限定公開 GKE クラスタの限定公開 HTTP エンドポイントで Pub/Sub イベントを受信する

---

プレビュー

この機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 pre-GA の機能は「現状有姿」で利用できますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

このチュートリアルでは、Eventarc を使用して Pub/Sub メッセージ イベントを受信する限定公開の Google Kubernetes Engine（GKE）クラスタに、限定公開の HTTP エンドポイントを作成する方法について説明します。このイベントの宛先の詳細については、VPC ネットワークの内部 HTTP エンドポイントにイベントを転送するをご覧ください。

限定公開 GKE クラスタは、Virtual Private Cloud（VPC）ネイティブ クラスタの一種です。このクラスタでは、ノードには内部 IP アドレスのみが割り当てられます。つまり、デフォルトではノードと Pod はインターネットから隔離されています。コントロール プレーンへのクライアント アクセスは、禁止、制限、または無制限に設定できます。既存の非限定公開クラスタを限定公開クラスタに変換することはできません。詳細については、限定公開クラスタについてをご覧ください。

ターミナルまたは Cloud Shell で Google Cloud CLI を使用して、次のコマンドを実行できます。

目標

このチュートリアルの内容は次のとおりです。

1. デフォルトの VPC ネットワークにプロキシ専用サブネットを作成し、VPC ファイアウォール ルールを作成します。
2. パブリック エンドポイントへのクライアント アクセス権のない限定公開 GKE Autopilot クラスタを作成します。
3. VPC ネットワークの指定されたサブネットに Compute Engine 仮想マシン（VM）インスタンスを作成します。
4. VM インスタンスへの SSH 接続を確立し、VM インスタンスにイベント レシーバー サービスをデプロイします。
5. クラスタに Gateway と HTTPRoute マニフェストをデプロイして、Kubernetes のトラフィックをアプリケーション バックエンドに転送するように構成します。
6. プロデューサー VPC ネットワークがコンシューマー VPC ネットワークへの接続を開始できるようにネットワーク アタッチメントを作成します。
7. Pub/Sub イベントを VM インスタンスのイベント レシーバーに転送する Eventarc トリガーを作成します。
8. Pub/Sub トピックにメッセージを公開してイベントを生成し、アプリケーション Pod のログでイベントの本文を表示します。

費用

このドキュメントでは、Google Cloud の次の課金対象のコンポーネントを使用します。

• Compute Engine
• Eventarc
• Google Kubernetes Engine
• Pub/Sub
• VPC

料金計算ツールを使うと、予想使用量に基づいて費用の見積もりを生成できます。 新しい Google Cloud ユーザーは無料トライアルをご利用いただける場合があります。

このドキュメントに記載されているタスクの完了後、作成したリソースを削除すると、それ以上の請求は発生しません。詳細については、クリーンアップをご覧ください。

始める前に

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Enable the Cloud Resource Manager, Compute Engine, Eventarc, GKE, and Pub/Sub APIs:

   gcloud services enable compute.googleapis.com container.googleapis.com cloudresourcemanager.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

7. Install the Google Cloud CLI.

8. To initialize the gcloud CLI, run the following command:

   gcloud init

9. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

10. Make sure that billing is enabled for your Google Cloud project.

11. Enable the Cloud Resource Manager, Compute Engine, Eventarc, GKE, and Pub/Sub APIs:

    gcloud services enable compute.googleapis.com container.googleapis.com cloudresourcemanager.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

12. Google Cloud CLI のコンポーネントを更新します。

    gcloud components update

13. アカウントを使用してログインします。

    gcloud auth login

14. プロジェクト作成者には、オーナーロール（roles/owner）が付与されます。デフォルトでは、この Identity and Access Management（IAM）ロールには、ほとんどの Google Cloud リソースへのフルアクセスに必要な権限が含まれているため、この手順は省略できます。

    プロジェクト作成者でない場合は、プロジェクトで適切なプリンシパルに必要な権限を付与する必要があります。プリンシパルは Google アカウント（エンドユーザーの場合）やサービス アカウント（アプリケーションとコンピューティング ワークロードの場合）になることもあります。詳細については、イベントの宛先のロールと権限のページをご覧ください。

