將容器映像檔部署至 Cloud Run 服務

控制台

如何部署容器映像檔：

1. 前往 Cloud de Confiance 控制台的 Cloud Run 頁面：

   前往 Cloud Run。

2. 點選「Deploy container」(部署容器)，顯示「Create service」(建立服務) 表單。

3. 輸入服務名稱。服務名稱不得超過 49 個字元，且每個區域和專案的服務名稱不得重複。服務名稱設定後即無法變更，且會公開顯示。

4. 在「Region」(區域) 欄位中， 使用預設值。

5. 在「驗證」下方，設定下列項目：

   • 如要建立公開 API 或網站，請選取「允許公開存取」。選取這個選項會將 IAM Invoker 角色指派給特殊 ID allUser。服務建立完成後，您可以使用 IAM 編輯這項設定。
   • 如要透過驗證機制保護服務，請選取「Require authentication」(需要驗證)。

6. 視需要設定帳單。

7. 在「服務調度」下方，如果您使用預設的 Cloud Run自動調度資源，可以選擇指定最少和最多執行個體，或設定調度控制項。如果您使用手動調整資源配置，請指定服務的執行個體數量。

8. 視需要設定表單中的「Ingress」設定。

9. 按一下「Containers, Networking, Security」(容器、網路、安全性)，在適當的分頁中設定其他選用設定：

   • 並行
   • 容器設定
   • CPU 上限
   • 記憶體上限
   • 要求逾時
   • 密鑰
   • 環境變數
   • 執行環境
   • HTTP/2
   • 服務帳戶
   • Cloud SQL 連線
   • 虛擬私有雲連線

10. 設定完服務後，按一下「建立」，將映像檔部署至 Cloud Run，並等待部署完成。

11. 按一下顯示的網址連結，開啟已部署服務的專屬穩定端點。

gcloud

1. 在 Cloud de Confiance 控制台中啟用 Cloud Shell。

   啟用 Cloud Shell

   Cloud de Confiance 控制台底部會開啟 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已設定適用於您目前專案的值。工作階段可能要幾秒鐘的時間才能初始化。

2. 如何部署容器映像檔：

   1. 請執行下列指令：

      gcloud run deploy SERVICE --image IMAGE_URL

      更改下列內容：

      • SERVICE：要部署的服務名稱。服務名稱不得超過 49 個字元，且每個區域和專案的服務名稱不得重複。如果服務尚未存在，這項指令會在部署期間建立服務。您可以完全省略這個參數，但系統會提示您輸入服務名稱。
      • IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG 。請注意，如果未提供 --image 標記，部署指令會嘗試從原始碼部署。

      如要建立公開 API 或網站，請使用 --allow-unauthenticated 標記，允許公開存取服務。這 會將 Cloud Run Invoker IAM 角色 指派給 allUsers。您也可以指定 --no-allow-unauthenticated 來禁止公開存取。如果省略任一標記，系統會在執行 deploy 指令時提示您確認。

   2. 等待部署作業完成。成功完成時，畫面會顯示成功訊息，還有已部署服務的網址。

   請注意，如要部署到與使用 run/region gcloud 屬性設定的位置不同的位置，請使用：

   gcloud run deploy SERVICE --region REGION

YAML

您可以將服務規格儲存在 YAML 檔案中，然後使用 gcloud CLI 部署。

1. 建立新的 service.yaml 檔案，並加入以下內容：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       spec:
         containers:
         - image: IMAGE

   更改下列內容：

   • SERVICE：Cloud Run 服務的名稱。服務名稱不得超過 49 個字元，且每個區域和專案的服務名稱不得重複。
   • IMAGE：容器映像檔的網址。

   您也可以指定更多設定，例如環境變數或記憶體限制。

2. 使用下列指令部署新服務：

   gcloud run services replace service.yaml

   gcloud run services replace 指令預設會使用 service.yaml 檔案 (如有)。

3. 如要允許未經驗證的存取要求，可以公開發布服務。

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

  provider "google" {
    project = "PROJECT-ID"
  }

  resource "google_cloud_run_v2_service" "default" {
    name     = "SERVICE"
    location = "REGION"
    client   = "terraform"

    template {
      containers {
        image = "IMAGE_URL"
      }
    }
  }

  resource "google_cloud_run_v2_service_iam_member" "noauth" {
    location = google_cloud_run_v2_service.default.location
    name     = google_cloud_run_v2_service.default.name
    role     = "roles/run.invoker"
    member   = "allUsers"
  }

