Inizia a utilizzare Cloud Endpoints per Kubernetes con ESP

Scarica il codice campione

Se vuoi, scarica il codice campione. In questo tutorial esegui il deployment di un'immagine container predefinita, quindi non devi creare un container dal codice campione. Tuttavia, ti consigliamo di scaricare il codice campione, fornito in diversi linguaggi, per capire come funziona l'API di esempio.

Per scaricare il codice campione:

Ottenere il file di configurazione di Kubernetes

1. Clona il repository GitHub contenente i file yaml utilizzati in questo tutorial sulla tua macchina locale:

    git clone https://github.com/googlecloudplatform/endpoints-samples

   In alternativa, scarica il sample come file ZIP ed estrailo.

2. Passa alla directory che contiene i file di configurazione:

    cd endpoints-samples/kubernetes

Configurazione di Endpoints

Il codice campione include il file di configurazione OpenAPI openapi.yaml, che si basa sulla specifica OpenAPI 2.0.

Per configurare Endpoints:

1. Nella directory codice campione, apri il file di configurazione openapi.yaml.
   swagger: "2.0"
   info:
     description: "A simple Google Cloud Endpoints API example."
     title: "Endpoints Example"
     version: "1.0.0"
   host: "echo-api.endpoints.YOUR-PROJECT-ID.cloud.goog"

   Tieni presente quanto segue:

   • L'esempio di configurazione mostra le righe vicino al campo host che devi modificare. Per eseguire il deployment del file openapi.yaml in Endpoints, è necessario il documento OpenAPI completo.
   • Il file di esempio openapi.yaml contiene una sezione per la configurazione dell'autenticazione non necessaria per questo tutorial. Non è necessario configurare le righe con YOUR-SERVICE-ACCOUNT-EMAIL e YOUR-CLIENT-ID.
   • OpenAPI è una specifica indipendente dal linguaggio. Per comodità, lo stesso file openapi.yaml è presente nell'esempio getting-started in ogni repository GitHub per ogni lingua.

2. Nel campo host, sostituisci il testo con il nome del servizio Endpoints, che deve avere il seguente formato:

   host: "echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog"

   Sostituisci YOUR_PROJECT_ID con l'ID del tuo progetto Google Cloud. Ad esempio:

   host: "echo-api.endpoints.example-project-12345.cloud.goog"

Tieni presente che echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog è il nome del servizio Endpoints. Non è il nome di dominio completo (FQDN) che utilizzi per inviare richieste all'API.

Per informazioni sui campi nel documento OpenAPI richiesti da Endpoints, consulta Configurare Endpoints.

Dopo aver completato tutti i passaggi di configurazione che seguono e aver inviato correttamente richieste all'API di esempio utilizzando un indirizzo IP, consulta Configurazione del DNS per gli endpoint per informazioni su come configurare echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog come FQDN.

esegui il deployment della configurazione di Endpoints

Per eseguire il deployment della configurazione di Endpoints, utilizza il comando gcloud endpoints services deploy. Questo comando utilizza Gestione servizi per creare un servizio gestito.

Per eseguire il deployment della configurazione di Endpoints:

1. Assicurati di essere nella directory endpoints-samples/k8s.
2. Carica la configurazione e crea un servizio gestito:

   gcloud endpoints services deploy openapi.yaml
   

Il comando gcloud chiama quindi l'API Service Management per creare un servizio gestito con il nome specificato nel campo host del file openapi.yaml. Service Management configura il servizio in base alle impostazioni nel file openapi.yaml. Quando apporti modifiche a openapi.yaml, devi eseguire nuovamente il deployment del file per aggiornare il servizio Endpoints.

