Soluciona problemas de Cloud Run con SSH

SSH te permite establecer una conexión de shell interactiva y segura con tus instancias de contenedor en ejecución. Esto proporciona acceso directo al sistema de archivos y al entorno de ejecución del contenedor, lo que te permite inspeccionar los recursos del sistema, verificar las configuraciones y solucionar problemas.

SSH para Cloud Run usa los siguientes servicios para proteger las conexiones:

• El reenvío de TCP de Identity-Aware Proxy envía conexiones SSH mediante proxy, por lo que las solicitudes deben pasar las verificaciones de autenticación y autorización antes de llegar al contenedor. Puedes extender las políticas de acceso de IAP con el acceso adaptado al contexto para restringir el acceso según atributos como la dirección IP y el dispositivo del usuario final.
• El Acceso al SO usa la autenticación de certificados SSH para autenticar a los usuarios. Cuando te conectas, gcloud CLI genera un certificado SSH de corta duración que vence después de cinco minutos. El certificado se valida dentro del contenedor. Google verifica los permisos de IAM en cada intento de acceso.

SSH para Cloud Run agrega automáticamente los objetos binarios administrados por Google necesarios, incluidos sshd, los objetos binarios de validación de certificados y MirBSD Korn Shell (mksh), al sistema de archivos de tu contenedor. El aprovisionamiento automático de mksh garantiza que haya un programa de shell disponible durante tu sesión, incluso si la imagen de contenedor no incluye uno (por ejemplo, en imágenes distroless o mínimas). Estos binarios solo se aprovisionan automáticamente y se puede acceder a ellos mientras las conexiones SSH estén abiertas, y se quitan una vez que finaliza la sesión. La conexión SSH de Cloud Run ignora las configuraciones de SSH existentes, incluidas las entradas /etc/passwd, en favor de las configuraciones administradas por Google.

Los avisos sobre derechos de autor de código abierto de terceros para las dependencias de SSH administradas por Google se activan dentro del contenedor cuando se establece una sesión de SSH en la siguiente ruta de acceso: /usr/share/licenses/google_ssh/THIRD_PARTY_NOTICES.

Sesiones SSH e instancias de servicio

Cuando te conectes a un servicio con SSH, ten en cuenta lo siguiente:

• Si no se está ejecutando ninguna instancia del servicio, Cloud Run inicia una nueva para la sesión de SSH.
• Cloud Run intenta mantener activa la instancia de servicio durante la sesión SSH. Se te facturará por la instancia como de costumbre mientras esté activa.
• Los objetos binarios obligatorios (sshd, herramientas de validación de certificados y mksh) se aprovisionan automáticamente solo mientras las conexiones SSH permanecen abiertas. Cuando finaliza la sesión, estos objetos binarios se quitan del contenedor.

Limitaciones

Se aplican las siguientes limitaciones a SSH:

• Las sesiones de SSH duran un máximo de 24 horas. Después de 24 horas, la sesión se desconecta y debes volver a conectarte.
• IAP desconecta las sesiones SSH después de una hora de inactividad. Para obtener más información, consulta Limitaciones conocidas del reenvío de TCP de IAP.
• SSH solo está disponible para los servicios que se ejecutan en el entorno de segunda generación de Cloud Run y en las instancias de Cloud Run.
• Cuando se usa SSH, se reemplazan las claves de host de la imagen. Las claves permanecen reemplazadas después de que finaliza la sesión de SSH, hasta que se reinicia la instancia de servicio.
• PuTTY no es compatible con Windows. Usa el cliente de OpenSSH.
• No necesitas una shell (como bash o sh) ni un servidor SSH en tu imagen de contenedor. Cloud Run aprovisiona automáticamente sshd y mksh mientras las conexiones SSH están abiertas. Sin embargo, otras utilidades de depuración (como curl o administradores de paquetes) no se aprovisionan automáticamente.
• Se debe tener mucho cuidado para proteger el contenedor cuando se usa SSH. Considera las prácticas recomendadas de seguridad, como ejecutar el código de la aplicación como un usuario no raíz.
• Cuando una conexión SSH inicia en frío un servicio de varios contenedores con orden de inicio del contenedor (container-dependencies), la solicitud se enruta antes de que el entorno del contenedor esté listo. Cloud Run devuelve un error de HTTP 500 y detiene la instancia nueva de inmediato. Si te conectas con Google Cloud CLI, el comando falla. Para solucionar este problema, conéctate con SSH solo cuando una instancia ya se esté ejecutando. Por ejemplo, envía una solicitud al servicio primero para iniciar una instancia o configura las instancias mínimas.