    必要な権限

    このクイックスタートを完了するために必要な権限を取得するには、プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。

    • Compute ネットワーク管理者（roles/compute.networkAdmin）
    • Compute セキュリティ管理者（roles/compute.securityAdmin）
    • Eventarc 管理者（roles/eventarc.admin）
    • Kubernetes Engine 管理者（roles/container.admin）
    • ログ表示アクセス者（roles/logging.viewAccessor）
    • プロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
    • Pub/Sub パブリッシャー（roles/pubsub.publisher）
    • サービス アカウント管理者（roles/iam.serviceAccountAdmin）
    • サービス アカウント ユーザー（roles/iam.serviceAccountUser）
    • Service Usage 管理者（roles/serviceusage.serviceUsageAdmin）

    ロールの付与については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。

    必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

15. Compute Engine のデフォルトのサービス アカウントをメモしておいてください。テスト目的で、Eventarc トリガーに関連付けて、トリガーの ID を示すためです。このサービス アカウントは、Compute Engine を使用する Google Cloud サービスを有効にするか、使用すると自動的に作成されます。メールアドレスの形式は次のとおりです。

    [e-mail]

    PROJECT_NUMBER は、実際の Google Cloud プロジェクトの番号に置き換えます。プロジェクト番号は、Google Cloud コンソールの [ようこそ] ページで確認できます。また、次のコマンドで確認することもできます。

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    本番環境では、新しいサービス アカウントを作成して、必要最小限の権限を含む、最小権限の原則に従った 1 つ以上の IAM ロールを付与することを強くおすすめします。

    注:

    iam.automaticIamGrantsForDefaultServiceAccounts 組織のポリシーの制約により、編集者のロールはデフォルトのサービス アカウントに自動的に付与されません。2024 年 5 月 3 日より後に組織を作成した場合、この制約はデフォルトで適用されます。

    この制約を適用して、ロールの自動付与を無効にすることを強くおすすめします。ロールの自動付与を無効にする場合は、デフォルトのサービス アカウントに付与するロールを決定し、ご自身でこれらのロールを付与する必要があります。

    デフォルトのサービス アカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービス アカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

16. 2021 年 4 月 8 日以前に、認証済みの Pub/Sub push リクエストをサポートするために Cloud Pub/Sub サービス エージェントを有効にした場合は、サービス アカウント トークン作成者のロール（roles/iam.serviceAccountTokenCreator）をサービス エージェントに付与します。それ以外の場合、このロールはデフォルトで付与されます。

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/iam.serviceAccountTokenCreator

プロキシ専用サブネットを作成する

この設定を禁止する組織のポリシーを作成しない限り、新しいプロジェクトは、各リージョンに 1 つのサブネットワーク（サブネット）を持つデフォルト ネットワーク（自動モードの VPC ネットワーク）が設定された状態で開始されます。各 VPC ネットワークは、サブネットと呼ばれる 1 つ以上の IP アドレス範囲で構成されています。サブネットはリージョン リソースであり、IP アドレス範囲が関連付けられています。

1. gcloud compute networks subnets create コマンドを使用して、デフォルト ネットワークにプロキシ専用サブネットを作成します。

   gcloud compute networks subnets create proxy-only-subnet \
       --purpose=REGIONAL_MANAGED_PROXY \
       --role=ACTIVE \
       --region=us-central1 \
       --network=default \
       --range=10.10.10.0/24
   

   purpose=REGIONAL_MANAGED_PROXY と指定されたサブネットは Envoy ベースのロードバランサ用に予約され、range は 64 個以上の IP アドレスを提供する必要があることに注意してください。

2. プロキシ専用サブネットの範囲に一致し、TCP ポート 8080 のトラフィックを許可するファイアウォール ルールを作成します。

   gcloud compute firewall-rules create allow-proxy-connection \
       --allow tcp:8080 \
       --source-ranges 10.10.10.0/24 \
       --network=default
   

限定公開 GKE クラスタを作成する

gcloud container clusters create-auto コマンドを使用して、限定公開ノードがあり、パブリック エンドポイントへのクライアント アクセス権のない Autopilot モードの限定公開 GKE クラスタを作成します。

