Den Crunu-Server auf Google Cloud Run hosten

Was Crunu auf Cloud Run tut

Crunu läuft in der Cloud auf app.crunu.com, Sie brauchen zum Start also keinen eigenen Server. Liegt Ihre Infrastruktur in Google Cloud, deployt sich der Crunu-Server mit einem Skript auf Cloud Run, bewahrt seine Secrets im Secret Manager auf und nutzt Postgres auf Cloud SQL oder Neon.

Der Server ist auf Cloud Run so blind wie überall: Die Datenbank enthält Chiffretext, öffentliche Schlüssel, signierte Dokumente und Metadaten, nie einen Schlüssel, der einen Wert entschlüsselt.

Deployment

Sie brauchen Node.js 24, ein angemeldetes gcloud, ein Projekt mit Abrechnung, eine Postgres-Datenbank und eine Datei .env, die server-init erstellt hat. Die Befehle laufen im Verzeichnis des Crunu-Servers, wo die Deploy-Skripte liegen.

node scripts/server-init.mjs --origin https://vault.company.example --database-url env:DATABASE_URL
sh deploy/gcp/deploy.sh --project my-project --region europe-west1 --service vault

Das Skript prüft .env, aktiviert die APIs von Cloud Run, Artifact Registry und Secret Manager, baut ein Image für linux/amd64 in die Artifact Registry, legt die Secrets des Servers im Secret Manager ab und erstellt ein Dienstkonto, das nur diese Secrets lesen kann. Danach deployt es den Dienst.

• Secrets pro Revision festgelegt. Eine neue Version eines Secrets entsteht nur, wenn sich ein Wert ändert, und der Dienst referenziert Secrets über die Versionsnummer, nicht als latest. Jede Revision behält die Werte, mit denen sie deployt wurde, also bringt das Zurückrollen des Traffics auf eine ältere Revision auch ihre Secrets zurück.
• Cloud SQL über seinen Socket. Verwenden Sie eine Adresse wie postgres://user:password@/database?host=/cloudsql/project:region:instance. Das Skript verbindet die Instanz mit dem Dienst und gibt seinem Dienstkonto die Rolle Cloud SQL Client.
• Zusammengeführte Einstellungen. Umgebungsvariablen werden zusammengeführt, Werte, die Sie von Hand am Dienst gesetzt haben, bleiben also erhalten. Variablen, die nicht mehr in .env stehen, werden aufgelistet und nur mit --prune entfernt.
• Clientadressen. Standardmäßig erreichen Clients den Dienst direkt. Hinter dem externen Load Balancer von Google deployen Sie mit --trust-proxy xff:2: Der Dienst nimmt dann nur Traffic vom Load Balancer an, und PUBLIC_ORIGIN muss die Adresse des Load Balancers sein.

Die Bereinigung läuft nur bei Traffic

Maschinen mit dem Agenten crunu fragen den Server standardmäßig jede Minute ab, mit Maschinen online läuft die Bereinigung also nebenbei etwa alle 5 Minuten.

Alte Revisionen

Das Deploy-Skript versieht Revisionen nicht mit Tags, ältere haben also keine eigenen Adressen. Haben Sie Revisionen von Hand getaggt, entfernen Sie diese Tags, denn eine getaggte alte Revision arbeitet mit derselben Datenbank und denselben Secrets:

gcloud run services update-traffic <service> --region <region> --remove-tags <tag>

Weiterführend

• Self-Hosting
• Google Cloud Run in der Dokumentation
• Zwischen Plattformen umziehen
• Docker