公開エンドポイント

• HTTPS: プラットフォームが発行・更新する証明書を使用して、エッジで TLS を終端し、リクエストを平文の HTTP として指定したポートに転送します。
• TLS パススルー: プラットフォームは、接続を復号せずに、Server Name Indication (SNI) に基づいて指定したポートにルーティングします。ワークロードが TLS を終端し、独自の証明書を管理します。

​

2 種類の比較

​

エンドポイントを宣言する

from cwsandbox import (
    Endpoint,
    EndpointAuth,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "-m", "http.server", "8080",
    container_image="python:3.11",
    services=[
        Service(
            port=8080,
            name="web",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.HTTPS, auth=EndpointAuth.OPEN),
        ),
    ],
)

from cwsandbox import (
    Endpoint,
    EndpointKind,
    Sandbox,
    Service,
    ServiceVisibility,
)

sandbox = Sandbox.run(
    "python3", "/srv/serve_tls.py",
    container_image="python:3.11",
    services=[
        Service(
            port=8443,
            name="tls",
            visibility=ServiceVisibility.PUBLIC,
            endpoint=Endpoint(kind=EndpointKind.TLS_PASSTHROUGH),
        ),
    ],
)

• ポートは一意である必要があり、名前を設定する場合はその名前も一意である必要があります。名前は Kubernetes のコンテナーポート名にマッピングされ、コンテナーポート名は一意でなければなりません。
• endpoint を設定する場合、visibility は PUBLIC にする必要があり、endpoint を設定しない場合は visibility を未設定のままにする必要があります。可視性を設定しただけでは、エンドポイントもアドレスも作成されません。
• protocol は TCP にするか、未設定のままにする必要があります。 プラットフォームは UDP および SCTP のエンドポイントを拒否します。
• TLS パススルーの場合は auth と request_timeout_seconds を省略してください。 0 ではなく None を渡してください。0 は値が設定されているとみなされ、プラットフォームによって作成リクエストが拒否されます。
• 1 つのサンドボックスで宣言できるサービスの数には、プラットフォームによる上限があります。 上限はオペレーターが設定し、多くのデプロイメントでは 5 に設定されています。

​

割り当てられたアドレスを取得する

for endpoint in sandbox.service_addresses:
    print(endpoint.port, endpoint.name, endpoint.address)

8443 tls 8443-2f8d41b6-9c3e-4a17-b5d2-7e0a13c64f89.a1b2c3d4.ep2.cwsandbox.com:443

• TLS パススルーアドレスは、サンドボックスが作成されたときに割り当てられます。そのため、作成応答に含まれ、サンドボックスが作成中または実行中は利用可能です。
• HTTPS URL は、サンドボックスが RUNNING に到達し、ルートにホスト名が設定されるまで空です。URL が表示されるか、独自の期限が切れるまで、ループで get_status() を呼び出します。
• どちらも、アプリケーションがサービスを提供していることを意味するわけではありません。 プラットフォームは、プロセスがポートにバインドするのを待たずにサンドボックスを実行中として報告するため、最初の接続を再試行してください。

​

TLS パススルー エンドポイントへの接続

• エンドポイント ホストを SNI サーバー名として送信します。 プラットフォームは SNI のみでルーティングするため、これを省略したり別の名前を送信したりすると、サンドボックスに到達しません。
• ワークロードの証明書を信頼します。 エンドポイント ホスト名はプラットフォームが割り当てるため、自分で発行した証明書は、そのホスト名用に発行しない限り一致しません。クライアントを自分の証明書機関を信頼するように設定するか、証明書をピン留めしてください。

import socket
import ssl

address = "[ENDPOINT-ADDRESS]"  # service_addresses からの host:port
host, port = address.rsplit(":", 1)

context = ssl.create_default_context(cafile="[PATH-TO-CA-CERT]")

with socket.create_connection((host, int(port))) as sock:
    with context.wrap_socket(sock, server_hostname=host) as tls:
        print(tls.version(), tls.getpeercert()["subject"])

​

エンドポイントの有効期間

• サンドボックスに紐づけられており、Pod には紐づけられていません。 基盤となる Pod が再起動しても、アドレスは変わりません。
• サンドボックスを削除すると、エンドポイントも削除されます。 アドレスは別のサンドボックスに移行せず、新しいサンドボックスには新しいアドレスが割り当てられます。
• サンドボックス間で何も予約されません。 ホスト名を再利用のために保持することはできません。

​

作成リクエストの失敗をトラブルシュートする

​

関連ページ

• サンドボックスの設定: リソース、ポート、シークレット、およびタイムアウト。
• サンドボックスのアーキテクチャ: ランナー、プロフィール、およびコントロールプレーンがどのように相互作用するか。
• サンドボックスのライフサイクル: サンドボックスが経る状態。