Eventarc를 사용하여 Cloud Storage에서 함수 트리거

필요한 역할 설정

1. 프로젝트 생성자에게는 기본 소유자 역할(roles/owner)이 부여됩니다. 기본적으로 Identity and Access Management(IAM) 역할에는 대부분의 Google Cloud 리소스에 대한 전체 액세스에 필요한 권한이 포함되며, 이 단계를 건너뛸 수 있습니다.

   프로젝트 생성자가 아니면 프로젝트에서 적합한 주 구성원에 대해 필수 권한을 부여해야 합니다. 예를 들어 주 구성원은 Google 계정(최종 사용자)이거나 서비스 계정(애플리케이션 및 컴퓨팅 워크로드)일 수 있습니다. 자세한 내용은 이벤트 대상의 역할 및 권한 페이지를 참조하세요.

   필수 권한

   튜토리얼을 완료하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

   • Cloud Build 편집자(roles/cloudbuild.builds.editor)
   • Cloud Run 관리자(roles/run.admin)
   • Cloud Run 소스 개발자 (roles/run.sourceDeveloper)
   • Eventarc 관리자(roles/eventarc.admin)
   • 로그 뷰 접근자 (roles/logging.viewAccessor)
   • 프로젝트 IAM 관리자(roles/resourcemanager.projectIamAdmin)
   • 서비스 계정 관리자(roles/iam.serviceAccountAdmin)
   • 서비스 계정 사용자(roles/iam.serviceAccountUser)
   • 서비스 사용량 관리자(roles/serviceusage.serviceUsageAdmin)
   • 스토리지 관리자(roles/storage.admin)

   역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

   커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

2. 테스트 목적으로 Eventarc 트리거에 연결할 때 트리거의 ID를 나타내기 위해 Compute Engine 기본 서비스 계정을 기록해 둡니다. 이 서비스 계정은 Compute Engine을 사용하는 Google Cloud 서비스를 사용 설정하거나 사용한 후에 다음 이메일 형식으로 자동 생성됩니다.

   PROJECT_NUMBER-compute@developer.gserviceaccount.com

   PROJECT_NUMBER를 Google Cloud 프로젝트 번호로 바꿉니다. Google Cloud 콘솔의 시작 페이지에서 또는 다음 명령어를 실행하여 프로젝트 번호를 찾을 수 있습니다.

   gcloud projects describe PROJECT_ID --format='value(projectNumber)'

   프로덕션 환경의 경우 새 서비스 계정을 만들고 필요한 최소한의 권한을 포함하고 최소 권한 원칙을 따르는 하나 이상의 IAM 역할을 부여하는 것이 좋습니다.

3. 기본적으로 Cloud Run 서비스는 프로젝트 소유자, 프로젝트 편집자, Cloud Run 관리자 및 호출자만 호출할 수 있습니다. 개발자는 서비스별로 액세스를 제어할 수 있지만, 테스트 목적으로 Compute Engine 서비스 계정에 Google Cloud 프로젝트에서 Cloud Run 호출자 역할(run.invoker)을 부여하세요. 이렇게 하면 프로젝트의 모든 Cloud Run 서비스 및 작업에 대한 역할을 부여하게 됩니다.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
       --role=roles/run.invoker

   Cloud Run 호출자 역할을 부여하지 않고 인증된 Cloud Run 서비스에 대한 트리거를 만들어도 트리거가 성공적으로 생성되며 활성화됩니다. 하지만 트리거가 예상한 대로 작동하지 않고 다음과 비슷한 메시지가 로그에 표시됩니다.

   The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
4. 프로젝트의 Eventarc 이벤트 수신자 역할(roles/eventarc.eventReceiver)을 Compute Engine 기본 서비스 계정에 부여하세요. 그려면 Eventarc 트리거가 이벤트 제공자로부터 이벤트를 수신할 수 있습니다.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
       --role=roles/eventarc.eventReceiver

5. Cloud Storage에서 직접 이벤트에 대한 트리거를 만들기 전에 Pub/Sub 게시자 역할(roles/pubsub.publisher)을 Cloud Storage 서비스 에이전트에 부여하세요.

   SERVICE_ACCOUNT="$(gcloud storage service-agent --project=PROJECT_ID)"
   
   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member="serviceAccount:${SERVICE_ACCOUNT}" \
       --role='roles/pubsub.publisher'

6. 2021년 4월 8일 이전에 Cloud Pub/Sub 서비스 에이전트를 사용 설정하여 인증된 Pub/Sub 푸시 요청을 지원한 경우 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator)을 서비스 에이전트에 부여합니다. 그렇지 않으면 기본적으로 이 역할이 부여됩니다.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
       --role=roles/iam.serviceAccountTokenCreator

Cloud Storage 버킷 만들기

이벤트 소스로 사용할 Cloud Storage 버킷을 만듭니다.

gcloud storage buckets create -l us-central1 gs://PROJECT_ID-bucket/

이벤트 기반 함수 작성

이벤트 기반 함수를 작성하려면 다음 단계를 따르세요.