次の例では、private-cluster という名前の限定公開 GKE クラスタと、my-subnet という名前のサブネットを作成します。

gcloud container clusters create-auto private-cluster \
    --create-subnetwork name=my-subnet \
    --enable-master-authorized-networks \
    --enable-private-nodes \
    --enable-private-endpoint \
    --region=us-central1

次の点にご注意ください。

• --enable-master-authorized-networks を指定すると、パブリック エンドポイントへのアクセスが、承認された IP アドレス範囲に制限されます。
• --enable-private-nodes は、クラスタのノードに外部 IP アドレスがないことを示します。
• --enable-private-endpoint は、クラスタがコントロール プレーン API エンドポイントの内部 IP アドレスを使用して管理されていることを示します。

クラスタの作成が完了するまでに数分かかることがあります。クラスタが作成されると、クラスタのステータスが RUNNING であることが示されます。

指定したサブネットで VM インスタンスを作成する

Compute Engine VM インスタンスは、Google のインフラストラクチャでホストされる仮想マシンです。Compute Engine インスタンス、VM インスタンス、VM という用語は同義語であり、同じ意味で使用されています。VM インスタンスには、GKE クラスタ、App Engine フレキシブル環境インスタンス、Compute Engine VM 上に構築された他の Google Cloud プロダクトが含まれます。

gcloud compute instances create コマンドを使用して、以前に作成したサブネットに Compute Engine VM インスタンスを作成します。サービス アカウントを接続し、VM のアクセス スコープを cloud-platform に設定します。

gcloud compute instances create my-vm \
    --service-account=[e-mail] \
    --scopes=https://www.googleapis.com/auth/cloud-platform \
    --zone=us-central1-a \
    --subnet=my-subnet

詳しくは、VM インスタンスの作成と開始をご覧ください。

VM にイベント レシーバーをデプロイする

ビルド済みのイメージ us-docker.pkg.dev/cloudrun/container/hello を使用して、ポート 80 でリッスンし、イベントを受信してログに記録するサービスを VM にデプロイします。

1. 次のコマンドを実行して、VM インスタンスへの SSH 接続を確立します。

   gcloud compute ssh my-vm --project=PROJECT_ID --zone=us-central1-a
   

   SSH サーバーへの接続が確立されたら、VM インスタンスで残りのコマンドを実行します。

2. 必要に応じて、kubectl と必要なプラグインをインストールします。

3. VM インスタンスから、get-credentials コマンドを使用して、作成したクラスタで kubectl が動作するようにします。

   gcloud container clusters get-credentials private-cluster \
       --region=us-central1 \
       --internal-ip
   

4. Kubernetes コマンド kubectl create deployment を使用して、アプリケーションをクラスタにデプロイします。

   kubectl create deployment hello-app \
       --image=us-docker.pkg.dev/cloudrun/container/hello
   

   これにより、hello-app という名前の Deployment が作成されます。この Deployment の Pod が hello コンテナ イメージを実行します。

5. アプリケーションをデプロイしたら、Kubernetes Service を作成して、アプリケーションをトラフィックに公開できます。次の kubectl expose コマンドを実行します。

   kubectl expose deployment hello-app \
       --type ClusterIP \
       --port 80 \
       --target-port 8080
   

   出力に service/hello-app exposed が表示されます。

   次のようなメッセージは無視してかまいません。

   E0418 14:15:33.970933    1129 memcache.go:287] couldn't get resource list for metrics.k8s.io/v1beta1: the server is currently unable to handle the request
   

Kubernetes トラフィック ルーティングを構成する

Gateway リソースは、Kubernetes のトラフィックをルーティングするデータプレーンを表します。Gateway は、派生元の GatewayClass に応じて、さまざまなロード バランシングとルーティングを表すことができます。詳細については、Gateway のデプロイをご覧ください。HTTPRoute マニフェストをデプロイしてルートを作成し、アプリケーション バックエンドにトラフィックを送信します。

1. クラスタに Gateway をデプロイします。

   kubectl apply -f - <<EOF
   kind: Gateway
   apiVersion: gateway.networking.k8s.io/v1beta1
   metadata:
     name: internal-http
   spec:
     gatewayClassName: gke-l7-rilb
     listeners:
     - name: http
       protocol: HTTP
       port: 80
   EOF
   

   次の点にご注意ください。

   • gatewayClassName: gke-l7-rilb には、このゲートウェイの派生元となる GatewayClass を指定します。gke-l7-rilb は、内部アプリケーション ロードバランサに対応しています。
   • port: 80 は、HTTP トラフィックをリッスンするためにポート 80 のみを公開することを指定します。

2. Gateway が正しくデプロイされたことを確認します。すべてのリソースがデプロイされるまで数分かかる場合があります。

   kubectl describe gateways.gateway.networking.k8s.io internal-http
   

   出力は次のようになります。

   Name:         internal-http
   Namespace:    default
   ...
   API Version:  gateway.networking.k8s.io/v1beta1
   Kind:         Gateway
   ...
   Spec:
     Gateway Class Name:  gke-l7-rilb
     Listeners:
       Allowed Routes:
         Namespaces:
           From:  Same
       Name:      http
       Port:      80
       Protocol:  HTTP
   Status:
     Addresses:
       Type:   IPAddress
       Value:  10.36.172.5
   ...
   Events:
     Type    Reason  Age                From                   Message
     ----    ------  ----               ----                   -------
     Normal  ADD     80s                sc-gateway-controller  default/internal-http
     Normal  UPDATE  20s (x3 over 80s)  sc-gateway-controller  default/internal-http
     Normal  SYNC    20s                sc-gateway-controller  SYNC on default/internal-http was a success
   

3. HTTPRoute マニフェストをデプロイして、HTTP トラフィックをポート 80 の hello-app サービスに転送します。

   kubectl apply -f - <<EOF
   kind: HTTPRoute
   apiVersion: gateway.networking.k8s.io/v1beta1
   metadata:
     name: hello-app-route
   spec:
     parentRefs:
     - kind: Gateway
       name: internal-http
     rules:
     - backendRefs:
       - name: hello-app
         port: 80
   EOF
   

ネットワーク アタッチメントを作成する

ネットワーク アタッチメントは、プロデューサー VPC ネットワークが Private Service Connect インターフェースを介してコンシューマー VPC ネットワークへの接続を開始できるようにするためのリソースです。

イベントを公開するために、Eventarc はネットワーク アタッチメントを使用して、VPC ネットワークでホストされている内部 HTTP エンドポイントとの接続を確立します。

注: Eventarc は、サブネットの CIDR IP 範囲 240.0.0.0/20 を予約します。ネットワーク アタッチメントに使用されるサブネットは、この範囲と重複しないようにしてください。

ネットワーク アタッチメントを参照する Private Service Connect インターフェースからの接続を自動的に受け入れるネットワーク アタッチメントを作成できます。HTTP 宛先サービスを含むネットワークとリージョンにネットワーク アタッチメントを作成します。

gcloud compute network-attachments create my-network-attachment \
    --region=us-central1 \
    --subnets=my-subnet\
    --connection-preference=ACCEPT_AUTOMATIC

詳細については、ネットワーク アタッチメントについてをご覧ください。

Eventarc トリガーを作成する

新しい Pub/Sub トピックを作成し、メッセージが Pub/Sub トピックにパブリッシュされたときに、VM にデプロイされたイベント レシーバーにイベントを転送する Eventarc トリガーを作成します。

1. ゲートウェイのアドレスを取得します。

   GATEWAY_ADDRESS=$(kubectl get gateways.gateway.networking.k8s.io internal-http -o=jsonpath="{.status.addresses[0].value}")
   

2. トリガーを作成します。

   gcloud eventarc triggers create my-trigger \
       --location=us-central1 \
       --destination-http-endpoint-uri="http://$GATEWAY_ADDRESS:80/" \
       --network-attachment="projects/PROJECT_ID/regions/us-central1/networkAttachments/my-network-attachment" \
       --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
       --service-account=[e-mail]
   

