Ereignisse mit Pub/Sub-Nachrichten empfangen (gcloud-CLI)

Ereignisse mit Pub/Sub-Nachrichten empfangen (gcloud-CLI)

Standard

Vorschau

Für dieses Produkt gelten die „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

In dieser Kurzanleitung wird gezeigt, wie Sie einen GKE-Dienst (Google Kubernetes Engine) als Ziel für den Empfang von Pub/Sub-Themen-Ereignissen mithilfe von Eventarc einrichten.

Hinweis: Die Unterstützung von GKE als Eventarc-Ziel umfasst die öffentlichen Endpunkte privater und öffentlicher Dienste, die in einem GKE-Cluster ausgeführt werden.

In dieser Kurzanleitung tun Sie Folgendes:

1. Führen Sie vorbereitende Aufgaben aus, z. B. APIs aktivieren und ein Dienstkonto einrichten.
2. einen GKE-Cluster installieren
3. GKE-Ziele in Eventarc initialisieren
4. einen GKE-Dienst bereitstellen, der Ereignisse empfängt
5. einen Eventarc-Trigger erstellen, der ein Pub/Sub-Thema mit dem GKE-Dienst verbindet
6. Generieren Sie ein Pub/Sub-Ereignis und rufen Sie es auf.

Vorbereitung

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Install the Google Cloud CLI.

7. To initialize the gcloud CLI, run the following command:

   gcloud init

8. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

9. Make sure that billing is enabled for your Google Cloud project.

10. Aktualisieren Sie die Google Cloud CLI-Komponenten:

    gcloud components update

11. Aktivieren Sie die APIs Eventarc, Resource Manager und Google Kubernetes Engine:

    gcloud services enable eventarc.googleapis.com \
       cloudresourcemanager.googleapis.com \
       container.googleapis.com

12. Legen Sie die in dieser Kurzanleitung verwendeten Konfigurationsvariablen fest:

    PROJECT_ID=$(gcloud config get-value project)
    CLUSTER_NAME=events-cluster
    SERVICE_NAME=hello-gke
    LOCATION=us-central1

13. Wenn Sie der Projektersteller sind, wird Ihnen die einfache Owner-Rolle (roles/owner) zugewiesen. Standardmäßig enthält diese IAM-Rolle (Identity and Access Management) die Berechtigungen, die für den vollständigen Zugriff auf die meisten Google Cloud-Ressourcen erforderlich sind. Sie können diesen Schritt überspringen.

    Wenn Sie nicht der Project Creator sind, müssen dem entsprechenden Hauptkonto die erforderlichen Berechtigungen für das Projekt erteilt werden. Ein Hauptkonto kann beispielsweise ein Google-Konto (für Endnutzer) oder ein Dienstkonto (für Anwendungen und Computing-Arbeitslasten) sein. Weitere Informationen finden Sie auf der Seite Rollen und Berechtigungen für Ihr Ereignisziel.

    Erforderliche Berechtigungen

    Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Ausführen der Kurzanleitung benötigen:

    • Eventarc Admin (roles/eventarc.admin)
    • Kubernetes Engine-Administrator (roles/container.admin)
    • Zugriffsberechtigter für Logbetrachtung (roles/logging.viewAccessor)
    • Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
    • Pub/Sub Publisher (roles/pubsub.publisher)
    • Service Account Admin (roles/iam.serviceAccountAdmin)
    • Service Account User (roles/iam.serviceAccountUser)
    • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)

    Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

    Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

14. Notieren Sie sich das Compute Engine Standarddienstkonto, das Sie an einen Eventarc-Trigger anhängen, um die Identität des Triggers zu Testzwecken darzustellen. Dieses Dienstkonto wird automatisch nach der Aktivierung oder Verwendung eines Google Cloud-Dienstes, der Compute Engine verwendet, mit dem folgenden E-Mail-Format erstellt:

    [e-mail]

    Ersetzen Sie PROJECT_NUMBER durch Ihre Google Cloud-Projektnummer. Sie finden Ihre Projektnummer auf der Willkommensseite der Google Cloud Console oder durch Ausführen des folgenden Befehls:

    gcloud projects describe PROJECT_ID --format='value(projectNumber)'

    Für Produktionsumgebungen empfehlen wir dringend, ein neues Dienstkonto zu erstellen und ihm eine oder mehrere IAM-Rollen zuzuweisen, die die erforderlichen Mindestberechtigungen enthalten und dem Grundsatz der geringsten Berechtigung folgen.

    Hinweis:

    Die Einschränkung für die Organisationsrichtlinie iam.automaticIamGrantsForDefaultServiceAccounts verhindert, dass die Rolle „Bearbeiter“ automatisch Standarddienstkonten zugewiesen wird. Wenn Sie Ihre Organisation nach dem 3. Mai 2024 erstellt haben, wird diese Einschränkung standardmäßig erzwungen.

