מעבדה מעשית — PCD Google Cloud Professional Cloud Developer

סקירה כללית

דרישות קדם

שלבים

1. 1.Provider, שירותי פרויקט, שמות

   אפשר את ממשקי ה-API של Cloud Run, Artifact Registry, Pub/Sub ו-Secret Manager.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-pcd"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "run" {
     service            = "run.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "artifactregistry" {
     service            = "artifactregistry.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "pubsub" {
     service            = "pubsub.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "secretmanager" {
     service            = "secretmanager.googleapis.com"
     disable_on_destroy = false
   }

2. 2.צור מאגר Artifact Registry לתמונות קונטיינר

   משאבים:

   • Artifact Registry

   Artifact Registry הוא מאגר הקונטיינרים והחבילות של GCP — התחליף המודרני ל-Container Registry (gcr.io) שהוצא משימוש. בחינת ה-PCD בודקת את תבנית ה-דחיפה ל-Artifact Registry ← פריסה מ-Artifact Registry כצורת ה-CI/CD הקנונית.

   אנו יוצרים מאגר אזורי בפורמט Docker. דחוף אליו לאחר terraform apply באמצעות:

   gcloud auth configure-docker us-central1-docker.pkg.dev
   docker tag my-app:latest us-central1-docker.pkg.dev/$PROJECT/certlabpro-pcd-images/my-app:latest
   docker push us-central1-docker.pkg.dev/$PROJECT/certlabpro-pcd-images/my-app:latest
   

   העתק

   resource "google_artifact_registry_repository" "images" {
     repository_id = "certlabpro-pcd-images"
     location      = "us-central1"
     format        = "DOCKER"
     description   = "PCD lab Docker images"
   
     labels = local.labels
   
     depends_on = [google_project_service.artifactregistry]
   }

3. 3.הקצה נושא (topic) ומנוי (subscription) ב-Pub/Sub (עמוד השדרה האסינכרוני)

   משאבים:

   • Pub/Sub

   Pub/Sub הוא שירות העברת ההודעות המנוהל של GCP — הבסיס לכל יישום מונחה אירועים בתבנית PCD. נושאים (topics) הם יעדי פרסום; מנויים (subscriptions) הם נקודות קצה של צרכנים (משיכה או דחיפה). בחינת ה-PCD בודקת מסירה לפחות פעם אחת + צרכנים אידמפוטנטיים כסמנטיקה נושאת העומס.

   אנו יוצרים:

   1. נושא (topic) בשם orders — אליו מפרסמים המפיקים.
   2. מנוי (subscription) מסוג משיכה בשם orders-worker — צרכנים מושכים ממנו. פריסות פרודקשן משתמשות לעתים קרובות במנויי דחיפה (push subscriptions) לנקודות קצה של Cloud Run במקום זאת (הצורה הקנונית מונחית-האירועים של PCD: דחיפה מ-Pub/Sub ← Cloud Run); אנו נשארים עם משיכה כאן כדי לשמור על IAM פשוט יותר.

   ack_deadline_seconds = 60 מעניק לצרכנים 60 שניות לאשר; זמן ארוך יותר מפסק הזמן המוגדר כברירת מחדל לבקשות ב-Cloud Run, וזהו כפתור כיוונון חוזר בבחינת PCD.

   העתק

   resource "google_pubsub_topic" "orders" {
     name = "orders"
   
     labels = local.labels
   
     depends_on = [google_project_service.pubsub]
   }
   
   resource "google_pubsub_subscription" "orders_worker" {
     name  = "orders-worker"
     topic = google_pubsub_topic.orders.id
   
     ack_deadline_seconds       = 60
     message_retention_duration = "604800s" # 7 days (max)
   
     retry_policy {
       minimum_backoff = "10s"
       maximum_backoff = "600s"
     }
   
     labels = local.labels
   }

4. 4.פרוס שירות Cloud Run עם חשבון שירות בעל הרשאות מינימליות

   משאבים:

   • Cloud Run

   Cloud Run הוא שירות הקונטיינרים כשירות (container-as-a-service) של GCP — מריץ קונטיינרי Docker על תשתית הסרברלס של גוגל, ומתרחב עד לאפס (scales to zero). תבנית מומלצת של PCD: כל שירות Cloud Run פועל כחשבון שירות משלו, לעולם לא כחשבון שירות ברירת המחדל של Compute.

