Proxy frontend utilizzando Nginx

Questa pagina mostra come utilizzare Nginx come proxy frontend per il container dell'applicazione. Questa operazione è utile se vuoi elaborare richieste o risposte. Puoi aggiungere la compressione gzip o tradurre HTTP/2 in HTTP/1 se i container dell'applicazione supportano solo HTTP/1 e devi utilizzare HTTP/2 end-to-end per motivi di prestazioni.

Nell'esempio fornito in questa pagina, un container Nginx viene eseguito su ogni istanza Cloud Run come container di pubblicazione principale ed è configurato per inoltrare le richieste al container dell'applicazione, che viene eseguito come container sidecar, come mostrato in questo diagramma:

Il modo più efficace per eseguire il proxy frontend in Cloud Run è eseguire il deployment del container del server proxy Nginx e del container dell'app web come un singolo servizio Cloud Run:

Questo singolo servizio Cloud Run accetta le richieste e le invia al container in entrata (di pubblicazione), che in questo caso è il server proxy. Il server proxy invia quindi le richieste all'app web tramite l'interfaccia di rete localhost, che evita qualsiasi rete esterna.

Il deployment come singolo servizio Cloud Run riduce le latenze, il sovraccarico di gestione del servizio ed elimina l'esposizione alle reti esterne. Cloud Run non interagisce direttamente con i container collaterali, se non per avviarli o arrestarli ogni volta che il servizio viene avviato o arrestato.

Il container dell'app web e tutti i container collaterali possono essere scritti in linguaggi di programmazione diversi. Per un esempio scritto in PHP, consulta l'esempio PHP nginx sample in GitHub.

Prima di iniziare

Accedi al tuo Google Cloud account. Se non hai mai utilizzato Google Cloud, crea un account per valutare il rendimento dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti senza costi per l'esecuzione, il test e il deployment dei carichi di lavoro.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Abilita le API Cloud Run e Secret Manager.

   Ruoli richiesti per abilitare le API

   Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente hai già questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo servizio (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

   Abilita le API

2. Installa e inizializza gcloud CLI.
3. Aggiorna Google Cloud CLI: gcloud components update
4. Configura Google Cloud CLI: gcloud init
5. Esegui l'autenticazione con Google Cloud CLI: gcloud auth login

Autorizzazioni richieste per il deployment

Devi avere UNA delle seguenti opzioni:

• I ruoli Amministratore Cloud Run e Utente account di servizio
• Qualsiasi ruolo personalizzato che includa questo elenco specifico di autorizzazioni

Panoramica configurazione

Queste istruzioni utilizzano immagini container predefinite, quindi l'unica cosa richiesta per il proxy frontend è configurare i container e il servizio stesso.

Configura il container in entrata Nginx

L'immagine container è nginx disponibile su Docker Hub. È quasi pronta per l'uso, tranne che deve essere configurata per essere eseguita come servizio di proxy, che invia le richieste con proxy alla porta su cui il container sidecar è in ascolto su localhost. L'esempio in questa pagina abilita anche la compressione gzip per richieste e risposte.

La configurazione viene fornita utilizzando un file di testo montato in /etc/nginx/conf.d/nginx.conf. Poiché non puoi modificare direttamente i file nel container, devi montare un volume in /etc/nginx/conf.d/ che contenga il file di configurazione. Un modo per montare un file in una posizione specifica in un container in esecuzione su Cloud Run è archiviare il contenuto del file in un secret di Secret Manager e montare il secret nella posizione selezionata.

Copia quanto segue in un file denominato nginx.conf nella directory corrente della tua macchina locale.

server {
    # Listen at port 8080
    listen 8080; 
    # Server at localhost
    server_name _;
    # Enables gzip compression to make our app faster
    gzip on;

    location / {
        # Passes initial requests to port 8080 to `hello` container at port 8888
        proxy_pass   http://127.0.0.1:8888;
    }
}

Nella configurazione, procedi nel seguente modo:

• Assegna nginx per l'ascolto sulla stessa porta predefinita di Cloud Run 8080, che si trova su localhost.
• Applica la compressione gzip per migliorare le prestazioni.
• Indica a proxy_pass di inviare tutte le richieste a questo container in entrata al container sidecar dell'app web sulla porta localhost 8888.

Crea un secret con il contenuto del file nginx.conf.

Informazioni sull'immagine di esempio del container collaterale dell'app web

Queste istruzioni utilizzano l'immagine container di esempio in us-docker.pkg.dev/cloudrun/container/hello. Devi specificare il numero di porta su cui il container sarà in ascolto e localhost come host, come descritto in Specifica la configurazione del container sidecar, nelle sezioni seguenti.

Configura il servizio multi-container

Puoi utilizzare la Google Cloud console o il file YAML di Cloud Run per configurare un servizio Cloud Run con più di un container.

Nella configurazione del servizio, specifica il server proxy Nginx come container in entrata (di pubblicazione), la porta su cui sarà in ascolto, se accetta richieste HTTP 1 o HTTP 2 e l'ordine di avvio del container. Il container in entrata (server proxy) dipende dal container collaterale dell'app web, quindi quest'ultimo deve essere avviato per primo.

Queste configurazioni sono mostrate nelle prossime sezioni.

Aggiungi metadati YAML

Specifica l'ordine di avvio del container

spec:
  template:
    metadata:
      annotations:
        # Defines container startup order within multi-container service.
        # Below requires hello container to spin up before nginx container,
        # which depends on the hello container.
        # https://cloud.google.com/run/docs/configuring/containers#container-ordering
        run.googleapis.com/container-dependencies: "{nginx: [hello]}"

Specifica la configurazione del container di pubblicazione

spec:
  containers:
    # A) Serving ingress container "nginx" listening at PORT 8080
    # Main entrypoint of multi-container service.
    # Source is stored in nginx_config secret in Secret Manager.
    # Any pings to this container will proxy over to hello container at PORT 8888.
    # https://cloud.google.com/run/docs/container-contract#port
    - image: nginx
      name: nginx
      ports:
        - name: http1
          containerPort: 8080
      resources:
        limits:
          cpu: 500m
          memory: 256Mi
      # Referencing declared volume below,
      # Declaring volume to mount in current ingress container's filesystem
      # https://cloud.google.com/run/docs/reference/rest/v2/Container#volumemount
      volumeMounts:
        - name: nginx-conf-secret
          readOnly: true
          mountPath: /etc/nginx/conf.d/
      startupProbe:
        timeoutSeconds: 240
        periodSeconds: 240
        failureThreshold: 1
        tcpSocket:
          port: 8080

Specifica la configurazione del container sidecar

- image: us-docker.pkg.dev/cloudrun/container/hello
  name: hello
  env:
    - name: PORT
      value: "8888"
  resources:
    limits:
      cpu: 1000m
      memory: 512Mi
  startupProbe:
    timeoutSeconds: 240
    periodSeconds: 240
    failureThreshold: