Ricevi eventi Pub/Sub su un endpoint HTTP interno in una rete VPC

Questo tutorial mostra come creare un endpoint HTTP interno in una rete Virtual Private Cloud (VPC) che riceve eventi di messaggio Pub/Sub utilizzando Eventarc. Per scoprire di più su questa destinazione dell'evento, consulta Instradare gli eventi a un endpoint HTTP interno in una rete VPC.

Puoi eseguire i comandi seguenti utilizzando Google Cloud CLI nel terminale o in Cloud Shell.

Obiettivi

In questo tutorial, imparerai a:

Crea una rete VPC per fornire networking per le tue risorse e i tuoi servizi basati su cloud. Una rete VPC viene logicamente isolata dalle altre reti in Google Cloud.
Creare una subnet. Ogni rete VPC è composta da uno o più intervalli di indirizzi IP denominati subnet. Le subnet sono risorse regionali a cui sono associati intervalli di indirizzi IP.
Crea regole firewall VPC in modo da poter consentire o negare il traffico da o verso le istanze VM (macchina virtuale) nella tua rete VPC.
Creare un collegamento di rete che consente a una rete VPC del produttore di avviare connessioni a una rete VPC consumer.
Creare un'istanza VM di Compute Engine nella rete VPC.
Esegui il deployment di un server web come servizio di ricezione di eventi sulla tua istanza VM.
Creare un trigger Eventarc che instrada gli eventi Pub/Sub al ricevitore di eventi sulla tua istanza VM.
Stabilire una connessione SSH all'istanza VM.
Pubblica un messaggio in un argomento Pub/Sub per generare un evento e visualizza il corpo dell'evento nello strumento SSH nel browser.

Costi

In questo documento vengono utilizzati i seguenti componenti fatturabili di Google Cloud:

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi utenti di Google Cloud possono essere idonei a una prova senza costi aggiuntivi.

Una volta completate le attività descritte in questo documento, puoi evitare la fatturazione continua eliminando le risorse che hai creato. Per ulteriori informazioni, consulta la pagina Pulizia.

Prima di iniziare

Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

Installa Google Cloud CLI.

Per initialize gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un progetto Google Cloud.

Crea un progetto Google Cloud:
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il progetto Google Cloud che stai creando.
Seleziona il progetto Google Cloud che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del tuo progetto Google Cloud.

Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

Abilita le API Compute Engine, Eventarc, and Pub/Sub.

gcloud services enable compute.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

Installa Google Cloud CLI.

Per initialize gcloud CLI, esegui questo comando:

gcloud init

Crea o seleziona un progetto Google Cloud.

Crea un progetto Google Cloud:
```
gcloud projects create PROJECT_ID
```
Sostituisci PROJECT_ID con un nome per il progetto Google Cloud che stai creando.
Seleziona il progetto Google Cloud che hai creato:
```
gcloud config set project PROJECT_ID
```
Sostituisci PROJECT_ID con il nome del tuo progetto Google Cloud.

Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

Abilita le API Compute Engine, Eventarc, and Pub/Sub.

gcloud services enable compute.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

Aggiorna i componenti di Google Cloud CLI:
```
gcloud components update
```
Accedi utilizzando il tuo account:
```
gcloud auth login
```
Imposta le variabili di configurazione utilizzate in questa guida rapida:
```
REGION=us-central1
ZONE=us-central1-a
```
Se sei l'autore del progetto, ti viene concesso il ruolo Proprietario di base (roles/owner). Per impostazione predefinita, questo ruolo di Identity and Access Management (IAM) include le autorizzazioni necessarie per l'accesso completo alla maggior parte delle risorse Google Cloud e puoi saltare questo passaggio.

Se non sei l'autore del progetto, le autorizzazioni richieste devono essere concesse per il progetto all'entità appropriata. Ad esempio, un'entità può essere un Account Google (per gli utenti finali) o un account di servizio (per applicazioni e carichi di lavoro di computing). Per ulteriori informazioni, consulta la pagina Ruoli e autorizzazioni per la destinazione dell'evento.
Autorizzazioni obbligatorie

Per ottenere le autorizzazioni necessarie per completare questa guida rapida, chiedi all'amministratore di concederti i seguenti ruoli IAM sul tuo progetto:
- Amministratore di rete Compute (roles/compute.networkAdmin)
- Amministratore sicurezza Compute (roles/compute.securityAdmin)
- Amministratore Eventarc (roles/eventarc.admin)
- Funzione di accesso alla visualizzazione dei log (roles/logging.viewAccessor)
- Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin)
- Publisher Pub/Sub (roles/pubsub.publisher)
- Service Account Admin (roles/iam.serviceAccountAdmin) [Amministratore account di servizio]
- Utente account di servizio (roles/iam.serviceAccountUser)
- Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin)
Per saperne di più sulla concessione dei ruoli, vedi Gestire l'accesso.

Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite ruoli personalizzati o altri ruoli predefiniti.
Se hai abilitato l'agente di servizio Cloud Pub/Sub entro l'8 aprile 2021 per supportare le richieste push Pub/Sub autenticate, concedi il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) all'account di servizio gestito da Google. In caso contrario, questo ruolo è concesso per impostazione predefinita:
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator
```
Sostituisci quanto segue:
- PROJECT_ID: il tuo ID progetto Google Cloud
- PROJECT_NUMBER: il numero del tuo progetto Google Cloud. Puoi trovare il numero del progetto nella pagina Dashboard della console Google Cloud o eseguendo il seguente comando:
```
gcloud projects describe PROJECT_ID --format='value(projectNumber)'
```

Crea una rete VPC in modalità personalizzata

Una rete VPC è una versione virtuale di una rete fisica implementata all'interno della rete di produzione di Google. Fornisce connettività per le istanze VM di Compute Engine.

Quando viene creata una rete VPC in modalità personalizzata, non vengono create automaticamente subnet. Questo tipo di rete offre il controllo completo delle subnet e degli intervalli IP.

gcloud compute networks create NETWORK_NAME \
    --subnet-mode=custom \
    --bgp-routing-mode=regional \
    --mtu=1460

Sostituisci NETWORK_NAME con un nome per la rete VPC.

Tieni presente quanto segue:

Ogni nuova rete creata deve avere un nome univoco all'interno dello stesso progetto.
La modalità di routing BGP (Border Gateway Protocol) controlla il comportamento dei router Cloud nella rete e può essere global o regional. Il valore predefinito è regional.
L'unità massima di trasmissione (MTU) è la dimensione del pacchetto più grande della rete. Il valore MTU può essere impostato su qualsiasi valore compreso tra 1300 e 8896. Il valore predefinito è 1460. Prima di impostare la MTU su un valore superiore a 1460, consulta l'articolo Unità massima di trasmissione.

Per saperne di più, consulta Creare e gestire le reti VPC.

Crea una subnet solo IPv4

Per poter utilizzare una rete, è necessario che abbia almeno una subnet.

Quando crei una subnet, imposti un nome, una regione e almeno un intervallo di indirizzi IPv4 principali in base alle regole della subnet. Tieni presente che non puoi creare istanze in una regione in cui non è stata definita una subnet.

gcloud compute networks subnets create SUBNET_NAME \
    --region=$REGION \
    --network=NETWORK_NAME \
    --range=10.10.10.0/24

Sostituisci SUBNET_NAME con un nome per la nuova subnet.

Per ulteriori informazioni, consulta la sezione Subnet.

Crea regole firewall VPC

Le regole firewall VPC consentono di consentire o negare il traffico tra le risorse in una rete VPC in base a numero di porta, tag o protocollo.

Le regole firewall VPC vengono definite a livello di rete e si applicano solo alla rete in cui vengono create. Tuttavia, il nome scelto per una regola deve essere univoco per il progetto.

Crea una regola firewall per la tua rete VPC che consenta il traffico in entrata da qualsiasi indirizzo IPv4 (0.0.0.0/0) a qualsiasi istanza sulla rete utilizzando la porta 22. Questa regola non è obbligatoria per la distribuzione degli eventi. Tuttavia, ai fini di questo tutorial, crea la regola in modo da poterti connettere alla VM tramite SSH e confermare la consegna dell'evento:
```
gcloud compute firewall-rules create RULE_NAME_ONE \
    --network=projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --direction=INGRESS \
    --priority=65534 \
    --action=ALLOW \
    --source-ranges=0.0.0.0/0 \
    --rules=tcp:22
```
Crea una regola firewall per la tua rete VPC che consenta il traffico in entrata da uno specifico intervallo di indirizzi IP a qualsiasi istanza sulla rete utilizzando la porta 80 (in quanto eseguirai il deployment di un server web sulla VM in ascolto sulla porta 80):
```
gcloud compute firewall-rules create RULE_NAME_TWO \
    --network=projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --direction=INGRESS \
    --priority=1000 \
    --action=ALLOW \
    --source-ranges=10.10.10.0/24 \
    --rules=tcp:80
```
Sostituisci RULE_NAME_ONE e RULE_NAME_TWO con nomi univoci per le regole firewall.

Tieni presente che l'utilizzo di --source-ranges è facoltativo e indica un elenco di blocchi di indirizzi IP a cui è consentito effettuare connessioni in entrata che corrispondono alla regola firewall alle istanze sulla rete. In questo caso, l'intervallo corrisponde a quello utilizzato nella subnet creata in precedenza.

Ti consigliamo di utilizzare il flag per applicare la regola firewall in modo specifico al traffico Eventarc. Se non vengono specificati né --source-ranges né --source-tags, il valore predefinito di --source-ranges sarà 0.0.0.0/0, il che significa che la regola si applica a tutte le connessioni IPv4 in entrata dall'interno o dall'esterno della rete.

Per ulteriori informazioni, consulta Utilizzare le regole firewall VPC.

Creare un collegamento di rete

Un collegamento di rete è una risorsa che consente a una rete VPC del producer di avviare connessioni a una rete VPC consumer tramite un'interfaccia Private Service Connect.

Per pubblicare eventi, Eventarc utilizza il collegamento di rete per stabilire una connessione all'endpoint HTTP interno ospitato in una rete VPC.