Durante la creazione e la configurazione del servizio, Service Management visualizza informazioni nel terminale. Puoi ignorare tranquillamente gli avvisi relativi ai percorsi nel file openapi.yaml che non richiedono una chiave API. Al termine della configurazione del servizio, Service Management visualizza un messaggio con l'ID configurazione del servizio e il nome del servizio, simile al seguente:

Service Configuration [2017-02-13r0] uploaded for service [echo-api.endpoints.example-project-12345.cloud.goog]

Nell'esempio precedente, 2017-02-13r0 è l'ID configurazione del servizio e echo-api.endpoints.example-project-12345.cloud.goog è il servizio Endpoints. L'ID configurazione del servizio è costituito da un timbro di data seguito da un numero di revisione. Se esegui di nuovo il deployment del file openapi.yaml nello stesso giorno, il numero di revisione viene incrementato nell'ID configurazione del servizio. Puoi visualizzare la configurazione del servizio Endpoints nella pagina Endpoints > Servizi della console Google Cloud.

Se viene visualizzato un messaggio di errore, consulta Risoluzione dei problemi di deployment della configurazione di Endpoints.

Verifica dei servizi richiesti

Nella maggior parte dei casi, il comando gcloud endpoints services deploy attiva questi servizi obbligatori. Tuttavia, il comando gcloud viene completato correttamente, ma non attiva i servizi richiesti nelle seguenti circostanze:

• Se hai utilizzato un'applicazione di terze parti come Terraform e non includi questi servizi.

• Hai eseguito il deployment della configurazione di Endpoints in un progetto Google Cloud esistente in cui questi servizi sono stati disattivati esplicitamente.

Utilizza il seguente comando per verificare che i servizi richiesti siano abilitati:

gcloud services list

Se non vedi i servizi richiesti nell'elenco, attivali:

gcloud services enable servicemanagement.googleapis.com
gcloud services enable servicecontrol.googleapis.com

Abilita anche il servizio Endpoints:

gcloud services enable ENDPOINTS_SERVICE_NAME

Per determinare ENDPOINTS_SERVICE_NAME, puoi:

• Dopo aver eseguito il deployment della configurazione di Endpoints, vai alla pagina Endpoints nella console Cloud. L'elenco dei possibili ENDPOINTS_SERVICE_NAME è riportato nella colonna Nome servizio.

• Per OpenAPI, ENDPOINTS_SERVICE_NAME è il valore specificato nel campo host della specifica OpenAPI. Per gRPC, ENDPOINTS_SERVICE_NAME è il valore specificato nel campo name della configurazione degli endpoint gRPC.

Per ulteriori informazioni sui comandi gcloud, consulta Servizi gcloud.

Creazione delle credenziali per il servizio

Per fornire la gestione della tua API, sia ESP che ESPv2 richiedono i servizi in Infrastruttura di servizi. Per chiamare questi servizi, ESP ed ESPv2 devono utilizzare token di accesso. Quando esegui il deployment di ESP o ESPv2 in ambienti Google Cloud, come GKE, Compute Engine o l'ambiente flessibile di App Engine, ESP ed ESPv2 ottengono i token di accesso per te tramite il servizio di metadati di Google Cloud.

Quando esegui il deployment di ESP o ESPv2 in un ambiente non Google Cloud, come il tuo computer locale, un cluster Kubernetes on-premise o un altro fornitore cloud, devi fornire un file JSON dell'account di servizio contenente una chiave privata. ESP ed ESPv2 utilizzano l'account di servizio per generare token di accesso per chiamare i servizi di cui ha bisogno per gestire l'API.

Puoi utilizzare la console Google Cloud o Google Cloud CLI per creare l'account di servizio e il file della chiave privata:

Aggiungi i ruoli IAM richiesti:

Questa sezione descrive le risorse IAM utilizzate da ESP e ESPv2 e i ruoli IAM richiesti per l'accesso di questo account di servizio alle risorse.

Configurazione del servizio endpoint

ESP ed ESPv2 chiamano Service Control, che utilizza la configurazione del servizio endpoint. La configurazione del servizio endpoint è una risorsa IAM ed ESP ed ESPv2 richiedono il ruolo Responsabile controllo servizi per accedervi.

Il ruolo IAM si trova nella configurazione del servizio endpoint, non nel progetto. Un progetto può avere più configurazioni di servizi endpoint.

