De Crunu-server hosten op Google Cloud Run

Wat Crunu doet op Cloud Run

Crunu draait in de cloud op app.crunu.com, dus je hebt geen eigen server nodig om te beginnen. Draait je infrastructuur in Google Cloud, dan deployt de Crunu-server met één script naar Cloud Run, bewaart hij zijn secrets in Secret Manager en gebruikt hij Postgres op Cloud SQL of Neon.

Ook op Cloud Run is de server blind, net als overal: de database bevat versleutelde data, publieke sleutels, ondertekende documenten en metadata, nooit een sleutel die een waarde ontsleutelt.

Deployen

Je hebt Node.js 24 nodig, gcloud waarmee je bent ingelogd, een project met facturering, een Postgres-database en een .env-bestand dat server-init heeft gemaakt. De opdrachten draaien vanuit de map van de Crunu-server, waar de deployscripts staan.

node scripts/server-init.mjs --origin https://vault.company.example --database-url env:DATABASE_URL
sh deploy/gcp/deploy.sh --project my-project --region europe-west1 --service vault

Het script controleert .env, zet de API’s van Cloud Run, Artifact Registry en Secret Manager aan, bouwt een image voor linux/amd64 in Artifact Registry, bewaart de secrets van de server in Secret Manager en maakt een serviceaccount aan dat alleen die secrets kan lezen. Daarna deployt het de service.

• Secrets vastgezet per revisie. Een nieuwe versie van een secret verschijnt alleen als een waarde verandert, en de service verwijst naar secrets met een versienummer, niet als latest. Elke revisie houdt de waarden waarmee ze is gedeployd, dus verkeer terugzetten naar een oudere revisie brengt ook de secrets ervan terug.
• Cloud SQL via de socket. Gebruik een adres zoals postgres://user:password@/database?host=/cloudsql/project:region:instance. Het script koppelt de instantie aan de service en geeft het serviceaccount de rol Cloud SQL Client.
• Samengevoegde instellingen. Omgevingsvariabelen worden samengevoegd, dus waarden die je met de hand op de service hebt ingesteld, blijven staan. Variabelen die niet meer in .env staan, worden getoond en alleen met --prune verwijderd.
• Clientadressen. Standaard bereiken clients de service rechtstreeks. Deploy achter de externe load balancer van Google met --trust-proxy xff:2: de service accepteert dan alleen verkeer van de load balancer, en PUBLIC_ORIGIN moet het adres van de load balancer zijn.

Opschonen draait alleen bij verkeer

Machines met de agent crunu controleren de server standaard elke minuut, dus als er machines online zijn, draait het opschonen onderweg ongeveer elke 5 minuten.

Oude revisies

Het deployscript tagt geen revisies, dus oudere revisies hebben geen eigen adres. Heb je revisies met de hand getagd, verwijder die tags dan, want een oude revisie met een tag werkt met dezelfde database en secrets:

gcloud run services update-traffic <service> --region <region> --remove-tags <tag>

Verwant

• Zelf hosten
• Google Cloud Run in de documentatie
• Verhuizen tussen platforms
• Docker