Connessione a una rete VPC
Questa pagina mostra come connettere un servizio o job di Cloud Run alla rete VPC, consentendo il traffico in uscita (in uscita) da Cloud Run a istanze VM di Compute Engine, istanze di datastore e qualsiasi altra risorsa con un indirizzo IP interno.
Puoi abilitare il tuo servizio o job per inviare traffico a una rete VPC configurando un connettore di accesso VPC serverless o utilizzando il traffico VPC diretto in uscita senza bisogno di un connettore.
Prima di iniziare
Se non hai già una rete VPC nel progetto, creane una.
Se utilizzi un VPC condiviso, consulta la documentazione specifica per la configurazione dell'accesso VPC serverless per il tuo prodotto.
- Cloud Run: Connessione a una VPC condiviso condivisa
- Cloud Functions: Connessione a una VPC condiviso condivisa
- App Engine: Connessione a una VPC condiviso condivisa
Se hai un vincolo del criterio dell'organizzazione che impedisce l'utilizzo di Cloud Deployment Manager, non potrai creare o eliminare i connettori di accesso VPC serverless. La creazione o l'eliminazione di un connettore richiede la funzionalità Deployment Manager.
Requisiti delle subnet del connettore
Ogni connettore richiede la propria subnet dedicata
PRIVATE
con un intervallo di indirizzi IPv4 principale/28
. Questa subnet non può essere utilizzata da altre risorse, come VM, Private Service Connect o bilanciatori del carico.Per creare un connettore in un progetto di servizio che utilizza una rete VPC condiviso in un progetto host, un amministratore di rete per la rete VPC condiviso deve creare manualmente la subnet del connettore prima che tu possa creare il connettore.
Per determinare se una subnet esistente creata manualmente può essere utilizzata da un connettore, descrivi la subnet:
gcloud compute networks subnets describe SUBNET --region=REGION
Sostituisci SUBNET con il nome della subnet e REGION con la regione che la contiene.
Nell'output, verifica quanto segue:
- L'elemento
purpose
della subnet èPRIVATE
. - L'intervallo di indirizzi IPv4 principale della subnet,
ipCidrRange
, è/28
.
- L'elemento
Se devi creare un connettore di accesso VPC serverless nello stesso progetto che contiene la rete VPC utilizzata dal connettore, puoi creare manualmente la subnet del connettore prima di creare il connettore oppure Google Cloud può creare automaticamente la subnet per il connettore.
Quando Google Cloud crea una subnet per un connettore, tieni presente quanto segue:
Le subnet create automaticamente per i connettori non sono visibili quando elenchi le subnet, indipendentemente dal fatto che utilizzi la console Google Cloud, Google Cloud CLI o l'API Compute Engine.
Non è possibile descrivere le subnet create automaticamente per i connettori.
Le subnet create automaticamente sono incluse nell'elenco delle subnet che viene presentato quando descrivi una rete VPC.
Per ulteriori informazioni sulle subnet, incluso come elencare quelle esistenti per determinare quali intervalli di indirizzi IP sono già utilizzati, consulta Utilizzo delle subnet.
Limitazioni
Il traffico IPv6 non è supportato.
Crea connettore
Per inviare richieste alla tua rete VPC e ricevere le risposte corrispondenti senza utilizzare la rete internet pubblica, puoi utilizzare un connettore di accesso VPC serverless.
Se il connettore si trova nello stesso progetto della rete VPC, puoi creare un connettore utilizzando una subnet esistente o creare un connettore e una nuova subnet.
Se il connettore si trova in un progetto di servizio e utilizza una rete VPC condiviso, il connettore e la rete VPC associata si trovano in progetti diversi. Quando un connettore e la relativa rete VPC si trovano in progetti diversi, un amministratore di rete VPC condiviso deve creare la subnet del connettore nella rete VPC condivisa prima di poter creare il connettore e devi creare il connettore utilizzando una subnet esistente.
Per ulteriori informazioni sui requisiti delle subnet, consulta i requisiti delle subnet del connettore.
Per ulteriori informazioni sulla velocità effettiva del connettore, inclusi il tipo di macchina e la scalabilità, consulta Velocità effettiva e scalabilità.
Puoi creare un connettore utilizzando la console Google Cloud, Google Cloud CLI o Terraform.
Console
Vai alla pagina di riepilogo Accesso VPC serverless.
Fai clic su Crea connettore.
Nel campo Nome, inserisci un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi, ovvero che il nome non superi i 21 caratteri e che i trattini (-) siano conteggiati come due caratteri.
Nel campo Regione, seleziona una regione per il connettore. Deve corrispondere alla regione del tuo servizio serverless.
Se il tuo servizio o job si trova nella regione
us-central
oeurope-west
, utilizzaus-central1
oeurope-west1
.Nel campo Rete, seleziona la rete VPC a cui collegare il connettore.
Nel campo Subnet, seleziona una delle seguenti opzioni:
Crea un connettore utilizzando una subnet esistente:seleziona la subnet esistente nel campo Subnet.
Crea un connettore e una nuova subnet: seleziona Intervallo IP personalizzato nel campo Subnet. Quindi, inserisci il primo indirizzo in un CIDR
/28
inutilizzato (ad esempio10.8.0.0/28
) da utilizzare come intervallo di indirizzi IPv4 principale di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con le route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".
(Facoltativo) Per impostare le opzioni di scalabilità per un ulteriore controllo sul connettore, fai clic su Mostra impostazioni di scalabilità per visualizzare il modulo di scalabilità.
- Imposta il numero minimo e massimo di istanze per il connettore
oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (max). Il connettore esegue lo scale up fino al massimo specificato se l'utilizzo del traffico lo richiede, ma il connettore non esegue lo scale down quando il traffico diminuisce. Devi utilizzare valori compresi tra
2
e10
. - Nel menu Tipo di istanza, scegli il tipo di macchina da
utilizzare per il connettore oppure usa il valore predefinito
e2-micro
. Nota la barra laterale dei costi a destra quando scegli il tipo di istanza, che visualizza la larghezza di banda e le stime dei costi.
