MENU

PowerShellでGCP Cloud Runサービスをデプロイしスケールさせる方法

PowerShell
目次

導入文章


PowerShellを活用して、Google Cloud Platform (GCP) のCloud Runにサービスをデプロイし、負荷に応じて自動的にスケールさせる方法を解説します。Cloud Runは、コンテナ化されたアプリケーションを手軽にデプロイできるGCPのサーバーレスプラットフォームです。PowerShellを利用することで、コマンドラインからGCPリソースを操作でき、デプロイやスケーリングのプロセスを自動化することが可能です。この記事では、GCPの設定からCloud Runサービスのデプロイ、さらには負荷に応じたスケーリング設定までを詳細に説明します。

PowerShellとGCPの連携準備


PowerShellを使ってGoogle Cloud Platform（GCP）と連携するには、いくつかの準備が必要です。以下に、GCPの設定から認証、必要なAPIの有効化まで、初期設定の手順を詳しく説明します。

1. GCP SDKのインストール


まず、Google Cloud SDK（gcloud）をインストールします。これにより、PowerShellからGCPのリソースを操作するためのコマンドが利用可能になります。インストール手順は次の通りです：

  • Google Cloud SDKのダウンロードページにアクセスし、インストーラーをダウンロードします。
  • インストール後、ターミナルまたはPowerShellを開き、gcloud initコマンドを実行して、GCPアカウントに認証を行います。

2. GCPプロジェクトの設定


次に、デプロイするプロジェクトを選択または作成します。GCPコンソールで新しいプロジェクトを作成し、必要なAPIを有効にする準備を行います。具体的な手順は以下の通りです：

  • GCPコンソールにログインし、「プロジェクト」を作成します。
  • 「APIとサービス」から、Cloud Run APIを有効にします。

3. サービスアカウントの作成と認証情報の設定


GCPでPowerShellを使用する際、認証のためにサービスアカウントを作成し、その認証情報を設定する必要があります。サービスアカウントを作成し、適切な権限を付与します。

  • GCPコンソールで「IAMと管理」→「サービスアカウント」から、新しいサービスアカウントを作成します。
  • 作成したサービスアカウントに必要なロール（例えば、「Cloud Run Admin」や「Viewer」など）を割り当てます。
  • 作成したサービスアカウントの鍵をJSON形式でダウンロードし、PowerShellで使用するために環境変数で認証情報を指定します。
$env:GOOGLE_APPLICATION_CREDENTIALS="C:\path\to\your\service-account-file.json"

これで、PowerShellからGCPリソースを操作する準備が整いました。

Cloud Runとは


Cloud Runは、Google Cloud Platform（GCP）が提供するサーバーレスコンピューティングプラットフォームで、コンテナ化されたアプリケーションを簡単にデプロイし、スケーリングできるサービスです。ユーザーはアプリケーションをコンテナとしてパッケージ化し、そのコンテナをCloud Runにデプロイすることで、サーバーやインフラの管理を意識せずにアプリケーションの実行とスケーリングを行うことができます。

Cloud Runの特徴


Cloud Runにはいくつかの特徴があります。これらの特徴を理解することで、Cloud Runを効果的に活用するための基盤が整います。

1. 完全なサーバーレス


Cloud Runはサーバーレスであるため、サーバーやインフラストラクチャの管理をユーザーが意識する必要がありません。Googleがインフラを自動的に管理し、リソースを自動的にスケールします。

2. コンテナ化されたアプリケーションのサポート


Cloud Runはコンテナ化されたアプリケーションを受け入れるため、どんなプログラミング言語やフレームワークでも対応可能です。Dockerコンテナを使用してアプリケーションをパッケージ化し、Cloud Runにデプロイできます。

3. スケーリングの自動化


Cloud Runは、リクエスト数に応じて自動的にインスタンスをスケールします。トラフィックが少ないときはインスタンス数が減り、トラフィックが増加すると新しいインスタンスを追加してスケールします。これにより、必要なリソースだけを使用し、コスト効率を最適化できます。

