GCP 架構範本庫

本例以 Cloud Run 執行容器化 API；先量測延遲、並行請求、啟動與下游容量，再設定擴縮。縮至零不代表 SQL、負載平衡器、網路或儲存一起零費用。

Cloud SQL 用於本例的 PostgreSQL 交易與既有生態；是否改用 Spanner 取決於交易分布、擴展、延遲與營運需求，不由「電商」或日訂單數直接決定。

將公開素材路徑導向啟用 CDN 的 backend bucket，API 導向另一個 serverless NEG backend，本例不對 API 啟用 CDN。帳戶、購物車與訂單回應設定 no-store，逐次驗證身分與物件權限。

不要把 FORCE_CACHE_ALL 套到私人內容；它可能忽略 private／no-store。若未來對 Cloud Run 的公開回應啟用 CDN，須另查快取模式、標頭、cache key 與簽名 URL 的行為。

Private IP 需要 Cloud Run 到 VPC 的實際網路路徑。本例採 Direct VPC egress 或相容的 Serverless VPC Access，再依官方路徑使用 private IP／TCP 與所需 TLS；Auth Proxy 不會替應用建立 VPC 路由。

以實例數乘上每實例連線池大小作連線預算起點，另留發布、重試、其他服務與管理連線餘裕。maximum instances 可能短暫超出設定，不能當成資料庫總連線的硬保證。

商品圖片與私人上傳採分開的 bucket／權限與 URL 路徑；物件儲存與 BLOB 的成本依大小、讀寫、快取和網路估算，不宣稱固定便宜十倍。CORS 控制瀏覽器跨來源行為，不是使用者授權。

本例選 GKE Autopilot 是因為需要 Kubernetes API 與工作負載控制。Cloud Run 也支援 WebSocket 和 gRPC，應比較逾時、重連、並行數與部署需求，不能只因使用這兩種協定就排除 Cloud Run。

只有在負載與分散式交易需求支持時才選 Spanner；一般 SaaS 也可評估 Cloud SQL。以實際配置的 SLA、應用 SLO、延遲、資料位置與成本驗證選型。

共用資料表的 tenant_id 主鍵前綴有助資料分組與存取局部性，並非自動 row-level security。先驗證身分與租戶成員資格，再由資料存取層對每次讀寫、join、批次與匯出限制租戶範圍。

Spanner 原生 CMEK 是 database 的加密設定；多個區域金鑰也不是逐列的租戶金鑰。需要每租戶獨立 CMEK 或原生備份／還原邊界時，優先評估每租戶一個 database；同一 instance 仍共用運算資源。

Cloud Armor 處理邊緣濫用流量，限流是近似值。不要直接信任客戶端可改寫的 tenant header；應用在驗證後依可信租戶脈絡執行配額、並行限制與稽核。

非同步工作延續租戶邊界：限制發布者 IAM、驗證訊息來源與工作授權範圍，Worker 不得只因訊息帶 tenant_id 就信任它。重送、快取、物件儲存及下載連結也須驗證不會跨租戶。

事件採穩定 event_id，區分事件發生時間與到達時間。Pub/Sub 預設至少一次且不保證排序；發布者重試與重播都可能讓業務事件重複。

Pub/Sub 可緩衝暫時中斷，但保留有期限；事先規劃 topic／subscription 保留及部署前 snapshot。已確認訊息的時間重播需要相應保留設定，不以緩衝層宣稱永不遺失。

Dataflow 的 exactly-once 處理不保證外部 API 副作用恰好一次。寫 BigQuery 時區分 STORAGE_WRITE_API 與 STORAGE_API_AT_LEAST_ONCE 等模式；選用後者就要接受或處理重複，不能只看管線名稱。

在管線內把解析／驗證失敗及 sink 可回報的失敗分流到錯誤目的地，保留原因與事件 ID。官方不建議將 Pub/Sub dead-letter topic 當作 Dataflow 管線錯誤處理的替代品。

BigQuery 與 Storage 是獨立輸出，不保證同時提交。封存、分析及重播都須記錄版本並核對筆數／ID；單一分支成功不代表另一份原始資料已保存。

依來源與業務定義 event-time 視窗、allowed lateness 與遲到修正策略。Data Studio 的資料新鮮度與查詢快取另計，端到端延遲應從來源事件量到畫面可見。

費用包含訊息傳輸與保留、Dataflow 執行資源、BigQuery 寫入／儲存／查詢、Storage 及跨區流量。分區只有在查詢能裁剪相應範圍時才減少掃描，不能保證固定月費或秒級查詢。