- Imposta il numero minimo e massimo di istanze per il connettore
oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (max). Il connettore esegue lo scale up fino al massimo specificato se l'utilizzo del traffico lo richiede, ma il connettore non esegue lo scale down quando il traffico diminuisce. Devi utilizzare valori compresi tra
Fai clic su Crea.
Quando il connettore è pronto per l'uso, accanto al nome del connettore verrà visualizzato un segno di spunta verde.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Aggiorna i componenti di
gcloud
alla versione più recente:gcloud components update
Assicurati che l'API Serverless VPC Access sia abilitata per il tuo progetto:
gcloud services enable vpcaccess.googleapis.com
Crea il connettore utilizzando una delle seguenti opzioni:
Per ulteriori dettagli e argomenti facoltativi, consulta il riferimento di
gcloud
.Crea un connettore utilizzando una subnet esistente:
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region REGION \ --subnet SUBNET_NAME \ --subnet-project HOST_PROJECT_ID \ --min-instances MIN \ --max-instances MAX \ --machine-type MACHINE_TYPE
Sostituisci quanto segue:
CONNECTOR_NAME
: un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi secondo cui il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.REGION
: una regione per il connettore, corrispondente a quella del servizio o del job serverless. Se il tuo servizio o job si trova inus-central
oeurope-west
, utilizzaus-central1
oeurope-west1
.SUBNET_NAME
: il nome della subnet esistente.HOST_PROJECT_ID
: l'ID del progetto host del VPC condiviso. Se il connettore e la subnet esistente si trovano nello stesso progetto, ometti il flag--subnet-project
.MIN
: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra2
(valore predefinito) e9
.MAX
: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra3
e10
(valore predefinito). Se il connettore fa lo scale up fino al numero massimo di istanze, non esegue lo scale down.MACHINE_TYPE
: deve essere uno dei seguenti:f1-micro
,e2-micro
oe2-standard-4
.
Crea un connettore e una nuova subnet:
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region REGION \ --network VPC_NETWORK \ --range IP_RANGE --min-instances MIN \ --max-instances MAX \ --machine-type MACHINE_TYPE
Sostituisci quanto segue:
CONNECTOR_NAME
: un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi secondo cui il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.REGION
: una regione per il connettore, corrispondente a quella del servizio o del job serverless. Se il tuo servizio o job si trova inus-central
oeurope-west
, utilizzaus-central1
oeurope-west1
.VPC_NETWORK
: il nome della rete VPC a cui collegare il connettore. Il connettore e la rete VPC devono trovarsi nello stesso progetto.IP_RANGE
: fornisci un CIDR/28
inutilizzato (ad esempio10.8.0.0/28
) da utilizzare come intervallo di indirizzi IPv4 principali di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con eventuali route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".MIN
: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra2
(valore predefinito) e9
.MAX
: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra3
e10
(valore predefinito). Se il connettore fa lo scale up fino al numero massimo di istanze, non esegue lo scale down.MACHINE_TYPE
: deve essere uno dei seguenti:f1-micro
,e2-micro
oe2-standard-4
.
Verifica che il connettore sia nello stato
READY
prima di utilizzarlo:gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \ --region REGION
Sostituisci quanto segue:
CONNECTOR_NAME
: il nome del connettore; si tratta del nome specificato nel passaggio precedente.REGION
: la regione del connettore; è quella specificata nel passaggio precedente.
L'output deve contenere la riga
state: READY
.
Terraform
Puoi utilizzare una risorsa Terraform
per abilitare l'API vpcaccess.googleapis.com
.
Puoi utilizzare i moduli Terraform per creare una rete VPC e una subnet e quindi creare il connettore.
Configura il tuo ambiente serverless per utilizzare un connettore
Dopo aver creato un connettore di accesso VPC serverless, configura il tuo ambiente serverless per l'utilizzo del connettore seguendo le istruzioni per l'ambiente serverless:
Configura Cloud Run per utilizzare un connettore
Quando crei un nuovo servizio o esegui il deployment di una nuova revisione, puoi configurare il servizio in modo che utilizzi un connettore utilizzando la console Google Cloud, Google Cloud CLI, un file YAML o una risorsa Terraform.
Console
Nella console Google Cloud, vai a Cloud Run:
Fai clic su Crea servizio se stai configurando un nuovo servizio in cui stai eseguendo il deployment. Se stai configurando un servizio esistente, fai clic sul servizio e poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio come preferisci, poi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Connessioni.
- Nel campo Connettore VPC, seleziona un connettore da utilizzare o seleziona Nessuno per disconnettere il servizio da una rete VPC.
Fai clic su Crea o Esegui il deployment.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Per specificare un connettore durante il deployment, utilizza il flag
--vpc-connector
:gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME
- Sostituisci
SERVICE
con il nome del tuo servizio. - Sostituisci
IMAGE_URL
. - Sostituisci
CONNECTOR_NAME
con il nome del connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.
Per collegare, aggiornare o rimuovere un connettore per un servizio esistente, utilizza il comando
gcloud run services update
con uno dei seguenti flag a seconda delle esigenze:Ad esempio, per collegare o aggiornare un connettore:
gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME
- Sostituisci
SERVICE
con il nome del tuo servizio. - Sostituisci
CONNECTOR_NAME
con il nome del connettore.
- Sostituisci
YAML
Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:
gcloud run services describe SERVICE --format export > service.yaml
Aggiungi o aggiorna l'attributo
run.googleapis.com/vpc-access-connector
nell'attributoannotations
sotto l'attributospec
di primo livello:apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE spec: template: metadata: annotations: run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
- Sostituisci
SERVICE
con il nome del tuo servizio Cloud Run. - Sostituisci
CONNECTOR_NAME
con il nome del connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.
- Sostituisci
Sostituisci il servizio con la nuova configurazione utilizzando il seguente comando:
gcloud beta run services replace service.yaml
Terraform
Puoi utilizzare una risorsa Terraform per creare un servizio e configurarlo in modo che utilizzi il tuo connettore.
Configura Cloud Functions per utilizzare un connettore
Puoi configurare una funzione in modo da utilizzare un connettore dalla console Google Cloud o da Google Cloud CLI:
Console
Vai alla pagina Panoramica di Cloud Functions nella console Google Cloud:
Fai clic su Crea funzione. In alternativa, fai clic su una funzione esistente per passare alla pagina dei dettagli e fai clic su Modifica.
Espandi le impostazioni avanzate facendo clic su IMPOSTAZIONI DI RUNTIME, CREAZIONE E CONNESSIONI.
Nella scheda Connessioni in Impostazioni in uscita, inserisci il nome del connettore nel campo Connettore VPC.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Utilizza il comando
gcloud functions deploy
per eseguire il deployment della funzione e specificare il flag--vpc-connector
:gcloud functions deploy FUNCTION_NAME \ --vpc-connector CONNECTOR_NAME \ FLAGS...
dove:
FUNCTION_NAME
è il nome della funzione.CONNECTOR_NAME
è il nome del tuo connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.FLAGS...
si riferisce ad altri flag passati durante il deployment delle funzioni.
Per un maggiore controllo sulle richieste instradate tramite il connettore, consulta Impostazioni in uscita.
Configura App Engine per l'utilizzo di un connettore
Python 2
Interrompi l'utilizzo del servizio di recupero URL di App Engine.
Per impostazione predefinita, tutte le richieste vengono instradate tramite il servizio di recupero URL. Di conseguenza, le richieste alla rete VPC non vanno a buon fine. Per disattivare questa impostazione predefinita, consulta Disattivare il recupero URL per evitare la gestione di tutte le richieste in uscita.
Se necessario, puoi continuare a utilizzare la libreria
urlfetch
direttamente per le singole richieste, ma questa operazione non è consigliata.Aggiungi il campo Accesso VPC serverless al file
app.yaml
:vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
Sostituisci quanto segue:
PROJECT_ID
con il tuo ID progetto Google Cloud. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere l'ID del progetto host.REGION
con la regione in cui si trova il connettore.CONNECTOR_NAME
con il nome del tuo connettore.
Esegui il deployment del servizio:
gcloud app deploy
Dopo aver eseguito il deployment del servizio, il servizio può inviare richieste agli indirizzi IP interni per accedere alle risorse nella tua rete VPC.
Java 8
Interrompi l'utilizzo del servizio di recupero URL di App Engine
URLFetchService
.Aggiungi l'elemento di accesso VPC serverless al file
appengine-web.xml
del tuo servizio:<vpc-access-connector> <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name> </vpc-access-connector>
Sostituisci quanto segue:
PROJECT_ID
con il tuo ID progetto Google Cloud. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere l'ID del progetto host.REGION
con la regione in cui si trova il connettore.CONNECTOR_NAME
con il nome del tuo connettore.
Esegui il deployment del servizio:
gcloud app deploy WEB-INF/appengine-web.xml
Dopo aver eseguito il deployment del servizio, il servizio può inviare richieste agli indirizzi IP interni per accedere alle risorse nella tua rete VPC.
Go 1.11
Interrompi l'utilizzo del servizio di recupero URL di App Engine.
L'accesso VPC serverless non supporta il recupero URL e le richieste effettuate utilizzando il recupero URL ignoreranno le impostazioni di accesso VPC serverless. Effettua invece connessioni in uscita con socket.
Aggiungi il campo Accesso VPC serverless al file
app.yaml
:vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
Sostituisci quanto segue:
PROJECT_ID
con il tuo ID progetto Google CloudREGION
con la regione in cui si trova il connettoreCONNECTOR_NAME
con il nome del tuo connettore
Esegui il deployment del servizio:
gcloud app deploy
Dopo aver eseguito il deployment del servizio, il servizio può inviare richieste agli indirizzi IP interni per accedere alle risorse nella tua rete VPC.
Tutti gli altri runtime
Aggiungi il campo Accesso VPC serverless al file
app.yaml
:vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
Sostituisci quanto segue:
PROJECT_ID
con il tuo ID progetto Google Cloud. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere l'ID del progetto host.REGION
con la regione in cui si trova il connettore.CONNECTOR_NAME
con il nome del tuo connettore.
Esegui il deployment del servizio:
gcloud app deploy
Dopo aver eseguito il deployment del servizio, il servizio può inviare richieste agli indirizzi IP interni per accedere alle risorse nella tua rete VPC.
Configura il tuo ambiente Cloud Run senza un connettore
Puoi abilitare il servizio Cloud Run per inviare il traffico in uscita (in uscita) direttamente a una rete VPC, consentendo l'accesso alle istanze VM di Compute Engine, alle istanze Memorystore e a qualsiasi altra risorsa con un indirizzo IP interno.
Configura il servizio senza un connettore
Il traffico VPC diretto in uscita consente al servizio Cloud Run di inviare traffico a una rete VPC senza un connettore di accesso VPC serverless. I costi di rete vengono scalati fino a zero, proprio come il servizio stesso. Puoi anche utilizzare i tag di rete direttamente sulle revisioni del servizio Cloud Run per una sicurezza di rete più granulare.
Puoi configurare il traffico VPC diretto in uscita con un servizio utilizzando la console Google Cloud, Google Cloud CLI, YAML o Terraform.
Console
Fai clic su Crea servizio se stai configurando un nuovo servizio in cui stai eseguendo il deployment. Se stai configurando ed eseguendo il deployment di un servizio esistente, fai clic sul servizio e poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio in base alle tue esigenze, poi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Networking.
Fai clic su Connettiti a un VPC per il traffico in uscita.
Fai clic su Invia il traffico direttamente a un VPC.
Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.
Nel campo Subnet, seleziona la subnet da cui il tuo servizio riceve gli indirizzi IP. Puoi eseguire il deployment di più servizi sulla stessa subnet.
(Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere diversi tag di rete, ad esempio
network-tag-2
.Per Routing del traffico, seleziona una delle seguenti opzioni:
- Instrada al VPC solo le richieste a IP privati per inviare solo il traffico agli indirizzi interni attraverso la rete VPC.
- Instrada tutto il traffico al VPC per inviare tutto il traffico in uscita attraverso la rete VPC.
Fai clic su Crea o Esegui il deployment.
Per verificare che il tuo servizio sia sulla tua rete VPC, fai clic sul servizio, quindi sulla scheda Networking. La rete e la subnet sono elencate nella scheda VPC.
Ora puoi inviare richieste dal tuo servizio Cloud Run a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.
gcloud
Per eseguire il deployment di un servizio Cloud Run senza un connettore da Google Cloud CLI:
Assicurati che l'API Compute Engine sia abilitata per il tuo progetto:
gcloud services enable compute.googleapis.com
Esegui il deployment del tuo servizio Cloud Run con il comando seguente:
gcloud run deploy SERVICE_NAME \ --image=IMAGE_URL \ --network=NETWORK \ --subnet=SUBNET \ --network-tags=NETWORK_TAG_NAMES \ --vpc-egress=EGRESS_SETTING \ --region=REGION
Sostituisci:
- SERVICE_NAME con il nome del tuo servizio Cloud Run.
- IMAGE_URL con un riferimento all'immagine container,
ad esempio
us-docker.pkg.dev/cloudrun/container/hello:latest
. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la formaLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- NETWORK con il nome della tua rete VPC.
-
SUBNET con il nome della tua subnet. La subnet deve essere
/26
o più grande. Il traffico VPC diretto in uscita supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o eseguire più servizi o job sulla stessa subnet, ma questa non può essere condivisa da nessun connettore esistente. - (Facoltativo) NETWORK_TAG_NAMES con i nomi separati da virgole dei tag di rete da associare a un servizio. Per i servizi, i tag di rete
vengono specificati a livello di revisione. Ogni revisione del servizio può avere
tag di rete diversi, ad esempio
network-tag-2
. - EGRESS_SETTING con un
valore di impostazione del traffico in uscita:
all-traffic
: invia tutto il traffico in uscita attraverso la rete VPC.private-ranges-only
: invia solo traffico agli indirizzi interni tramite la rete VPC.
- REGION con una regione per il tuo servizio.
Per verificare che il servizio sia nella tua rete VPC, esegui questo comando:
gcloud run services describe SERVICE_NAME \ --region=REGION
Sostituisci:
SERVICE_NAME
con il nome del tuo servizio.REGION
con la regione del servizio specificata nel passaggio precedente.
L'output deve contenere il nome della rete, della subnet e dell'impostazione del traffico in uscita, ad esempio:
VPC access: Network: default Subnet: subnet Egress: private-ranges-only
Ora puoi inviare richieste dal tuo servizio Cloud Run a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.
YAML
Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:
gcloud run services describe SERVICE --format export > service.yaml
Aggiorna i seguenti attributi:
apiVersion: serving.knative.dev/v1 kind: Service metadata: name: SERVICE_NAME labels: cloud.googleapis.com/location: REGION spec: template: metadata: annotations: run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]' run.googleapis.com/vpc-access-egress: EGRESS_SETTING spec: containers: - image: IMAGE
Sostituisci:
- SERVICE_NAME con il nome del tuo servizio Cloud Run. I nomi dei servizi devono contenere al massimo 49 caratteri e devono essere univoci per ogni regione e progetto.
- REGION con la regione per il servizio Cloud Run, che deve corrispondere a quella della subnet.
- NETWORK con il nome della tua rete VPC.
-
SUBNET con il nome della tua subnet. La subnet deve essere
/26
o più grande. Il traffico VPC diretto in uscita supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o eseguire più servizi o job sulla stessa subnet, ma questa non può essere condivisa da nessun connettore esistente. - (Facoltativo) NETWORK_TAG_NAMES con i nomi dei
tag di rete
da associare a un servizio. Per i servizi, i tag di rete
vengono specificati a livello di revisione. Ogni revisione del servizio può avere
tag di rete diversi, ad esempio
network-tag-2
. - EGRESS_SETTING con un
valore di impostazione del traffico in uscita:
all-traffic
: invia tutto il traffico in uscita attraverso la rete VPC.private-ranges-only
: invia solo traffico agli indirizzi interni tramite la rete VPC.
- IMAGE con l'URL dell'immagine del container di servizio.
Puoi anche specificare ulteriori configurazioni, ad esempio variabili di ambiente o limiti di memoria.
Crea o aggiorna il servizio utilizzando il comando seguente:
gcloud run services replace service.yaml
Terraform
Per scoprire come applicare o rimuovere una configurazione Terraform, vedi Comandi Terraform di base.
Aggiungi quanto segue al tuo file
main.tf
:
Facoltativamente, rendi pubblico il servizio se vuoi consentire l'accesso non autenticato al servizio.
Configura il job senza un connettore
Il traffico VPC diretto in uscita consente al job Cloud Run di inviare traffico a una rete VPC senza un connettore di accesso VPC serverless.
Puoi configurare il traffico VPC diretto in uscita con un job utilizzando la console Google Cloud, Google Cloud CLI o YAML.
Console
Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina iniziale delle impostazioni del job in base alle tue esigenze. Se stai configurando un job esistente, fai clic sul job e poi su Modifica.
Fai clic su Container, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.
Fai clic sulla scheda Connessioni.
Fai clic su Connettiti a un VPC per il traffico in uscita.
Fai clic su Invia il traffico direttamente a un VPC.
Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.