4. 完全なHTTPSサポート


Cloud Runでは、デプロイしたサービスは自動的にHTTPSで提供されるため、セキュリティを簡単に確保できます。

Cloud Runの利用シーン


Cloud Runは、主に以下のようなシーンで活用されます：

  • Webアプリケーション: 高トラフィックに応じたスケーリングが必要なWebアプリケーションに適しています。
  • APIバックエンド: コンテナ化されたAPIを簡単にデプロイし、スケールさせることができます。
  • バッチ処理: 一定のリクエスト数に基づいて自動で処理をスケールできるため、バッチ処理に最適です。

これにより、Cloud Runは柔軟性があり、コスト効率も良いため、さまざまな用途に対応できるプラットフォームです。

Cloud Runにサービスをデプロイする準備


Cloud Runにサービスをデプロイするためには、いくつかの準備が必要です。まず、アプリケーションをコンテナ化して、Cloud Runにデプロイできる状態にします。この章では、コンテナイメージの作成方法と、そのイメージをCloud Runにデプロイする準備について解説します。

1. アプリケーションのコンテナ化


Cloud Runはコンテナ化されたアプリケーションを受け入れるため、まずアプリケーションをDockerコンテナとしてパッケージ化します。以下は、簡単なNode.jsアプリケーションを例にしたDockerfileの作成方法です。

# 使用するベースイメージ
FROM node:16

# アプリケーションのディレクトリを作成
WORKDIR /usr/src/app

# アプリケーションの依存関係をインストール
COPY package*.json ./
RUN npm install

# アプリケーションのソースコードをコピー
COPY . .

# アプリケーションをポート8080で実行
EXPOSE 8080
CMD [ "node", "app.js" ]

このDockerfileをプロジェクトのルートに配置し、docker buildコマンドを使ってコンテナイメージをビルドします。

docker build -t my-app .

このコマンドにより、my-appという名前のDockerイメージが作成されます。

2. コンテナイメージをGoogle Container Registry (GCR)にアップロード


次に、ビルドしたコンテナイメージをGoogle Cloud Storageに保存するために、Google Container Registry（GCR）にプッシュします。以下のコマンドでイメージをGCRにプッシュします。

# GCRにログイン
gcloud auth configure-docker

# コンテナイメージをGCRにタグ付け
docker tag my-app gcr.io/[YOUR_PROJECT_ID]/my-app

# コンテナイメージをGCRにプッシュ
docker push gcr.io/[YOUR_PROJECT_ID]/my-app

[YOUR_PROJECT_ID]は自分のGCPプロジェクトIDに置き換えてください。

3. Cloud Runサービスをデプロイ


コンテナイメージをGCRにアップロードしたら、次はCloud Runにそのイメージをデプロイします。PowerShellを使って、以下のコマンドでCloud Runサービスをデプロイします。

gcloud run deploy my-app \
  --image gcr.io/[YOUR_PROJECT_ID]/my-app \
  --platform managed \
  --region us-central1 \
  --allow-unauthenticated

このコマンドにより、my-appという名前でCloud Runにサービスがデプロイされます。--platform managedオプションは、完全なサーバーレス環境を使用するために必要です。--allow-unauthenticatedオプションは、サービスを公開する際に認証なしでアクセスできるようにします。

デプロイが完了すると、Cloud RunのURLが表示され、ブラウザでサービスを確認できるようになります。

これで、アプリケーションがCloud Runにデプロイされ、すぐに利用できる状態となります。

PowerShellを使ったCloud Runサービスのデプロイ


PowerShellを使ってCloud Runサービスをデプロイするには、GCPのgcloudコマンドラインツールを活用します。これにより、手動で行う手順を自動化し、効率的にデプロイを行うことができます。ここでは、PowerShellからCloud Runサービスをデプロイする具体的な方法を解説します。

1. PowerShellでgcloud CLIの初期設定


まず、PowerShellからGCPにアクセスするためには、gcloudツールをセットアップし、GCPアカウントにログインする必要があります。gcloud initコマンドを使用して、プロジェクトを設定します。