Utilizza il seguente comando gcloud per aggiungere il ruolo all'account di servizio associato per la configurazione del servizio endpoint.

gcloud endpoints services add-iam-policy-binding SERVICE_NAME \
  --member serviceAccount:SERVICE_ACCOUNT_NAME@DEPLOY_PROJECT_ID.iam.gserviceaccount.com \
  --role roles/servicemanagement.serviceController

Dove
* SERVICE_NAME è il nome del servizio endpoint
* SERVICE_ACCOUNT_NAME@DEPLOY_PROJECT_ID.iam.gserviceaccount.com è l'account di servizio associato.

Cloud Trace

ESP ed ESPv2 chiamano il servizio Cloud Trace per esportare la traccia in un progetto. Questo progetto è chiamato progetto di monitoraggio. In ESP, il progetto di monitoraggio e il progetto proprietario della configurazione del servizio endpoint sono gli stessi. In ESPv2, il progetto di monitoraggio può essere specificato tramite il flag --tracing_project_id e per impostazione predefinita corrisponde al progetto di implementazione.

ESP ed ESPv2 richiedono il ruolo Agente Cloud Trace per abilitare Cloud Trace.

Utilizza il seguente comando gcloud per aggiungere il ruolo all'account di servizio collegato:

gcloud projects add-iam-policy-binding TRACING_PROJECT_ID \
  --member serviceAccount:SERVICE_ACCOUNT_NAME@DEPLOY_PROJECT_ID.iam.gserviceaccount.com \
  --role roles/cloudtrace.agent

Dove
* TRACING_PROJECT_ID è l'ID progetto di monitoraggio
* SERVICE_ACCOUNT_NAME@DEPLOY_PROJECT_ID.iam.gserviceaccount.com è l'account di servizio associato. Per ulteriori informazioni, consulta Che cosa sono i ruoli e le autorizzazioni?

Per ulteriori informazioni sui comandi, consulta gcloud iam service-accounts.

esegui il deployment del backend dell'API

Fino a questo punto, hai eseguito il deployment del documento OpenAPI in Service Management, ma non hai ancora eseguito il deployment del codice soggiacente al backend dell'API. Questa sezione illustra la procedura per eseguire il deployment di container predefiniti per l'API di esempio e l'ESP in Kubernetes.

Controllo delle autorizzazioni richieste

Concedi le autorizzazioni necessarie al account di servizio associato al tuo cluster:

gcloud endpoints services add-iam-policy-binding SERVICE_NAME \
  --member "serviceAccount:SERVICE_ACCOUNT" \
  --role roles/servicemanagement.serviceController

Per ulteriori informazioni, consulta Che cosa sono i ruoli e le autorizzazioni?

Fornire all'ESP le credenziali del servizio

ESP, che viene eseguito all'interno di un contenitore, deve avere accesso alle credenziali archiviate localmente nel file service-account-creds.json. Per fornire all'ESP l'accesso alle credenziali, crea un secret Kubernetes e montalo come volume Kubernetes.

Per creare il secret di Kubernetes e montare il volume:

1. Assicurati di rinominare il file JSON in service-account-creds.json e di copiarlo in endpoints-samples/k8s se è stato scaricato in una directory diversa. In questo modo, il nome corrisponde alle opzioni specificate nel esp_echo_http.yaml file manifest di deployment.

2. Assicurati di essere nella directory endpoints-samples/k8s.

3. Crea un segreto Kubernetes con le credenziali dell'account di servizio:

   kubectl create secret generic service-account-creds \
     --from-file=service-account-creds.json
   

   In caso di esito positivo, viene visualizzato il seguente messaggio: secret "service-account-creds" created

Il file manifest di deployment utilizzato per eseguire il deployment dell'API e dell'ESP in Kubernetes contiene già il volume del secret, come mostrato nelle due sezioni seguenti del file:

volumes:
  - name: service-account-creds
    secret:
      secretName: service-account-creds

volumeMounts:
  - mountPath: /etc/nginx/creds
    name: service-account-creds
    readOnly: true

Configurazione del nome del servizio e avvio del servizio

L'ESP deve conoscere il nome del servizio per trovare la configurazione di cui hai eseguito il deployment in precedenza (utilizzando il comando gcloud endpoints services deploy).