   אנו פורסים שירות המריץ את תמונת ה-hello הציבורית כמציין מיקום (placeholder), מצרפים חשבון שירות לכל שירות עם roles/pubsub.subscriber על הנושא מהשלב השלישי, ומעניקים roles/run.invoker ל-allUsers עבור גישה בלתי מאומתת. עבור למפעיל (invoker) מוגבל IAM עבור סביבת ייצור — בחינת ה-PCD בודקת את ההחלפה הזו של allUsers ↔ זהות ספציפית.

   העתק

   resource "google_service_account" "worker" {
     account_id   = "certlabpro-pcd-worker"
     display_name = "PCD lab Cloud Run worker"
   }
   
   resource "google_pubsub_subscription_iam_member" "worker_subscriber" {
     subscription = google_pubsub_subscription.orders_worker.name
     role         = "roles/pubsub.subscriber"
     member       = "serviceAccount:${google_service_account.worker.email}"
   }
   
   resource "google_cloud_run_v2_service" "worker" {
     name     = "certlabpro-pcd-worker"
     location = "us-central1"
   
     template {
       service_account = google_service_account.worker.email
   
       scaling {
         min_instance_count = 0 # scale-to-zero — no idle billing
         max_instance_count = 5
       }
   
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
   
         resources {
           limits = {
             cpu    = "1"
             memory = "512Mi"
           }
         }
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.run]
   }
   
   resource "google_cloud_run_v2_service_iam_member" "public_invoker" {
     name     = google_cloud_run_v2_service.worker.name
     location = google_cloud_run_v2_service.worker.location
     role     = "roles/run.invoker"
     member   = "allUsers" # lab-only; production = specific identity
   }

5. 5.אחסן אישורי יישום ב-Secret Manager + הענק גישת קריאה ל-Cloud Run

   משאבים:

   • Secret Manager

   Secret Manager הוא מאגר הסודות של GCP — ערכים ממוספרים (גרסאות), גישה נשלטת באמצעות IAM, ווים (hooks) לסיבוב אוטומטי. תבנית מומלצת של PCD: תצורת יישום שאינה סוד נכנסת למשתני סביבה; תצורת יישום שכן סוד (מפתחות API, סיסמאות DB, אסימוני OAuth) נכנסת ל-Secret Manager, אליה מפנה שירות Cloud Run.

   אנו יוצרים סוד + גרסה ראשונית, ולאחר מכן מעניקים לחשבון השירות של Cloud Run משלב 4 את roles/secretmanager.secretAccessor עליו. כדי לחבר את הסוד ל-Cloud Run כמשתנה סביבה, היית מוסיף בלוק env { name = "..."; value_source { secret_key_ref { ... } } } בתבנית השירות (הושמט בכוונה כדי לשמור על מיקוד שלב זה).

   העתק

   resource "google_secret_manager_secret" "db_password" {
     secret_id = "certlabpro-pcd-db-password"
   
     replication {
       auto {}
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.secretmanager]
   }
   
   resource "google_secret_manager_secret_version" "db_password_v1" {
     secret      = google_secret_manager_secret.db_password.id
     secret_data = "lab-placeholder-rotate-me"
   }
   
   resource "google_secret_manager_secret_iam_member" "worker_reader" {
     secret_id = google_secret_manager_secret.db_password.id
     role      = "roles/secretmanager.secretAccessor"
     member    = "serviceAccount:${google_service_account.worker.email}"
   }

ניקוי משאבים