# gcloudを初期化
gcloud init

このコマンドを実行すると、GCPアカウントへの認証が求められ、プロジェクト選択画面が表示されます。プロジェクトを選んだ後、gcloudツールが使えるようになります。

2. コンテナイメージのビルドとタグ付け


デプロイしたいコンテナイメージをGoogle Container Registry（GCR）にプッシュする前に、まずはPowerShellからDockerイメージをビルドし、タグ付けを行います。以下のコマンドを実行してください。

# コンテナイメージをビルド
docker build -t my-app .

# GCRにタグ付け
docker tag my-app gcr.io/[YOUR_PROJECT_ID]/my-app

[YOUR_PROJECT_ID]は自分のGCPプロジェクトIDに置き換えてください。

3. コンテナイメージをGCRにプッシュ


次に、ビルドしたコンテナイメージをGoogle Container Registry（GCR）にプッシュします。これには、以下のコマンドを使用します。

# GCRにログイン
gcloud auth configure-docker

# コンテナイメージをGCRにプッシュ
docker push gcr.io/[YOUR_PROJECT_ID]/my-app

これで、作成したコンテナイメージがGCRにアップロードされます。

4. PowerShellからCloud Runにデプロイ


コンテナイメージがGCRにアップロードできたら、次にCloud Runにサービスをデプロイします。以下のPowerShellコマンドを使用して、Cloud Runにサービスをデプロイします。

gcloud run deploy my-app \
  --image gcr.io/[YOUR_PROJECT_ID]/my-app \
  --platform managed \
  --region us-central1 \
  --allow-unauthenticated

このコマンドは、my-appという名前でCloud Runにサービスをデプロイします。--platform managedオプションは、Cloud Runのサーバーレス環境を使用するためのものです。また、--regionオプションでデプロイ先のリージョンを指定し、--allow-unauthenticatedオプションで公開アクセスを許可します。

5. デプロイ完了後の確認


デプロイが完了すると、コマンドラインにCloud RunサービスのURLが表示されます。このURLをブラウザで開くと、デプロイしたアプリケーションが動作していることを確認できます。

# 出力例: https://my-app-abc123.a.run.app

このURLをクリックすると、Cloud Run上で動作するアプリケーションにアクセスできるようになります。

PowerShellを使ったこのプロセスにより、GCPのリソース管理が効率化され、デプロイ作業がスムーズに行えます。

負荷に応じたスケーリング設定


Cloud Runの強力な特徴の1つは、リクエストの負荷に応じて自動的にスケーリングできることです。この機能により、トラフィックが少ない場合にはリソースを節約し、高負荷時には必要な数のインスタンスを追加してスケーリングを実現できます。この章では、Cloud Runでスケーリングを設定する方法を解説します。

1. 自動スケーリングの基本


Cloud Runでは、インスタンスの数はリクエストの数に基づいて自動的にスケールします。デフォルトでは、トラフィックに応じて最大のインスタンス数が増減します。この動的スケーリングにより、急激なトラフィックの変動に対応でき、効率的にリソースを利用できます。

2. スケーリング設定のカスタマイズ


Cloud Runでは、スケーリングに関するいくつかの設定をカスタマイズできます。特に重要なのは、インスタンス数の最大値と最小値の設定です。これにより、負荷が少ないときでも、最低限のインスタンス数を維持することができます。また、高負荷時にインスタンスの数を制限することもできます。

以下のコマンドを使って、最大インスタンス数と最小インスタンス数を設定できます。

gcloud run services update my-app \
  --platform managed \
  --region us-central1 \
  --min-instances 1 \
  --max-instances 10
  • --min-instances 1: 最小インスタンス数を1に設定。これにより、常に1つ以上のインスタンスが起動している状態が維持されます。
  • --max-instances 10: 最大インスタンス数を10に設定。これにより、最も多くのリクエストが来た場合でも、インスタンス数は最大10個までスケールします。

3. スケーリングのトリガーとなる指標


Cloud Runでは、リクエスト数を基準にインスタンスをスケールしますが、他にも設定可能な指標があります。例えば、リクエストの処理時間やリソースの消費量（CPUやメモリ）の基準を設定して、スケーリングのタイミングを調整することができます。

このような設定は、コンテナアプリケーションの挙動やトラフィックの特性に応じて、最適化することが可能です。

4. スケーリングの確認と調整


スケーリングの設定が反映された後、リソース使用状況を監視し、必要に応じて設定を調整することが重要です。Cloud Runのモニタリングツールでインスタンス数やリクエストの負荷を確認することができます。

Google Cloud Consoleの「Cloud Run」セクションでは、サービスごとのパフォーマンスやトラフィック状況を確認でき、スケーリングの最適化が可能です。

5. サービスの自動スケーリングのメリット


Cloud Runの自動スケーリングは、以下のようなメリットを提供します：

  • コスト効率: 必要なときだけインスタンスを増やし、アイドル時にはリソースを削減するため、無駄なコストが発生しません。
  • 柔軟性: トラフィックが急増しても、Cloud Runが自動でスケールし、ダウンタイムなしで負荷に対応できます。
  • 簡単な設定: リソース管理やスケーリング設定は非常に簡単で、デフォルトの設定でも十分に動作します。

これにより、トラフィックの変動に対して柔軟に対応できるため、アプリケーションの運用負担を大きく軽減できます。

PowerShellを使ったデプロイ後の管理と監視


Cloud Runにサービスをデプロイした後も、運用が始まった時点での管理や監視が重要です。PowerShellを利用することで、GCPリソースを簡単に監視し、必要に応じて設定を変更できます。この章では、デプロイ後の管理や監視に役立つPowerShellのコマンドやGCPのツールを紹介します。

1. サービスの状態確認


Cloud Runにデプロイしたサービスが正常に動作しているかを確認するためには、gcloudコマンドを使ってサービスのステータスを確認できます。PowerShellから以下のコマンドを実行して、サービスの状態を確認します。

gcloud run services describe my-app --platform managed --region us-central1

このコマンドは、Cloud Runにデプロイされたmy-appサービスの詳細情報を表示します。表示される情報には、サービスの状態、現在のインスタンス数、リクエスト数などが含まれています。

2. ログの監視


Cloud Runでは、デプロイしたサービスのログをGoogle Cloud Consoleまたはgcloudコマンドを使って確認できます。PowerShellからログを確認するには、以下のコマンドを実行します。

gcloud logs read "resource.type=cloud_run_revision" --limit 10 --platform managed --region us-central1

このコマンドは、Cloud Runのサービスに関連する最新のログエントリを取得します。--limit 10オプションは、最新の10件のログを表示するための設定です。ログにエラーメッセージや警告がないかを確認することで、サービスが正常に動作しているかを監視できます。

3. スケーリング状況の確認


サービスのスケーリング状況を確認することも重要です。負荷に応じてインスタンス数がどのようにスケーリングしているかを把握するために、以下のコマンドを使用できます。

gcloud run services list --platform managed --region us-central1

このコマンドは、指定したリージョンのCloud Runサービスのリストを表示し、各サービスのスケーリング状況を確認できます。これにより、リクエスト数やインスタンス数が適切にスケーリングされているかを監視できます。

4. アラートの設定


Cloud Runサービスの運用中に、特定の条件（エラー率が一定以上、リクエスト数が急激に増加した場合など）でアラートを設定することができます。これにより、問題が発生した際にすぐに対応できるようになります。Google Cloud Monitoringを利用してアラートを設定する手順は以下の通りです：

  1. Google Cloud Consoleで「Monitoring」に移動。
  2. 「アラート ポリシー」を選択し、新しいアラートポリシーを作成。
  3. 監視したいメトリック（例えば、エラーレートやインスタンス数）を選び、しきい値を設定。
  4. 通知チャネル（メールやSlackなど）を設定し、アラートを受け取る方法を決定。

このように、GCPのモニタリングツールを使えば、Cloud Runサービスの運用をしっかりと管理し、問題発生時には素早く対処することができます。

5. サービスの更新と管理


サービスに変更を加える必要がある場合、PowerShellを使って簡単に更新することができます。例えば、新しいバージョンのコンテナをデプロイしたい場合、次のようにコマンドを実行します。

gcloud run services update my-app \
  --image gcr.io/[YOUR_PROJECT_ID]/new-app-image \
  --platform managed \
  --region us-central1

このコマンドで、my-appサービスを新しいコンテナイメージに更新できます。更新後、サービスが新しいバージョンで実行されることを確認します。

6. サービスの削除


不要になったサービスを削除する場合も、PowerShellを使って簡単に実行できます。以下のコマンドで、指定したサービスを削除します。

gcloud run services delete my-app --platform managed --region us-central1

このコマンドにより、my-appサービスが削除され、Cloud Runでのリソースが解放されます。

まとめ


Cloud Runのデプロイ後は、サービスの状態確認、ログ監視、スケーリングの状況の確認、アラートの設定などを通じて、アプリケーションのパフォーマンスをしっかりと管理することが重要です。PowerShellを活用することで、これらの管理作業を効率よく行うことができ、運用の負担を軽減し、スムーズなアプリケーションの運用が可能になります。

Cloud RunとPowerShellを活用したCI/CDパイプラインの構築


Cloud Runを使用したアプリケーションのデプロイをさらに効率化するために、CI/CD（継続的インテグレーション／継続的デリバリー）パイプラインを構築することが重要です。これにより、コード変更からデプロイまでのプロセスを自動化でき、開発者はより迅速にアプリケーションを更新できます。この章では、PowerShellを使用してCloud Runに自動デプロイするCI/CDパイプラインの作成方法を解説します。

1. CI/CDの概念とメリット


CI/CDは、ソフトウェア開発のライフサイクルを自動化する手法です。CI（継続的インテグレーション）は、コードがリポジトリにコミットされるたびに自動でビルドとテストが実行されるプロセスです。一方、CD（継続的デリバリー）は、ビルドが成功した後にアプリケーションを自動的にデプロイするプロセスです。

これにより、手動のエラーが減少し、リリースサイクルが短縮され、開発者が新機能を迅速に提供できるようになります。

2. GitHub Actionsを利用したCI/CDパイプラインの設定


GitHub Actionsを使用して、GitHubのリポジトリからCloud Runに自動的にデプロイするCI/CDパイプラインを構築できます。以下の手順で、PowerShellとCloud Runの連携を自動化するパイプラインを作成します。

  1. GitHub Actionsワークフローの作成
    GitHubリポジトリ内に .github/workflows ディレクトリを作成し、その中に deploy.yml というファイルを作成します。
name: Deploy to Cloud Run

on:
  push:
    branches:
      - main

jobs:
  build-and-deploy:
    runs-on: ubuntu-latest

    steps:
      - name: Checkout code
        uses: actions/checkout@v2

      - name: Set up Docker
        uses: docker/setup-buildx-action@v1

      - name: Log in to Google Cloud
        run: |
          echo ${{ secrets.GCP_SA_KEY }} | gcloud auth activate-service-account --key-file=-
        env:
          GCP_SA_KEY: ${{ secrets.GCP_SA_KEY }}

      - name: Build Docker image
        run: |
          docker build -t gcr.io/${{ secrets.GCP_PROJECT_ID }}/my-app .

      - name: Push Docker image to Google Container Registry
        run: |
          docker push gcr.io/${{ secrets.GCP_PROJECT_ID }}/my-app

      - name: Deploy to Cloud Run
        run: |
          gcloud run deploy my-app \
            --image gcr.io/${{ secrets.GCP_PROJECT_ID }}/my-app \
            --platform managed \
            --region us-central1 \
            --allow-unauthenticated

このワークフローでは、mainブランチに変更がプッシュされるたびに、自動で以下の処理が実行されます：

  • リポジトリのコードをチェックアウト
  • Dockerイメージのビルド
  • Google Cloudへの認証（サービスアカウントキーをGitHub Secretsに格納）
  • Google Container RegistryにDockerイメージをプッシュ
  • Cloud Runへのデプロイ
  1. GitHub Secretsの設定
    GitHub Secretsに以下の情報を追加します：
  • GCP_SA_KEY：Google Cloudのサービスアカウントキー（JSON形式）
  • GCP_PROJECT_ID：GCPプロジェクトID