Nel campo Subnet, seleziona la subnet da cui il job riceve gli indirizzi IP. Puoi eseguire più job sulla stessa subnet.
Per Routing del traffico, seleziona una delle seguenti opzioni:
- Instrada al VPC solo le richieste a IP privati per inviare solo il traffico agli indirizzi interni attraverso la rete VPC.
- Instrada tutto il traffico al VPC per inviare tutto il traffico in uscita attraverso la rete VPC.
(Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere diversi tag di rete, ad esempio
network-tag-2
.(Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo job o ai tuoi job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere diversi tag di rete, ad esempio
network-tag-2
.Fai clic su Crea o Aggiorna.
Per verificare che il job si trovi sulla tua rete VPC, fai clic sul job, quindi sulla scheda Configurazione. La rete e la subnet sono elencate nella scheda VPC.
Ora puoi eseguire il tuo job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.
gcloud
Per creare un job Cloud Run senza un connettore da Google Cloud CLI:
Assicurati che l'API Compute Engine sia abilitata per il tuo progetto:
gcloud services enable compute.googleapis.com
Crea un job Cloud Run con il comando seguente:
gcloud run jobs create JOB_NAME \ --image=IMAGE_URL \ --network=NETWORK \ --subnet=SUBNET \ --network-tags=NETWORK_TAG_NAMES \ --vpc-egress=EGRESS_SETTING \ --region=REGION
Sostituisci:
- JOB_NAME con il nome del tuo job Cloud Run.
- IMAGE_URL con un riferimento all'immagine container,
ad esempio
us-docker.pkg.dev/cloudrun/container/job:latest
- NETWORK con il nome della tua rete VPC.
-
SUBNET con il nome della tua subnet. La subnet deve essere
/26
o più grande. Il traffico VPC diretto in uscita supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o eseguire più servizi o job sulla stessa subnet, ma questa non può essere condivisa da nessun connettore esistente. - (Facoltativo) NETWORK_TAG_NAMES con i nomi dei
tag di rete
da associare a un job. Per i job, i tag di rete vengono
specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete
diversi, ad esempio
network-tag-2
. - EGRESS_SETTING con un
valore di impostazione del traffico in uscita:
all-traffic
: invia tutto il traffico in uscita attraverso la rete VPC.private-ranges-only
: invia solo traffico agli indirizzi interni tramite la rete VPC.
- REGION con una regione per il tuo job.
Per verificare che il job si trovi nella tua rete VPC, esegui questo comando:
gcloud run jobs describe JOB_NAME \ --region=REGION
Sostituisci:
JOB_NAME
con il nome del tuo job.REGION
con la regione per il job specificata nel passaggio precedente.
L'output deve contenere il nome della rete e della subnet, ad esempio:
VPC network: Network: default Subnet: default
Ora puoi eseguire il tuo job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.
YAML
Se stai creando un nuovo job, salta questo passaggio. Se stai aggiornando un job esistente, scarica la relativa configurazione YAML:
gcloud run jobs describe JOB_NAME --format export > job.yaml
Aggiorna i seguenti attributi:
apiVersion: run.googleapis.com/v1 kind: Job metadata: name: JOB_NAME annotations: run.googleapis.com/launch-stage: BETA labels: cloud.googleapis.com/location: REGION spec: template: metadata: annotations: run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]' run.googleapis.com/vpc-access-egress: EGRESS_SETTING spec: containers: - image: IMAGE
Sostituisci:
- JOB_NAME con il nome del tuo job Cloud Run. I nomi dei job devono contenere al massimo 49 caratteri e devono essere univoci per ogni regione e progetto.
- REGION con la regione per il job Cloud Run, che deve corrispondere alla regione della subnet.
- NETWORK con il nome della tua rete VPC.
-
SUBNET con il nome della tua subnet. La subnet deve essere
/26
o più grande. Il traffico VPC diretto in uscita supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o eseguire più servizi o job sulla stessa subnet, ma questa non può essere condivisa da nessun connettore esistente. - (Facoltativo) NETWORK_TAG_NAMES con i nomi dei
tag di rete
da associare a un job. Per i job, i tag di rete vengono
specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete
diversi, ad esempio
network-tag-2
. - EGRESS_SETTING con un
valore di impostazione del traffico in uscita:
all-traffic
: invia tutto il traffico in uscita attraverso la rete VPC.private-ranges-only
: invia solo traffico agli indirizzi interni tramite la rete VPC.
- IMAGE con l'URL dell'immagine container del job.
Crea o aggiorna il job utilizzando il comando seguente:
gcloud run jobs replace job.yaml
Accesso alle risorse VPC
Consenti il traffico in entrata dall'infrastruttura serverless al connettore
Le VM del connettore devono essere in grado di ricevere pacchetti dall'intervallo di indirizzi IP esterni di Google Cloud 35.199.224.0/19
. Questo intervallo è utilizzato dall'infrastruttura serverless di Google sottostante per garantire che i servizi di Cloud Run, Cloud Functions e App Engine possano inviare pacchetti al connettore.
L'accesso VPC serverless crea una regola firewall di autorizzazione in entrata che si applica alle VM del connettore consentendo i pacchetti da 35.199.224.0/19
quando il connettore si trova nello stesso progetto della rete VPC che ha come target. Il connettore e la relativa rete VPC di destinazione si trovano nello stesso progetto se il connettore o ha come target una rete VPC autonoma o se il connettore ha come target una rete VPC condiviso e il connettore si trova nel progetto host.