更改下列內容：

• PROJECT-ID： Cloud de Confiance 專案 ID
• REGION： Cloud de Confiance 區域
• SERVICE：Cloud Run 服務的名稱。服務名稱不得超過 49 個半形字元，且每個區域和專案的服務名稱不得重複。
• IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG

這項設定允許公開存取 (等同於 --allow-unauthenticated)。如要將服務設為私有，請移除 google_cloud_run_v2_service_iam_member 節。

用戶端程式庫

如要從程式碼部署新服務，請按照下列步驟操作：

• Go
• Java
• Node.js
• Python
• Ruby
• PHP
• .NET

REST API

如要部署新服務，請將 POST HTTP 要求傳送至 Cloud Run Admin API service 端點。

例如，使用 curl：

curl -H "Content-Type: application/json" \
  -H "Authorization: Bearer ACCESS_TOKEN" \
  -X POST \
  -d '{template: {containers: [{image: "IMAGE_URL"}]}}' \
  https://run.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/services?serviceId=SERVICE

更改下列內容：

• ACCESS_TOKEN：帳戶的有效存取權杖，該帳戶具備部署服務的 IAM 權限。舉例來說，如果您已登入 gcloud，可以使用 gcloud auth print-access-token 擷取存取權杖。在 Cloud Run 容器例項中，您可以使用容器例項中繼資料伺服器擷取存取權杖。
• IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• SERVICE：要部署的服務名稱。服務名稱不得超過 49 個半形字元，且每個區域和專案的服務名稱不得重複。
• REGION：服務的 Cloud de Confiance 區域。
• PROJECT-ID： Cloud de Confiance 專案 ID。

控制台

如何部署現有服務的新修訂版本：

1. 在 Cloud de Confiance 控制台中，前往 Cloud Run 的「Services」(服務) 頁面：

   前往 Cloud Run。

2. 在服務清單中，按一下要更新的服務。

3. 在「Containers」(容器) 分頁中，您可以設定下列項目：

   1. 記憶體上限和 CPU 上限
   2. 暫時磁碟
   3. GPU
   4. 安全狀態檢查
   5. 環境變數和密鑰
   6. 數量
   7. Cloud SQL 連線
   8. 執行環境

4. 在「Networking」(網路) 分頁中，您可以設定下列項目：

   1. Ingress 和停用預設網址
   2. Cloud Service Mesh
   3. 虛擬私有雲連線
   4. HTTP/2 和工作階段相依性

5. 在「安全性」分頁中，您可以設定下列項目：

   1. 驗證偏好設定
   2. 服務帳戶
   3. 二進位授權
   4. 客戶 KMS 金鑰
   5. Cloud Run Threat Detection

6. 在「縮放」分頁中，您可以設定下列項目：

   1. 自動調度資源或手動調度資源
   2. 帳單偏好設定
   3. 要求逾時和並行

7. 依序點選「查看差異並重新部署」和「部署變更」，即可部署變更。

gcloud

1. 在 Cloud de Confiance 控制台中啟用 Cloud Shell。

   啟用 Cloud Shell

   Cloud de Confiance 控制台底部會開啟 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已設定適用於您目前專案的值。工作階段可能要幾秒鐘的時間才能初始化。

2. 如何部署容器映像檔：

   1. 執行下列指令：

      gcloud run deploy SERVICE --image IMAGE_URL

      更改下列內容：

      • SERVICE：要部署至的服務名稱。您可以完全省略這個參數，但如果省略，系統會提示您輸入服務名稱。
      • IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。

