Ospitare il server Crunu su Google Cloud Run

Cosa fa Crunu su Cloud Run

Crunu funziona nel cloud su app.crunu.com, quindi per iniziare non ti serve un tuo server. Se la tua infrastruttura è su Google Cloud, il server Crunu si pubblica su Cloud Run con un solo script, conserva i suoi segreti in Secret Manager e usa Postgres su Cloud SQL o Neon.

Su Cloud Run il server è cieco come ovunque: il database contiene testo cifrato, chiavi pubbliche, documenti firmati e metadati, mai una chiave in grado di decifrare un valore.

Deploy

Ti servono Node.js 24, gcloud con l’accesso effettuato, un progetto con la fatturazione attiva, un database Postgres e un file .env creato da server-init. I comandi si eseguono dalla directory del server Crunu, dove si trovano gli script di deploy.

node scripts/server-init.mjs --origin https://vault.company.example --database-url env:DATABASE_URL
sh deploy/gcp/deploy.sh --project my-project --region europe-west1 --service vault

Lo script controlla .env, abilita le API di Cloud Run, Artifact Registry e Secret Manager, compila un’immagine linux/amd64 in Artifact Registry, salva i segreti del server in Secret Manager e crea un service account che può leggere solo quei segreti. Poi esegue il deploy del servizio.

• Segreti fissati per revisione. Una nuova versione di un secret compare solo quando un valore cambia, e il servizio richiama i segreti per numero di versione, non come latest. Ogni revisione conserva i valori con cui è stata pubblicata, quindi riportare il traffico a una revisione precedente riporta anche i suoi segreti.
• Cloud SQL tramite il suo socket. Usa un indirizzo come postgres://user:password@/database?host=/cloudsql/project:region:instance. Lo script collega l’istanza al servizio e concede al suo service account il ruolo Cloud SQL Client.
• Impostazioni unite. Le variabili d’ambiente vengono unite, quindi i valori che imposti a mano sul servizio restano. Le variabili che non sono più in .env vengono elencate e rimosse solo con --prune.
• Indirizzi dei client. Per impostazione predefinita i client raggiungono direttamente il servizio. Dietro il bilanciatore di carico esterno di Google, esegui il deploy con --trust-proxy xff:2: il servizio accetta allora traffico solo dal bilanciatore, e PUBLIC_ORIGIN deve essere l’indirizzo del bilanciatore.

La pulizia gira solo con il traffico

Le macchine con l’agente crunu controllano il server ogni minuto per impostazione predefinita, quindi con macchine online la pulizia viene eseguita strada facendo circa ogni 5 minuti.

Revisioni precedenti

Lo script di deploy non assegna tag alle revisioni, quindi quelle precedenti non hanno indirizzi propri. Se hai assegnato tag alle revisioni a mano, rimuovili, perché una vecchia revisione con un tag funziona con lo stesso database e gli stessi segreti:

gcloud run services update-traffic <service> --region <region> --remove-tags <tag>

Correlati

• Self-hosting
• Google Cloud Run nella documentazione
• Spostarsi tra piattaforme
• Docker