Se crei un connettore in un progetto di servizio del VPC condiviso, un amministratore
sicurezza o un proprietario del progetto per il progetto host del VPC condiviso deve creare una
regola firewall di autorizzazione in entrata applicabile alle VM del connettore che consenta i pacchetti
da 35.199.224.0/19
. Di seguito è riportato un esempio di regola firewall
di autorizzazione VPC in entrata:
gcloud compute firewall-rules create RULE_NAME \ --action=ALLOW \ --rules=TCP \ --source-ranges=35.199.224.0/19 \ --target-tags=VPC_CONNECTOR_NETWORK_TAG \ --direction=INGRESS \ --network=VPC_NETWORK \ --priority=PRIORITY \ --project=PROJECT_ID
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio,
allow-vpc-connector-ingress
. - VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale
vpc-connector
può essere utilizzato per applicare la regola a tutti i connettori nella rete VPC. In alternativa, puoi usare un tag di rete specifico del connettore. Il tag di rete specifico assume il seguente formato:vpc-connector-
REGION-
CONNECTOR_NAME dove REGION è la regione Google Cloud del connettore e CONNECTOR_NAME è il nome. - VPC_NETWORK: il nome della rete VPC scelta come target dal connettore.
- PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
- PROJECT_ID: l'ID del progetto che contiene la rete VPC target del connettore.
Limita le risorse di rete VPC di accesso alle VM del connettore
Puoi limitare l'accesso del connettore alle risorse nella sua rete VPC di destinazione utilizzando le regole firewall VPC o le regole nei criteri firewall. Puoi applicare queste restrizioni utilizzando una delle seguenti strategie:
- Crea regole in entrata le cui destinazioni rappresentano le risorse a cui vuoi limitare l'accesso alle VM del connettore e le cui origini rappresentano le VM del connettore.
- Crea regole in uscita le cui destinazioni rappresentano le VM del connettore e le cui destinazioni rappresentano le risorse a cui vuoi limitare l'accesso alle VM del connettore.
I seguenti esempi illustrano ciascuna strategia.
Limita l'accesso mediante regole in entrata
Scegli tag di rete o intervalli CIDR per controllare il traffico in entrata verso la rete VPC.
Tag di rete
I passaggi seguenti mostrano come creare regole in entrata che limitano l'accesso di un connettore alla rete VPC in base ai tag di rete del connettore.
Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione
compute.firewalls.create
abilitata
Nega il traffico del connettore nella rete VPC.
Crea una regola firewall in entrata con priorità inferiore a 1000 nella rete VPC per negare il traffico in entrata dal tag di rete del connettore. Questa sostituisce la regola firewall implicita creata per impostazione predefinita dall'accesso VPC serverless sulla tua rete VPC.
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=PROTOCOL \ --source-tags=VPC_CONNECTOR_NETWORK_TAG \ --direction=INGRESS \ --network=VPC_NETWORK \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
deny-vpc-connector
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati:
ah
,all
,esp
,icmp
,ipip
esctp
.VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico.
- Tag di rete universale:
vpc-connector
Tag di rete univoco:
vpc-connector-REGION-CONNECTOR_NAME
Sostituisci:
- REGION: la regione del connettore che vuoi limitare
- CONNECTOR_NAME: il nome del connettore che vuoi limitare
Per ulteriori informazioni sui tag di rete del connettore, consulta Tag di rete.
- Tag di rete universale:
VPC_NETWORK: il nome della tua rete VPC
PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico del connettore alla risorsa che dovrebbe riceverlo.
Utilizza i flag
allow
etarget-tags
per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --source-tags=VPC_CONNECTOR_NETWORK_TAG \ --direction=INGRESS \ --network=VPC_NETWORK \ --target-tags=RESOURCE_TAG \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
allow-vpc-connector-for-select-resources
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico. Deve corrispondere al tag di rete specificato nel passaggio precedente.
- Tag di rete universale:
vpc-connector
Tag di rete univoco:
vpc-connector-REGION-CONNECTOR_NAME
Sostituisci:
- REGION: la regione del connettore che vuoi limitare
- CONNECTOR_NAME: il nome del connettore che vuoi limitare
Per ulteriori informazioni sui tag di rete del connettore, consulta Tag di rete.
- Tag di rete universale:
VPC_NETWORK: il nome della tua rete VPC
RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che il connettore VPC acceda
PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.
Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create
.
Intervallo CIDR
I passaggi seguenti mostrano come creare regole in entrata che limitano l'accesso di un connettore alla rete VPC in base all'intervallo CIDR del connettore.
Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione
compute.firewalls.create
abilitata
Nega il traffico del connettore nella rete VPC.
Crea una regola firewall in entrata con priorità inferiore a 1000 nella rete VPC per negare il traffico in entrata dall'intervallo CIDR del connettore. Questa sostituisce la regola firewall implicita creata per impostazione predefinita dall'accesso VPC serverless sulla tua rete VPC.
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=PROTOCOL \ --source-ranges=VPC_CONNECTOR_CIDR_RANGE \ --direction=INGRESS \ --network=VPC_NETWORK \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
deny-vpc-connector
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati:
ah
,all
,esp
,icmp
,ipip
esctp
.VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR del connettore per il quale limiti l'accesso
VPC_NETWORK: il nome della tua rete VPC
PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico del connettore alla risorsa che dovrebbe riceverlo.
Utilizza i flag
allow
etarget-tags
per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --source-ranges=VPC_CONNECTOR_CIDR_RANGE \ --direction=INGRESS \ --network=VPC_NETWORK \ --target-tags=RESOURCE_TAG \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
allow-vpc-connector-for-select-resources
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR del connettore di cui stai limitando l'accesso
VPC_NETWORK: il nome della tua rete VPC
RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che il connettore VPC acceda
PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.
Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione relativa a gcloud compute firewall-rules create
.
Limitare l'accesso mediante regole in uscita
I passaggi seguenti mostrano come creare regole in uscita per limitare l'accesso ai connettori.
Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione
compute.firewalls.create
abilitata
Rifiutare il traffico in uscita dal connettore.
Crea una regola firewall in uscita sul connettore di accesso VPC serverless per impedirgli di inviare traffico in uscita, ad eccezione delle risposte stabilite, a qualsiasi destinazione.
