如何从 Cloud Run 安全地连接到 Cloud SQL？

Question

如何连接到 Cloud SQL 上的数据库，而无需在容器中添加我的凭据文件？

Answer 1

我在通过私有 ip 从 dockerized FastApi 应用程序连接到 CloudSQL 时遇到问题。我采取了以下 3 个步骤来解决我的问题：

1. 确保您的应用程序使用正确的database-connection-string。

   • 健全性检查，总是先做这个。您不希望在没有首先排除错误的连接字符串的情况下花费数小时研究解决方案。
   • 在测试时（并且仅在测试时）：考虑在应用初始化时记录数据库连接字符串，以便您可以明确确认您的连接字符串是正确的。

2. 为我的 cloudrun 默认服务帐户提供Cloud SQL Client 角色。
   

   • 包含以下权限：
     cloudsql.instances.connect
cloudsql.instances.get

3. 在数据库网络内创建VPC connector (documentation)。并将 VPC 连接器分配给 Cloud Run 服务。

Answer 2

使用 UNIX 域套接字 (Java) 从云运行（完全托管）连接到云 SQL

目前 Cloud Run（全托管）不支持连接到 使用 TCP 的 Cloud SQL 实例。您的代码不应尝试访问实例 使用 IP 地址，例如 127.0.0.1 或 172.17.0.1。 link

1.Install and initialize the Cloud SDK

2.更新组件：

gcloud components update

3.新建项目

gcloud projects create run-to-sql
gcloud config set project run-to-sql
gcloud projects describe run-to-sql

4.启用计费

gcloud alpha billing projects link  run-to-sql --billing-account  XXXXXX-XXXXXX-XXXX

5.设置计算项目信息元数据：

gcloud compute project-info describe --project run-to-sql
gcloud compute project-info add-metadata --metadata google-compute-default-region=europe-west2,google-compute-default-zone=europe-west2-b

6.启用 Cloud SQL Admin API：

 gcloud services enable sqladmin.googleapis.com

7.创建公网IP的Cloud SQL实例

#Create the sql instance in the same region as App Engine Application
gcloud --project=run-to-sql beta sql instances create database-external --region=europe-west2
#Set the password for the "root@%" MySQL user:
gcloud sql users set-password root --host=% --instance database-external --password root 
#Create a user
gcloud sql users create user_name --host=% --instance=database-external  --password=user_password
#Create a database
gcloud sql databases create user_database --instance=database-external
gcloud sql databases list --instance=database-external
gcloud sql instances list

Cloud Run（全托管）使用服务帐号授权您的 与 Cloud SQL 的连接。此服务帐户必须具有正确的 成功连接的 IAM 权限。除非另有配置， 默认服务帐户的格式为 PROJECT_NUMBER-compute@developer.gserviceaccount.com。

8.确保您的服务的服务帐号具有以下 IAM 角色之一：Cloud SQL 客户端（首选）

gcloud iam service-accounts list
gcloud projects add-iam-policy-binding run-to-sql --member serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com. --role roles/cloudsql.client

9.克隆 java-docs-repository

git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
cd java-docs-samples/cloud-sql/mysql/servlet/
ls
#Dockerfile  pom.xml  README.md  src

10.检查处理与 Cloud SQL 的连接的文件

 cat src/main/java/com/example/cloudsql/ConnectionPoolContextListener.java

11.将应用容器化并上传到容器注册表

gcloud builds submit --tag gcr.io/run-to-sql/run-mysql

12.将服务部署到 Cloud Run

gcloud run deploy run-mysql --image gcr.io/run-to-sql/run-mysql

13.配置服务以与 Cloud Run 一起使用

gcloud run services update run-mysql --add-cloudsql-instances run-to-sql:europe-west2:database-external --set-env-vars CLOUD_SQL_CONNECTION_NAME=run-to-sql:europe-west2:database-external  DB_USER=user_name,DB_PASS=user_password,DB_NAME=user_database

14.测试一下

 curl -H "Authorization: Bearer $(gcloud auth print-identity-token)"   https://run-mysql-xxxxxxxx-xx.x.run.app

成功！

Answer 3

更新：要从 Cloud Run 连接到 Cloud SQL，请参阅official documentation

---

Cloud Run 的完全托管版本现在支持 Cloud SQL（GKE 上的 Cloud Run 用户已经能够使用私有 IP 使用 Cloud SQL）

开始：

• 如果您还没有，create a Cloud SQL instance。
• 确保Cloud SQL admin API 已启用
• 使用 gcloud alpha 和以下标志部署 Cloud Run 服务的新版本： $ gcloud run services update --add-cloudsql-instances [INSTANCE_CONNECTION_NAME] INSTANCE_CONNECTION_NAME 是 project:region:instancename 类型。

当您执行此操作时，Cloud Run 将为您激活并配置 Cloud SQL proxy。然后您应该通过/cloudsql/[INSTANCE_CONNECTION_NAME] Unix 套接字连接到它。