Activa flujos de trabajo mediante Registros de auditoría de Cloud (gcloud CLI)

En esta guía de inicio rápido, se muestra cómo ejecutar un flujo de trabajo con un activador de Eventarc que recibe eventos de Registros de auditoría de Cloud desde BigQuery. BigQuery aloja conjuntos de datos públicos a los que puedes acceder y que puedes integrar en tus aplicaciones. El activador ejecuta el flujo de trabajo. Para ello, escucha un trabajo de BigQuery que consulta un conjunto de datos públicos. Luego, pasa los eventos como argumentos del entorno de ejecución al flujo de trabajo de destino.

Puedes completar esta guía de inicio rápido con Google Cloud CLI.

  1. Usa Workflows para crear e implementar un flujo de trabajo que extraiga y muestre datos de un evento.
  2. Crea un activador de Eventarc que conecte un trabajo de BigQuery a un receptor de eventos de Workflows.
  3. Para generar un evento, ejecuta un trabajo de BigQuery con la herramienta de línea de comandos de bq Este evento se pasa como un argumento de entorno de ejecución al flujo de trabajo de destino
  4. Visualizar los datos del evento en el resultado de la ejecución del flujo de trabajo.

Antes de comenzar

Es posible que las restricciones de seguridad que define tu organización no te permitan completar los siguientes pasos. Para obtener información sobre la solución de problemas, consulta Desarrolla aplicaciones en un entorno de Google Cloud restringido.

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
  2. Install the Google Cloud CLI.

  3. To initialize the gcloud CLI, run the following command: 

    gcloud init

  4. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  5. Make sure that billing is enabled for your Google Cloud project.

  6. Install the Google Cloud CLI.

  7. To initialize the gcloud CLI, run the following command: 

    gcloud init

  8. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  9. Make sure that billing is enabled for your Google Cloud project.

  10. Actualiza los componentes de gcloud: 
    gcloud components update

  11. Accede con tu cuenta: 
    gcloud auth login

  12. Habilita las APIs de Compute Engine, Eventarc, Pub/Sub y Workflows.

    gcloud services enable \
compute.googleapis.com \
eventarc.googleapis.com \
pubsub.googleapis.com \
workflows.googleapis.com \
workflowexecutions.googleapis.com
  13. Establece las variables de configuración que se usan en esta guía de inicio rápido: 
    export WORKFLOW_LOCATION=us-central1
export TRIGGER_LOCATION=us-central1
export PROJECT_ID=PROJECT_ID
gcloud config set project ${PROJECT_ID}
gcloud config set workflows/location ${WORKFLOW_LOCATION}
gcloud config set eventarc/location ${TRIGGER_LOCATION}

  14. Si eres el creador del proyecto, se te otorga el rol de propietario básico (roles/owner). De forma predeterminada, este rol de Identity and Access Management (IAM) incluye los permisos necesarios para obtener acceso completo a la mayoría de los recursos de Google Cloud, pero puedes omitir este paso.

    Si no eres el creador del proyecto, se deben otorgar los permisos necesarios en el proyecto a la principal correspondiente. Por ejemplo, una principal puede ser una Cuenta de Google (para usuarios finales) o una cuenta de servicio (para aplicaciones y cargas de trabajo de procesamiento). Para obtener más información, consulta la página Roles y permisos para el destino del evento.

    Permisos necesarios

    Si quieres obtener los permisos que necesitas para completar esta guía de inicio rápido, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

    Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

    También puedes obtener los permisos necesarios mediante roles personalizados o cualquier otro rol predefinido.

  15. Toma nota del recurso Compute Engine predeterminada, ya que la conectarás a un activador de Eventarc para representar la identidad del activador con fines de prueba. Esta cuenta de servicio se crea automáticamente después de habilitar o usar un servicio de Google Cloud que use Compute Engine, y con la siguiente formato de correo electrónico:

    PROJECT_NUMBER-compute@developer.gserviceaccount.com

    Reemplaza PROJECT_NUMBER por el número de proyecto de Google Cloud. Para encontrar el número del proyecto, ve a la página de bienvenida de la consola de Google Cloud o ejecuta el siguiente comando:

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    Para entornos de producción, recomendamos crear una cuenta de servicio nueva y otorgarle una o más funciones de IAM que contengan los permisos mínimos requeridos y seguir el principio de privilegio mínimo.

