Menyiapkan proxy Pub/Sub untuk klien seluler di GKE

Membuat topik Pub/Sub

• Di Cloud Shell, buat topik Pub/Sub di tempat Anda memublikasikan pesan:

  gcloud pubsub topics create $TOPIC
  

Membuat cluster GKE

1. Di Cloud Shell, buat cluster GKE:

   gcloud container clusters create $CLUSTER \
       --zone $ZONE \
       --scopes "https://www.googleapis.com/auth/cloud-platform"
   

2. Dapatkan kredensial untuk cluster yang sedang berjalan:

   gcloud container clusters get-credentials $CLUSTER \
       --zone $ZONE \
       --project $PROJECT
   

Membuat gambar container

1. Di Cloud Shell, clone repositori kode:

   git clone https://github.com/GoogleCloudPlatform/solutions-pubsub-proxy-rest
   

2. Gunakan Cloud Build untuk membangun image container dari sumber, lalu simpan di Container Registry:

   cd solutions-pubsub-proxy-rest && \
       gcloud builds submit --tag gcr.io/$PROJECT/pubsub-proxy:v1
   

Membuat alamat IP eksternal statis

1. Di Cloud Shell, buat alamat IP eksternal statis yang nantinya ditetapkan ke load balancer proxy Pub/Sub:

   gcloud compute addresses create service-ip --region $REGION
   

2. Simpan alamat IP statis dalam variabel lingkungan, PROXY_IP:

   PROXY_IP=$(gcloud compute addresses describe service-ip \
       --region $REGION --format='value(address)')
   

Men-deploy Endpoints

Proxy Pub/Sub menggunakan Endpoint untuk mengautentikasi permintaan dari pengguna. Endpoint menggunakan Extensible Service Proxy (ESP) untuk menyediakan fitur pengelolaan API seperti autentikasi, monitoring, pelacakan, dan pengelolaan siklus proses API. Tutorial ini hanya menggunakan Endpoint untuk mengautentikasi permintaan masuk ke proxy Pub/Sub.

Dalam tutorial ini, Anda akan men-deploy ESP sebagai file bantuan dengan proxy Pub/Sub. ESP mencegat dan mengautentikasi permintaan masuk sebelum meneruskannya ke proxy Pub/Sub proxy.

1. Di Cloud Shell, ganti [PROJECT_ID]placeholder dengan project ID Google Cloud Anda di file openapi.yaml:

   sed -i -e "s/\[PROJECT_ID\]/$PROJECT/g" openapi.yaml
   

2. Dalam file manifes OpenAPI, ganti [IP_ADDRESS] placeholder dengan nilai PROXY_IP:

   sed -i -e "s/\[IP_ADDRESS\]/$PROXY_IP/g" openapi.yaml
   

3. Deploy definisi layanan OpenAPI ke Endpoint:

   gcloud endpoints services deploy openapi.yaml
   

   Perintah sebelumnya membuat hal berikut:

   • A layanan terkelola dengan nama yang telah Anda tetapkan di kolom host openapi.yaml file (pubtest.endpoints.project-id.cloud.goog ), dengan project-id adalah ID proyek Google Cloud Anda.
   • DNS Sebuah catatan yang menggunakan nama layanan dan Pub/Sub load balancer proxy alamat IP pemetaan yang didefinisikan dalamx-google-endpointsekstensi di openapi.yaml file.

   Selama deployment, Anda akan melihat peringatan yang dapat diabaikan karena tutorial ini menggunakan token ID OIDC untuk autentikasi, bukan kunci API.

   WARNING: openapi.yaml: Operation 'post' in path '/publish': Operation does
   not require an API key; callers may invoke the method without specifying an
   associated API-consuming project. To enable API key all the
   SecurityRequirement Objects
   (https://github.com/OAI/OpenAPI-Specification/blob/master/versions/2.0.md#security-requirement-object)
   inside security definition must reference at least one SecurityDefinition
   of type : 'apiKey'.
   

