Points de terminaison publics

• HTTPS : la plateforme assure la terminaison TLS en périphérie avec un certificat qu’elle provisionne et renouvelle, puis transmet la requête à votre port en HTTP non chiffré.
• TLS passthrough : la plateforme achemine la connexion vers votre port au moyen de Server Name Indication (SNI), sans la déchiffrer. Votre charge de travail assure elle-même la terminaison TLS et gère ses propres certificats.

​

Comparer les deux types

​

Déclarer un point de terminaison

from cwsandbox import (
    Endpoint,
    EndpointAuth,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "-m", "http.server", "8080",
    container_image="python:3.11",
    services=[
        Service(
            port=8080,
            name="web",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.HTTPS, auth=EndpointAuth.OPEN),
        ),
    ],
)

from cwsandbox import (
    Endpoint,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "/srv/serve_tls.py",
    container_image="python:3.11",
    services=[
        Service(
            port=8443,
            name="tls",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.TLS_PASSTHROUGH),
        ),
    ],
)

• Les ports doivent être uniques, tout comme les noms que vous définissez. Les noms correspondent aux noms de ports de conteneur Kubernetes, qui doivent être uniques.
• visibility doit valoir PUBLIC lorsque endpoint est défini, et ne doit pas être défini dans le cas contraire. La visibilité seule ne crée ni point de terminaison ni adresse.
• protocol doit valoir TCP ou ne pas être défini. La plateforme rejette les points de terminaison UDP et SCTP.
• Omettez auth et request_timeout_seconds en mode TLS passthrough. Passez None plutôt que 0 : une valeur 0 est considérée comme définie, et la plateforme rejette alors l’appel de création.
• Le nombre de services qu’une sandbox peut déclarer est plafonné par une limite de la plateforme. Ce plafond est défini par les opérateurs et généralement fixé à cinq dans les déploiements.

​

Lire l’adresse attribuée

for endpoint in sandbox.service_addresses:
    print(endpoint.port, endpoint.name, endpoint.address)

8443 tls 8443-2f8d41b6-9c3e-4a17-b5d2-7e0a13c64f89.a1b2c3d4.ep2.cwsandbox.com:443

• Une adresse TLS passthrough est attribuée dès la création de la sandbox : elle figure donc dans la réponse de création et reste disponible tant que la sandbox est en cours de création ou d’exécution.
• Une URL HTTPS reste vide tant que la sandbox n’a pas atteint l’état RUNNING et que sa route n’a pas de nom d’hôte. Appelez get_status() en boucle jusqu’à ce que l’URL apparaisse ou que votre propre délai expire.
• Dans les deux cas, cela ne signifie pas que l’application est prête à servir. La plateforme n’attend pas que votre processus se lie au port pour signaler que la sandbox est en cours d’exécution : prévoyez donc une nouvelle tentative pour votre première connexion.

​

Se connecter à un point de terminaison TLS passthrough

• Envoyez l’hôte du point de terminaison comme nom de serveur SNI. La plateforme achemine le trafic uniquement en fonction du SNI : une connexion qui l’omet, ou qui transmet un autre nom, n’atteint pas votre sandbox.
• Faites confiance au certificat de la charge de travail. Le nom d’hôte du point de terminaison est attribué par la plateforme ; un certificat que vous émettez vous-même ne lui correspond donc pas, sauf si vous l’émettez pour ce nom d’hôte. Configurez le client pour qu’il fasse confiance à votre propre autorité de certification, ou épinglez le certificat.

import socket
import ssl

address = "[ENDPOINT-ADDRESS]"  # host:port provenant de service_addresses
host, port = address.rsplit(":", 1)

context = ssl.create_default_context(cafile="[PATH-TO-CA-CERT]")

with socket.create_connection((host, int(port))) as sock:
    with context.wrap_socket(sock, server_hostname=host) as tls:
        print(tls.version(), tls.getpeercert()["subject"])

​

Durée de vie du point de terminaison

• Il est lié à la sandbox, et non à un Pod. Si le Pod sous-jacent redémarre, l’adresse ne change pas.
• La suppression de la sandbox entraîne celle du point de terminaison. L’adresse n’est pas transférée vers une autre sandbox, et toute nouvelle sandbox reçoit une nouvelle adresse.
• Rien n’est réservé d’une sandbox à l’autre. Vous ne pouvez pas conserver un nom d’hôte pour le réutiliser.

​

Résoudre les échecs de création

​

Pages connexes

• Configuration du bac à sable : ressources, ports, secrets et délais d’expiration.
• Architecture des sandboxes : interactions entre les exécuteurs, les profils et le plan de contrôle.
• Cycle de vie d’une sandbox : les différents états par lesquels passe une sandbox.