Front-End-Proxys mit Nginx

Console

1. Rufen Sie in der Google Cloud Console die Seite Secret Manager auf:

   Zu Secret Manager

2. Klicken Sie auf Secret erstellen.

3. Geben Sie im Formularfeld name nginx_config ein.

4. Laden Sie die Datei nginx.conf unter multi-container/hello-nginx-sample/nginx.conf als geheimen Wert hoch.

5. Standardeinstellungen beibehalten (Google-managed encryption key, etc)

6. Klicken Sie auf Secret erstellen.

7. Gewähren Sie dem Compute-Dienstkonto des Projekts Zugriff auf dieses neue Secret. Rufen Sie dazu in der Google Cloud Console die Seite IAM auf:

   IAM aufrufen

8. Suchen Sie das Hauptdienstkonto mit dem Namen Compute Engine default service account und klicken Sie auf Hauptkonto bearbeiten.

9. Klicken Sie auf Weitere Rolle hinzufügen und wählen Sie Zugriffsperson für Secret Manager-Secret aus.

10. Klicken Sie auf Speichern.

gcloud

1. Verwenden Sie in einem Terminal den folgenden Befehl, um ein neues nginx_config-Secret in Secret Manager zu erstellen:

   gcloud secrets create nginx_config --replication-policy='automatic' --data-file='./nginx.conf'

2. Gewähren Sie dem Compute-Dienstkonto des Projekts Zugang zu dem neuen Secret mit dem Befehl

   export PROJECT_NUMBER=$(gcloud projects describe $(gcloud config get-value project) --format='value(projectNumber)')
   gcloud secrets add-iam-policy-binding nginx_config --member=serviceAccount:$PROJECT_NUMBER-compute@developer.gserviceaccount.com --role='roles/secretmanager.secretAccessor'

3. Prüfen Sie mit dem Befehl gcloud secrets list, ob das Secret erstellt wurde.

Console

Unter Dienst bereitstellen finden Sie eine vollständige Anleitung für die Console.

YAML

1. Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:

   gcloud run services describe SERVICE --format export > service.yaml

2. Fügen Sie in service.yaml Folgendes hinzu:

   metadata:
     name: "MC_SERVICE_NAME"
     labels:
       cloud.googleapis.com/location: "REGION"
     annotations:
       # Required to use Cloud Run multi-containers (preview feature)
       run.googleapis.com/launch-stage: BETA
       run.googleapis.com/description: sample tutorial service
       # Externally available
       run.googleapis.com/ingress: all

In diesem Abschnitt wird die Version des Dienstes beschrieben. Sie enthält Eigenschaften, die von Version zu Version variieren können.

Console

Eine vollständige Anleitung für die Console finden Sie unter Dienst bereitstellen.

YAML

Fügen Sie in service.yaml Folgendes an:

spec:
  template:
    metadata:
      annotations:
        # Defines container startup order within multi-container service.
        # Below requires hello container to spin up before nginx container,
        # which depends on the hello container.
        # https://cloud.google.com/run/docs/configuring/containers#container-ordering
        run.googleapis.com/container-dependencies: "{nginx: [hello]}"

Beachten Sie die Annotation container-dependencies, die Cloud Run anweist, auf den Start des Containers „hello“ zu warten, bevor der nginx-Container gestartet wird. Andernfalls, wenn der nginx-Container zuerst gestartet wird, könnte der nginx-Container versuchen, eine Webanwendung an den Container der Web-Anwendung per Proxy weiterzuleiten, der nicht bereit ist. Dies würde Webfehlerantworten generieren.

Für jeden Container kann optional eine Name-Property definiert werden, die in anderen Direktiven verwendet werden kann. Der Bereitstellungscontainer führt den Proxyserver mit dem Namen nginx aus. An diesen Container sendet Cloud Run eingehende Anfragen. Sie müssen also die Version von HTTP und den Containerport angeben, an den sie gesendet werden sollen.

Console

Eine vollständige Anleitung für die Console finden Sie unter Dienst bereitstellen.

YAML

Fügen Sie in der Datei service.yaml Folgendes hinzu:

spec:
  containers:
    # A) Serving ingress container "nginx" listening at PORT 8080
    # Main entrypoint of multi-container service.
    # Source is stored in nginx_config secret in Secret Manager.
    # Any pings to this container will proxy over to hello container at PORT 8888.
    # https://cloud.google.com/run/docs/container-contract#port
    - image: nginx
      name: nginx
      ports:
        - name: http1
          containerPort: 8080
      resources:
        limits:
          cpu: 500m
          memory: 256Mi
      # Referencing declared volume below,
      # Declaring volume to mount in current ingress container's filesystem
      # https://cloud.google.com/run/docs/reference/rest/v2/Container#volumemount
      volumeMounts:
        - name: nginx-conf-secret
          readOnly: true
          mountPath: /etc/nginx/conf.d/
      startupProbe:
        timeoutSeconds: 240
        periodSeconds: 240
        failureThreshold: 1
        tcpSocket:
          port: 8080

Der nginx-Server benötigt eine Konfigurationsdatei im Verzeichnis /etc/nginx/conf.d/. Dazu müssen Sie an diesem Speicherort ein Volume bereitstellen, das die Datei enthält. Im Abschnitt volumeMount wird ein Volume mit dem Namen configuration angegeben, das dort platziert werden soll. Das Volume selbst wird später in der Datei in einem eigenen Abschnitt definiert.

Console

Eine vollständige Anleitung für die Console finden Sie unter Dienst bereitstellen.

