Запуск контейнерного приложения в Yandex Serverless Containers

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте сервисный аккаунт с именем mongo-express:

   yc iam service-account create --name mongo-express
   

2. Назначьте сервисному аккаунту роли container-registry.images.puller, lockbox.payloadViewer и serverless-containers.containerInvoker на каталог, в котором будет размещаться контейнер:

   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role container-registry.images.puller, lockbox.payloadViewer, serverless-containers.containerInvoker \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   

   Где:

   • <имя_или_идентификатор_каталога> — имя или идентификатор каталога, в котором будет размещаться контейнер.
   • --subject serviceAccount — идентификатор сервисного аккаунта mongo-express.

Чтобы создать сервисный аккаунт, воспользуйтесь методом REST API create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.

Чтобы назначить сервисному аккаунту роли на каталог, воспользуйтесь методом REST API updateAccessBindings для ресурса Folder или вызовом gRPC API FolderService/UpdateAccessBindings.

1. Создайте облачную сеть:

   yc vpc network create \
     --name mongo-express-network
   

2. Узнайте имя или идентификатор группы, которую требуется изменить:

   yc vpc security-groups list
   

   Результат:

   +----------------------+---------------------------------+------------------------------------+----------------------+
   |          ID          |              NAME               |          DESCRIPTION               |      NETWORK-ID      |
   +----------------------+---------------------------------+------------------------------------+----------------------+
   | enp9bmjge93b******** | default-sg-enp509crtquf******** | Default security group for network | enp509crtquf******** |
   +----------------------+---------------------------------+------------------------------------+----------------------+
   

3. Добавьте правило с помощью команды update-rules и параметра --add-rule:

   yc vpc security-group update-rules <имя_или_идентификатор_группы> \
     --add-rule "direction=ingress,port=27017,protocol=any,v4-cidrs=[0.0.0.0/0,0.0.0.0/0]"
   

   Где <имя_или_идентификатор_группы> — значение, полученное шагом ранее.

1. Чтобы создать облачную сеть, воспользуйтесь методом REST API create для ресурса Network или вызовом gRPC API NetworkService/Create и передайте в запросе:

   • Идентификатор каталога, в котором будет размещаться сеть.
   • Имя новой сети mongo-express-network в параметре name.

2. Чтобы добавить правило в группу безопасности, воспользуйтесь методом REST API updateRules для ресурса SecurityGroup или вызовом gRPC API SecurityGroupService/UpdateRules и передайте в запросе:

   • Идентификатор группы безопасности, в которую будут добавлены правила, в параметре securityGroupId.

     Чтобы узнать идентификатор группы безопасности, воспользуйтесь методом REST API list для ресурса SecurityGroup или вызовом gRPC API SecurityGroupService/List и передайте в запросе идентификатор каталога в параметре folderId.

   • Новые правила группы безопасности в массиве additionRuleSpecs[]:

     • Направление трафика — ingress.
     • Имя протокола передачи трафика в параметре additionRuleSpecs[].protocolName — any.
     • Список CIDR и масок подсетей в параметре additionRuleSpecs[].cidrBlocks.v4CidrBlocks[] — [0.0.0.0/0,0.0.0.0/0].
     • Первый порт из диапазона портов для трафика в параметре additionRuleSpecs[].ports.fromPort — 0.
     • Последний порт из диапазона портов для трафика в параметре additionRuleSpecs[].ports.toPort — 65535.

1. Подготовьте пару ключей (открытый и закрытый) для SSH-доступа на ВМ.

2. Подготовьте файл спецификации Docker-контейнера docker-spec.yaml:

   version: '3.1'
   
   services:
     mongo:
       image: mongo
       restart: always
       environment:
         MONGO_INITDB_ROOT_USERNAME: mongo_db_user
         MONGO_INITDB_ROOT_PASSWORD: <пароль>
       ports:
         - 27017:27017
   

   В значении параметра MONGO_INITDB_ROOT_PASSWORD задайте пароль, который будет использоваться для доступа к БД. Для создания пароля можно воспользоваться генератором паролей. Сохраните пароль, он понадобится вам на следующих шагах.

3. Выполните команду:

   yc compute instance create-with-container \
     --coi-spec-file docker-spec.yaml \
     --name mongo-vm \
     --zone ru-central1-b \
     --ssh-key ssh-key.pub \
     --create-boot-disk size=30 
   

   Где:

   • --coi-spec-file — путь к файлу спецификации Docker-контейнера.
   • --name — имя ВМ.
   • --zone — зона доступности.
   • --ssh-key — содержимое файла открытого ключа. Пару ключей для подключения по SSH необходимо создать самостоятельно.
   • --create-boot-disk size — размер загрузочного диска. Должен быть не менее 30 ГБ.

   Результат:

   done (1m40s)
    id: epde18u4mahl********
    folder_id: b1g7gvsi89m3********
    created_at: "2023-02-08T10:34:06.601Z"
    name: mongo-vm
    ...
   