  16. Otorga el rol de receptor de eventos de Eventarc (roles/eventarc.eventReceiver) en el proyecto a la cuenta de servicio predeterminada de Compute Engine para que el activador de Eventarc pueda recibir eventos de proveedores de eventos. 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/eventarc.eventReceiver
  17. Otorga la función de invocador de flujos de trabajo (roles/workflows.invoker) del proyecto a la cuenta de servicio predeterminada de Compute Engine para que la cuenta tenga permiso para activar tu flujo de trabajo ejecución. 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/workflows.invoker
  18. Otorga el Rol de escritor de registros de Logging (roles/logging.logWriter) en el proyecto a la cuenta de servicio predeterminada de Compute Engine para que el flujo de trabajo pueda enviar registros a Cloud Logging. 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/logging.logWriter
  19. Si habilitaste el agente de servicio de Cloud Pub/Sub el 8 de abril de 2021 o antes de esa fecha, para admitir las solicitudes de envío de Pub/Sub autenticadas, otorga el rol de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) al agente de servicio. De lo contrario, este rol se otorga de forma predeterminada: 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator

Crea e implementa un flujo de trabajo

Crea y, luego, implementa un flujo de trabajo que se ejecute cuando la finalización de un trabajo de BigQuery active el flujo de trabajo con una solicitud HTTP.

  1. Abre una terminal o Cloud Shell.
  2. En tu directorio principal, crea un archivo nuevo llamado myFirstWorkflow.yaml o myFirstWorkflow.json.
  3. Copia y pega lo siguiente en el archivo nuevo y guárdalo:

    YAML

    main:
  params: [event]
  steps:
      - log_event:
          call: sys.log
          args:
              text: ${event}
              severity: INFO
      - extract_data:
          assign:
          - data: ${event.data.protoPayload}
      - return_data:
              return:
                  data: ${data}

    JSON

    {
  "main": {
    "params": [
      "event"
    ],
    "steps": [
      {
        "log_event": {
          "call": "sys.log",
          "args": {
            "text": "${event}",
            "severity": "INFO"
          }
        }
      },
      {
        "extract_data": {
          "assign": [
            {
              "data": "${event.data.protoPayload}"
            }
          ]
        }
      },
      {
        "return_data": {
          "return": {
            "data": "${data}"
          }
        }
      }
    ]
  }
}
  4. Implementa el flujo de trabajo: 
    export MY_WORKFLOW=myFirstWorkflow
gcloud workflows deploy ${MY_WORKFLOW} --source=myFirstWorkflow.yaml

    Reemplaza .yaml por .json si copiaste la versión JSON del flujo de trabajo de ejemplo.

Crea un activador de Eventarc

Para crear un activador de Eventarc que enrute eventos de BigQuery a un destino de Workflows, ejecuta el comando gcloud eventarc triggers create.

  1. Crea un activador que filtre los eventos de BigQuery:

    gcloud eventarc triggers create events-cal-trigger \
    --destination-workflow=${MY_WORKFLOW} \
    --destination-workflow-location=${WORKFLOW_LOCATION} \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=bigquery.googleapis.com" \
    --event-filters="methodName=google.cloud.bigquery.v2.JobService.InsertJob" \
    --service-account="PROJECT_NUMBER-compute@developer.gserviceaccount.com"

    Esto crea un activador llamado events-cal-trigger.

    Ten en cuenta que, cuando creas un activador de Eventarc por primera vez en un proyecto de Google Cloud, es posible que haya un retraso en el aprovisionamiento del agente de servicio de Eventarc. Por lo general, este problema se puede resolver si intentas crear el activador de nuevo. Para obtener más información, consulta Errores de permiso denegado.