本例使用 Cloud Storage、global external Application Load Balancer 與 Cloud CDN；不宣稱固定便宜 90% 或每月必在某個美元區間。依 LB、CDN、儲存操作、網路、DNS 與建置分項估算，低流量仍可能有固定費用。

Cloud Storage 本身不直接提供 HTTPS 自訂域名，本例由 LB 終止 HTTPS。DNS 只回傳名稱對應的位址，不會依序轉送 CDN 或網站內容；A 指向 IPv4，只有配置 IPv6 frontend 時才設定對應 AAAA。

公開網站內容不必一律讓 bucket 可公開讀取。可依相容的 LB／CDN 設定 private bucket access，以授權身分回源；這是 origin 存取控制，不等於限制哪些訪客可讀網站。

若改採公開 bucket，只放明確可公開的網站檔案；先查組織與 Public Access Prevention 政策，不為了範例逕自解除防護。私人檔案與會員內容不放入公開網站路徑。

Cloud Build 以最小部署權限發布可追溯產物，驗證後才切換版本。CI 成功不等於所有 CDN 與瀏覽器快取立即更新；需設計快取標頭、版本檔名、舊資產保留、失效與回滾。

Cloud DNS 是此方案可用的 DNS 供應者之一，既有 DNS 也能指向 LB。Cloud Build 的免費額度有適用條件，不代表 LB／CDN／儲存或整個方案免費。

本例採自管 MQTT broker，不使用已退役的 Cloud IoT Core。MQTT 連線能力不包含完整裝置註冊、韌體更新與生命週期管理，需依 broker 或另建系統處理。

先決定 TLS 終止點。本例採 passthrough NLB，裝置 mTLS 到 broker 終止並檢查憑證；若改用終止 TLS 的 SSL proxy，不能假設 broker 還能直接驗證原始裝置憑證。

裝置身分、MQTT topic ACL 與 bridge 的 Google Cloud IAM 分開管理。裝置不得只靠可改寫的 device_id 宣稱身分；測試冒用 ID、跨裝置發布／訂閱、失效與撤銷憑證。

MQTT QoS 的範圍不會自動延伸到 Pub/Sub、資料庫及通知。為事件建立穩定 ID，設計 broker 到 Pub/Sub 的發布確認、重試與緩衝；在斷線、session 遷移與重連風暴下量測。

分析與告警採獨立訂閱／觸發路徑；共用同一 pull subscription 的多個 subscriber 是分攤工作，不是每個都收到一份。Pub/Sub 保留有期限，Dataflow 升級不能直接推導不遺失。

Bigtable 先由查詢決定 key。device_id#reverse_timestamp 可讓同裝置的新資料排前面，但反向時間戳本身不會分散熱點；避免時間戳開頭，也要測試單一熱門裝置。必要時評估分桶及查詢合併代價。

BigQuery／Bigtable 雙寫不是跨系統交易，只有業務需要兩種存取模式才維護兩份資料，並設核對與重播。通知以事件 ID 做冪等，避免把重送事件當成新的告警。

先依問題、資料及維運需求比較 BigQuery ML、AutoML 與 Custom Training。本例走自訂模型；是否用 managed dataset 依訓練流程決定，不能當成所有 custom job 的必要步驟。資料格式也由框架與任務決定。

Endpoint 也支援自訂推論容器，包含前／後處理。需要自訂程式不會直接排除它；Cloud Run 的選擇應由模型大小、硬體、HTTP 需求、啟動、並行與營運能力支持。

線上推論是對已部署 endpoint 的同步請求；批次推論透過 batch job 非同步處理，不需要先部署線上 endpoint。Cloud Run 是替代路徑，不是 Model Registry 註冊後自動部署的目標。

將資料快照、切分、特徵程式、容器 digest、超參數及模型版本連結起來。先確認訓練與服務前處理一致，避免把評估資料混入訓練；評估門檻成立後才發布。

BigQuery 特徵工程應量測查詢計畫、掃描量、資源與匯出時間，不以 PB 級資料推導秒級完成。資料、訓練與推論區域也影響傳輸及服務支援。

監控先核對模型類型、部署位置、版本與資料收集需求；Model Monitoring 不會自動覆蓋所有 Cloud Run 模型。另追蹤服務延遲／錯誤與有標籤資料的品質，漂移告警本身不是準確率下降的證明。

費用需分開估訓練／調參、常駐推論、批次、GPU、儲存、查詢與網路。Cloud Run GPU 需要 instance-based billing，閒置的 minimum instances 仍會計費；以目標區域、配額與實測用量核算。