Ricevere eventi Pub/Sub in un endpoint HTTP interno in una rete VPC

Questo tutorial mostra come creare un endpoint HTTP interno in una rete Virtual Private Cloud (VPC) che riceve eventi di messaggi Pub/Sub utilizzando Eventarc. Per scoprire di più su questa destinazione dell'evento, consulta Indirizzare gli eventi a un endpoint HTTP interno in una rete VPC.

Puoi eseguire i seguenti comandi utilizzando Google Cloud CLI nel terminale o in Cloud Shell.

Obiettivi

In questo tutorial, imparerai a:

  1. Crea una rete VPC per fornire la rete per le tue risorse e i tuoi servizi basati su cloud. Una rete VPC è logicamente distinta dalle altre reti in Google Cloud.
  2. Crea una subnet. Ogni rete VPC è composta da uno o più intervalli di indirizzi IP chiamati subnet. Le subnet sono risorse regionali a cui sono associati intervalli di indirizzi IP.
  3. Crea regole firewall VPC per consentire o negare il traffico da o verso le istanze VM (macchine virtuali) nella rete VPC.
  4. Crea un collegamento di rete che consenta a una rete VPC producer di avviare connessioni a una rete VPC consumer.
  5. Crea un'istanza VM Compute Engine nella rete VPC.
  6. Esegui il deployment di un server web come servizio di ricezione di eventi sull'istanza VM.
  7. Crea un trigger Eventarc che indirizzi gli eventi Pub/Sub al ricevitore eventi nell'istanza VM.
  8. Stabilisci una connessione SSH all'istanza VM.
  9. Pubblica un messaggio in un argomento Pub/Sub per generare un evento e visualizza il corpo dell'evento nello strumento SSH nel browser.

Costi

In questo documento utilizzi i seguenti componenti fatturabili di Google Cloud:

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi Google Cloud utenti potrebbero avere diritto a una prova gratuita.

Al termine delle attività descritte in questo documento, puoi evitare la fatturazione continua eliminando le risorse che hai creato. Per ulteriori informazioni, consulta la sezione Pulizia.

Prima di iniziare

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
  2. Install the Google Cloud CLI.

  3. To initialize the gcloud CLI, run the following command: 

    gcloud init

  4. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  5. Make sure that billing is enabled for your Google Cloud project.

  6. Enable the Compute Engine, Eventarc, and Pub/Sub APIs: 

    gcloud services enable compute.googleapis.com eventarc.googleapis.com pubsub.googleapis.com
  7. Install the Google Cloud CLI.

  8. To initialize the gcloud CLI, run the following command: 

    gcloud init

  9. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  10. Make sure that billing is enabled for your Google Cloud project.

  11. Enable the Compute Engine, Eventarc, and Pub/Sub APIs: 

    gcloud services enable compute.googleapis.com eventarc.googleapis.com pubsub.googleapis.com
  12. Aggiorna i componenti di Google Cloud CLI: 
    gcloud components update
  13. Accedi utilizzando il tuo account: 
    gcloud auth login
  14. Imposta le variabili di configurazione utilizzate in questa guida rapida: 
    REGION=us-central1
ZONE=us-central1-a

  15. Se sei il creator del progetto, ti viene assegnato il ruolo di proprietario di base (roles/owner). Per impostazione predefinita, questo ruolo Identity and Access Management (IAM) include le autorizzazioni necessarie per l'accesso completo alla maggior parte delle risorse e puoi saltare questo passaggio. Google Cloud

    Se non sei il creator del progetto, le autorizzazioni richieste devono essere concesse al principale appropriato. Ad esempio, un'entità può essere un Account Google (per gli utenti finali) o un account di servizio (per le applicazioni e i carichi di lavoro di calcolo). Per ulteriori informazioni, consulta la pagina Ruoli e autorizzazioni relativa alla destinazione dell'evento.

    Autorizzazioni obbligatorie

    Per ottenere le autorizzazioni necessarie per completare questa guida introduttiva, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

    Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

    Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

  16. Se hai attivato l'agente di servizio Cloud Pub/Sub il giorno 8 aprile 2021 o in una data precedente per supportare le richieste push Pub/Sub autenticate, concedi all'agente di servizio il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator). In caso contrario, questo ruolo viene concesso per impostazione predefinita: 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator
     Sostituisci quanto segue:
    • PROJECT_ID: il tuo Google Cloud ID progetto
    • PROJECT_NUMBER: il numero del Google Cloud tuo progetto. Puoi trovare il numero del progetto nella pagina Welcome della console Google Cloud o eseguendo il seguente comando: 
      gcloud projects describe PROJECT_ID --format='value(projectNumber)'

Crea una rete VPC in modalità personalizzata

Una rete VPC è una versione virtuale di una rete fisica implementata all'interno della rete di produzione di Google. Fornisce connettività per le tue istanze VM di Compute Engine.

Quando viene creata una rete VPC in modalità personalizzata, non vengono create automaticamente subnet. Questo tipo di rete ti offre il controllo completo sulle subnet e sugli intervalli IP corrispondenti.

gcloud compute networks create NETWORK_NAME \
    --subnet-mode=custom \
    --bgp-routing-mode=regional \
    --mtu=1460

Sostituisci NETWORK_NAME con un nome per la rete VPC.

Tieni presente quanto segue:

  • Ogni nuova rete creata deve avere un nome univoco all'interno dello stesso progetto.
  • La modalità di routing BGP (Border Gateway Protocol) controlla il comportamento dei router Cloud nella rete e può essere global o regional. Il valore predefinito è regional.
  • L'unità massima di trasmissione (MTU) è la dimensione massima del pacchetto della rete. L'MTU può essere impostato su qualsiasi valore compreso tra 1300 e 8896. Il valore predefinito è 1460. Prima di impostare l'MTU su un valore superiore a 1460, consulta Unità massima di trasmissione.

Per scoprire di più, consulta Creare e gestire reti VPC.

Creare una subnet solo IPv4

Per poter essere usata, una rete deve avere almeno una subnet.

Quando crei una subnet, imposti un nome, una regione e almeno un intervallo di indirizzi IPv4 primario in base alle regole della subnet. Tieni presente che non puoi creare istanze in una regione per la quale non è definita alcuna subnet.

gcloud compute networks subnets create SUBNET_NAME \
    --region=$REGION \
    --network=NETWORK_NAME \
    --range=10.10.10.0/24

Sostituisci SUBNET_NAME con un nome per la nuova subnet.

Per ulteriori informazioni, consulta Subnet.

Creare regole firewall VPC

Le regole firewall VPC consentono o negano il traffico tra le risorse di una rete VPC in base al numero di porta, al tag o al protocollo.

Le regole firewall VPC sono definite a livello di rete e si applicano solo alla rete in cui vengono create. Tuttavia, il nome scelto per una regola deve essere univoco per il progetto.

  1. Crea una regola firewall per la tua rete VPC che consenta il traffico in entrata da qualsiasi indirizzo IPv4 (0.0.0.0/0) a qualsiasi istanza sulla rete utilizzando la porta 22. Questa regola non è necessaria per l'invio di eventi. Tuttavia, ai fini di questo tutorial, crea la regola in modo da poterti connettere alla VM tramite SSH e confermare l'invio dell'evento:

    gcloud compute firewall-rules create RULE_NAME_ONE \
    --network=projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --direction=INGRESS \
    --priority=65534 \
    --action=ALLOW \
    --source-ranges=0.0.0.0/0 \
    --rules=tcp:22

  2. Crea una regola firewall per la tua rete VPC che consenta il traffico in entrata da un intervallo di indirizzi IP specifico a qualsiasi istanza sulla rete che utilizza la porta 80 (poiché eseguirai il deployment di un server web sulla tua VM che ascolta sulla porta 80):

    gcloud compute firewall-rules create RULE_NAME_TWO \
    --network=projects/PROJECT_ID/global/networks/NETWORK_NAME \
    --direction=INGRESS \
    --priority=1000 \
    --action=ALLOW \
    --source-ranges=10.10.10.0/24 \
    --rules=tcp:80

    Sostituisci RULE_NAME_ONE e RULE_NAME_TWO con nomi univoci per le regole del firewall.

    Tieni presente che l'utilizzo di --source-ranges è facoltativo e indica un elenco di blocchi di indirizzi IP che possono effettuare connessioni in entrata corrispondenti alla regola del firewall alle istanze sulla rete. In questo caso, l'intervallo corrisponde a quello utilizzato nella sottorete creata in precedenza.