YAML

Fügen Sie in service.yaml Folgendes an:

- image: us-docker.pkg.dev/cloudrun/container/hello
  name: hello
  env:
    - name: PORT
      value: "8888"
  resources:
    limits:
      cpu: 1000m
      memory: 512Mi
  startupProbe:
    timeoutSeconds: 240
    periodSeconds: 240
    failureThreshold: 1
    tcpSocket:
      port: 8888

Die hello-Anwendung benötigt auch Konfigurationsinformationen. Er überwacht eingehende Anfragen an dem in der Umgebungsvariablen PORT angegebenen Port. Dieser Name und Wert werden im Abschnitt env angegeben.

Console

Unter Dienst bereitstellen finden Sie eine vollständige Anleitung für die Console.

YAML

Fügen Sie in der Datei service.yaml Folgendes hinzu:

volumes:
  - name: nginx-conf-secret
    secret:
      secretName: nginx_config
      items:
        - key: latest
          path: default.conf

Geben Sie die Konfiguration volume an, die im Abschnitt volumeMount bereitgestellt wird. Sie enthält eine einzelne Datei namens nginx.conf, deren Inhalt als Wert des Secrets mit dem Namen nginx-conf-secret definiert ist.

Console

1. Rufen Sie die Cloud Run-Seite in der Google Cloud Console auf.

   Zu Cloud Run

2. Klicken Sie auf Container bereitstellen und wählen Sie Dienst aus, um das Formular Dienst erstellen aufzurufen.

   1. Wählen Sie Überarbeitung aus dem vorhandenen Container-Image bereitstellen aus und geben Sie nginx als Container-Image-URL ein.
   2. Geben Sie im Feld Name des Dienstes einen Namen für den Dienst ein, z. B. hello-mc.
   3. Wählen Sie aus der Liste Region einen Speicherort für die Bereitstellung aus, z. B. us-west1.
   4. Wählen Sie unter Authentifizierung die Option Allow unauthenticated invocations aus. Wenn Sie nicht berechtigt sind, diese Option auszuwählen (Cloud Run-Administratorrolle), wird der Dienst bereitgestellt und erfordert eine Authentifizierung.

3. Klicken Sie auf Container, Volumes, Netzwerk, Sicherheit, um das Konfigurationsformular zu maximieren.

   1. Klicken Sie auf den Tab Volumes.
   2. Klicken Sie auf Volume hinzufügen.
   3. Wählen Sie in der Liste Volume-Typ die Option Secret aus.
   4. Geben Sie im Feld Volumename nginx-conf-secret ein.
   5. Geben Sie im Feld Secret nginx_config ein.
   6. Geben Sie unter Angegebene Pfade für Secret-Versionen default.conf als Pfad und latest als Version an.
   7. Klicken Sie auf Erstellen, um das Secret-Volume zu erstellen.

4. Klicken Sie auf den Tab Container, um das Formular Container bearbeiten aufzurufen.

   1. Klicken Sie auf Einstellungen und ändern Sie unter Ressourcen den Arbeitsspeicher auf 256 MiB und die CPU auf 1 CPU.
   2. Klicken Sie auf Volume-Bereitstellungen.
   3. Klicken Sie auf Volume bereitstellen.
   4. Wählen Sie in der Namensliste nginx-conf-secret aus.
   5. Geben Sie unter Bereitstellungspfad etc/nginx/conf.d ein.
   6. Klicken Sie auf Fertig, um die Konfiguration des ersten Containers abzuschließen.

5. Klicken Sie auf Container hinzufügen, um den Sidecar-Container hinzuzufügen und das Formular Neuer Container aufzurufen.

   1. Wählen Sie die Standard-Container-Image-URL us-docker.pkg.dev/cloudrun/container/hello aus.
   2. Klicken Sie auf den Tab Einstellungen und ändern Sie dann unter Ressourcen den Speicher in 256 MiB und die CPU in 1 CPU.
   3. Klicken Sie auf Variablen und Secrets.
   4. Klicken Sie auf Variable hinzufügen.
   5. Geben Sie PORT als neuen Namen der Umgebungsvariablen und 8888 als Wert ein.
   6. Klicken Sie auf Fertig.

6. Rufen Sie für den ersten Container (nginx) das Formular Container bearbeiten auf.

   1. Klicken Sie auf den Tab Einstellungen.
   2. Wählen Sie unter Containerstartreihenfolge in der Liste Abhängig von die Option nginx aus. Das bedeutet, dass der nginx-Container erst gestartet wird, nachdem der hello-Container erfolgreich gestartet wurde.
   3. Klicken Sie auf Erstellen und warten Sie, bis der Dienst bereitgestellt wurde.

gcloud

So stellen Sie den Proxyserver-Container und den Webanwendungscontainer als einzelnen Dienst bereit:

gcloud run services replace service.yaml

gcloud

Um zu prüfen, ob erfolgreich bereitgestellt wurde: Kopieren Sie die generierte Cloud Run-URL und öffnen Sie sie in einem Browser oder verwenden Sie den folgenden Befehl, um eine authentifiziere Anfrage zu senden.

curl --header "Authorization: Bearer $(gcloud auth print-identity-token)" 

Sie sollten mit einem nginx-Proxy begrüßt werden, der erfolgreich in den Hello-Sidecar-Container portiert wurde und den Antwortstatus 200 hat.

gcloud

1. Klonen Sie das Beispiel-App-Repository in einem Terminal auf Ihren lokalen Computer:

   git clone https://github.com/GoogleCloudPlatform/cloud-run-samples

2. Wechseln Sie in das Verzeichnis, das den Cloud Run-Beispielcode enthält:

   cd cloud-run-samples/multi-container/hello-nginx-sample/