4. Periksa apakah layanan telah di-deploy dengan benar:

   gcloud endpoints services describe ${ENDPOINTS_SERVICE}
   

   Outputnya serupa dengan yang berikut ini:

   [...]
   producerProjectId: project-id
   serviceConfig:
     documentation:
       summary: Pub/Sub proxy exposed as an Endpoint API
   [...]
     name: pubtest.endpoints.project-id.cloud.goog
     title: PubSub Proxy
     usage: {}
   serviceName: pubtest.endpoints.project-id.cloud.goog
   

   Pada output:

   • project-id: ID project Google Cloud Anda.

Men-deploy proxy

1. Di Cloud Shell, buat sertifikat SSL yang ditandatangani sendiri untuk mengizinkan koneksi HTTPS ke proxy.

   openssl req -x509 -nodes -days 365 \
       -newkey rsa:2048 -keyout ./nginx.key \
       -out ./nginx.crt \
       -subj "/CN=${ENDPOINTS_SERVICE}"
   

2. Buat secret Kubernetes menggunakan sertifikat SSL dan kunci pribadi:

   kubectl create secret generic nginx-ssl \
       --from-file=./nginx.crt \
       --from-file=./nginx.key
   

3. Ganti [PROJECT_ID] placeholder di file manifes deployment dengan ID project Google Cloud Anda:

   sed -i -e "s/\[PROJECT_ID\]/$PROJECT/g" kube/deployment.yaml
   

4. Ganti [IP_ADDRESS] placeholder dalam file manifes layanan dengan nilai PROXY_IP:

   sed -i -e "s/\[IP_ADDRESS\]/$PROXY_IP/g" kube/service.yaml
   

5. Men-deploy proxy:

   kubectl apply -f kube/
   

6. Verifikasi bahwa deployment berhasil:

   kubectl rollout status deployment/pubsub-proxy
   

   Outputnya mirip dengan hal berikut ini:

   [...]
   deployment "pubsub-proxy" successfully rolled out
   

7. Pastikan dua container (proxy ESP dan Pub/Sub) berjalan di Pod:

   kubectl get pods $(kubectl get pod \
       -l app=pubsub-proxy \
       -o jsonpath="{.items[0].metadata.name}") \
       -o jsonpath={.spec.containers[*].name}
   

   Outputnya mirip dengan hal berikut ini:

   esp  pubsub-proxy
   

8. Perhatikan nilai EXTERNAL-IP agar berubah dari <pending> menjadi alamat IP eksternal statis yang Anda buat sebelumnya:

   kubectl get svc pubsub-proxy -w
   

   Outputnya mirip dengan hal berikut ini:

   NAME          TYPE          CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   pubsub-proxy  LoadBalancer  10.7.247.212  <pending>     443:31104/TCP  6m32s
   pubsub-proxy  LoadBalancer  10.7.247.212  <PROXY_IP>    443:31104/TCP  6m5s
   

   Untuk berhenti melihat, tekan CTRL+C.

   Setelah berhasil di-deploy, proxy Pub/Sub akan diekspos di https://${ENDPOINTS_SERVICE}/publish. Mungkin memerlukan waktu beberapa menit agar konfigurasi DNS baru diterapkan.

9. Memverifikasi konfigurasi DNS:

   watch nslookup ${ENDPOINTS_SERVICE}
   

   Outputnya mirip dengan hal berikut ini:

   Server:   169.254.169.254
   Address:  169.254.169.254#53
   
   Non-authoritative answer:
   Name: pubtest.endpoints.project-id.cloud.goog
   Address: gke-load-balancer-ip
   

   Pada output:

   • gke-load-balancer-ip: Alamat IP load balancer GKE (IP proxy) Anda.

   Untuk berhenti melihat, tekan CTRL+C.

Jika salah satu langkah sebelumnya menghasilkan error, lihat langkah pemecahan masalah.

Membuat token autentikasi

Prosedur berikut ini dimaksudkan sebagai contoh untuk membuat token autentikasi. Untuk lingkungan produksi, Anda memerlukan cara bagi pengguna untuk membuat token autentikasi mereka sendiri. Misalnya, Anda dapat menemukan kode contoh untuk mendapatkan token ID OIDC secara terprogram dalam dokumentasi Identity-Aware Proxy.

