} \
         --destination-run-service=${SERVICE_NAME} \
         --destination-run-region=${REGION} \
         --location=${REGION} \
         --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
         --service-account=[e-mail]
   

   这会创建一个新的 Pub/Sub 主题和一个名为 trigger-pubsub 的触发器。

   现有 Pub/Sub 主题

     gcloud eventarc triggers create ${SERVICE_NAME} \
         --destination-run-service=${SERVICE_NAME} \
         --destination-run-region=${REGION} \
         --location=${REGION} \
         --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
         --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
         --service-account=[e-mail]
   

   替换以下内容：

   • PROJECT_ID：您的 Google Cloud 项目 ID
   • TOPIC_ID：现有 Pub/Sub 主题的 ID

   这将为现有 Pub/Sub 主题创建一个名为 trigger-pubsub 的触发器。

   请注意，首次在 Google Cloud 项目中创建 Eventarc 触发器时，预配 Eventarc 服务代理可能会有延迟。通常，您可以尝试再次创建触发器，以解决此问题。如需了解详情，请参阅权限遭拒错误。

2. 确认触发器已成功创建。请注意，尽管触发器会立即创建，但它最长可能需要两分钟才能完全正常运行。

   gcloud eventarc triggers list --location=${REGION}

   返回的触发器状态应为 ACTIVE: Yes。

生成并查看事件

向 Pub/Sub 主题发布消息以生成事件并触发 Cloud Run 服务。Cloud Run 服务会记录服务日志中的消息。

1. 查找 Pub/Sub 主题并将其设置为环境变量：

   export TOPIC_ID=$(gcloud eventarc triggers describe ${SERVICE_NAME} \
       --format='value(transport.pubsub.topic)')

2. 向 Pub/Sub 主题发送消息以生成事件：

   gcloud pubsub topics publish $TOPIC_ID --message "Hello there"

   事件会被发送到 Cloud Run 服务，该服务会记录事件消息。

3. 如需查看服务创建的与事件相关的日志条目，请运行以下命令：

   gcloud logging read 'textPayload: "Hello there!"'

   该日志条目应如下所示：

   textPayload: 'Hello, Hello there!'

您可能需要等待一些时间才能看到日志。如果您没有立即看到日志，请稍等片刻，然后再检查一次。

清理

为避免产生费用（例如将容器映像存储在 Artifact Registry 中、将文件存储在 Cloud Storage 存储桶中以及触发 Eventarc），您可以删除为本教程创建的资源：

1. 删除 Cloud Run 服务。

2. 删除容器映像。

3. 删除 Eventarc 触发器。

或者，您也可以删除 Google Cloud 项目。删除 Google Cloud 项目后，系统会停止对该项目中使用的所有资源计费。

注意：删除项目会产生以下影响：

• 项目中的所有内容都会被删除。如果您将现有项目用于本文档中的任务，则删除该项目后，还将删除您已在该项目中完成的任何其他工作。
• 自定义项目 ID 丢失。创建此项目时，您可能创建了要在将来使用的自定义项目 ID。要保留使用该项目 ID 的网址（例如 appspot.com 网址），请删除项目内的所选资源，而不是删除整个项目。

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

后续步骤

• 使用未经身份验证的 Cloud Run 服务接收 Pub/Sub 事件
• 构建容器
• 创建触发器以将 Pub/Sub 事件路由到 Cloud Run
• 开发 Cloud Run 服务