      新修訂版本會自動指派修訂版本後置字元。如要提供自己的修訂版本尾碼，請使用 gcloud CLI 參數 --revision-suffix。

   2. 等待部署作業完成。成功完成時，畫面會顯示成功訊息，還有已部署服務的網址。

YAML

如要下載或查看現有服務的設定，請使用下列指令將結果儲存至 YAML 檔案：

gcloud run services describe SERVICE --format export > service.yaml

在服務設定 YAML 檔案中，視需要修改任何 spec.template 子項屬性，更新修訂版本設定，然後部署新修訂版本：

gcloud run services replace service.yaml

gcloud run services replace 指令預設會使用 service.yaml 檔案 (如有)。

Terraform

請務必按照「部署新服務」範例中的說明設定 Terraform。

1. 變更設定檔。

2. 套用 Terraform 設定：

   terraform apply

   輸入 yes，確認要套用所述動作。

用戶端程式庫

如要透過程式碼部署新的修訂版本，請按照下列步驟操作：

• Go
• Java
• Node.js
• Python
• Ruby
• PHP
• .NET

REST API

如要部署新修訂版本，請將 PATCH HTTP 要求傳送至 Cloud Run Admin API service 端點。

例如，使用 curl：

curl -H "Content-Type: application/json" \
  -H "Authorization: Bearer ACCESS_TOKEN" \
  -X PATCH \
  -d '{template: {containers: [{image: "IMAGE_URL"}]}}' \
  https://run.googleapis.com/v2/projects/PROJECT_ID/locations/REGION/services/SERVICE

更改下列內容：

• ACCESS_TOKEN：帳戶的有效存取權杖，該帳戶具有部署修訂版本的 IAM 權限。 舉例來說，如果您已登入 gcloud，可以使用 gcloud auth print-access-token 擷取存取權杖。在 Cloud Run 容器例項中，您可以使用容器例項中繼資料伺服器擷取存取權杖。
• IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• SERVICE：要部署至的服務名稱。
• REGION：服務的 Cloud de Confiance 區域。
• PROJECT-ID： Cloud de Confiance 專案 ID。

控制台

如要部署含有 Sidecar 的新服務，請按照下列步驟操作：

1. 前往 Cloud de Confiance 控制台的 Cloud Run「Services」(服務) 頁面：

   前往 Cloud Run。

2. 點選「Deploy container」(部署容器)，顯示「Create service」(建立服務) 表單。

3. 提供要部署的服務名稱和 Ingress 容器映像檔網址。

4. 按一下「容器、網路、安全性」。

5. 在「Edit container」(編輯容器) 資訊卡中，視需要設定 Ingress 容器。

6. 按一下「新增容器」，然後設定要與 Ingress 容器一起新增的邊車容器。如果 sidecar 依附於服務中的其他容器，請在「Container start-up order」(容器啟動順序) 選單中指明。針對您部署的每個邊車容器重複這個步驟。

7. 點選「建立」。

如要設定具有 Sidecar 的現有服務，請按照下列步驟操作：

1. 前往 Cloud de Confiance 控制台的 Cloud Run「Services」(服務) 頁面：

   前往 Cloud Run。

2. 如要部署至現有服務，請按一下該服務。

3. 按一下「容器」分頁標籤。

4. 按一下「Add container」(新增容器)，然後設定要與 Ingress 容器一併新增的邊車容器。如果 Sidecar 依附於服務中的另一個容器，請在「容器啟動順序」選單中指出這點。針對您部署的每個邊車容器重複這個步驟。

5. 按一下「查看差異並重新部署」。

6. 如要將所有流量傳送至新修訂版本，請選取「Serve this revision immediately」(立即提供這個修訂版本)。如要逐步推出，請取消勾選該核取方塊。這樣一來，部署作業就不會將任何流量傳送至新修訂版本。部署後，請按照逐步推出的操作說明進行。

7. 按一下「Deploy changes」(部署變更)。

gcloud

1. 在 Cloud de Confiance 控制台啟用 Cloud Shell。

   啟用 Cloud Shell

   Cloud de Confiance 控制台底部會開啟 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已設定適用於您目前專案的值。工作階段可能要幾秒鐘的時間才能初始化。

2. 如要將多個容器部署至服務，請執行下列指令：

   gcloud run deploy SERVICE \
    --container INGRESS_CONTAINER_NAME \
    --image='INGRESS_IMAGE' \
    --port='CONTAINER_PORT' \
    --container SIDECAR_CONTAINER_NAME \
    --image='SIDECAR_IMAGE'