Antes de comenzar

Accede a tu cuenta de Google Cloud . Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Habilita la API de Cloud Run Admin, Cloud Resource Manager, Identity-Aware Proxy y Acceso al SO de Cloud:

     gcloud services enable run.googleapis.com \
         cloudresourcemanager.googleapis.com \
         iap.googleapis.com \
         oslogin.googleapis.com
     

2. Instala e inicializa gcloud CLI.
3. Actualiza los componentes, como se indica a continuación:

   gcloud components update

4. Windows: Asegúrate de que el cliente de OpenSSH esté instalado.

   Por lo general, el cliente de OpenSSH se instala de forma predeterminada en Windows 10 y versiones posteriores. Si no está instalado, puedes instalarlo ejecutando el siguiente comando en PowerShell como administrador:

   Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0

   Para obtener más información, consulta Instala OpenSSH.

5. Revisa la página de precios de Cloud Run. Para generar una estimación de costos en función del uso previsto, usa la calculadora de precios. SSH factura por los bytes de salida de red. También se te facturará como de costumbre por la instancia mientras se mantenga activa para una sesión SSH.
6. Si tu proyecto usa Controles del servicio de VPC (VPC-SC), ten en cuenta que el proceso de tunelización verifica iaptunnel.googleapis.com como el nombre del servicio, en lugar de run.googleapis.com.

Roles obligatorios

Para obtener los permisos que necesitas para completar estos pasos, pídele a tu administrador que te otorgue los siguientes roles de IAM:

• Usuario de la cuenta de servicio (roles/iam.serviceAccountUser) en la cuenta de servicio
• Acceso raíz de SSH para Cloud Run (roles/run.sshRoot) en el servicio
• Usuario de túnel protegido con IAP (roles/iap.tunnelResourceAccessor) en el servicio
• Desarrollador de Cloud Run (roles/run.developer) en el servicio
• Descriptor de acceso de vista de registros (roles/logging.viewAccessor) en el proyecto
• Navegador (roles/browser) en el proyecto
• Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer) en el proyecto
• Administrador de políticas de IAP (roles/iap.admin) en el proyecto para las operaciones de administración de IAP

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Si no eres miembro de la organización a la que pertenece el proyecto, Cloud Run bloquea el acceso SSH. Para obtener acceso SSH, agrega el rol roles/compute.osLoginExternalUser o usa un rol personalizado con el permiso compute.oslogin.updateExternalUser.

Puedes otorgar el rol de usuario del túnel protegido con IAP a nivel del proyecto. Para restringir este rol a un servicio o una instancia de Cloud Run específicos, ejecuta el siguiente comando:

gcloud beta iap tcp add-iam-policy-binding \
    --resource-type=cloud-run \
    --service=SERVICE \
    --region=REGION \
    --member=MEMBER \
    --role=roles/iap.tunnelResourceAccessor

gcloud beta iap tcp add-iam-policy-binding \
    --resource-type=cloud-run \
    --instance=INSTANCE \
    --region=REGION \
    --member=MEMBER \
    --role=roles/iap.tunnelResourceAccessor

Para otorgar el rol de roles/iap.tunnelResourceAccessor a nivel de proyecto y región, consulta Configura políticas de acceso de IAP.

Usa SSH con los servicios de Cloud Run

Configura el acceso SSH a nivel de servicio y conéctate al servicio con SSH.

Configura el acceso SSH a nivel de servicio

Puedes permitir el acceso SSH en un servicio específico con gcloud CLI o YAML:

gcloud beta run services update SERVICE --ssh \
    --region=REGION

Puedes inhabilitar el acceso SSH por servicio con gcloud CLI o YAML:

gcloud beta run services update SERVICE --no-ssh \
    --region=REGION

Conéctate al servicio con SSH

Para conectarte a un servicio con SSH, usa gcloud CLI:

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID

Project: PROJECT_ID
Region: REGION
Service: SERVICE
Revision: REVISION
Instance: INSTANCE_ID
Container: CONTAINER
Image: IMAGE

Especifica una instancia de servicio

Para conectarte a una instancia de servicio específica con SSH, usa Google Cloud CLI.

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID \
  --revision=REVISION \
  --instance=INSTANCE_ID

Especifica una revisión

Para conectarte a una revisión específica con SSH, usa Google Cloud CLI.

gcloud beta run services ssh SERVICE --region=REGION --project=PROJECT_ID --revision=REVISION

Usa SSH con instancias de Cloud Run

Configurar el acceso SSH a nivel de la instancia y conectarte a ella con SSH

Configura el acceso SSH a nivel de instancia

SSH está habilitado de forma predeterminada para las instancias.