    Wir empfehlen dringend, diese Einschränkung zu erzwingen, um die automatische Rollenzuweisung zu deaktivieren. Wenn Sie die automatische Rollenzuweisung deaktivieren, müssen Sie entscheiden, welche Rollen den Standarddienstkonten zugeteilt werden sollen, und diese Rollen dann selbst zuweisen.

    Wenn das Standarddienstkonto bereits die Rolle „Bearbeiter“ hat, sollten Sie die Rolle „Bearbeiter“ durch weniger strikte Rollen ersetzen.Verwenden Sie zum sicheren Ändern der Rollen des Dienstkontos den Policy Simulator, um die Auswirkungen der Änderung zu sehen, und weisen Sie die entsprechenden Rollen zu und widerrufen Sie sie.

15. Weisen Sie dem Compute Engine-Standarddienstkonto die Rolle "Pub/Sub-Abonnent" (roles/pubsub.subscriber) für das Projekt zu, damit der Eventarc-Trigger Ereignisse aus Pub/Sub abrufen kann.

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/pubsub.subscriber

16. Wenn Sie den Cloud Pub/Sub-Dienst-Agent am oder vor dem 8. April 2021 aktiviert haben, um authentifizierte Pub/Sub-Push-Anfragen zu unterstützen, weisen Sie dem von Google verwalteten Dienstkonto die Rolle „Ersteller von Dienstkonto-Tokens“ (roles/iam.serviceAccountTokenCreator) zu. Andernfalls wird diese Rolle standardmäßig zugewiesen:

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:[e-mail] \
        --role=roles/iam.serviceAccountTokenCreator

GKE-Cluster erstellen

Ein GKE-Cluster besteht aus mindestens einer Maschine mit der Cluster-Steuerungsebene und mehreren Worker-Maschinen, die Knoten genannt werden. Knoten sind Compute Engine-VM-Instanzen, auf denen die erforderlichen Kubernetes-Prozesse ausgeführt werden, um die Knoten in den Cluster einzubinden. In diesem Fall stellen Sie Anwendungen für Cluster bereit und die Anwendungen werden auf den Knoten ausgeführt.

Erstellen Sie einen Autopilot-Cluster mit dem Namen events-cluster:

gcloud container clusters create-auto $CLUSTER_NAME \
    --region $LOCATION

Es kann einige Minuten dauern, bis der Cluster erstellt ist. Nachdem der Cluster erstellt wurde, sollte die Ausgabe in etwa so aussehen:

Creating cluster events-cluster...done.
Created [https://container.googleapis.com/v1/projects/MY_PROJECT/zones/us-central1/clusters/events-cluster].
[...]
STATUS: RUNNING

Dadurch wird ein GKE-Cluster mit dem Namen events-cluster in einem Projekt mit der Google Cloud-Projekt-ID MY_PROJECT erstellt.

GKE-Ziele aktivieren

Für jeden Trigger, der auf einen GKE-Dienst abzielt, erstellt Eventarc eine Komponente für den Ereignis-Forwarder, die Ereignisse aus Pub/Sub abruft und an das Ziel weiterleitet. Weisen Sie zur Erstellung der Komponente und zur Verwaltung von Ressourcen im GKE-Cluster dem Eventarc-Dienstkonto Berechtigungen zu:

1. Aktivieren Sie GKE-Ziele für Eventarc:

   gcloud eventarc gke-destinations init

2. Geben Sie bei der Aufforderung, die erforderlichen Rollen zu binden, y ein.

   Die folgenden Rollen sind an das Dienstkonto gebunden:

   • compute.viewer
   • container.developer
   • iam.serviceAccountAdmin

GKE-Dienstziel erstellen

Stellen Sie einen GKE-Dienst bereit, der Ereignisse mit einem vordefinierten Image us-docker.pkg.dev/cloudrun/container/hello empfängt und protokolliert:

1. Kubernetes verwendet eine YAML-Datei namens kubeconfig, um Informationen zur Clusterauthentifizierung für kubectl zu speichern. Aktualisieren Sie die Datei kubeconfig mit Anmeldedaten und Endpunktinformationen, damit kubectl auf den GKE-Cluster verweist:

   gcloud container clusters get-credentials $CLUSTER_NAME \
       --region $LOCATION
   

2. Erstellen Sie ein Kubernetes-Deployment:

   kubectl create deployment $SERVICE_NAME \
       --image=us-docker.pkg.dev/cloudrun/container/hello
   

3. Geben Sie es als Kubernetes-Dienst frei:

   kubectl expose deployment $SERVICE_NAME \
       --type ClusterIP \
       --port 80 \
       --target-port 8080
   

Eventarc-Trigger erstellen

Wenn eine Nachricht im Pub/Sub-Thema veröffentlicht wird, sendet der Eventarc-Trigger Nachrichten an den GKE-Dienst hello-gke.

