Esta página se ha traducido con Cloud Translation API.

Recibir eventos de Pub/Sub mediante un servicio de Cloud Run autenticado

Estándar

En este tutorial se muestra cómo desplegar una aplicación en contenedores mediante un servicio de Cloud Run autenticado que recibe eventos mediante Pub/Sub. Pub/Sub es un servicio de mensajería en tiempo real totalmente gestionado que te permite enviar y recibir mensajes entre aplicaciones independientes.

Objetivos

En este tutorial, aprenderás a hacer lo siguiente:

Despliega un servicio de receptor de eventos en Cloud Run que requiera invocaciones autenticadas.
Crea un activador de Eventarc que conecte un tema de Pub/Sub al servicio de Cloud Run.
Publica un mensaje en el tema de Pub/Sub para generar un evento.
Consulta el evento en los registros de Cloud Run.

Costes

En este documento, se utilizan los siguientes componentes facturables de Google Cloud:

Para generar una estimación de costes basada en el uso previsto, utiliza la calculadora de precios.

Los usuarios nuevos Google Cloud pueden disfrutar de una prueba gratuita.

Antes de empezar

Es posible que las restricciones de seguridad definidas por tu organización te impidan completar los siguientes pasos. Para obtener información sobre cómo solucionar problemas, consulta el artículo Desarrollar aplicaciones en un entorno limitado Google Cloud .

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

Install the Google Cloud CLI.

Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

Para inicializar gcloud CLI, ejecuta el siguiente comando:

gcloud init

Create or select a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Create a Google Cloud project:
```
gcloud projects create PROJECT_ID
```
Replace PROJECT_ID with a name for the Google Cloud project you are creating.
Select the Google Cloud project that you created:
```
gcloud config set project PROJECT_ID
```
Replace PROJECT_ID with your Google Cloud project name.

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

Para inicializar gcloud CLI, ejecuta el siguiente comando:

gcloud init

Create or select a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Create a Google Cloud project:
```
gcloud projects create PROJECT_ID
```
Replace PROJECT_ID with a name for the Google Cloud project you are creating.
Select the Google Cloud project that you created:
```
gcloud config set project PROJECT_ID
```
Replace PROJECT_ID with your Google Cloud project name.

Verify that billing is enabled for your Google Cloud project.

Actualiza los componentes de Google Cloud CLI:
```
gcloud components update
```
Inicia sesión con tu cuenta:
```
gcloud auth login
```

Habilita las APIs:

gcloud services enable artifactregistry.googleapis.com \
    cloudbuild.googleapis.com \
    eventarc.googleapis.com \
    pubsub.googleapis.com \
    run.googleapis.com

Defina las variables de configuración que se usan en este tutorial:

export REGION=us-central1
gcloud config set run/region ${REGION}
gcloud config set run/platform managed
gcloud config set eventarc/location ${REGION}
export SERVICE_NAME=trigger-pubsub

Si has creado el proyecto, se te asignará el rol básico Propietario (roles/owner). De forma predeterminada, este rol de gestión de identidades y accesos (IAM) incluye los permisos necesarios para acceder por completo a la mayoría de los recursos Google Cloud, por lo que puedes saltarte este paso.

Si no eres el creador del proyecto, debes conceder los permisos necesarios al principal correspondiente. Por ejemplo, una entidad principal puede ser una cuenta de Google (para usuarios finales) o una cuenta de servicio (para aplicaciones y cargas de trabajo de computación). Para obtener más información, consulta la página Roles y permisos de tu destino de evento.

Ten en cuenta que, de forma predeterminada, los permisos de Cloud Build incluyen permisos para subir y descargar artefactos de Artifact Registry.
Permisos obligatorios

Para obtener los permisos que necesitas para completar este tutorial, pide a tu administrador que te conceda los siguientes roles de gestión de identidades y accesos en tu proyecto:
- Editor de Cloud Build (roles/cloudbuild.builds.editor)
- Administrador de Cloud Run (roles/run.admin)
- Administrador de Eventarc (roles/eventarc.admin)
- Usuario con permiso para ver registros (roles/logging.viewAccessor)
- Administrador de gestión de identidades y accesos del proyecto (roles/resourcemanager.projectIamAdmin)
- Editor de Pub/Sub (roles/pubsub.publisher)
- Administrador de cuentas de servicio (roles/iam.serviceAccountAdmin)
- Usuario de cuenta de servicio (roles/iam.serviceAccountUser)
- Administrador de Uso de Servicio (roles/serviceusage.serviceUsageAdmin)
- Administrador de almacenamiento (roles/storage.admin)
Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

