‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

פתרון בעיות ב-Cloud Run באמצעות SSH

באמצעות SSH אפשר ליצור חיבור מאובטח ואינטראקטיבי של מעטפת (shell) למכונות של קונטיינרים שפועלות. כך מקבלים גישה ישירה למערכת הקבצים ולסביבת זמן הריצה של הקונטיינר, ויכולים לבדוק את משאבי המערכת, לאמת את ההגדרות ולפתור בעיות.

כדי לאבטח את החיבורים, ב-SSH ל-Cloud Run נעשה שימוש בשירותים הבאים:

העברת TCP של שרת Proxy לאימות זהויות (IAP) משמשת כשרת proxy לחיבורי SSH, כך שהבקשות צריכות לעבור בדיקות אימות והרשאה לפני שהן מגיעות לקונטיינר. אתם יכולים להרחיב את כללי מדיניות הגישה של IAP באמצעות בקרת גישה מבוססת-הקשר, כדי להגביל את הגישה על סמך מאפיינים כמו כתובת IP ומכשיר של משתמש קצה.
ב-OS Login נעשה שימוש באימות אישורי SSH כדי לאמת משתמשים. כשמתחברים, ה-CLI של gcloud יוצר אישור SSH לטווח קצר שתוקפו פג אחרי חמש דקות. האישור מאומת בתוך מאגר התגים. ‫Google בודקת את הרשאות ה-IAM בכל ניסיון התחברות.

התכונה "SSH ל-Cloud Run" מוסיפה באופן אוטומטי למערכת הקבצים של הקונטיינר את הקבצים הבינאריים הנדרשים בניהול Google, כולל sshd והקבצים הבינאריים שמאמתים את האישור. אפשר לגשת לקבצים הבינאריים האלה רק במהלך סשן ה-SSH, והם נמחקים בסיום הסשן. הגדרות SSH קיימות, כולל רשומות /etc/passwd, לא נלקחות בחשבון ב-Cloud Run SSH, ובמקומן נעשה שימוש בהגדרות שמנוהלות על ידי Google.

הודעות על זכויות יוצרים בקוד פתוח של צד שלישי, שקשורות לתלויות SSH בניהול Google, מותקנות בתוך מאגר הנתונים כשנוצרת סשן SSH בנתיב הבא: /usr/share/licenses/google_ssh/THIRD_PARTY_NOTICES.

סשנים של SSH ומכונות של שירותים

כשמתחברים לשירות באמצעות SSH, חשוב לשים לב לדברים הבאים:

אם אין מכונה פעילה של השירות, Cloud Run מפעיל מכונה חדשה לסשן ה-SSH.
ב-Cloud Run, המערכת מנסה להשאיר את המכונה של השירות פעילה למשך הסשן של ה-SSH. אתם מחויבים על המכונה כרגיל כשהיא פעילה.

מגבלות

המגבלות הבאות חלות על SSH:

סשנים של SSH נמשכים עד 24 שעות. אחרי 24 שעות הסשן מתנתק וצריך להתחבר מחדש.
‫IAP מנתק סשנים של SSH אחרי שעה של חוסר פעילות. מידע נוסף זמין במאמר מגבלות ידועות של העברת TCP ב-IAP.
אפשר להשתמש ב-SSH רק בשירותים שפועלים בסביבת הדור השני של Cloud Run ובמכונות של Cloud Run.
כשמשתמשים ב-SSH, מפתחות המארח בתמונה מוחלפים. המפתחות נשארים מוחלפים אחרי שסשן ה-SSH מסתיים, עד שמפעילים מחדש את המכונה של השירות.
Windows: אין תמיכה ב-PuTTY. משתמשים בלקוח OpenSSH.
כשמשתמשים ב-SSH, חשוב להקפיד על אבטחת הקונטיינר. כדאי להשתמש בשיטות מומלצות לאבטחה, כמו הרצת קוד אפליקציה כמשתמש Root.
כשחיבור SSH מפעיל במצב התחלתי (cold start) שירות עם כמה קונטיינרים וסדר הפעלה של קונטיינרים (container-dependencies), הבקשה מנותבת לפני שסביבת הקונטיינר מוכנה. ‫Cloud Run מחזיר שגיאת HTTP 500 ומפסיק מיד את המכונה החדשה. אם תתחברו באמצעות Google Cloud CLI, הפקודה תיכשל. כדי לעקוף את הבעיה, צריך להתחבר באמצעות SSH רק כשהמכונה כבר פועלת. לדוגמה, אפשר לשלוח קודם בקשה לשירות כדי להפעיל מכונה, או להגדיר מספר מינימלי של מכונות.