Puedes inhabilitar el acceso SSH por instancia con la gcloud CLI o YAML:

gcloud beta run instances update INSTANCE --no-ssh \
    --region=REGION

Para volver a habilitar el acceso SSH en una instancia existente, usa gcloud CLI o YAML.

gcloud beta run instances update INSTANCE --ssh \
    --region=REGION

Conéctate a la instancia con SSH

Para conectarte a una instancia con SSH, usa el siguiente comando de Google Cloud CLI:

  gcloud beta run instances ssh INSTANCE --region=REGION --project=PROJECT_ID

Reemplaza lo siguiente:

• INSTANCE: el nombre de tu instancia
• REGION: Es la región en la que se implementa la instancia.
• PROJECT_ID: Es el ID del proyecto de Google Cloud .

Si se te solicita que ingreses una frase de contraseña para la clave SSH, puedes dejarla en blanco. Sin embargo, si ingresas una frase de contraseña, asegúrate de usar la misma frase de contraseña para cualquier sesión SSH posterior desde el mismo lugar de trabajo.

Cuando la sesión de SSH se completa correctamente, Cloud Run muestra el siguiente mensaje:

  Project: PROJECT_ID
  Region: REGION
  Instance: INSTANCE
  Revision: REVISION
  Container: CONTAINER
  Image: IMAGE

Para finalizar la sesión de SSH, escribe exit. Cuando finaliza la sesión, los objetos binarios de SSH y mksh aprovisionados automáticamente se quitan del sistema de archivos del contenedor.

Usa el cliente de OpenSSH para conectarte

Para usar tu cliente de OpenSSH y conectarte, sigue estos pasos:

1. Ejecuta el comando gcloud beta run services ssh en el servicio de destino. Esto inicia el túnel SSH y genera el certificado.

2. Agrega lo siguiente a tu configuración de SSH:

   Host cloud-run-ssh
       HostName cloud-run-default
       User root
       IdentityFile /Users/USER/.ssh/google_compute_engine
       CertificateFile /Users/USER/.ssh/google_compute_engine_cert/PROJECT_ID_REGION_service_SERVICE-cert.pub
       CheckHostIP no
       HashKnownHosts no
       HostKeyAlias cloud-run-default
       IdentitiesOnly yes
       StrictHostKeyChecking no
       UserKnownHostsFile /dev/null
       ProxyUseFdpass no
       ProxyCommand /usr/local/bin/python3 -S /Users/USER/google-cloud-sdk/lib/gcloud.py beta run start-iap-tunnel --project_number=PROJECT_NUMBER --project_id=PROJECT_ID --workload_type=service --deployment_name=SERVICE/revisions/REVISION --region=REGION --iap-tunnel-url-override=wss://REGION.ssh.run.app/v4
   

   Reemplaza lo siguiente:

   • USER: Es el nombre de usuario en tu máquina local.
   • PROJECT_ID: Es el ID del proyecto de Google Cloud .
   • PROJECT_NUMBER: Es el número del proyecto de Google Cloud .
   • REGION: Es la región en la que se implementa tu servicio.
   • SERVICE: Es el nombre de tu servicio.
   • REVISION: Es el nombre de la revisión.

   Si gcloud CLI está instalada en una carpeta diferente, es posible que debas actualizar la ubicación en la última línea.

3. Ejecuta el comando siguiente:

   ssh cloud-run-ssh
   

Tu certificado SSH vence después de cinco minutos. Si intentas establecer una conexión SSH con tu servicio después de cinco minutos, debes volver a ejecutar gcloud beta run services ssh para volver a generar el certificado.

Registros de acceso SSH

Para capturar los registros de auditoría de la administración de claves SSH, debes habilitar los registros de auditoría de la API de Acceso al SO de Cloud. Consulta Visualiza los registros de auditoría de Acceso al SO. Para acceder a los registros de SSH de los recursos de Cloud Run, debes tener acceso a los Registros de auditoría de Cloud de ese proyecto.

En el siguiente ejemplo, se consultan todos los servicios de Cloud Run del día anterior:

gcloud logging read '
  logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access" AND
  protoPayload.serviceName="oslogin.googleapis.com" AND
  protoPayload.request.instance:"run.googleapis.com"
' --project=PROJECT_ID \
  --freshness=1d \
  --format="table(timestamp, protoPayload.authenticationInfo.principalSubject:label=USER, protoPayload.request.instance:label=CLOUD_RUN_SERVICE)"

Protege y controla el acceso SSH

Puedes controlar quién puede usar SSH y cómo se restringe en tu entorno.

Inhabilita el acceso SSH con las políticas de la organización

Para establecer una política de la organización que inhabilite SSH, usa la restricción personalizada que limita la habilitación del acceso de depuración de SSH en los servicios de Cloud Run.

¿Qué sigue?

• Obtén más información para solucionar problemas de Cloud Run.
• Obtén más información para solucionar problemas de los servicios de Cloud Run.
• Obtén información sobre los problemas conocidos en Cloud Run.