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=PROTOCOL \ --direction=EGRESS \ --target-tags=VPC_CONNECTOR_NETWORK_TAG \ --network=VPC_NETWORK \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
deny-vpc-connector
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati:
ah
,all
,esp
,icmp
,ipip
esctp
.VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore VPC universale se vuoi che la regola venga applicata a tutti i connettori VPC esistenti e a eventuali connettori VPC creati in futuro. Oppure, il tag di rete univoco del connettore VPC se vuoi controllare un connettore specifico.
VPC_NETWORK: il nome della tua rete VPC
PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico in uscita quando la destinazione è nell'intervallo CIDR a cui vuoi che il connettore acceda.
Utilizza i flag
allow
edestination-ranges
per creare una regola firewall che consenta il traffico in uscita dal connettore per un intervallo di destinazione specifico. Imposta l'intervallo di destinazione sull'intervallo CIDR della risorsa della rete VPC a cui vuoi che il connettore possa accedere. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --destination-ranges=RESOURCE_CIDR_RANGE \ --direction=EGRESS \ --network=VPC_NETWORK \ --target-tags=VPC_CONNECTOR_NETWORK_TAG \ --priority=PRIORITY
Sostituisci quanto segue:
RULE_NAME: il nome della nuova regola firewall. Ad esempio,
allow-vpc-connector-for-select-resources
.PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono
tcp
oudp
. Ad esempio,tcp:80,udp
consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flagallow
.RESOURCE_CIDR_RANGE: l'intervallo CIDR del connettore di cui applichi limitazioni all'accesso
VPC_NETWORK: il nome della tua rete VPC
VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore VPC universale se vuoi che la regola venga applicata a tutti i connettori VPC esistenti e a eventuali connettori VPC creati in futuro. Oppure, il tag di rete univoco del connettore VPC se vuoi controllare un connettore specifico. Se hai utilizzato il tag di rete univoco nel passaggio precedente, utilizza il tag di rete univoco.
PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.
Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create
.
Aggiorna un connettore
Puoi aggiornare e monitorare i seguenti attributi del connettore utilizzando la console Google Cloud, Google Cloud CLI o l'API:
- Tipo di macchina (istanza)
- Numero minimo e massimo di istanze
- Velocità effettiva recente, numero di istanze e utilizzo della CPU
Aggiorna tipo di macchina
Console
Vai alla pagina di riepilogo Accesso VPC serverless.
Seleziona il connettore da modificare e fai clic su Modifica.
Nell'elenco Tipo di istanza, seleziona il tipo di macchina (istanza) che preferisci. Per saperne di più sui tipi di macchine disponibili, consulta la documentazione su Velocità effettiva e scalabilità.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Per aggiornare il tipo di macchina del connettore, esegui questo comando nel terminale:
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE
Sostituisci quanto segue:CONNECTOR_NAME
: il nome del tuo connettoreREGION
: il nome della regione del connettoreMACHINE_TYPE
: il tipo di macchina che preferisci. Per scoprire i tipi di macchine disponibili, consulta la documentazione su Velocità effettiva e scalabilità.
Riduci il numero minimo e massimo di istanze
Per diminuire il numero minimo e massimo di istanze, devi seguire questi passaggi:
- Crea un nuovo connettore con i valori che preferisci.
- Aggiorna il servizio o la funzione per utilizzare il nuovo connettore.
- Elimina il vecchio connettore dopo aver spostato il relativo traffico.
Consulta Creare un connettore di accesso VPC serverless per ulteriori informazioni.
Aumenta il numero minimo e massimo di istanze
Console
Vai alla pagina di riepilogo Accesso VPC serverless.
Seleziona il connettore da modificare e fai clic su Modifica.
Nel campo Numero minimo di istanze, seleziona il numero minimo di istanze che preferisci.
Il valore più piccolo possibile per questo campo è il valore corrente. Il valore più grande possibile per questo campo è il valore attuale nel campo Numero massimo di istanze meno 1. Ad esempio, se il valore nel campo Numero massimo di istanze è 8, il valore più grande possibile per il campo Numero minimo di istanze è 7.
Nel campo Numero massimo di istanze, seleziona il numero massimo di istanze che preferisci.
Il valore più piccolo possibile per questo campo è il valore corrente. Il valore massimo possibile per questo campo è 10.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Per aumentare il numero minimo o massimo di istanze per il connettore, esegui questo comando nel terminale:
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES
Sostituisci quanto segue:
CONNECTOR_NAME
: il nome del tuo connettoreREGION
: il nome della regione del connettoreMIN_INSTANCES
: il numero minimo di istanze che preferisci.- Il valore più piccolo possibile per questo campo è il valore attuale di
min_instances
. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali. - Il valore più grande possibile per questo campo è il valore attuale di
max_instances
meno 1, perchémin_instances
deve essere inferiore amax_instances
. Ad esempio, semax_instances
è 8, il valore più grande possibile per questo campo è 7. Se il connettore utilizza il valore predefinito dimax-instances
, pari a 10, il valore massimo possibile di questo campo è 9. Per trovare il valore dimax-instances
, consulta Trovare i valori degli attributi attuali.
- Il valore più piccolo possibile per questo campo è il valore attuale di
MAX_INSTANCES
:- Il valore più piccolo possibile per questo campo è il valore attuale di
max_instances
. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali. - Il valore massimo possibile per questo campo è 10.
Se vuoi aumentare solo il numero minimo di istanze, ma non quello massimo, devi comunque specificare il numero massimo di istanze. Al contrario, se vuoi aggiornare solo il numero massimo di istanze, ma non il minimo, devi comunque specificare il numero minimo di istanze. Per mantenere il valore attuale del numero minimo o massimo di istanze, specificane il valore attuale. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali.