לפני שמתחילים

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
Roles required to select or create a project
- Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
- Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector
Verify that billing is enabled for your Google Cloud project.

מפעילים את Cloud Run Admin API,‏ Cloud Resource Manager API,‏ Identity-Aware Proxy API ו-Cloud OS Login API:

  gcloud services enable run.googleapis.com \
      cloudresourcemanager.googleapis.com \
      iap.googleapis.com \
      oslogin.googleapis.com

מתקינים ומפעילים את ה-CLI של gcloud.
מעדכנים את הרכיבים:
```
gcloud components update
```
‫Windows: מוודאים שלקוח OpenSSH מותקן.
בדרך כלל, OpenSSH Client מותקן כברירת מחדל ב-Windows 10 ואילך. אם הוא לא מותקן, אפשר להתקין אותו על ידי הרצת הפקודה הבאה ב-PowerShell כאדמין:
```
Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0
```
מידע נוסף זמין במאמר התקנת OpenSSH.
קוראים את דף התמחור של Cloud Run. כדי להעריך את העלויות בהתאם לשימוש הצפוי, אתם יכולים להשתמש במחשבון העלויות. ב-SSH מחויבים על בייטים של תעבורת נתונים יוצאת ברשת. בנוסף, החיוב על המכונה מתבצע כרגיל כל עוד היא פעילה בסשן SSH.
אם בפרויקט שלכם משתמשים ב-VPC Service Controls (VPC-SC), שימו לב שתהליך ה-tunneling בודק את iaptunnel.googleapis.com כשם השירות, ולא את run.googleapis.com.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לביצוע השלבים האלה, אתם צריכים לבקש מהאדמין להקצות לכם את התפקידים הבאים ב-IAM:

משתמש בחשבון שירות (roles/iam.serviceAccountUser) בחשבון השירות
גישת שורש ל-SSH ב-Cloud Run (roles/run.sshRoot) בשירות
צפייה ב-Cloud Run (roles/run.viewer) בשירות
משתמש מנהרה באבטחת IAP (roles/iap.tunnelResourceAccessor) בשירות
מפתח ב-Cloud Run ‏ (roles/run.developer) בשירות
מציג יומנים (roles/logging.viewAccessor) בפרויקט
‫Browser ‏ (roles/browser) בפרויקט
Service Usage Consumer ‏ (roles/serviceusage.serviceUsageConsumer) בפרויקט
אדמין של מדיניות IAP (roles/iap.admin) בפרויקט, לפעולות ניהול של IAP

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

אם אתם לא חברים בארגון שהפרויקט שייך אליו, Cloud Run חוסם את הגישה ל-SSH. כדי לקבל גישת SSH, צריך להוסיף את התפקיד roles/compute.osLoginExternalUser או להשתמש בתפקיד בהתאמה אישית עם ההרשאה compute.oslogin.updateExternalUser.

אפשר להקצות את התפקיד "משתמש במנהרה באבטחת IAP" ברמת הפרויקט. כדי להגביל את התפקיד הזה לשירות או למכונה ספציפיים של Cloud Run, מריצים את הפקודה הבאה:

לשירות ספציפי

gcloud beta iap tcp add-iam-policy-binding \
    --resource-type=cloud-run \
    --service=SERVICE \
    --region=REGION \
    --member=MEMBER \
    --role=roles/iap.tunnelResourceAccessor

מחליפים את מה שכתוב בשדות הבאים:

‫SERVICE: שם השירות.
‫REGION: האזור שבו השירות פרוס.
‫MEMBER: הזהות שרוצים לתת לה גישה.

לאירוע ספציפי

gcloud beta iap tcp add-iam-policy-binding \
    --resource-type=cloud-run \
    --instance=INSTANCE \
    --region=REGION \
    --member=MEMBER \
    --role=roles/iap.tunnelResourceAccessor

מחליפים את מה שכתוב בשדות הבאים:

‫INSTANCE: שם המכונה.
‫REGION: האזור שבו השירות פרוס.
‫MEMBER: הזהות שרוצים לתת לה גישה.

כדי להעניק את ההרשאה roles/iap.tunnelResourceAccessor ברמת הפרויקט והאזור, קראו את המאמר הגדרת מדיניות הגישה של IAP.

שימוש ב-SSH עם שירותי Cloud Run

מגדירים גישת SSH ברמת השירות ומתחברים לשירות באמצעות SSH.

הגדרת גישת SSH ברמת השירות

אתם יכולים לאפשר גישה לבדיקה בשירות ספציפי באמצעות ה-CLI של gcloud או YAML:

gcloud

כדי לאפשר גישה לשירות קיים, משתמשים בפקודה הבאה:

gcloud beta run services update SERVICE --ssh

אתם יכולים גם לאפשר גישת בדיקה לשירות באמצעות הדגל --ssh כשאתם פורסים את השירות.

YAML

אם אתם יוצרים שירות חדש, דלגו על השלב הזה. אם אתם מעדכנים שירות קיים, הורידו את הגדרת ה-YAML שלו:
```
gcloud run services describe SERVICE --format export > service.yaml
```
הדוגמה הבאה מכילה את הגדרת ה-YAML:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
  labels:
    cloud.googleapis.com/location: REGION
  annotations:
    run.googleapis.com/ssh-enabled: "true"
    run.googleapis.com/launch-stage: BETA
spec:
  template:
    spec:
      containers:
        image: IMAGE_URL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫SERVICE: השם של השירות ב-Cloud Run.
- ‫REGION: האזור של Google Cloud , לדוגמה us-central1.
- ‫IMAGE_URL: הפניה לקובץ האימג' של הקונטיינר, לדוגמה us-docker.pkg.dev/cloudrun/container/hello:latest. אם אתם משתמשים ב-Artifact Registry, המאגר REPO_NAME כבר צריך להיות קיים. כתובת ה-URL היא בפורמט LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
יוצרים או מעדכנים את השירות באמצעות הפקודה הבאה:
```
gcloud run services replace service.yaml
```
כברירת מחדל, הפקודה gcloud run services replace משתמשת בקובץ service.yaml אם הוא קיים.

אפשר להשבית את הגישה ל-SSH לכל שירות בנפרד באמצעות ה-CLI של gcloud או YAML:

gcloud

כדי להשבית את הגישה לשירות, משתמשים בפקודה הבאה:

gcloud beta run services update SERVICE --no-ssh

YAML

אם אתם יוצרים שירות חדש, דלגו על השלב הזה. אם אתם מעדכנים שירות קיים, הורידו את הגדרת ה-YAML שלו:
```
gcloud run services describe SERVICE --format export > service.yaml
```
הדוגמה הבאה מכילה את הגדרת ה-YAML:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
  labels:
    cloud.googleapis.com/location: REGION
  annotations:
    run.googleapis.com/ssh-enabled: "false"
    run.googleapis.com/launch-stage: BETA
spec:
  template:
    spec:
      containers:
        image: IMAGE_URL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫SERVICE: השם של השירות ב-Cloud Run.
- ‫REGION: האזור של Google Cloud , לדוגמה us-central1.
- ‫IMAGE_URL: הפניה לקובץ האימג' של הקונטיינר, לדוגמה us-docker.pkg.dev/cloudrun/container/hello:latest. אם אתם משתמשים ב-Artifact Registry, המאגר REPO_NAME כבר צריך להיות קיים. כתובת ה-URL היא בפורמט LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
יוצרים או מעדכנים את השירות באמצעות הפקודה הבאה:
```
gcloud run services replace service.yaml
```
כברירת מחדל, הפקודה gcloud run services replace משתמשת בקובץ service.yaml אם הוא קיים.

התחברות לשירות באמצעות SSH

כדי להתחבר לשירות באמצעות SSH, משתמשים ב-CLI של gcloud:

המסוף

נכנסים לדף Services של Cloud Run במסוף Google Cloud :

כניסה ל-Cloud Run
לוחצים על שירות כדי לפתוח את הדף Service details.
לוחצים על SSH. הפעולה הזו פותחת את Cloud Shell עם פקודת ה-SSH של gcloud.
מקישים על Enter.
אם תתבקשו להזין ביטוי סיסמה למפתח ה-SSH, תוכלו להשאיר אותו ריק. עם זאת, אם אתם מזינים ביטוי סיסמה, הקפידו להשתמש באותו ביטוי סיסמה בכל סשן SSH עוקב מאותה סביבת עבודה.

כשהסשן של SSH מסתיים, ב-Cloud Run מופיעה ההודעה הבאה:

Project: PROJECT_ID
Region: REGION
Service: SERVICE
Revision: REVISION
Instance: INSTANCE_ID
Container: CONTAINER
Image: IMAGE

כדי לסיים את סשן ה-SSH, מקלידים exit. כל השינויים שביצעתם בקונטיינר נשמרים כל עוד הקונטיינר פעיל. יציאה מהסשן לא מפעילה מחדש את הקונטיינר ולא מפסיקה אותו.

gcloud

כדי להתחבר לשירות באמצעות SSH, משתמשים בפקודה הבאה של Google Cloud CLI:

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

‫SERVICE: שם השירות.
‫REGION: האזור שבו השירות פרוס.
‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

אם תתבקשו להזין ביטוי סיסמה למפתח ה-SSH, תוכלו להשאיר אותו ריק. עם זאת, אם אתם מזינים ביטוי סיסמה, הקפידו להשתמש באותו ביטוי סיסמה בכל סשן SSH עוקב מאותה סביבת עבודה.

כשהסשן של SSH מסתיים, ב-Cloud Run מופיעה ההודעה הבאה:

Project: PROJECT_ID
Region: REGION
Service: SERVICE
Revision: REVISION
Instance: INSTANCE_ID
Container: CONTAINER
Image: IMAGE

כדי לסיים את סשן ה-SSH, מקלידים exit. כל השינויים שביצעתם בקונטיינר נשמרים כל עוד הקונטיינר פעיל. יציאה מהסשן לא מפעילה מחדש את הקונטיינר ולא מפסיקה אותו.

ציון של מופע שירות

כדי להתחבר למכונה ספציפית של שירות באמצעות SSH, צריך להשתמש ב-Google Cloud CLI.

המסוף

נכנסים לדף Services של Cloud Run במסוף Google Cloud :

כניסה ל-Cloud Run
לוחצים על השירות הרצוי כדי לפתוח את הדף Service details.
לוחצים על יומנים.
לוחצים על רשומת היומן של המכונה של השירות כדי להרחיב אותה.
בוחרים באפשרות SSH into this instance. הפעולה הזו פותחת את Cloud Shell עם פקודת ה-SSH של gcloud.
מקישים על Enter.

gcloud

כדי להתחבר למכונה של שירות Cloud Run באמצעות SSH, משתמשים בפקודה הבאה של Google Cloud CLI:

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID \
  --revision=REVISION \
  --instance=INSTANCE_ID

מחליפים את מה שכתוב בשדות הבאים:

‫SERVICE: שם השירות.
‫REGION: האזור שבו השירות פרוס.
‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
‫REVISION: שם הגרסה.
‫INSTANCE_ID: מזהה המכונה. כדי למצוא את מזהה המכונה של השירות, נכנסים לדף Logs בקטע Observability. מזהה המכונה נמצא בשדה labels של הרשומה ביומן. אם תסיימו את המכונה הספציפית לפני שתתחברו אליה, לא תוכלו למצוא את מזהה המכונה.

ציון גרסה

כדי להתחבר לגרסה ספציפית באמצעות SSH, צריך להשתמש ב-Google Cloud CLI.

המסוף

נכנסים לדף Services של Cloud Run במסוף Google Cloud :

כניסה ל-Cloud Run
לוחצים על השירות הרצוי כדי לפתוח את הדף Service details.
לוחצים על היסטוריית גרסאות.
לוחצים על סמל שלוש הנקודות משמאל לגרסה שרוצים להתחבר אליה באמצעות SSH.
בוחרים באפשרות SSH into revisions. הפעולה הזו פותחת את Cloud Shell עם פקודת ה-SSH של gcloud.
מקישים על Enter.

gcloud

כדי להתחבר לגרסה של שירות Cloud Run באמצעות SSH, משתמשים בפקודה הבאה של Google Cloud CLI:

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID --revision=REVISION

מחליפים את מה שכתוב בשדות הבאים:

‫SERVICE: שם השירות.
‫REGION: האזור שבו השירות פרוס.
‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
‫REVISION: שם הגרסה.