   更改下列內容：

   • SERVICE：要部署的服務名稱。您可以完全省略這個參數，但如果省略，系統會提示您輸入服務名稱。
   • INGRESS_CONTAINER_NAME：接收要求的容器名稱，例如 app。
   • INGRESS_IMAGE：應接收要求的容器映像檔參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。
   • CONTAINER_PORT：ingress 容器監聽傳入要求的通訊埠。與單一容器服務不同，如果服務包含 Sidecar，則沒有預設的 Ingress 容器通訊埠。您必須明確設定 Ingress 容器的容器通訊埠，且只有一個容器可以公開通訊埠。
   • SIDECAR_CONTAINER_NAME：Sidecar 容器的名稱，例如 sidecar。
   • SIDECAR_IMAGE：對 Sidecar 容器映像檔的參照

   如要在部署指令中設定每個容器，請在 container 參數後提供每個容器的設定，例如：

   gcloud run deploy SERVICE \
     --container CONTAINER_1_NAME \
     --image='INGRESS_IMAGE' \
     --set-env-vars=KEY=VALUE \
     --port='CONTAINER_PORT' \
     --container SIDECAR_CONTAINER_NAME \
     --image='SIDECAR_IMAGE' \
     --set-env-vars=KEY_N=VALUE_N

3. 等待部署作業完成。成功完成後，系統會顯示成功訊息，以及已部署服務的網址。

YAML

以下操作說明會提供 Cloud Run 服務 (含 sidecar) 的基本 YAML 檔案。建立名為 service.yaml 的檔案，並在其中加入下列內容：

apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  annotations:
  name: SERVICE
spec:
  template:
    spec:
      containers:
      - image: INGRESS_IMAGE
        ports:
          - containerPort: CONTAINER_PORT
      - image: SIDECAR_IMAGE
      

更改下列內容：

• SERVICE：Cloud Run 服務的名稱。 服務名稱不得超過 49 個半形字元。
• CONTAINER_PORT：ingress 容器監聽傳入要求的通訊埠。與單一容器服務不同，如果服務包含 Sidecar，則沒有預設的 Ingress 容器通訊埠。您必須明確設定 Ingress 容器的容器通訊埠，且只有一個容器可以公開通訊埠。
• INGRESS_IMAGE：應接收要求的容器映像檔參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。
• SIDECAR_IMAGE：對 Sidecar 容器映像檔的參照。如要指定多個 Sidecar，請在 YAML 的 containers 陣列中新增更多元素。

更新 YAML 檔案，加入輸入和邊車容器後，請使用下列指令部署至 Cloud Run：

gcloud run services replace service.yaml

gcloud run services replace 指令預設會使用 service.yaml 檔案 (如有)。

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE"
  location = "REGION"
  ingress = "INGRESS_TRAFFIC_ALL"
  template {
    containers {
      name = "INGRESS_CONTAINER_NAME"
      ports {
        container_port = CONTAINER_PORT
      }
      image = "INGRESS_IMAGE"
      depends_on = ["SIDECAR_CONTAINER_NAME"]
    }
    containers {
      name = "SIDECAR_CONTAINER_NAME"
      image = "SIDECAR_IMAGE"
      }
    }
  }

CONTAINER_PORT 代表 Ingress 容器監聽傳入要求的通訊埠。與單一容器服務不同，如果服務包含 Sidecar，則 Ingress 容器沒有預設通訊埠。您必須明確設定 Ingress 容器的容器通訊埠，且只有一個容器可以公開通訊埠。

gcloud

如要停用部署作業健康狀態檢查，請使用 --no-deploy-health-check 旗標：

gcloud run deploy --image IMAGE_URL --no-deploy-health-check

更改下列內容：

• IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果使用 Artifact Registry，則必須先建立存放區 REPO_NAME。網址格式為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。

如果先前已停用部署健康狀態檢查，請使用 --deploy-health-check 重新啟用。

YAML

如要停用部署健康狀態檢查，請將值為 'true' 的 run.googleapis.com/health-check-disabled 註解新增至 spec.template.metadata.annotations。

apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/health-check-disabled: 'true'

Terraform

如要停用部署作業健康狀態檢查，請在 template 區塊中將 health_check_disabled 引數設為 true。

resource "google_cloud_run_v2_service" "default" {
  name     = "SERVICE"
  ...
  template {
    health_check_disabled = true
    ...
  }
}