これにより、GitHub ActionsでGoogle Cloudにアクセスするための認証情報が設定されます。

3. PowerShellを活用したCI/CDパイプラインの自動化


PowerShellを使うことで、CI/CDパイプラインの一部をローカルで実行したり、カスタムスクリプトを作成してCI/CDのフローを管理することも可能です。以下のように、PowerShellスクリプトを作成してCI/CDの手順を自動化できます。

# Google Cloudにログイン
gcloud auth activate-service-account --key-file="path-to-service-account-key.json"

# プロジェクトIDを設定
$projectId = "YOUR_PROJECT_ID"
gcloud config set project $projectId

# Dockerイメージをビルド
docker build -t gcr.io/$projectId/my-app .

# DockerイメージをGoogle Container Registryにプッシュ
docker push gcr.io/$projectId/my-app

# Cloud Runにデプロイ
gcloud run deploy my-app \
  --image gcr.io/$projectId/my-app \
  --platform managed \
  --region us-central1 \
  --allow-unauthenticated

このPowerShellスクリプトをCI/CDの一部として組み込むことで、GitHub Actions以外のツール（例えばJenkinsなど）とも連携させることができます。

4. デプロイメントのトラブルシューティングとフィードバック


CI/CDパイプラインを設定した後でも、エラーが発生することがあります。GitHub ActionsのログやGoogle Cloud Consoleでエラーメッセージを確認し、問題を特定することが重要です。以下の点に注意してください：

  • 認証エラー：Google Cloudへの認証情報が正しく設定されているか確認します。GitHub Secretsやサービスアカウントキーが正しいかを再確認してください。
  • Dockerイメージのビルド失敗：Dockerfileに誤りがないか、依存関係がすべてインストールされているかを確認します。
  • デプロイの失敗：Cloud Runサービスが正しく設定されているか、リージョンやプラットフォームオプションに誤りがないか確認します。

5. 継続的な改善


CI/CDパイプラインの設定後も、定期的にパイプラインを改善し、最適化を行うことが重要です。例えば、以下の改善を行うことで、パイプラインの効率を高めることができます：

  • 並列処理の活用：テストやビルドなど、複数のタスクを並列で実行することで、パイプラインの速度を向上させます。
  • 通知の設定：ビルドやデプロイの成功・失敗をSlackやメールで通知するように設定して、リアルタイムでフィードバックを受け取ります。

まとめ


PowerShellを活用したCI/CDパイプラインの構築により、Cloud Runへのデプロイが自動化され、開発者はコードの変更に集中できるようになります。GitHub ActionsやPowerShellスクリプトを利用して、効率的な開発・運用が実現できるため、アプリケーションのデプロイメントと管理が格段に簡単になります。

セキュリティ対策とアクセス管理


Cloud Runを活用する際に重要なのは、セキュリティ対策とアクセス管理です。デプロイしたサービスに対する不正アクセスやデータ漏洩を防ぐためには、適切なアクセス制御や認証の設定が欠かせません。この章では、PowerShellを使ってCloud Runサービスのセキュリティ対策を強化する方法について解説します。

1. Cloud Runサービスへのアクセス制御


Cloud Runでは、サービスに対するアクセス制御を細かく設定できます。デフォルトでは、Cloud Runのサービスはインターネットからアクセス可能ですが、これを制限することも可能です。PowerShellを利用して、Cloud Runサービスに対してアクセス制限を設定する方法を紹介します。

まず、gcloudコマンドを使って、Cloud Runサービスへのアクセス権限を制限します。例えば、認証されたユーザーのみがアクセスできるように設定するには、以下のコマンドを使用します。

gcloud run services add-iam-policy-binding my-app \
  --member="user:[email protected]" \
  --role="roles/run.invoker" \
  --platform managed \
  --region us-central1