    Ti consigliamo di utilizzare il flag per applicare la regola del firewall specificamente al traffico Eventarc. Se non vengono specificati né --source-ranges né --source-tags, il valore predefinito di --source-ranges è 0.0.0.0/0, il che significa che la regola si applica a tutte le connessioni IPv4 in entrata da all'interno o all'esterno della rete.

Per ulteriori informazioni, consulta Utilizzare le regole firewall VPC.

Crea un collegamento di rete

Un collegamento di rete è una risorsa che consente a una rete VPC producer di avviare connessioni a una rete VPC consumer tramite un'interfaccia Private Service Connect.

Per pubblicare eventi, Eventarc utilizza il collegamento di rete per stabilire una connessione all'endpoint HTTP interno ospitato in una rete VPC.

Puoi creare un collegamento di rete che accetti automaticamente le connessioni da qualsiasi interfaccia Private Service Connect che fa riferimento al collegamento di rete. Crea il collegamento di rete nella stessa rete e nella stessa regione contenente il servizio di destinazione HTTP.

gcloud compute network-attachments create ATTACHMENT_NAME \
    --region=$REGION \
    --subnets=SUBNET_NAME \
    --connection-preference=ACCEPT_AUTOMATIC

Sostituisci ATTACHMENT_NAME con un nome per l'attacco alla rete.

Per saperne di più, consulta Informazioni sui collegamenti di rete.

Crea un'istanza VM in una subnet specificata

Un'istanza VM Compute Engine è una macchina virtuale ospitata sull'infrastruttura di Google. I termini istanza Compute Engine, istanza VM e VM sono sinonimi e vengono utilizzati in modo intercambiabile. Le istanze VM includono cluster Google Kubernetes Engine (GKE), istanze dell'ambiente flessibile di App Engine e altri Google Cloud prodotti basati su VM Compute Engine.

Crea un'istanza VM di Compute Engine nella rete VPC su cui puoi eseguire il deployment di un servizio di ricezione eventi.

gcloud compute instances create INSTANCE_NAME \
      --zone=$ZONE \
      --machine-type=e2-medium \
      --subnet=SUBNET_NAME

Sostituisci INSTANCE_NAME con un nome per la VM.

Per ulteriori informazioni, consulta Creare e avviare un'istanza VM.

Esegui il deployment di un ricevitore evento sulla VM

Esegui il deployment di un server web sulla VM che ascolta sulla porta 80, riceve e registra gli eventi.

  1. Stabilisci una connessione SSH all'istanza VM utilizzando il pulsante SSH nella console Google Cloud per connetterti alla VM.

    Dopo aver stabilito una connessione al server SSH, utilizza il terminale SSH nel browser per eseguire comandi sull'istanza VM.

  2. Nel terminale SSH in browser, crea un file di testo con il nomeserver.py che contenga il seguente codice Python:

    #!/usr/bin/env python3
from http.server import BaseHTTPRequestHandler, HTTPServer
import logging

class S(BaseHTTPRequestHandler):
    def _set_response(self):
        self.send_response(200)
        self.send_header('Content-type', 'text/html')
        self.end_headers()

    def do_GET(self):
        logging.info("GET request,\nPath: %s\nHeaders:\n%s\n", str(self.path), str(self.headers))
        self._set_response()
        self.wfile.write("GET request for {}".format(self.path).encode('utf-8'))

    def do_POST(self):
        content_length = int(self.headers['Content-Length'])
        post_data = self.rfile.read(content_length)
        logging.info("POST request,\nPath: %s\nHeaders:\n%s\n\nBody:\n%s\n",
                str(self.path), str(self.headers), post_data.decode('utf-8'))

        self._set_response()
        self.wfile.write("POST request for {}".format(self.path).encode('utf-8'))

def run(server_class=HTTPServer, handler_class=S, port=80):
    logging.basicConfig(level=logging.INFO)
    server_address = ('', port)
    http_server = server_class(server_address, handler_class)
    logging.info('Starting HTTP Server at port %d...\n', port)
    try:
        http_server.serve_forever()
    except KeyboardInterrupt:
        pass
    http_server.server_close()
    logging.info('Stopping HTTP Server...\n')

if __name__ == '__main__':
    from sys import argv

    if len(argv) == 2:
        run(port=int(argv[1]))
    else:
        run()

  3. Avvia il server e mantienilo in esecuzione per i passaggi rimanenti di questo tutorial:

    sudo python3 server.py

Crea un trigger Eventarc

Crea un trigger Eventarc che crea un nuovo argomento Pub/Sub e instrada gli eventi al ricevitore di eventi di cui è stato eseguito il deployment nella VM quando viene pubblicato un messaggio nell'argomento Pub/Sub.

