Запуск контейнерного приложения в Yandex Serverless Containers

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте сервисный аккаунт с именем mongo-express:

   yc iam service-account create --name mongo-express
   

   Результат:

   id: aje3pdqm1cul********
   folder_id: b1g681qpemb4********
   created_at: "2025-06-14T10:31:06.911280565Z"
   name: mongo-express
   

2. Назначьте сервисному аккаунту роли container-registry.images.puller, lockbox.payloadViewer и serverless-containers.containerInvoker на каталог, в котором будет размещаться контейнер:

   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role container-registry.images.puller \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   
   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role lockbox.payloadViewer \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   
   yc resource-manager folder add-access-binding <имя_или_идентификатор_каталога> \
     --role serverless-containers.containerInvoker \
     --subject serviceAccount:<идентификатор_сервисного_аккаунта>
   

   Где:

   • <имя_или_идентификатор_каталога> — имя или идентификатор каталога, в котором будет размещаться контейнер.
   • --subject serviceAccount — идентификатор сервисного аккаунта mongo-express.

   Результат:

   effective_deltas:
     - action: ADD
       access_binding:
         role_id: container-registry.images.puller
         subject:
           id: aje3pdqm1cul********
           type: serviceAccount
   
   effective_deltas:
     - action: ADD
       access_binding:
         role_id: lockbox.payloadViewer
         subject:
           id: aje3pdqm1cul********
           type: serviceAccount
   
   effective_deltas:
     - action: ADD
       access_binding:
         role_id: serverless-containers.containerInvoker
         subject:
           id: aje3pdqm1cul********
           type: serviceAccount
   

1. Чтобы создать сервисный аккаунт, воспользуйтесь методом REST API create для ресурса ServiceAccount или вызовом gRPC API ServiceAccountService/Create.
2. Чтобы назначить сервисному аккаунту роли на каталог, воспользуйтесь методом REST API updateAccessBindings для ресурса Folder или вызовом gRPC API FolderService/UpdateAccessBindings.

1. Создайте облачную сеть:

   yc vpc network create \
     --name mongo-express-network
   

   Результат:

   id: enp1b4okmg57********
   folder_id: b1g681qpemb4********
   created_at: "2025-06-13T12:57:02Z"
   name: mongo-express-network
   default_security_group_id: enphs1omp6m4********
   

   Сохраните идентификатор группы безопасности по умолчанию, указанный в поле default_security_group_id.

2. Создайте подсеть:

   yc vpc subnet create \
      --name mongo-express-subnet-ru-central1-b \
      --zone ru-central1-b \
      --network-id <идентификатор_сети> \
      --range 192.168.1.0/24
   

   Где:

   • --name — название подсети.
   • --zone — зона доступности.
   • --network-id — идентификатор сети mongo-express-network.
   • --range — список IPv4-адресов, откуда или куда будет поступать трафик.

   Результат:

   id: e2l9i0eaq32t********
   folder_id: b1g681qpemb4********
   created_at: "2025-06-14T09:27:37Z"
   name: mongo-express-subnet-ru-central1-b
   network_id: enp1b4okmg57********
   zone_id: ru-central1-b
   v4_cidr_blocks:
     - 192.168.1.0/24
   

1. Чтобы создать облачную сеть, воспользуйтесь методом REST API create для ресурса Network или вызовом gRPC API NetworkService/Create и передайте в запросе:

   • Идентификатор каталога, в котором будет размещаться сеть.
   • Имя новой сети mongo-express-network в параметре name.

2. Чтобы создать подсеть, воспользуйтесь методом REST API create для ресурса Subnet или вызовом gRPC API SubnetService/Create.

Добавьте правило в группу безопасности:

yc vpc security-group update-rules <идентификатор_группы_безопасности> \
  --add-rule "direction=ingress,port=27017,protocol=any,v4-cidrs=[0.0.0.0/0,0.0.0.0/0]"

Где <идентификатор_группы_безопасности> — значение default_security_group_id, полученное на предыдущем шаге.

Результат:

id: enpmal7qcb1q********
folder_id: b1g681qpemb4********
created_at: "2025-06-14T09:24:47Z"
name: default-sg-enpeiqghds1j********
description: Default security group for network
network_id: enpeiqghds1j********
status: ACTIVE
rules:
  ...
  - id: enprm96de4ec********
    direction: INGRESS
    ports:
      from_port: "27017"
      to_port: "27017"
    protocol_name: ANY
    protocol_number: "-1"
    cidr_blocks:
      v4_cidr_blocks:
        - 0.0.0.0/0
        - 0.0.0.0/0
default_for_network: true

Чтобы добавить правило в группу безопасности, воспользуйтесь методом REST API updateRules для ресурса SecurityGroup или вызовом gRPC API SecurityGroupService/UpdateRules и передайте в запросе:

• Идентификатор группы безопасности, в которую будут добавлены правила, в параметре securityGroupId.