También puedes conseguir los permisos necesarios a través de roles personalizados u otros roles predefinidos.
Anota la cuenta de servicio predeterminada de Compute Engine, ya que la asociarás a un activador de Eventarc para representar la identidad del activador con fines de prueba. Esta cuenta de servicio se crea automáticamente después de habilitar o usar un servicio que utiliza Compute Engine y tiene el siguiente formato de correo electrónico: Google Cloud
```
PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
Sustituye PROJECT_NUMBER por el número de tu proyecto. Google Cloud Puedes encontrar el número de tu proyecto en la página Bienvenido de la consola Google Cloud o ejecutando el siguiente comando:
```
gcloud projects describe PROJECT_ID --format='value(projectNumber)'
```
En los entornos de producción, te recomendamos que crees una cuenta de servicio y le asignes uno o varios roles de IAM que contengan los permisos mínimos necesarios y que sigas el principio de privilegio mínimo.

Nota:
La restricción de la política de organización iam.automaticIamGrantsForDefaultServiceAccounts impide que se conceda automáticamente el rol Editor a las cuentas de servicio predeterminadas. Si has creado tu organización después del 3 de mayo del 2024, esta restricción se aplica de forma predeterminada.

Te recomendamos que apliques esta restricción para inhabilitar la concesión automática de roles. Si inhabilitas la concesión automática de roles, debes decidir qué roles quieres conceder a las cuentas de servicio predeterminadas y, a continuación, concederlos tú mismo.

Si la cuenta de servicio predeterminada ya tiene el rol Editor, te recomendamos que lo sustituyas por roles con menos permisos.Para modificar los roles de la cuenta de servicio de forma segura, usa Simulador de políticas para ver el impacto del cambio y, a continuación, asigna y revoca los roles adecuados.
De forma predeterminada, solo los propietarios y editores de proyectos, así como los administradores e invocadores de Cloud Run, pueden llamar a los servicios de Cloud Run. Puedes controlar el acceso por servicio. Sin embargo, para hacer pruebas, otorga el rol Invocador de Cloud Run (run.invoker) en el proyecto Google Cloud a la cuenta de servicio de Compute Engine. Concede el rol en todos los servicios y trabajos de Cloud Run de un proyecto.
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/run.invoker
```
Ten en cuenta que, si creas un activador para un servicio de Cloud Run autenticado sin conceder el rol Invocador de Cloud Run, el activador se creará correctamente y estará activo. Sin embargo, el activador no funcionará como se espera y aparecerá un mensaje similar al siguiente en los registros:
The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
Si habilitaste el agente de servicio de Cloud Pub/Sub el 8 de abril del 2021 o antes para admitir solicitudes push de Pub/Sub autenticadas, asigna el rol Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) al agente de servicio. De lo contrario, este rol se asigna de forma predeterminada:
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator
```

Crear un repositorio estándar de Artifact Registry

Crea un repositorio estándar de Artifact Registry para almacenar tu imagen de contenedor:

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Sustituye REPOSITORY por un nombre único para el repositorio.

Desplegar un receptor de eventos en Cloud Run

Despliega un servicio de Cloud Run que registre el contenido de un evento.

Clona el repositorio de GitHub:
Node.js
```
git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.
Python
```
git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.
Go
```
git clone https://github.com/GoogleCloudPlatform/golang-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.
Java
```
git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.
Ruby
```
git clone https://github.com/GoogleCloudPlatform/ruby-docs-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.
C#
```
git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
```
También puedes descargar el ejemplo como un archivo ZIP y extraerlo.

Cambia al directorio que contiene el código de ejemplo de Cloud Run:

Node.js

cd nodejs-docs-samples/eventarc/pubsub/

Python

cd python-docs-samples/eventarc/pubsub/

Go

cd golang-samples/eventarc/pubsub/

Java

cd java-docs-samples/eventarc/pubsub/

Ruby

cd ruby-docs-samples/eventarc/pubsub/

C#

cd dotnet-docs-samples/eventarc/pubsub/

Crea el contenedor y súbelo a Cloud Build:

gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

Despliega la imagen de contenedor en Cloud Run:

gcloud run deploy ${SERVICE_NAME} \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/trigger-pubsub:v1

En la petición ¿Permitir invocaciones sin autenticar para activar pub/sub (s/N)?, responde n para indicar que no.