Dopo aver attivato l'API Compute Engine, l'account di servizio predefinito è l'account di servizio predefinito Compute Engine (PROJECT_NUMBER-compute@developer.gserviceaccount.com). Per scopi di test, l'attivatore utilizza questo account di servizio predefinito per la propria identità.

gcloud eventarc triggers create TRIGGER_NAME \
    --location=$REGION \
    --destination-http-endpoint-uri=http://INSTANCE_NAME.$ZONE.c.PROJECT_ID.internal \
    --network-attachment="projects/PROJECT_ID/regions/$REGION/networkAttachments/ATTACHMENT_NAME" \
    --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
    --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

Sostituisci PROJECT_NUMBER con il numero Google Cloud del tuo progetto. Puoi trovare il numero del progetto nella pagina Welcome della console Google Cloud o eseguendo il seguente comando:

gcloud projects describe PROJECT_ID --format='value(projectNumber)'

Per ulteriori informazioni sulla configurazione dell'attivatore, consulta Indirizzare gli eventi a un endpoint HTTP interno in una rete VPC.

Generare e visualizzare un evento dell'argomento Pub/Sub

Puoi generare un evento pubblicando un messaggio in un argomento Pub/Sub.

  1. Trova e imposta l'argomento Pub/Sub come variabile di ambiente:

    export MY_TOPIC=$(gcloud eventarc triggers describe TRIGGER_NAME \
    --location=$REGION \
    --format='value(transport.pubsub.topic)')

  2. Pubblica un messaggio nell'argomento Pub/Sub per generare un evento:

    gcloud pubsub topics publish $MY_TOPIC --message "Hello World"

    L'attivatore Eventarc instrada l'evento all'endpoint HTTP interno della rete VPC. Nel terminale SSH nel browser, viene visualizzato il corpo dell'evento. Dovrebbe essere simile al seguente:

    Body:
{
    "message": {
        "data": "SGVsbG8gV29ybGQ=",
        "messageId": "8795720366614192",
        "publishTime": "2023-08-26T13:09:48Z"
    }
}

10.10.10.3 - - [26/Aug/2023 13:09:49] "POST / HTTP/1.1" 200 -

    Tieni presente che se decodifichi il valore data di SGVsbG8gV29ybGQ= dal suo formato Base64, viene restituito "Hello World".

Hai eseguito correttamente il deployment di un servizio di ricezione eventi in un endpoint HTTP interno di una rete VPC, hai creato un trigger Eventarc, hai generato un evento da Pub/Sub e hai verificato che l'evento sia stato inoltrato come previsto dall'trigger all'endpoint di destinazione.

Esegui la pulizia

Per evitare che al tuo account Google Cloud vengano addebitati costi relativi alle risorse utilizzate in questo tutorial, elimina il progetto che contiene le risorse oppure mantieni il progetto ed elimina le singole risorse.

Elimina il progetto

    Delete a Google Cloud project:

    gcloud projects delete PROJECT_ID

Elimina singole risorse

  1. Elimina l'trigger Eventarc: 
    gcloud eventarc triggers delete TRIGGER_NAME --location=$REGION
  2. Elimina l'istanza: 
    gcloud compute instances delete INSTANCE_NAME
  3. Elimina il collegamento di rete: 
    gcloud compute network-attachments delete ATTACHMENT_NAME --region=$REGION
  4. Elimina le regole firewall: 
    gcloud compute firewall-rules delete RULE_NAME_ONE
gcloud compute firewall-rules delete RULE_NAME_TWO
  5. Elimina la subnet: 
    gcloud compute networks subnets delete SUBNET_NAME --region=$REGION
  6. Elimina la rete VPC: 
    gcloud compute networks delete NETWORK_NAME

Passaggi successivi