Untuk membuat token autentikasi, lakukan langkah berikut:

1. Buat akun layanan Google Cloud untuk membuat token ID OIDC:

   gcloud iam service-accounts create \
       $SERVICE_ACCOUNT \
       --display-name $SERVICE_ACCOUNT
   

2. Dapatkan identitas email akun layanan:

   SA_EMAIL=${SERVICE_ACCOUNT}@${PROJECT}.iam.gserviceaccount.com
   

3. Berikan Service Account Token Creator peran IAM(roles/iam.serviceAccountTokenCreator) untuk akun layanan:

   gcloud iam service-accounts add-iam-policy-binding $SA_EMAIL \
       --member user:$(gcloud config get-value account) \
       --role roles/iam.serviceAccountTokenCreator
   

4. Menggunakan Kredensial IAM API, buatlah token ID OIDC.

   TOKEN=$(curl -s ${GENERATE_TOKEN}/${SA_EMAIL}:generateIdToken \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -d '{"audience": "'${ENDPOINTS_SERVICE}'", "includeEmail": "true"}' | jq -r ".token")
   

   Nama layanan Endpoint ditentukan di kolom audience. Klaim audience mengidentifikasi penerima yang dituju oleh token.

5. Verifikasi bahwa token berhasil dibuat:

   echo $TOKEN
   

   Token Web JSON (JWT) sama dengan yang berikut ini:

   eyJhbGciOiJSUzI1NiIsImtpZCI6IjY4NjQyODlm[...].eyJhdWQiOiJwdWJ0ZXN0LmVuZHBvaW50cy52aXR
   hbC1vY3RhZ29uLTEwOTYxMi5jbG91ZC5nb[...].SjBI4TZjZAlYo6lFKkrvfAcVUp_AJzFKoSsjNbmD_n[...]
   

Memanggil Pub/Sub menggunakan proxy

1. Di Cloud Shell, publikasikan pesan pengujian:

   curl -i -k -X POST https://${ENDPOINTS_SERVICE}/publish \
       -H "Authorization: Bearer $TOKEN" \
       -H "Content-Type: application/json" \
       -d '{"topic": "'$TOPIC'", "messages": [ {"attributes": {"key1": "value1", "key2" : "value2"}, "data": "test data"}]}'
   

   Outputnya mirip dengan hal berikut ini:

   HTTP/2 200
   server: nginx
   date: Sun, 02 Jun 2019 03:53:46 GMT
   ...
   

2. Periksa apakah pesan berhasil dipublikasikan ke topik Pub/Sub:

   kubectl logs -f --tail=5 deployment/pubsub-proxy -c pubsub-proxy
   

   Log deployment proxy Pub/Sub menampilkan pesan Successfully published:

   2019-06-02 03:49:39.723:INFO:oejs.Server:main: Started @2554ms
   Jun 02, 2019 3:53:44 AM com.google.pubsub.proxy.publish.PublishMessage
   getPublisher
   INFO: Creating new publisher for: proxy-test
   Jun 02, 2019 3:53:47 AM
   com.google.pubsub.proxy.publish.PublishMessage$1 onSuccess
   INFO: Successfully published: 569006136173844
   

Pemecahan masalah

1. Di Cloud Shell, periksa status kedua container pada Pod proxy Pub/Sub:

   kubectl describe pods $(kubectl get pod -l app=pubsub-proxy \
       -o jsonpath="{.items[0].metadata.name}")
   

   Dalam output log, status container adalah Running:

   [...]
   Containers:
     esp:
   [...]
     State:  Running
       Started:  Fri, 21 Jun 2019 16:41:30 +0530
     Ready:  True
     Restart Count:  0
   [...]
     pubsub-proxy:
       State:  Running
         Started:  Fri, 21 Jun 2019 16:41:42 +0530
       Ready:  True
       Restart Count:  0
   [...]
   

2. (Opsional) Periksa log container untuk melihat apakah ada error lain. Misalnya, untuk memeriksa log proxy Pub/Sub, jalankan perintah berikut:

   kubectl logs -f --tail=10 deployment/pubsub-proxy -c pubsub-proxy
   

Untuk mendapatkan bantuan terkait pemecahan masalah, lihat dokumen berikut:

• Memecahkan Masalah Endpoint dengan GKE
• Memecahkan masalah validasi JWT
• Memecahkan masalah error respons