   PROJECT_NUMBER は、実際の Google Cloud プロジェクトの番号に置き換えます。プロジェクト番号は、Google Cloud コンソールの [ようこそ] ページで確認できます。また、次のコマンドを実行して確認することもできます。

   gcloud projects describe PROJECT_ID --format='value(projectNumber)'
   

トリガーの構成の詳細については、VPC ネットワークの内部 HTTP エンドポイントにイベントを転送するをご覧ください。

注: トリガーの作成には数分かかることがあり、トリガーが完全に機能するまでに 2 分ほどかかることがあります。

Pub/Sub トピック イベントを生成して表示する

Pub/Sub トピックにメッセージを公開することでイベントを生成できます。

1. Pub/Sub トピックを検索して、環境変数として設定します。

   export MY_TOPIC=$(gcloud eventarc triggers describe my-trigger \
       --location=us-central1 \
       --format='value(transport.pubsub.topic)')
   

2. Pub/Sub トピックにメッセージをパブリッシュしてイベントを生成します。

   gcloud pubsub topics publish $MY_TOPIC --message "Hello World"
   

   Eventarc トリガーは、限定公開 GKE クラスタの内部 HTTP エンドポイントにイベントを転送します。

3. アプリケーション Pod ログをチェックし、イベント配信を確認します。

   POD_NAME=$(kubectl get pod --selector app=hello-app --output=name)
   kubectl logs $POD_NAME
   

   イベントの本文は次のようになります。

   2024/04/18 20:31:43 Hello from Cloud Run! The container started successfully and is listening for HTTP requests on $PORT
   {"severity":"INFO","eventType":"google.cloud.pubsub.topic.v1.messagePublished","message":"Received event of type google.cloud.pubsub.topic.v1.messagePublished.
   Event data: Hello World","event":{"specversion":"1.0","id":"10935738681111260","source":"//pubsub.googleapis.com/projects/my-project/topics/eventarc-us-central1-my-trigger-224","type":"google.cloud.pubsub.topic.v1.messagePublished","datacontenttype":"application/json","time":"2024-04-18T20:40:03Z","data":
   {"message":{"data":"SGVsbG8gV29ybGQ=","messageId":"10935738681111260","publishTime":"2024-04-18T20:40:03Z"}}}}
   

これで非公開 GKE クラスタの内部 HTTP エンドポイントにイベント レシーバー サービスが正常にデプロイされ、Eventarc トリガーが作成されて、Pub/Sub からイベントが生成されました。また、トリガーにより、イベントが期待どおりにターゲット エンドポイントにルーティングされたことを確認できました。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

プロジェクトを削除する

注意: プロジェクトを削除すると、次のような影響があります。

• プロジェクト内のすべてのものが削除されます。このドキュメントのタスクで既存のプロジェクトを使用した場合、それを削除すると、そのプロジェクトで行った他の作業もすべて削除されます。
• カスタム プロジェクト ID が失われます。このプロジェクトを作成したときに、将来使用するカスタム プロジェクト ID を作成した可能性があります。そのプロジェクト ID を使用した URL（たとえば、appspot.com）を保持するには、プロジェクト全体ではなくプロジェクト内の選択したリソースだけを削除します。

複数のアーキテクチャ、チュートリアル、クイックスタートを実施する予定がある場合は、プロジェクトを再利用すると、プロジェクトの割り当て上限を超えないようにすることができます。

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

リソースを個別に削除する

1. Eventarc トリガーを削除します。
     gcloud eventarc triggers delete my-trigger --location=us-central1

2. VM を終了し、VM インスタンスを削除します。
     gcloud compute instances delete my-vm --zone=us-central1-a

3. ネットワーク アタッチメントを削除します。
     gcloud compute network-attachments delete my-network-attachment --region=us-central1

4. ファイアウォール ルールを削除します。
     gcloud compute firewall-rules delete allow-proxy-connection

5. クラスタを削除します。
     gcloud container clusters delete private-cluster --region=us-central1
     

6. Delete the subnet:

     gcloud compute networks subnets delete proxy-only-subnet --region=us-central1

次のステップ

• VPC ネットワークの内部 HTTP エンドポイントで Pub/Sub イベントを受信する
• Eventarc トリガーを管理する
• すべてのイベント プロバイダと宛先を表示する