VPC ネットワークへの接続

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. [コネクタを作成] をクリックします。

3. [名前] フィールドに、Compute Engine の命名規則に沿ってコネクタの名前を入力します。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。

4. [リージョン] フィールドで、コネクタのリージョンを選択します。これは、サーバーレス サービスのリージョンと一致する必要があります。

   サービスまたはジョブが us-central または europe-west リージョンにある場合、us-central1 または europe-west1 を使用します。

5. [ネットワーク] フィールドで、コネクタを接続する VPC ネットワークを選択します。

6. [サブネット] フィールドで、次のいずれかのオプションを選択します。

   • 既存のサブネットを使用してコネクタを作成する: [サブネット] フィールドで既存のサブネットを選択します。

   • コネクタと新しいサブネットを作成する: [サブネット] フィールドで [カスタム IP 範囲] を選択します。次に、未使用の /28 CIDR（10.8.0.0/28 など）の最初のアドレスを入力します。これは、Google Cloud でコネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。

7. （省略可）コネクタを詳細に制御するためのスケーリング オプションを設定するには、[スケーリング設定を表示] をクリックしてスケーリング フォームを表示します。

   1. コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値（最小 2、最大 10）を使用します。コネクタは、トラフィックの使用量に応じて指定された最大値にスケールアップしますが、トラフィックが減少してもスケールダウンしません。2～10 の範囲の値を使用する必要があります。
   2. [インスタンス タイプ] メニューで、コネクタに使用するマシンタイプを選択するか、デフォルトの e2-micro を使用します。インスタンス タイプを選択すると、右側にコスト サイドバーが表示され、帯域幅とコストの見積もりが表示されます。

8. [作成] をクリックします。

9. コネクタの使用準備が整うと、コネクタ名の横に緑色のチェックマークが表示されます。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

3. プロジェクトで Serverless VPC Access API が有効になっていることを確認します。

   gcloud services enable vpcaccess.googleapis.com

4. 次のいずれかのオプションを使用してコネクタを作成します。

   より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

   • 既存のサブネットを使用してコネクタを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • SUBNET_NAME: 既存のサブネットの名前。
     • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクト ID。コネクタと既存のサブネットが同じプロジェクトに配置されている場合は、--subnet-project フラグを省略します。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

   • コネクタと新しいサブネットを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • VPC_NETWORK: コネクタを接続する VPC ネットワークの名前。コネクタと VPC ネットワークを同じプロジェクトに配置する必要があります。
     • IP_RANGE: Google Cloud でコネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用する未使用の /28 CIDR（10.8.0.0/28 など）を指定します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

5. 使用する前に、コネクタが READY 状態になっていることを確認します。

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   次のように置き換えます。

   • CONNECTOR_NAME: コネクタの名前。これは、前のステップで指定した名前です。
   • REGION: コネクタのリージョン。これは、前の手順で指定したリージョンです。

   出力には、state: READY という行が含まれます。

Terraform

Terraform リソースを使用して、vpcaccess.googleapis.com API を有効にできます。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Terraform モジュールを使用して VPC ネットワークとサブネットを作成し、コネクタを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

ネットワーク タグ

次の手順は、コネクタのネットワーク タグに基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタのネットワーク タグからの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       以下のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。これは、前のステップで指定したネットワーク タグと一致する必要があります。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       以下のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必須のフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

CIDR 範囲

次の手順は、コネクタの CIDR 範囲に基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタの CIDR 範囲からの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必要なフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [インスタンスのタイプ] リストで、希望するマシン（インスタンス）タイプを選択します。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのマシンタイプを更新するには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   次のように置き換えます。
   • CONNECTOR_NAME: コネクタの名前。
   • REGION: コネクタのリージョンの名前。
   • MACHINE_TYPE: 希望するマシンタイプ。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [最小インスタンス数] フィールドで、希望するインスタンスの最小数を選択します。

   このフィールドの設定可能な最小値は現在の値です。このフィールドの設定可能な最大値は、[最大インスタンス数] フィールドの現在の値から 1 を引いた値になります。たとえば、[最大インスタンス数] フィールドの値が 8 の場合、[最小インスタンス数] フィールドの設定可能な最大値は 7 になります。

4. [最大インスタンス数] フィールドで、希望するインスタンスの最大数を選択します。

   このフィールドの設定可能な最小値は現在の値です。このフィールドの設定可能な最大値は 10 です。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのインスタンスの最小数または最大数を増やすには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   次のように置き換えます。

• CONNECTOR_NAME: コネクタの名前。
• REGION: コネクタのリージョンの名前。
• MIN_INSTANCES: 希望する最小インスタンス数。
  • このフィールドの設定可能な最小値は min_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は、現在の max_instances の値から 1 を引いた値になります。これは、min_instances を max_instances より小さくする必要があるためです。たとえば、max_instances が 8 の場合、このフィールドに設定可能な最大値は 7 です。コネクタがデフォルトの max-instances 値（10）を使用する場合、このフィールドに設定可能な最大値は 9 になります。max-instances の値を確認するには、現在の属性値を確認するをご覧ください。

• MAX_INSTANCES:

  • このフィールドの設定可能な最小値は、max_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は 10 です。

  インスタンスの最大数を増やさずに最小数だけを増やす場合でも、インスタンスの最大数を指定する必要があります。 逆に、インスタンスの最小数を更新せずに最大数を更新する場合でも、インスタンスの最小数を指定する必要があります。インスタンスの最小数または最大数を現在の値のままにするには、現在の値を指定します。現在の値を確認するには、現在の属性値を確認するをご覧ください。

コンソール

1. Google Cloud コンソールで、サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 削除するコネクタを選択します。

3. [削除] をクリックします。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタを削除するには、次の gcloud コマンドを使用します。

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   以下を置き換えます。

   • CONNECTOR_NAME は、削除するコネクタの名前に置き換えます。
   • REGION は、コネクタが配置されているリージョンに置き換えます。