Seguridad del entorno de ejecución

Cada función se ejecuta sobre una imagen de entorno de ejecución con versión dentro del entorno de ejecución seguro de funciones de Cloud Run. Las imágenes del entorno de ejecución contienen bibliotecas del sistema operativo, entornos de ejecución de lenguaje y otros paquetes del sistema. Google mantiene todas las imágenes del entorno de ejecución de funciones de Cloud Run y lanza parches de seguridad y actualizaciones de mantenimiento después de un período de pruebas de estabilidad.

Imágenes del entorno de ejecución

Cada entorno de ejecución tiene una imagen de entorno de ejecución asociada (también conocida como imagen de ejecución) en un repositorio público en gcr.io. Para obtener uno de los ID de entorno de ejecución y sus imágenes de entorno de ejecución, consulta Entornos de ejecución.

Identifica la imagen del entorno de ejecución

Puedes identificar la imagen del entorno de ejecución que se usa para crear tu función mediante la inspección de los registros de compilación de tu función.

En los registros de compilación, busca google.run-image. Esto te brinda la entrada de registro del paso de compilación que describe la versión de la imagen del entorno de ejecución que se usa para compilar tu función. Por ejemplo, una entrada de registro para una función de Nodejs podría verse de la siguiente manera:

{
  ...
  "textPayload": "Step #2 - \"build\": Adding image label google.run-image:
    us.gcr.io/gae-runtimes/buildpacks/nodejs20/run:nodejs20_20230924_20_6_1_RC00",
  ...
}

Política de actualización de seguridad

Puedes elegir una de las siguientes políticas de actualización de seguridad:

  • Actualizaciones automáticas (predeterminadas): Las actualizaciones y los parches de seguridad del entorno de ejecución se publican en versiones nuevas de la imagen del entorno de ejecución. Después de un período de prueba de estabilidad y confiabilidad, el entorno de ejecución actualizado se implementa en todas las funciones, lo que da como resultado una actualización sin tiempo de inactividad. Las actualizaciones automáticas de seguridad están disponibles con las funciones de Cloud Run (1ª gen.) y funciones de Cloud Run. Para implementar correcciones de seguridad a nivel del lenguaje, es posible que debas volver a compilar funciones que usen lenguajes compilados, como Go o Java.

  • Actualizaciones de implementación: Las actualizaciones y los parches de seguridad se aplican a los entornos de ejecución solo cuando se implementan o vuelven a implementar funciones, a menos que se indique lo contrario. Las actualizaciones en la implementación están disponibles en las funciones de Cloud Run (1ª gen.) y funciones de Cloud Run.

La política de actualización del entorno de ejecución se puede cambiar con la marca --runtime-update-policy en el comando gcloud deploy.

Configura la política de actualización de tu función

Si usas Cloud Run Functions (1st gen), puedes cambiar la política de actualización de tu función si incluyes la marca --runtime-update-policy en el comando gcloud deploy como se muestra aquí:

  gcloud functions deploy FUNCTION_NAME --no-gen2 \
    --runtime-update-policy=POLICY ...

Reemplaza lo siguiente:

  • FUNCTION_NAME por el nombre de la función
  • POLICY por automatic o on-deploy

Inspecciona la política de actualización de tu función

Puedes inspeccionar la política de actualización de la función con el siguiente comando:

  gcloud functions describe FUNCTION_NAME \

Donde FUNCTION_NAME es el nombre de tu función.

  • Las funciones con actualizaciones de seguridad automáticas habilitadas tendrán la clave automaticUpdatePolicy
  • Las funciones que se actualizan en la implementación tendrán la clave onDeployUpdatePolicy

Identifica la imagen del entorno de ejecución que se usa después de una actualización automática

Cuando habilitas las actualizaciones automáticas, las funciones de Cloud Run cambian la imagen del entorno de ejecución de la función por una revisión más reciente que contenga parches y actualizaciones de seguridad adicionales. Este cambio aparece en los registros del entorno de ejecución de tu función.

Dentro de los registros del entorno de ejecución, la etiqueta runtime_version te indica cuándo se usa una imagen de entorno de ejecución nueva en tu función. Una entrada de registro para una función de Nodejs que se actualizó de forma automática podría verse así:

{
  ...
  "labels:" {
    runtime_version: nodejs20_20230924_20_6_1_RC00
    execution_id: ...
  }
  ...
}