Aloja el servidor de Crunu en Google Cloud Run

Qué hace Crunu en Cloud Run

Crunu funciona en la nube en app.crunu.com, así que no necesitas tu propio servidor para empezar. Si tu infraestructura está en Google Cloud, el servidor de Crunu se despliega en Cloud Run con un solo script, guarda sus secretos en Secret Manager y usa Postgres en Cloud SQL o Neon.

En Cloud Run, el servidor es ciego como en cualquier otro sitio: la base de datos contiene datos cifrados, claves públicas, documentos firmados y metadatos, nunca una clave que descifre un valor.

Despliegue

Necesitas Node.js 24, gcloud con la sesión iniciada, un proyecto con facturación, una base de datos Postgres y un archivo .env creado por server-init. Los comandos se ejecutan desde el directorio del servidor de Crunu, donde están los scripts de despliegue.

node scripts/server-init.mjs --origin https://vault.company.example --database-url env:DATABASE_URL
sh deploy/gcp/deploy.sh --project my-project --region europe-west1 --service vault

El script comprueba .env, activa las API de Cloud Run, Artifact Registry y Secret Manager, compila una imagen linux/amd64 en Artifact Registry, guarda los secretos del servidor en Secret Manager y crea una cuenta de servicio que solo puede leer esos secretos. Después despliega el servicio.

• Secretos fijados por revisión. Solo aparece una nueva versión de un secreto cuando cambia un valor, y el servicio hace referencia a los secretos por número de versión, no como latest. Cada revisión conserva los valores con los que se desplegó, así que devolver el tráfico a una revisión anterior recupera también sus secretos.
• Cloud SQL por su socket. Usa una dirección como postgres://user:password@/database?host=/cloudsql/project:region:instance. El script vincula la instancia al servicio y concede a su cuenta de servicio el rol Cloud SQL Client.
• Ajustes combinados. Las variables de entorno se combinan, así que los valores que defines a mano en el servicio se conservan. Las variables que ya no están en .env se enumeran y solo se eliminan con --prune.
• Direcciones de los clientes. Por defecto, los clientes llegan directamente al servicio. Detrás del balanceador de carga externo de Google, despliega con --trust-proxy xff:2: el servicio entonces solo acepta tráfico del balanceador, y PUBLIC_ORIGIN tiene que ser la dirección del balanceador.

La limpieza solo se ejecuta con tráfico

Las máquinas con el agente crunu consultan el servidor cada minuto por defecto, así que, con máquinas en línea, la limpieza se ejecuta de paso aproximadamente cada 5 minutos.

Revisiones antiguas

El script de despliegue no etiqueta las revisiones, así que las anteriores no tienen direcciones propias. Si etiquetaste revisiones a mano, quita esas etiquetas, porque una revisión antigua etiquetada funciona con la misma base de datos y los mismos secretos:

gcloud run services update-traffic <service> --region <region> --remove-tags <tag>

Relacionado

• Autoalojamiento
• Google Cloud Run en la documentación
• Cambiar de plataforma
• Docker