  Чтобы узнать идентификатор группы безопасности, воспользуйтесь методом REST API list для ресурса SecurityGroup или вызовом gRPC API SecurityGroupService/List и передайте в запросе идентификатор каталога в параметре folderId.

• Новые правила группы безопасности в массиве additionRuleSpecs[]:

  • Направление трафика — ingress.
  • Имя протокола передачи трафика в параметре additionRuleSpecs[].protocolName — any.
  • Список CIDR и масок подсетей в параметре additionRuleSpecs[].cidrBlocks.v4CidrBlocks[] — [0.0.0.0/0,0.0.0.0/0].
  • Первый порт из диапазона портов для трафика в параметре additionRuleSpecs[].ports.fromPort — 0.
  • Последний порт из диапазона портов для трафика в параметре additionRuleSpecs[].ports.toPort — 65535.

1. Подготовьте пару ключей (открытый и закрытый) для SSH-доступа на ВМ.

2. Подготовьте файл спецификации Docker-контейнера docker-spec.yaml:

   version: '3.1'
   
   services:
     mongo:
       image: mongo
       restart: always
       environment:
         MONGO_INITDB_ROOT_USERNAME: mongo_db_user
         MONGO_INITDB_ROOT_PASSWORD: <пароль>
       ports:
         - 27017:27017
   

   В значении параметра MONGO_INITDB_ROOT_PASSWORD задайте пароль, который будет использоваться для доступа к БД. Для создания пароля можно воспользоваться генератором паролей. Сохраните пароль, он понадобится вам на следующих шагах.

3. Выполните команду:

   yc compute instance create-with-container \
     --docker-compose-file docker-spec.yaml \
     --name mongo-vm \
     --zone ru-central1-b \
     --network-interface subnet-name=mongo-express-subnet-ru-central1-b,nat-ip-version=ipv4 \
     --ssh-key <путь_к_файлу_открытого_ключа> \
     --create-boot-disk size=30
   

   Где:

   • --docker-compose-file — путь к файлу спецификации Docker-контейнера.

   • --name — имя ВМ.

   • --zone — зона доступности.

   • --network-interface — сетевые настройки ВМ.

   • --ssh-key — путь к файлу открытого ключа SSH, например ./ssh-key.pub. Имя пользователя по умолчанию для доступа по SSH — yc-user.

   • --create-boot-disk size — размер загрузочного диска. Должен быть не менее 30 ГБ.

   Результат:

   id: epde18u4mahl********
   folder_id: b1g7gvsi89m3********
   created_at: "2023-02-08T10:34:06.601Z"
   name: mongo-vm
   ...
   

Создайте секрет mongodb-creds:

yc lockbox secret create \
  --name mongodb-creds \
  --payload "[{'key': 'login', 'text_value': 'mongo_db_user'},{'key': 'password', 'text_value': '<пароль>'}]"

Где:

• --name — имя секрета.
• --payload — содержимое секрета в виде массива YAML или JSON.
• <пароль> — значение MONGO_INITDB_ROOT_PASSWORD из спецификации Docker-контейнера.

Результат:

id: e6q6nbjfu9m2********
folder_id: b1qt6g8ht345********
created_at: "2023-02-08T10:34:06.601Z"
name: mongodb-creds
status: ACTIVE
current_version:
  id: e6q0s9airqca********
  secret_id: e6q6nbjfu9m2********
  created_at: "2023-02-08T10:34:06.601Z"
  status: ACTIVE
  payload_entry_keys:
    - login
    - password

Чтобы создать секрет, воспользуйтесь методом REST API create для ресурса Secret или вызовом gRPC API SecretService/Create.

Создайте реестр app-registry:

yc container registry create --name app-registry

Результат:

id: crpd50616s9a********
folder_id: b1g88tflru0e********
name: app-registry
status: ACTIVE
created_at: "2023-02-08T10:34:06.601Z"

Чтобы создать реестр, воспользуйтесь методом REST API create для ресурса Registry или вызовом gRPC API RegistryService/CreateRegistryRequest.