Per configurare il nome del servizio e avviarlo:

1. Apri il file manifest di deployment, esp_echo_http.yaml, e sostituisci SERVICE_NAME nelle opzioni di avvio di ESP con il nome del tuo servizio. Si tratta dello stesso nome configurato nel host campo del documento OpenAPI. Ad esempio:

   "--service=echo-api.endpoints.example-project-12345.cloud.goog"

   containers:
     - name: esp
       image: gcr.io/endpoints-release/endpoints-runtime:1
       args: [
         "--http_port", "8080",
         "--backend", "127.0.0.1:8081",
         "--service", "SERVICE_NAME",
         "--rollout_strategy", "managed",
         "--service_account_key", "/etc/nginx/creds/service-account-creds.json",
       ]

   L'opzione --rollout_strategy=managed" configura ESP in modo che utilizzi la configurazione del servizio di cui è stato eseguito il deployment più recente. Quando specifichi questa opzione, fino a 5 minuti dopo aver eseguito il deployment di una nuova configurazione del servizio, ESP rileva la modifica e inizia a utilizzarla automaticamente. Ti consigliamo di specificare questa opzione anziché un ID configurazione specifico da utilizzare per ESP. Per informazioni sulle altre opzioni ESP utilizzate, consulta Opzioni di avvio di ESP.

2. Avvia il servizio per eseguire il deployment del servizio Endpoints su Kubernetes:

   kubectl create -f echo.yaml

   Se viene visualizzato un messaggio di errore simile al seguente:

   The connection to the server localhost:8080 was refused - did you specify the right host or port?

   Ciò indica che kubectl non è configurato correttamente. Per ulteriori informazioni, consulta Configurare kubectl.

Per ulteriori informazioni, consulta Eseguire il deployment di endpoint su Kubernetes.

Ottieni l'indirizzo IP esterno del servizio

Se utilizzi Minikube, vai a Invio di una richiesta utilizzando un indirizzo IP.

Potrebbero essere necessari alcuni minuti dopo l'avvio del servizio nel contenitore prima che l'indirizzo IP esterno sia pronto.

Per visualizzare l'indirizzo IP esterno del servizio:

1. Esegui questo comando:

   kubectl get service

2. Prendi nota del valore di EXTERNAL-IP. Utilizza questo indirizzo IP quando invii una richiesta all'API di esempio.

Invio di una richiesta utilizzando un indirizzo IP

Una volta che l'API di esempio è in esecuzione nel cluster di container, puoi inviare richieste all'API.

Crea una chiave API e imposta una variabile di ambiente

Il codice campione richiede una chiave API. Per semplificare la richiesta, imposta una variabile di ambiente per la chiave API.

1. Nello stesso progetto Google Cloud utilizzato per l'API, crea una chiave API nella pagina Credenziali API. Se vuoi creare una chiave API in un altro progetto Google Cloud, consulta Abilitazione di un'API nel progetto Google Cloud.

   Vai alla pagina Credenziali

2. Fai clic su Crea credenziali e poi seleziona Chiave API.
3. Copia la chiave negli appunti.
4. Fai clic su Chiudi.
5. Sul computer locale, incolla la chiave API per assegnarla a una variabile di ambiente:
   • In Linux o macOS: export ENDPOINTS_KEY=AIza...
   • In Windows PowerShell: $Env:ENDPOINTS_KEY="AIza..."

Invia la richiesta a minikube

I comandi seguenti utilizzano la variabile di ambiente ENDPOINTS_KEY impostata precedentemente.

NODE_PORT=`kubectl get service esp-echo --output='jsonpath={.spec.ports[0].nodePort}'`
MINIKUBE_IP=`minikube ip`
curl --request POST \
    --header "content-type:application/json" \
    --data '{"message":"hello world"}' \
    ${MINIKUBE_IP}:${NODE_PORT}/echo?key=${ENDPOINTS_KEY}

$Env:NODE_PORT=$(kubectl get service esp-echo --output='jsonpath={.spec.ports[0].nodePort}')
$Env:MINIKUBE_IP=$(minikube ip)
(Invoke-WebRequest -Method POST -Body '{"message": "hello world"}' `
    -Headers @{"content-type"="application/json"} `
    -URI "http://$Env:MINIKUBE_IP:$Env:NODE_PORT/echo?key=$Env:ENDPOINTS_KEY").Content