שימוש ב-SSH עם מכונות של Cloud Run

להגדיר גישת SSH ברמת המכונה ולהתחבר למכונה באמצעות SSH.

הגדרת גישת SSH ברמת המכונה

SSH מופעל כברירת מחדל במכונות.

אפשר להשבית את הגישה ל-SSH לכל מכונה בנפרד באמצעות ה-CLI של gcloud או YAML:

gcloud

כדי להשבית את הגישה למכונה, משתמשים בפקודה הבאה:

gcloud beta run instances update INSTANCE --no-ssh

YAML

אם אתם יוצרים מכונה חדשה, דלגו על השלב הזה. אם מעדכנים מכונה קיימת, מורידים את הגדרת ה-YAML שלה:
```
gcloud beta run instances describe INSTANCE --format export > instance.yaml
```
הדוגמה הבאה מכילה את הגדרת ה-YAML:
```
apiVersion: run.googleapis.com/v1
kind: Instance
metadata:
  name: INSTANCE
  labels:
    cloud.googleapis.com/location: REGION
  annotations:
    run.googleapis.com/ssh-enabled: "false"
    run.googleapis.com/launch-stage: BETA
spec:
  containers:
    image: IMAGE_URL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫INSTANCE: השם של המכונה ב-Cloud Run.
- ‫REGION: האזור של Google Cloud , לדוגמה us-central1.
- ‫IMAGE_URL: הפניה לקובץ האימג' של הקונטיינר, למשל us-docker.pkg.dev/cloudrun/container/hello:latest.
יוצרים או מעדכנים את המכונה באמצעות הפקודה הבאה:
```
gcloud beta run instances replace instance.yaml
```

אתם יכולים לאפשר גישת בדיקה למכונה ספציפית באמצעות ה-CLI של gcloud או YAML.

gcloud

כדי להפעיל את הגישה במכונה קיימת, משתמשים בפקודה הבאה:

gcloud beta run instances update INSTANCE --ssh

אפשר גם לאשר גישת בדיקה למכונה באמצעות הדגל --ssh כשפורסים את המכונה.

YAML

אם אתם יוצרים מכונה חדשה, דלגו על השלב הזה. אם מעדכנים מכונה קיימת, מורידים את הגדרת ה-YAML שלה:
```
gcloud beta run instances describe INSTANCE --format export > instance.yaml
```
הדוגמה הבאה מכילה את הגדרת ה-YAML:
```
apiVersion: run.googleapis.com/v1
kind: Instance
metadata:
  name: INSTANCE
  labels:
    cloud.googleapis.com/location: REGION
  annotations:
    run.googleapis.com/ssh-enabled: "true"
    run.googleapis.com/launch-stage: BETA
spec:
  containers:
    image: IMAGE_URL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫INSTANCE: השם של המכונה ב-Cloud Run.
- ‫REGION: האזור של Google Cloud , לדוגמה us-central1.
- ‫IMAGE_URL: הפניה לקובץ האימג' של הקונטיינר, למשל us-docker.pkg.dev/cloudrun/container/hello:latest.
יוצרים או מעדכנים את המכונה באמצעות הפקודה הבאה:
```
gcloud beta run instances replace instance.yaml
```

התחברות למכונה באמצעות SSH

כדי להתחבר למכונה באמצעות SSH, משתמשים בפקודה הבאה של Google Cloud CLI:

  gcloud beta run instances ssh INSTANCE --region=REGION --project=PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

‫INSTANCE: שם המכונה.
‫REGION: האזור שבו השירות פרוס.
‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .

כשהסשן של SSH מסתיים, ב-Cloud Run מופיעה ההודעה הבאה:

  Project: PROJECT_ID
  Region: REGION
  Instance: INSTANCE
  Revision: REVISION
  Container: CONTAINER
  Image: IMAGE

כדי לסיים את סשן ה-SSH, מקלידים exit.