1. Erstellen Sie einen GKE-Trigger, um Pub/Sub-Nachrichten zu überwachen:

   Neues Pub/Sub-Thema

   gcloud eventarc triggers create gke-trigger-pubsub \
       --location="$LOCATION" \
       --destination-gke-cluster=$CLUSTER_NAME \
       --destination-gke-location=$LOCATION \
       --destination-gke-namespace=default \
       --destination-gke-service=$SERVICE_NAME \
       --destination-gke-path=/ \
       --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
       --service-account="[e-mail]"
   

   Dadurch werden ein neues Pub/Sub-Thema und ein Trigger mit dem Namen gke-trigger-pubsub für das Thema erstellt.

   Vorhandenes Pub/Sub-Thema

   gcloud eventarc triggers create gke-trigger-pubsub \
       --location="$LOCATION" \
       --destination-gke-cluster=$CLUSTER_NAME \
       --destination-gke-location=$LOCATION \
       --destination-gke-namespace=default \
       --destination-gke-service=$SERVICE_NAME \
       --destination-gke-path=/ \
       --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
       --service-account="[e-mail]" \
       --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID
   

   Ersetzen Sie dabei Folgendes:

   • PROJECT_ID: Ihre Google Cloud-Projekt-ID
   • TOPIC_ID: die ID des vorhandenen Pub/Sub-Themas Damit wird ein Trigger mit dem Namen gke-trigger-pubsub für das vorhandene Pub/Sub-Thema erstellt.

2. So prüfen Sie, ob der Trigger erfolgreich erstellt wurde. Es kann bis zu zwei Minuten dauern, bis der Trigger vollständig funktioniert.

    gcloud eventarc triggers list
   

   Die Ausgabe sollte in etwa so aussehen:

   NAME: gke-trigger-pubsub
   TYPE: google.cloud.pubsub.topic.v1.messagePublished
   DESTINATION: GKE: hello-gke
   ACTIVE: Yes
   LOCATION: us-central1
   

Ereignis generieren und aufrufen

Sie können ein Ereignis generieren, um den GKE-Dienst auszulösen, indem Sie eine Nachricht im Pub/Sub-Thema veröffentlichen. Sie können sich die Nachricht in den Pod-Logs ansehen.

1. Suchen Sie das Pub/Sub-Thema und legen Sie es als Umgebungsvariable fest:

   TOPIC=$(gcloud eventarc triggers describe gke-trigger-pubsub \
       --location=us-central1 \
       --format='value(transport.pubsub.topic)')

2. Senden Sie eine Nachricht an das Pub/Sub-Thema, um ein Ereignis zu generieren:

   gcloud pubsub topics publish $TOPIC --message="Hello World"

   Der GKE-Dienst protokolliert die Nachricht des Ereignisses.

3. So rufen Sie die Ereignisnachricht auf:

   1. Suchen Sie die Pod-ID:

      kubectl get pods

      Die Ausgabe sollte in etwa so aussehen:

      NAME                                         READY   STATUS             RESTARTS   AGE
      hello-gke-645964f578-2mjjt                   1/1     Running            0          35s

      Kopieren Sie die NAME des Pods, die Sie im nächsten Schritt benötigen.

   2. Prüfen Sie die Logs des Pods:

      kubectl logs NAME

      Ersetzen Sie NAME durch den Namen des Pods, den Sie kopiert haben.

   3. Suchen Sie nach einem Logeintrag wie dem folgenden:

      2022/02/24 22:23:49 Hello from Cloud Run! The container started successfully and is listening for HTTP requests on $PORT
      {"severity":"INFO","eventType":"google.cloud.pubsub.topic.v1.messagePublished","message":"Received event of type google.cloud.pubsub.topic.v1.messagePublished. Event data: Hello World"[...]}
      

Bereinigen

Nach Abschluss der in diesem Dokument beschriebenen Aufgaben können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen.

Sie können:

1. Den Eventarc-Trigger löschen.

   Dadurch wird auch das zugehörige Pub/Sub-Thema gelöscht.

2. Löschen Sie den GKE-Cluster.

Alternativ können Sie Ihr Google Cloud-Projekt löschen, um wiederkehrende Gebühren zu vermeiden. Wenn Sie Ihr Google Cloud-Projekt löschen, wird die Abrechnung für alle in diesem Projekt verwendeten Ressourcen beendet.

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:

• Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
• Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, z. B. eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, statt das gesamte Projekt.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Wenn Sie mehrere Anleitungen und Kurzanleitungen durcharbeiten möchten, können Sie die Überschreitung von Projektkontingenten verhindern, indem Sie Projekte wiederverwenden.

Nächste Schritte

Ereignisse mit Cloud-Audit-Logs empfangen (Google Cloud CLI)