Invia la richiesta ad altri cluster Kubernetes

curl --request POST \
   --header "content-type:application/json" \
   --data '{"message":"hello world"}' \
   "http://IP_ADDRESS:80/echo?key=${ENDPOINTS_KEY}"

(Invoke-WebRequest -Method POST -Body '{"message": "hello world"}' `
    -Headers @{"content-type"="application/json"} `
    -URI "http://IP_ADDRESS:80/echo?key=$Env:ENDPOINTS_KEY").Content

L'API restituisce il messaggio che invii e risponde con quanto segue:

{
  "message": "hello world"
}

Se non hai ricevuto una risposta positiva, consulta Risolvere i problemi relativi alle risposte.

Hai eseguito il deployment e il test di un'API in Endpoints.

monitora l'attività dell'API

Per monitorare l'attività dell'API:

1. Esamina i grafici delle attività della tua API nella pagina Endpoints > Servizi.
   

   Vai alla pagina Servizi endpoint

   
   La visualizzazione dei dati relativi alla richiesta nei grafici può richiedere alcuni minuti.

2. Esamina i log delle richieste per la tua API nella pagina Esplora log.
   

   Vai alla pagina Esplora log

Configurazione del DNS per gli endpoint

Poiché il nome del servizio Endpoints per l'API si trova nel dominio .endpoints.YOUR_PROJECT_ID.cloud.goog, puoi utilizzarlo come nome di dominio completo (FQDN) apportando una piccola modifica alla configurazione nel file openapi.yaml. In questo modo, puoi inviare richieste all'API di esempio utilizzando echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog instead of the IP address.

Per configurare il DNS di Endpoints:

1. Apri il file di configurazione OpenAPI openapi.yaml e aggiungi la proprietà x-google-endpoints al livello superiore del file (senza rientrare o nidificare) come mostrato nello snippet seguente:

   host: "echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog"
   x-google-endpoints:
   - name: "echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog"
     target: "IP_ADDRESS"

2. Nella proprietà name, sostituisci YOUR_PROJECT_ID con l'ID del tuo progetto.
3. Nella proprietà target, sostituisci IP_ADDRESS con l'indirizzo IP utilizzato quando hai inviato una richiesta all'API di esempio.
4. Esegui il deployment del file di configurazione OpenAPI aggiornato in Service Management:

   gcloud endpoints services deploy openapi.yaml
   

Ad esempio, supponiamo che nel file openapi.yaml sia configurato quanto segue:

host: "echo-api.endpoints.example-project-12345.cloud.goog"
x-google-endpoints:
- name: "echo-api.endpoints.example-project-12345.cloud.goog"
  target: "192.0.2.1"

Quando esegui il deployment del file openapi.yaml utilizzando il comando gcloud precedente, Service Management crea un record A DNS, echo-api.endpoints.my-project-id.cloud.goog, che risolve nell'indirizzo IP di destinazione 192.0.2.1. Potrebbero essere necessari alcuni minuti prima che la nuova configurazione DNS venga propagata.

Configurazione di SSL

Per ulteriori dettagli su come configurare DNS e SSL, consulta Attivare SSL per gli endpoint.

Invio di una richiesta all'FQDN

• In Linux o macOS:

  curl --request POST \
      --header "content-type:application/json" \
      --data '{"message":"hello world"}' \
      "http://echo-api.endpoints.YOUR_PROJECT_ID.cloud.goog:80/echo?key=${ENDPOINTS_KEY}"

• In Windows PowerShell:

  (Invoke-WebRequest -Method POST -Body '{"message": "hello world"}' -Headers @{"content-type"="application/json"} -URI "http://echo-api.endpoints.[YOUR_PROJECT_ID].cloud.goog:80/echo?key=$Env:ENDPOINTS_KEY").Content

Creazione di un portale per gli sviluppatori per l'API

Puoi utilizzare il portale Cloud Endpoints per creare un portale per gli sviluppatori, un sito web che puoi utilizzare per interagire con l'API di esempio. Per saperne di più, consulta la panoramica del portale Cloud Endpoints.