שימוש בלקוח OpenSSH כדי להתחבר

כדי להתחבר באמצעות לקוח OpenSSH:

מריצים את הפקודה gcloud beta run services ssh בשירות היעד. הפעולה הזו מפעילה את מנהרת ה-SSH ויוצרת את האישור.

מוסיפים את הפרטים הבאים להגדרות ה-SSH:

Host cloud-run-ssh
    HostName cloud-run-default
    User root
    IdentityFile /Users/USER/.ssh/google_compute_engine
    CertificateFile /Users/USER/.ssh/google_compute_engine_cert/PROJECT_ID_REGION_SERVICE-cert.pub
    CheckHostIP no
    HashKnownHosts no
    HostKeyAlias cloud-run-default
    IdentitiesOnly yes
    StrictHostKeyChecking no
    UserKnownHostsFile /dev/null
    ProxyUseFdpass no
    ProxyCommand /usr/local/bin/python3 -S /Users/USER/google-cloud-sdk/lib/gcloud.py beta run start-iap-tunnel --project_number=PROJECT_NUMBER --project_id=PROJECT_ID --workload_type=service --deployment_name=SERVICE --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

‫USER: שם המשתמש במכונה המקומית.
‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud .
‫REGION: האזור שבו השירות פרוס.
‫SERVICE: שם השירות.

אם ה-CLI של gcloud מותקן בתיקייה אחרת, יכול להיות שתצטרכו לעדכן את המיקום בשורה האחרונה.

מריצים את הפקודה הבאה:
```
ssh cloud-run-ssh
```

התוקף של אישור ה-SSH יפוג אחרי חמש דקות. אם תנסו ליצור חיבור SSH לשירות אחרי חמש דקות, תצטרכו להריץ מחדש את gcloud beta run services ssh כדי ליצור מחדש את האישור.

יומני גישה ל-SSH

כדי לתעד יומני ביקורת לניהול מפתחות SSH, צריך להפעיל את יומני הביקורת של Cloud OS Login API. איך צופים ביומני הביקורת של OS Login כדי לגשת ליומני SSH של משאבי Cloud Run, אתם צריכים גישה ליומני הביקורת של Cloud בפרויקט הזה.

השאילתה הבאה לדוגמה מחפשת את כל שירותי Cloud Run מהיום האחרון:

gcloud logging read '
  logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access" AND
  protoPayload.serviceName="oslogin.googleapis.com" AND
  protoPayload.request.instance:"run.googleapis.com"
' --project=PROJECT_ID \
  --freshness=1d \
  --format="table(timestamp, protoPayload.authenticationInfo.principalSubject:label=USER, protoPayload.request.instance:label=CLOUD_RUN_SERVICE)"

אבטחה ובקרה של גישת SSH

אתם יכולים לקבוע מי יכול להשתמש ב-SSH ואיך הוא מוגבל בסביבה שלכם.

השבתת הגישה ל-SSH באמצעות כללי מדיניות של הארגון

כדי להגדיר מדיניות ארגונית שמשביתה את SSH, משתמשים באילוץ בהתאמה אישית שמגביל את האפשרות להפעיל גישה לניפוי באגים ב-SSH בשירותי Cloud Run.

פתרון בעיות ב-Cloud Run באמצעות SSH קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

סשנים של SSH ומכונות של שירותים

מגבלות

לפני שמתחילים

התפקידים הנדרשים

לשירות ספציפי

לאירוע ספציפי

שימוש ב-SSH עם שירותי Cloud Run

הגדרת גישת SSH ברמת השירות

gcloud

YAML

gcloud

YAML

התחברות לשירות באמצעות SSH

המסוף

gcloud

ציון של מופע שירות

המסוף

gcloud

ציון גרסה

המסוף

gcloud

שימוש ב-SSH עם מכונות של Cloud Run

הגדרת גישת SSH ברמת המכונה

gcloud

YAML

gcloud

YAML

התחברות למכונה באמצעות SSH

שימוש בלקוח OpenSSH כדי להתחבר

יומני גישה ל-SSH

אבטחה ובקרה של גישת SSH

השבתת הגישה ל-SSH באמצעות כללי מדיניות של הארגון

המאמרים הבאים

פתרון בעיות ב-Cloud Run באמצעות SSH