Cuando veas la URL del servicio de Cloud Run, el despliegue habrá finalizado.

Crear un activador de Eventarc

Cuando se publica un mensaje en el tema de Pub/Sub, el evento activa el servicio de Cloud Run.

Crea un activador para escuchar mensajes de Pub/Sub:

Nuevo tema de Pub/Sub

  gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

De esta forma, se crea un tema de Pub/Sub y un activador para él llamado trigger-pubsub.

Tema de Pub/Sub

  gcloud eventarc triggers create ${SERVICE_NAME} \
      --destination-run-service=${SERVICE_NAME} \
      --destination-run-region=${REGION} \
      --location=${REGION} \
      --event-filters="type=google.cloud.pubsub.topic.v1.messagePublished" \
      --transport-topic=projects/PROJECT_ID/topics/TOPIC_ID \
      --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

Haz los cambios siguientes:

PROJECT_ID: tu ID de proyecto Google Cloud
TOPIC_ID: ID del tema de Pub/Sub

De esta forma, se crea un activador llamado trigger-pubsub para el tema de Pub/Sub.

Ten en cuenta que, cuando crees un activador de Eventarc por primera vez en un proyecto de Google Cloud , puede haber un retraso en el aprovisionamiento del agente de servicio de Eventarc. Este problema suele resolverse intentando crear el activador de nuevo. Para obtener más información, consulta Errores de permiso denegado.

Confirma que el activador se ha creado correctamente. Ten en cuenta que, aunque el activador se crea inmediatamente, puede tardar hasta dos minutos en estar totalmente operativo.
```
gcloud eventarc triggers list --location=${REGION}
```
El estado del activador devuelto debe ser ACTIVE: Yes.

Generar y ver un evento

Publica un mensaje en un tema de Pub/Sub para generar un evento y activar el servicio de Cloud Run. El servicio de Cloud Run registra los mensajes en los registros de servicio.

Busca y define el tema de Pub/Sub como variable de entorno:

export TOPIC_ID=$(gcloud eventarc triggers describe ${SERVICE_NAME} \
    --format='value(transport.pubsub.topic)')

Envía un mensaje al tema de Pub/Sub para generar un evento:
```
gcloud pubsub topics publish $TOPIC_ID --message "Hello there"
```
El evento se envía al servicio de Cloud Run, que registra el mensaje del evento.
Para ver las entradas de registro relacionadas con eventos creadas por tu servicio, sigue estos pasos:
```
gcloud logging read 'textPayload: "Hello there!"'
```
La entrada de registro debería ser similar a la siguiente:
```
textPayload: 'Hello, Hello there!'
```

Puede que los registros tarden unos instantes en aparecer. Si no los ves inmediatamente, vuelve a comprobarlo al cabo de un minuto.

Limpieza

Para evitar que se te cobren cargos como los de almacenar la imagen de contenedor en Artifact Registry, almacenar archivos en tu segmento de Cloud Storage y activar Eventarc, puedes eliminar los recursos que has creado para este tutorial:

También puedes eliminar tu Google Cloud proyecto. Al eliminar tu proyectoGoogle Cloud , se detendrá la facturación de todos los recursos utilizados en ese proyecto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Recibir eventos de Pub/Sub mediante un servicio de Cloud Run autenticado Organízate con las colecciones Guarda y clasifica el contenido según tus preferencias.

Objetivos

Costes

Antes de empezar

Permisos obligatorios

Crear un repositorio estándar de Artifact Registry

Desplegar un receptor de eventos en Cloud Run

Node.js

Python

Go

Java

Ruby

C#

Node.js

Python

Go

Java

Ruby

C#

Crear un activador de Eventarc

Nuevo tema de Pub/Sub

Tema de Pub/Sub

Generar y ver un evento

Limpieza

Siguientes pasos

Recibir eventos de Pub/Sub mediante un servicio de Cloud Run autenticado