Puoi creare un collegamento di rete che accetti automaticamente connessioni da qualsiasi interfaccia di Private Service Connect che faccia riferimento al collegamento di rete. Crea il collegamento di rete nella stessa rete e nella stessa regione che contengono il servizio di destinazione HTTP.

gcloud compute network-attachments create ATTACHMENT_NAME \
    --region=$REGION \
    --subnets=SUBNET_NAME \
    --connection-preference=ACCEPT_AUTOMATIC

Sostituisci ATTACHMENT_NAME con un nome per il collegamento di rete.

Per saperne di più, consulta Informazioni sui collegamenti di rete.

Crea un'istanza VM in una subnet specificata

Un'istanza VM di Compute Engine è una macchina virtuale ospitata sull'infrastruttura di Google. I termini istanza Compute Engine, istanza VM e VM sono sinonimi e vengono utilizzati in modo intercambiabile. Le istanze VM includono i cluster Google Kubernetes Engine (GKE), le istanze dell'ambiente flessibile di App Engine e altri prodotti Google Cloud basati su VM di Compute Engine.

Creare un'istanza VM di Compute Engine nella rete VPC in cui eseguire il deployment di un servizio di ricezione di eventi.

gcloud compute instances create INSTANCE_NAME \
      --zone=$ZONE \
      --machine-type=e2-medium \
      --subnet=SUBNET_NAME

Sostituisci INSTANCE_NAME con un nome per la VM.

Per ulteriori informazioni, consulta Creare e avviare un'istanza VM.

Esegui il deployment di un ricevitore di eventi sulla VM

Esegui il deployment di un server web sulla tua VM che rimane in ascolto sulla porta 80, riceve e registra gli eventi.

Stabilisci una connessione SSH alla tua istanza VM utilizzando il pulsante SSH nella console Google Cloud per connetterti alla VM.

Dopo aver stabilito una connessione al server SSH, utilizza il terminale SSH nel browser per eseguire i comandi sull'istanza VM.

Nel terminale SSH nel browser, crea un file di testo con il nome file server.py contenente il seguente codice Python:

internal-http-endpoints/server.py

Visualizza su GitHub

#!/usr/bin/env python3
from http.server import BaseHTTPRequestHandler, HTTPServer
import logging

class S(BaseHTTPRequestHandler):
    def _set_response(self):
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()

    def do_GET(self):
        logging.info("GET request,\nPath: %s\nHeaders:\n%s\n", str(self.path), str(self.headers))
        self._set_response()
        self.wfile.write("GET request for {}".format(self.path).encode('utf-8'))

    def do_POST(self):
        content_length = int(self.headers['Content-Length'])
        post_data = self.rfile.read(content_length)
        logging.info("POST request,\nPath: %s\nHeaders:\n%s\n\nBody:\n%s\n",
                str(self.path), str(self.headers), post_data.decode('utf-8'))

        self._set_response()
        self.wfile.write("POST request for {}".format(self.path).encode('utf-8'))

def run(server_class=HTTPServer, handler_class=S, port=80):
    logging.basicConfig(level=logging.INFO)
    server_address = ('', port)
    http_server = server_class(server_address, handler_class)
    logging.info('Starting HTTP Server at port %d...\n', port)
    try:
        http_server.serve_forever()
    except KeyboardInterrupt:
        pass
    http_server.server_close()
    logging.info('Stopping HTTP Server...\n')

if __name__ == '__main__':
    from sys import argv

    if len(argv) == 2:
        run(port=int(argv[1]))
    else:
        run()

Avvia il server e mantienilo in esecuzione per i passaggi rimanenti di questo tutorial:
```
sudo python3 server.py
```

Crea un trigger Eventarc

Crea un trigger Eventarc che crea un nuovo argomento Pub/Sub e instrada gli eventi al ricevitore di eventi di cui è stato eseguito il deployment sulla VM quando un messaggio viene pubblicato nell'argomento Pub/Sub.

Dopo aver abilitato l'API Compute Engine, l'account di servizio predefinito è l'account di servizio predefinito di Compute Engine (PROJECT_NUMBER-compute@developer.gserviceaccount.com). A fini di test, il trigger utilizza questo account di servizio predefinito per la propria identità.

gcloud eventarc triggers create TRIGGER_NAME \
    --location=$REGION \
    --destination-http-endpoint-uri=http://INSTANCE_NAME.$ZONE.c.PROJECT_ID.internal \
    --network-attachment="projects/PROJECT_ID/regions/$REGION/networkAttachments/ATTACHMENT_NAME" \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

Sostituisci PROJECT_NUMBER con il numero del tuo progetto Google Cloud. Puoi trovare il numero del progetto nella pagina Dashboard della console Google Cloud o eseguendo il seguente comando:

gcloud projects describe PROJECT_ID --format='value(projectNumber)'

Per ulteriori informazioni sulla configurazione del trigger, consulta Instradare gli eventi a un endpoint HTTP interno in una rete VPC.

Genera e visualizza un evento di argomento Pub/Sub

Puoi generare un evento pubblicando un messaggio in un argomento Pub/Sub.

Trova e imposta l'argomento Pub/Sub come variabile di ambiente:

export MY_TOPIC=$(gcloud eventarc triggers describe TRIGGER_NAME \
    --location=$REGION \
    --format='value(transport.pubsub.topic)')

Pubblica un messaggio nell'argomento Pub/Sub per generare un evento:
```
gcloud pubsub topics publish $MY_TOPIC --message "Hello World"
```
Il trigger Eventarc instrada l'evento all'endpoint HTTP interno nella tua rete VPC. Nel terminale SSH nel browser, il corpo dell'evento viene visualizzato. Dovrebbe essere simile al seguente:
```
Body:
{
    "message": {
        "data": "SGVsbG8gV29ybGQ=",
        "messageId": "8795720366614192",
        "publishTime": "2023-08-26T13:09:48Z"
    }
}