  2. Para confirmar que events-cal-trigger se creó de forma correcta, ejecuta el siguiente comando:

    gcloud eventarc triggers describe events-cal-trigger --location=${TRIGGER_LOCATION}

    El resultado muestra la hora de creación y la ubicación del activador y debe ser similar al siguiente:

    createTime: '2021-10-14T15:15:43.872360951Z'
[...]
name: projects/PROJECT_ID/locations/us-central1/triggers/events-cal-trigger

Genera y visualiza un evento

Ejecuta un trabajo de BigQuery con la herramienta de línea de comandos de bq para generar eventos y activar el flujo de trabajo.

  1. Para activar el flujo de trabajo, ejecuta un trabajo de BigQuery que acceda a un conjunto de datos públicos y recupere información de él:

    bq query --nouse_legacy_sql \
'SELECT
COUNT(*)
FROM
`bigquery-public-data`.samples.shakespeare'

    Los eventos generados se pasan como argumentos de entorno de ejecución al flujo de trabajo que muestra los datos de carga útil como resultado de la ejecución del flujo de trabajo.

  2. Para verificar que se activó el flujo de trabajo, enumera sus últimas dos ejecuciones:

    gcloud workflows executions list ${MY_WORKFLOW} --limit=2

    El trabajo de BigQuery activa dos ejecuciones de flujo de trabajo. (Un evento indica que el trabajo cambió; el otro, la inserción en sí del trabajo). El resultado muestra un NAME y un STATE igual a SUCCEEDED para cada una de las ejecuciones y debería ser similar a lo siguiente:

    NAME: projects/218898424763/locations/us-central1/workflows/myFirstWorkflow/executions/a073ad6a-c76b-4437-8d39-2ab3ade289d2
STATE: SUCCEEDED
START_TIME: 2024-02-06T14:16:14.390549813Z
END_TIME: 2024-02-06T14:16:14.870102511Z
NAME: projects/218898424763/locations/us-central1/workflows/myFirstWorkflow/executions/35d7c730-7ba5-4055-afee-c04ed706b179
STATE: SUCCEEDED
START_TIME: 2024-02-06T14:16:14.389882601Z
END_TIME: 2024-02-06T14:16:14.829942525Z

    Ten en cuenta que, en el resultado, a073ad6a-c76b-4437-8d39-2ab3ade289d2 del campo NAME es el ID de la ejecución del flujo de trabajo. Copia el ID de ejecución para usarlo en el siguiente paso.

  3. Para ver el estado de ejecución, ejecuta el siguiente comando:

    gcloud workflows executions describe WORKFLOW_EXECUTION_ID --workflow=${MY_WORKFLOW}

    Reemplaza WORKFLOW_EXECUTION_ID por el ID de la ejecución del flujo de trabajo que corresponde a la hora en que se completó el trabajo de BigQuery.

    El resultado debería ser similar al siguiente ejemplo:

    argument: [...]
duration: 0.277917625s
endTime: '2024-02-06T14:16:14.870102511Z'
name: projects/218898424763/locations/us-central1/workflows/myFirstWorkflow/executions/a073ad6a-c76b-4437-8d39-2ab3ade289d2
result: '{"data": [...]}'
startTime: '2024-02-06T14:16:14.390549813Z'
state: SUCCEEDED

  4. Verifica que la startTime en la que se completó el trabajo de BigQuery y la START_TIME de la ejecución del flujo de trabajo coincidan entre sí.

Generaste correctamente un evento de BigQuery que activó un receptor de eventos de flujos de trabajo mediante Eventarc.

Realiza una limpieza

  1. Borra el flujo de trabajo que creaste: 
    gcloud workflows delete ${MY_WORKFLOW}
     Cuando se te pregunte si deseas continuar, ingresa y.
  2. Borra el activador que creaste: 
    gcloud eventarc triggers delete events-cal-trigger
  3. Como alternativa, puedes borrar el proyecto de Google Cloud para evitar que se generen cargos. Si borras tu proyecto de Google Cloud, se dejan de facturar todos los recursos que usaste en ese proyecto.

    Delete a Google Cloud project:

    gcloud projects delete PROJECT_ID

¿Qué sigue?