1. Создайте секрет mongodb-creds с помощью команды:

   yc lockbox secret create \
     --name mongodb-creds \
     --payload "[{'key': 'login', 'text_value': 'mongo_db_user'},{'key': 'password', 'text_value': '<пароль>'}]" 
   

   Где:

   • --name — имя секрета.
   • --payload — содержимое секрета в виде массива YAML или JSON.
   • <пароль> — значение MONGO_INITDB_ROOT_PASSWORD из спецификации ВМ.

   Результат:

   id: e6q6nbjfu9m2********
   folder_id: b1qt6g8ht345********
   created_at: "2023-02-08T10:34:06.601Z"
   name: mongodb-creds
   status: ACTIVE
   current_version:
     id: e6q0s9airqca********
     secret_id: e6q6nbjfu9m2********
     created_at: "2023-02-08T10:34:06.601Z"
     status: ACTIVE
     payload_entry_keys:
       - login
       - password
   

Чтобы создать секрет, воспользуйтесь методом REST API create для ресурса Secret или вызовом gRPC API SecretService/Create.

Создайте реестр app-registry:

yc container registry create --name app-registry

Результат:

done
id: crpd50616s9a********
folder_id: b1g88tflru0e********
name: app-registry
status: ACTIVE
created_at: "2023-02-08T10:34:06.601Z"

Чтобы создать реестр, воспользуйтесь методом REST API create для ресурса Registry или вызовом gRPC API RegistryService/CreateRegistryRequest.

1. Создайте контейнер:

   yc serverless container create --name mongo-express-container
   

   Результат:

   id: bba3fva6ka5g********
   folder_id: b1gqvft7kjk3********
   created_at: "2023-02-08T10:34:06.601Z"
   name: mongo-express-container
   url: https://bba3fva6ka5g********.containers.yandexcloud.net/
   status: ACTIVE
   

2. Создайте ревизию контейнера:

   yc serverless container revision deploy \
     --container-name mongo-express-container \
     --image <URL_Docker-образа> \
     --cores 1 \
     --memory 1GB \
     --concurrency 1 \
     --execution-timeout 15s \
     --service-account-id <идентификатор_сервисного_аккаунта_mongo-express> \
     --environment ME_CONFIG_BASICAUTH_USERNAME="", ME_CONFIG_BASICAUTH_PASSWORD="", VCAP_APP_PORT=8080, ME_CONFIG_MONGODB_SERVER=<публичный_адрес_ВМ> \
     --secret environment-variable=ME_CONFIG_MONGODB_AUTH_USERNAME,key=login \
     --secret environment-variable=ME_CONFIG_MONGODB_AUTH_PASSWORD,key=password
   

   Где:

   • --image — URL Docker-образа mongo-express, загруженного ранее.

   • --service-account-id — идентификатор сервисного аккаунта mongo-express, созданного ранее.

   • --environment — переменные окружения:

     • ME_CONFIG_BASICAUTH_USERNAME — оставьте значение пустым.
     • ME_CONFIG_BASICAUTH_PASSWORD — оставьте значение пустым.
     • VCAP_APP_PORT — укажите порт 8080.
     • ME_CONFIG_MONGODB_SERVER — укажите публичный адрес ВМ, полученный ранее.

   • --secret environment-variable — секреты ME_CONFIG_MONGODB_AUTH_USERNAME и ME_CONFIG_MONGODB_AUTH_PASSWORD, созданные ранее.

   Результат:

   id: bbajn5q2d74c********
   container_id: bba3fva6ka5g********
   created_at: "2023-02-08T10:34:06.601Z"
   image:
     image_url: cr.yandex/crpd3cicopk7********/mongo-express-container:latest
     image_digest: sha256:de8e1dce7ceceeafaae122f7670084a1119c961cd9ea1795eae92bd********
   resources:
     memory: "1073741824"
     cores: "1"
   execution_timeout: 15s
   service_account_id: ajeqnasj95o7********
   status: ACTIVE
   

Чтобы создать контейнер, воспользуйтесь методом REST API create для ресурса Container или вызовом gRPC API ContainerService/Create.

Чтобы создать ревизию контейнера, воспользуйтесь методом REST API deployRevision для ресурса Container или вызовом gRPC API ContainerService/DeployRevision.

1. Подготовьте файл спецификации API по стандарту OpenAPI 3.0.

   Спецификация

   openapi: 3.0.0
   info:
     title: Sample API
     version: 1.0.0
   servers:
     - url: https://mongo-express-container.apigw.yandexcloud.net
   paths:
     /{proxy+}:
       x-yc-apigateway-any-method:
         x-yc-apigateway-integration:
           type: serverless_containers
           container_id: <идентификатор_контейнера>
           service_account_id: <идентификатор_сервисного_аккаунта>
         parameters:
         - explode: false
           in: path
           name: proxy
           required: false
           schema:
             default: '-'
             type: string
           style: simple
   

   Где:

   • container_id — идентификатор контейнера mongo-express-container.
   • service_account_id — идентификатор сервисного аккаунта mongo-express.

2. Укажите параметры и создайте API-шлюз с помощью команды:

   yc serverless api-gateway create \
       --name mongo-express-gw \
       --spec=<путь_к_файлу_спецификации>
   

Чтобы создать API-шлюз, воспользуйтесь методом REST API create для ресурса ApiGateway или вызовом gRPC API ApiGatewayService/Create.