Laboratorio práctico — PCD Google Cloud Professional Cloud Developer

Descripción general

Requisitos previos

Pasos

1. 1.Proveedor, servicios del proyecto, nomenclatura

   Habilita las API de Cloud Run, Artifact Registry, Pub/Sub y Secret Manager.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-pcd"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "run" {
     service            = "run.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "artifactregistry" {
     service            = "artifactregistry.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "pubsub" {
     service            = "pubsub.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "secretmanager" {
     service            = "secretmanager.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Crea un repositorio de Artifact Registry para imágenes de contenedor

   Aprovisiona:

   • Artifact Registry

   Artifact Registry es el registro de contenedores + paquetes de GCP — el reemplazo moderno para el deprecated Container Registry (gcr.io). El examen PCD evalúa este patrón de push a Artifact Registry → desplegar desde Artifact Registry como la forma canónica de CI/CD.

   Creamos un repositorio regional en formato Docker. Empuja a él después de terraform apply mediante:

   gcloud auth configure-docker us-central1-docker.pkg.dev
   docker tag my-app:latest us-central1-docker.pkg.dev/$PROJECT/certlabpro-pcd-images/my-app:latest
   docker push us-central1-docker.pkg.dev/$PROJECT/certlabpro-pcd-images/my-app:latest
   

   Copiar

   resource "google_artifact_registry_repository" "images" {
     repository_id = "certlabpro-pcd-images"
     location      = "us-central1"
     format        = "DOCKER"
     description   = "PCD lab Docker images"
   
     labels = local.labels
   
     depends_on = [google_project_service.artifactregistry]
   }

3. 3.Aprovisiona un tema + suscripción de Pub/Sub (la columna vertebral asíncrona)

   Aprovisiona:

   • Pub/Sub

   Pub/Sub es el servicio de mensajería gestionado de GCP — la base de cada aplicación event-driven con patrón PCD. Los temas son destinos de publicación; las suscripciones son puntos finales de consumidor (pull o push). El examen PCD evalúa la entrega al menos una vez + consumidores idempotentes como la semántica fundamental.

   Creamos:

   1. Un tema orders — donde los productores publican.
   2. Una suscripción pull orders-worker — los consumidores extraen de ella. Las implementaciones de producción a menudo utilizan suscripciones push a los puntos finales de Cloud Run en su lugar (la forma canónica event-driven de PCD: Pub/Sub push → Cloud Run); aquí nos quedamos con pull para simplificar IAM.

   ack_deadline_seconds = 60 da a los consumidores 60 segundos para confirmar; más tiempo que el tiempo de espera predeterminado de solicitud de Cloud Run y un parámetro de ajuste recurrente en el examen PCD.

   Copiar

   resource "google_pubsub_topic" "orders" {
     name = "orders"
   
     labels = local.labels
   
     depends_on = [google_project_service.pubsub]
   }
   
   resource "google_pubsub_subscription" "orders_worker" {
     name  = "orders-worker"
     topic = google_pubsub_topic.orders.id
   
     ack_deadline_seconds       = 60
     message_retention_duration = "604800s" # 7 days (max)
   
     retry_policy {
       minimum_backoff = "10s"
       maximum_backoff = "600s"
     }
   
     labels = local.labels
   }

4. 4.Despliega un servicio de Cloud Run con una cuenta de servicio de menor privilegio

   Aprovisiona:

   • Cloud Run

   Cloud Run es el contenedor como servicio de GCP — ejecuta contenedores Docker en la infraestructura sin servidor de Google, escala a cero. Patrón recomendado por PCD: cada servicio de Cloud Run se ejecuta como su propia cuenta de servicio, nunca la cuenta de servicio predeterminada de Compute.

   Desplegamos un servicio que ejecuta la imagen pública hello como marcador de posición, adjuntamos una cuenta de servicio por servicio con roles/pubsub.subscriber en el tema del Paso 3, y otorgamos roles/run.invoker a allUsers para acceso no autenticado. Cambia a un invocador restringido por IAM para producción — el examen PCD evalúa esta alternancia entre allUsers y una identidad específica.

   Copiar

   resource "google_service_account" "worker" {
     account_id   = "certlabpro-pcd-worker"
     display_name = "PCD lab Cloud Run worker"
   }
   
   resource "google_pubsub_subscription_iam_member" "worker_subscriber" {
     subscription = google_pubsub_subscription.orders_worker.name
     role         = "roles/pubsub.subscriber"
     member       = "serviceAccount:${google_service_account.worker.email}"
   }
   
   resource "google_cloud_run_v2_service" "worker" {
     name     = "certlabpro-pcd-worker"
     location = "us-central1"
   
     template {
       service_account = google_service_account.worker.email
   
       scaling {
         min_instance_count = 0 # scale-to-zero — no idle billing
         max_instance_count = 5
       }
   
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
   
         resources {
           limits = {
             cpu    = "1"
             memory = "512Mi"
           }
         }
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.run]
   }
   
   resource "google_cloud_run_v2_service_iam_member" "public_invoker" {
     name     = google_cloud_run_v2_service.worker.name
     location = google_cloud_run_v2_service.worker.location
     role     = "roles/run.invoker"
     member   = "allUsers" # lab-only; production = specific identity
   }

5. 5.Almacena credenciales de la aplicación en Secret Manager + concede acceso de lectura a Cloud Run

   Aprovisiona:

   • Secret Manager

   Secret Manager es el almacén de secretos de GCP — valores versionados, acceso controlado por IAM, ganchos de rotación automática. Patrón recomendado por PCD: la configuración de la aplicación que no es un secreto se guarda en variables de entorno; la configuración de la aplicación que es un secreto (claves de API, contraseñas de bases de datos, tokens de OAuth) se guarda en Secret Manager, referenciada por el servicio de Cloud Run.

   Creamos un secreto + una versión inicial, luego otorgamos a la cuenta de servicio de Cloud Run del Paso 4 roles/secretmanager.secretAccessor sobre él. Para vincular el secreto a Cloud Run como una variable de entorno, añadirías un bloque env { name = "..."; value_source { secret_key_ref { ... } } } en la plantilla del servicio (omitido deliberadamente para mantener este paso enfocado).

   Copiar

   resource "google_secret_manager_secret" "db_password" {
     secret_id = "certlabpro-pcd-db-password"
   
     replication {
       auto {}
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.secretmanager]
   }
   
   resource "google_secret_manager_secret_version" "db_password_v1" {
     secret      = google_secret_manager_secret.db_password.id
     secret_data = "lab-placeholder-rotate-me"
   }
   
   resource "google_secret_manager_secret_iam_member" "worker_reader" {
     secret_id = google_secret_manager_secret.db_password.id
     role      = "roles/secretmanager.secretAccessor"
     member    = "serviceAccount:${google_service_account.worker.email}"
   }

Limpieza