已有Cloud Run应用及cloudbuild.yml，如何部署Metabase对接PostgreSQL？

Alright, let's walk through exactly how to add a Metabase deployment to your existing Cloud Run + Cloud Build setup, using PostgreSQL as its backend database. I’ve helped a few folks set this up, so here’s a step-by-step guide tailored to your scenario:

1. 先搞定PostgreSQL后端（如果还没配置） #

First, you’ll need a Cloud SQL PostgreSQL instance for Metabase to store its own metadata (not your business data—though you can connect that later). Here’s what to do:

• Spin up a Cloud SQL PostgreSQL instance (Metabase 0.49+ supports versions 11-15, so stick to that range for compatibility).
• Create a dedicated database (e.g., metabase_db) and a service user (e.g., metabase_user), then grant this user full privileges on the database.
• Jot down the instance connection name (looks like project-id:region:instance-name), database name, username, and password—you’ll need these later.

2. 修改你的cloudbuild.yml以集成Metabase #

Since you already have a Cloud Build pipeline, we’ll add steps to pull the official Metabase image, push it to GCR, and deploy it to Cloud Run. Here’s a modified version of your cloudbuild.yml with the new Metabase steps:

steps:
  # 保留你现有应用的构建步骤（如果有的话）
  # - name: 'gcr.io/cloud-builders/docker'
  #   args: ['build', '-t', 'gcr.io/$PROJECT_ID/your-existing-app', '.']
  # ...

  # 步骤1：拉取官方Metabase镜像
  - name: 'gcr.io/cloud-builders/docker'
    args: ['pull', 'metabase/metabase:latest']
  
  # 步骤2：为你的GCR仓库打标签
  - name: 'gcr.io/cloud-builders/docker'
    args: ['tag', 'metabase/metabase:latest', 'gcr.io/$PROJECT_ID/metabase']
  
  # 步骤3：推送到GCR
  - name: 'gcr.io/cloud-builders/docker'
    args: ['push', 'gcr.io/$PROJECT_ID/metabase']
  
  # 步骤4：部署Metabase到Cloud Run
  - name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
    entrypoint: gcloud
    args:
      - 'run'
      - 'deploy'
      - 'metabase-service' # 自定义你的Cloud Run服务名称
      - '--image'
      - 'gcr.io/$PROJECT_ID/metabase'
      - '--platform'
      - 'managed'
      - '--region'
      - 'us-central1' # 替换成你偏好的区域
      - '--allow-unauthenticated' # 如果不需要公开访问，删除这条
      - '--set-env-vars'
      # Metabase数据库连接配置
      - 'MB_DB_TYPE=postgres'
      - 'MB_DB_DBNAME=metabase_db'
      - 'MB_DB_PORT=5432'
      - 'MB_DB_USER=metabase_user'
      - 'MB_DB_PASS=$$(gcloud secrets versions access latest --secret=metabase-db-password)' # 用Secret Manager存储密码更安全
      - 'MB_DB_HOST=/cloudsql/your-cloudsql-instance-connection-name' # 替换成你的实例连接名
      - '--add-cloudsql-instances'
      - 'your-cloudsql-instance-connection-name' # 将Cloud SQL实例关联到Cloud Run服务

# 将Metabase镜像加入构建产物列表
images:
  - 'gcr.io/$PROJECT_ID/metabase'

配置关键点说明： #

• 密码用Secret Manager存储：绝对不要硬编码数据库密码！把密码存在Secret Manager里，然后给Cloud Build和Cloud Run的服务账号添加roles/secretmanager.secretAccessor角色，让它们能读取这个密钥。
• Cloud SQL连接方式：使用Unix套接字（/cloudsql/...）比公网IP更安全，--add-cloudsql-instances参数会把你的Cloud SQL实例和Cloud Run服务绑定起来。
• 访问控制：如果删除了--allow-unauthenticated，可以通过IAM配置给特定用户/组赋予访问权限。

3. 给Cloud Run配置必要权限 #

确保你的Cloud Run服务账号拥有以下角色：

• 分配roles/cloudsql.client角色，这样它才能连接到Cloud SQL实例。
• 如果用了Secret Manager，给服务账号添加roles/secretmanager.secretAccessor角色。

4. 初始化Metabase #

部署完成后，复制Cloud Run分配的服务URL，然后：

1. 打开URL，创建你的管理员账号。
2. 跟着设置向导连接你的业务数据库（如果需要的话）。
3. 开始构建仪表盘和查询分析吧！

常见问题排查 #

• 数据库连接失败：仔细检查Cloud SQL实例的连接名、环境变量配置，以及服务账号是否拥有cloudsql.client角色。
• 冷启动慢：如果Metabase首次加载耗时太长，可以在Cloud Run里设置最小实例数（会小幅增加成本，但能消除冷启动延迟）。
• 镜像推送失败：确认Cloud Build服务账号拥有GCR的写入权限（默认应该有，如果没有就添加roles/storage.objectAdmin角色）。

内容的提问来源于stack exchange，提问作者Шурбески Христијан