このコマンドは、my-appというCloud Runサービスに対して、指定したユーザー（[email protected]）にroles/run.invokerの権限を与え、サービスへのアクセスを許可します。これにより、サービスへのアクセスを制限し、指定されたユーザーのみが呼び出せるように設定できます。

2. Cloud Identity-Aware Proxy（IAP）の活用


Cloud Runサービスにさらに強力なセキュリティを追加する方法として、Cloud Identity-Aware Proxy（IAP）を使用することができます。IAPは、認証されたユーザーのみがCloud Runサービスにアクセスできるようにするためのツールです。

IAPを有効にするためには、以下の手順を実行します。

  1. IAPを有効にする
    まず、Google Cloud ConsoleでIAPを有効にします。IAPは、GCPの管理コンソールから簡単に設定できます。
  2. IAPを使ってサービスを保護する
    IAPを使用してCloud Runサービスに対するアクセス制限をかけるためには、IAM（Identity and Access Management）を使って、アクセス権を設定します。PowerShellを使って、IAP経由でアクセスを制限するための設定を行います。
gcloud run services add-iam-policy-binding my-app \
  --member="user:[email protected]" \
  --role="roles/iap.httpsResourceAccessor" \
  --platform managed \
  --region us-central1

このコマンドにより、[email protected]のユーザーがIAP経由でmy-appサービスにアクセスできるようになります。

3. サービスアカウントの活用


サービスアカウントを使用することで、Cloud Runサービス間での安全な通信やリソースアクセスが可能になります。サービスアカウントを適切に設定することで、APIへのアクセス権限を最小限に抑えることができ、セキュリティが向上します。

サービスアカウントを設定するためには、以下のようにPowerShellを使ってサービスアカウントを作成し、Cloud Runサービスに関連付けます。

# サービスアカウントの作成
gcloud iam service-accounts create my-service-account \
  --display-name="My Service Account"

# サービスアカウントにCloud Runの管理者ロールを付与
gcloud projects add-iam-policy-binding $projectId \
  --member="serviceAccount:my-service-account@$projectId.iam.gserviceaccount.com" \
  --role="roles/run.admin"

これにより、my-service-accountというサービスアカウントにCloud Runの管理者権限を付与できます。これを使用して、サービス間でセキュアな通信を実現できます。

4. Secret Managerの使用


Cloud Runでは、アプリケーションの設定情報や機密データをGoogle Cloud Secret Managerで安全に管理できます。たとえば、APIキーやデータベースのパスワードなど、環境変数としてアプリケーションに渡す情報をSecret Managerに保存し、安全に取り扱うことができます。

PowerShellを使ってSecret Managerにアクセスする手順は以下の通りです。

# Secret Managerからシークレットを取得する
gcloud secrets versions access latest --secret="my-secret" > secret.txt

このコマンドを使うことで、my-secretという名前のシークレットを取得し、その内容をsecret.txtに出力できます。このように、機密情報を外部に保存することで、サービスのセキュリティを高めることができます。

5. ネットワークセキュリティの強化


Cloud Runサービスが公開される際に、VPC（Virtual Private Cloud）を利用してサービスをプライベートなネットワーク内で実行することができます。これにより、外部のアクセスを制限し、より高いセキュリティレベルを確保できます。

PowerShellを使ってVPC接続を設定するには、以下のコマンドを実行します。

gcloud run services update my-app \
  --vpc-connector my-vpc-connector \
  --platform managed \
  --region us-central1

これにより、my-appサービスはmy-vpc-connectorというVPCコネクタを使用してプライベートなネットワーク内で実行され、外部アクセスを制限できます。

まとめ


Cloud Runサービスのセキュリティ対策には、アクセス制御、IAPの使用、サービスアカウントの活用、Secret Managerの利用、ネットワークセキュリティの強化など、さまざまな手段があります。PowerShellを使用することで、これらの設定を自動化し、安全かつ効率的にサービスを運用することができます。セキュリティを強化することで、アプリケーションを安全に保護し、リスクを最小限に抑えることができます。

PowerShell

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次