10.10.10.3 - - [26/Aug/2023 13:09:49] "POST / HTTP/1.1" 200 -
```
Tieni presente che se codifichi il valore data di SGVsbG8gV29ybGQ= dal suo formato Base64, viene restituito "Hello World".

Hai eseguito il deployment di un servizio di ricezione di eventi su un endpoint HTTP interno in una rete VPC, hai creato un trigger Eventarc, hai generato un evento da Pub/Sub e hai verificato che l'evento sia stato instradato come previsto dal trigger all'endpoint di destinazione.

Esegui la pulizia

Per evitare che al tuo Account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Elimina il progetto

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:

L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività in questo documento, quando lo elimini elimini anche qualsiasi altro lavoro svolto nel progetto.
Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Se intendi esplorare più architetture, tutorial o guide rapide, puoi riutilizzare i progetti ed evitare così di superare i limiti di quota.

Elimina un progetto Google Cloud:

gcloud projects delete PROJECT_ID

Elimina singole risorse

Elimina l'argomento Pub/Sub:
```
gcloud pubsub topics delete $MY_TOPIC
```

Elimina il trigger Eventarc:

gcloud eventarc triggers delete TRIGGER_NAME --location=$REGION

Elimina l'istanza:

gcloud compute instances delete INSTANCE_NAME

Elimina il collegamento di rete:

gcloud compute network-attachments delete ATTACHMENT_NAME --region=$REGION

Elimina le regole firewall:

gcloud compute firewall-rules delete RULE_NAME_ONE
gcloud compute firewall-rules delete RULE_NAME_TWO

Elimina la subnet:

gcloud compute networks subnets delete SUBNET_NAME --region=$REGION

Elimina la rete VPC:

gcloud compute networks delete NETWORK_NAME