1. Создайте контейнер:

   yc serverless container create --name mongo-express-container
   

   Результат:

   id: bba3fva6ka5g********
   folder_id: b1gqvft7kjk3********
   created_at: "2023-02-08T10:34:06.601Z"
   name: mongo-express-container
   url: https://bba3fva6ka5g********.containers.yandexcloud.net/
   status: ACTIVE
   

2. Создайте ревизию контейнера:

   yc serverless container revision deploy \
     --container-name mongo-express-container \
     --cores 1 \
     --memory 1GB \
     --image cr.yandex/<идентификатор_реестра>/mongo-express:mongo-tag \
     --environment ME_CONFIG_BASICAUTH=false \
     --environment VCAP_APP_PORT=8080 \
     --environment ME_CONFIG_MONGODB_SERVER=<публичный_адрес_ВМ> \
     --secret environment-variable=ME_CONFIG_MONGODB_AUTH_USERNAME,key=login,id=<идентификатор_секрета> \
     --secret environment-variable=ME_CONFIG_MONGODB_AUTH_PASSWORD,key=password,id=<идентификатор_секрета> \
     --service-account-id <идентификатор_сервисного_аккаунта_mongo-express> \
     --network-id <идентификатор_сети> \
     --execution-timeout 15s \
     --concurrency 1
   

   Где:

   • --image — URL Docker-образа mongo-express, загруженного ранее.

   • --environment — переменные окружения:

     • ME_CONFIG_BASICAUTH — укажите значение false.
     • VCAP_APP_PORT — укажите порт 8080.
     • ME_CONFIG_MONGODB_SERVER — укажите публичный адрес ВМ, полученный ранее.

   • --secret environment-variable — секреты ME_CONFIG_MONGODB_AUTH_USERNAME и ME_CONFIG_MONGODB_AUTH_PASSWORD, созданные ранее.

   • --service-account-id — идентификатор сервисного аккаунта mongo-express, созданного ранее.

   • --network-id — идентификатор сети mongo-express-network.

   Результат:

   id: bbas0ktemln9********
   container_id: bbai45hrl5et********
   created_at: "2025-06-14T10:18:06.791Z"
   image:
     image_url: cr.yandex/crpbr3qaut47********/mongo-express:mongo-tag
     image_digest: sha256:c641....
     environment:
       ME_CONFIG_BASICAUTH: "false"
       ME_CONFIG_MONGODB_SERVER: 89.169.***.***
       VCAP_APP_PORT: "8080"
   resources:
     memory: "1073741824"
     cores: "1"
     core_fraction: "100"
   execution_timeout: 15s
   concurrency: "1"
   service_account_id: ajeldi88vl73********
   status: ACTIVE
   secrets:
     - id: e6qfi832v2j8********
       version_id: e6qj9a9oifme********
       key: login
       environment_variable: ME_CONFIG_MONGODB_AUTH_USERNAME
     - id: e6qfi832v2j8********
       version_id: e6qj9a9oifme********
       key: password
       environment_variable: ME_CONFIG_MONGODB_AUTH_PASSWORD
   log_options:
     folder_id: b1g681qpemb4********
   runtime:
     http: {}
   

1. Чтобы создать контейнер, воспользуйтесь методом REST API create для ресурса Container или вызовом gRPC API ContainerService/Create.
2. Чтобы создать ревизию контейнера, воспользуйтесь методом REST API deployRevision для ресурса Container или вызовом gRPC API ContainerService/DeployRevision.

1. Подготовьте файл спецификации API по стандарту OpenAPI 3.0.

   Спецификация

   openapi: 3.0.0
   info:
     title: Sample API
     version: 1.0.0
   paths:
     /{proxy+}:
       x-yc-apigateway-any-method:
         x-yc-apigateway-integration:
           type: serverless_containers
           container_id: <идентификатор_контейнера>
           service_account_id: <идентификатор_сервисного_аккаунта>
         parameters:
         - explode: false
           in: path
           name: proxy
           required: false
           schema:
             default: '-'
             type: string
           style: simple
   

   Где:

   • container_id — идентификатор контейнера mongo-express-container.
   • service_account_id — идентификатор сервисного аккаунта mongo-express.

2. Укажите параметры и создайте API-шлюз с помощью команды:

   yc serverless api-gateway create \
       --name mongo-express-gw \
       --spec=<путь_к_файлу_спецификации>
   

   Результат:

   id: d5d63uh1h26g********
   folder_id: b1g681qpemb4********
   created_at: "2025-06-14T10:23:19.682Z"
   name: mongo-express-gw
   status: ACTIVE
   domain: d5d63uh1h26g********.********.apigw.yandexcloud.net
   connectivity: {}
   log_options:
     folder_id: b1g681qpemb4********
   execution_timeout: 300s
   

   Сохраните ссылку, указанную в поле domain.

Чтобы создать API-шлюз, воспользуйтесь методом REST API create для ресурса ApiGateway или вызовом gRPC API ApiGatewayService/Create.