이벤트 기반 함수 배포

샘플 코드가 포함된 디렉터리에서 다음 명령어를 실행하여 helloworld-events라는 함수를 배포합니다.

gcloud beta run deploy helloworld-events \
      --source . \
      --function helloGCS \
      --base-image nodejs20 \
      --region us-central1

gcloud beta run deploy helloworld-events \
      --source . \
      --function hello_gcs \
      --base-image python312 \
      --region us-central1

배포가 완료되면 Google Cloud CLI에 helloworld-events 서비스가 실행 중인 URL이 표시됩니다.

Eventarc 트리거 만들기

Eventarc 트리거는 Cloud Storage 버킷의 이벤트를 helloworld-events Cloud Run 서비스로 전송합니다.

1. Cloud Storage 이벤트를 필터링하는 트리거를 만듭니다.

   gcloud eventarc triggers create TRIGGER_NAME  \
       --location=${REGION} \
       --destination-run-service=helloworld-events  \
       --destination-run-region=${REGION} \
       --event-filters="type=google.cloud.storage.object.v1.finalized" \
       --event-filters="bucket=PROJECT_ID-bucket" \
       --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com

   다음과 같이 바꿉니다.

   • TRIGGER_NAME을 트리거의 이름으로 바꿉니다.
   • PROJECT_ID를 Google Cloud 프로젝트 ID로 바꿉니다.
   • PROJECT_NUMBER를 Google Cloud 프로젝트 번호로 바꿉니다.

   Google Cloud 프로젝트에서 처음으로 Eventarc 트리거를 만들 때는 Eventarc 서비스 에이전트를 프로비저닝하는 데 시간이 지연될 수 있습니다. 이 문제는 일반적으로 트리거를 다시 만들면 해결할 수 있습니다. 자세한 내용은 권한 거부 오류를 참조하세요.

2. 트리거가 성공적으로 생성되었는지 확인하세요. 트리거가 즉시 생성되더라도 트리거가 완전히 작동하려면 최대 2분까지 걸릴 수 있습니다.

   gcloud eventarc triggers list --location=${REGION}

   출력은 다음과 비슷하게 표시됩니다.

   NAME: helloworld-events
   TYPE: google.cloud.storage.object.v1.finalized
   DESTINATION: Cloud Run service: helloworld-events
   ACTIVE: Yes
   LOCATION: us-central1
   

이벤트 생성 및 확인

Cloud Storage 버킷에 텍스트 파일을 업로드하여 함수로 라우팅되는 이벤트를 생성합니다. Cloud Run 함수가 서비스 로그에 이벤트를 로깅합니다.

1. 텍스트 파일을 Cloud Storage에 업로드하여 이벤트를 생성합니다.

    echo "Hello World" > random.txt
    gcloud storage cp random.txt gs://PROJECT_ID-bucket/random.txt
   

   업로드 시 이벤트가 생성되고 Cloud Run 함수에서 이벤트의 메시지를 로깅합니다.

2. 로그 항목을 보려면 다음 안내를 따르세요.

   1. 로그 항목을 필터링하고 JSON 형식으로 출력을 반환합니다.

      gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json
      

   2. 다음과 같은 로그 항목을 찾습니다.

      [
        {
         ....
          "resource": {
            "labels": {
              ....
              "location": "us-central1",
              .....
              "service_name": "helloworld-events"
            },
          },
          "textPayload": "File: random.txt",
           .....
        }
      ]
      

      로그가 나타나려면 시간이 약간 걸릴 수 있습니다. 즉시 표시되지 않으면 1분 후에 다시 확인하세요.

로그 항목이 표시되면 텍스트 파일이 Cloud Storage에 업로드될 때 트리거된 이벤트 기반 함수를 배포한 것입니다.