- Il valore più piccolo possibile per questo campo è il valore attuale di
Trovare i valori degli attributi correnti
Per trovare i valori degli attributi attuali per il connettore, esegui quanto segue nel terminale:
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME --region=REGION --project=PROJECTSostituisci quanto segue:
CONNECTOR_NAME
: il nome del tuo connettoreREGION
: il nome della regione del connettorePROJECT
: il nome del tuo progetto Google Cloud
Monitorare l'utilizzo dei connettori
Il monitoraggio dell'utilizzo nel tempo può aiutarti a determinare quando modificare le impostazioni di un connettore. Ad esempio, in caso di picchi di utilizzo della CPU, potresti provare ad aumentare il numero massimo di istanze per ottenere risultati migliori. Se vuoi massimizzare la velocità effettiva, puoi decidere di passare a un tipo di macchina più grande.
Per visualizzare i grafici relativi a velocità effettiva del connettore, numero di istanze e metriche di utilizzo della CPU nel tempo con la console Google Cloud:
Vai alla pagina di riepilogo Accesso VPC serverless.
Fai clic sul nome del connettore da monitorare.
Seleziona il numero di giorni che vuoi visualizzare tra 1 e 90.
Nel grafico Velocità effettiva, passa il mouse sopra il grafico per visualizzare la velocità effettiva recente del connettore.
Nel grafico Numero di istanze, passa il mouse sopra il grafico per visualizzare il numero di istanze utilizzate di recente dal connettore.
Nel grafico Utilizzo CPU, passa il mouse sopra il grafico per visualizzare l'utilizzo recente della CPU da parte del connettore. Il grafico mostra l'utilizzo della CPU distribuito tra le istanze per il 50°, 95° e 99° percentile.
Elimina un connettore
Prima di eliminare un connettore, assicurati che nessun servizio o job vi sia ancora connesso.
Per gli utenti della rete VPC condivisa che configurano i connettori nel progetto host del VPC condiviso, puoi utilizzare il comando gcloud compute networks vpc-access connectors describe
per elencare i progetti in cui sono presenti servizi o job che utilizzano un determinato connettore.
Per eliminare un connettore, utilizza la console Google Cloud o Google Cloud CLI:
Console
Vai alla pagina di riepilogo Accesso VPC serverless nella console Google Cloud:
Seleziona il connettore da eliminare.
Fai clic su Elimina.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Utilizza il seguente comando
gcloud
per eliminare un connettore:gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
Sostituisci quanto segue:
- CONNECTOR_NAME con il nome del connettore da eliminare
- REGION con la regione in cui si trova il connettore
Risoluzione dei problemi
Autorizzazioni account di servizio
Per eseguire operazioni nel progetto Google Cloud, l'accesso VPC serverless utilizza l'account di servizio Serverless VPC Access Service Agent. L'indirizzo email di questo account di servizio ha il seguente formato:
service-PROJECT_NUMBER@gcp-sa-vpcaccess.iam.gserviceaccount.com
Per impostazione predefinita, questo account di servizio ha il ruolo
Agente di servizio per l'accesso VPC serverless
(roles/vpcaccess.serviceAgent
). Le operazioni di accesso VPC serverless
potrebbero non riuscire se modifichi le autorizzazioni di questo account.
Errori
Errore del ruolo dell'agente di servizio richiesto per l'account di servizio
Se utilizzi il vincolo dei criteri dell'organizzazione Limita l'utilizzo del servizio risorse per bloccare Cloud Deployment Manager (deploymentmanager.googleapis.com
), potresti visualizzare il seguente messaggio di errore:
Serverless VPC Access service account (service-<PROJECT_NUMBER>@gcp-sa-vpcaccess.iam.gserviceaccount.com) needs Serverless VPC Access Service Agent role in the project.
Imposta il criterio dell'organizzazione in modo da rimuovere Deployment Manager dalla lista bloccata o aggiungerlo alla lista consentita.
Errore di creazione del connettore
Se la creazione di un connettore genera un errore, prova a procedere nel seguente modo:
- Specifica un intervallo IP interno RFC 1918 che non si sovrapponga ad alcuna prenotazione di indirizzi IP esistenti nella rete VPC.
- Concedi al progetto l'autorizzazione per utilizzare le immagini VM di Compute Engine del progetto con ID
serverless-vpc-access-images
. Per ulteriori informazioni su come aggiornare di conseguenza i criteri dell'organizzazione, consulta Impostare i vincoli di accesso alle immagini.
Impossibile accedere alle risorse
Se hai specificato un connettore, ma non riesci comunque ad accedere alle risorse nella rete VPC, assicurati che sulla rete VPC non siano presenti regole firewall con priorità inferiore a 1000 che negano il traffico in entrata dall'intervallo di indirizzi IP del connettore.
Se configuri un connettore in un progetto di servizio del VPC condiviso, assicurati che le regole del firewall consentano il traffico in entrata dall'infrastruttura serverless al connettore.
Errore di connessione rifiutata
Se ricevi errori connection refused
o connection timeout
che riducono le prestazioni di rete, le connessioni potrebbero aumentare senza limiti per le chiamate alla tua applicazione serverless. Per limitare il numero massimo di connessioni utilizzate per istanza, utilizza una libreria client che supporta i pool di connessioni. Per esempi dettagliati di utilizzo dei pool di connessioni, consulta Gestire le connessioni di database.
Errore di risorsa non trovata
Quando elimini una rete VPC o una regola firewall, potresti visualizzare un messaggio simile al seguente: The resource
"aet-uscentral1-subnet--1-egrfw" was not found.
Per informazioni su questo errore e sulla relativa soluzione, vedi Errore Risorsa non trovata nella documentazione sulle regole firewall VPC.
Passaggi successivi
- Monitora l'attività di amministrazione con l'audit logging dell'accesso VPC serverless.
- Proteggi risorse e dati creando un perimetro di servizio con Controlli di servizio VPC.
- Scopri di più sui ruoli di Identity and Access Management (IAM) associati all'accesso VPC serverless. Consulta i ruoli di accesso VPC serverless nella documentazione IAM per un elenco delle autorizzazioni associate a ciascun ruolo.
- Scopri come connetterti a Memorystore da: