連線至虛擬私人雲端網路

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 按一下 [Create connector] (建立連接器)。

3. 在「Name」(名稱) 欄位中，輸入連接器的名稱，並符合 Compute Engine 命名慣例，且名稱長度不得超過 21 個字元，連字號 (-) 算兩個字元。

4. 在「Region」(區域) 欄位中，選取連接器的區域。這必須與無伺服器服務的地區相符。

   如果服務或工作位於 us-central 或 europe-west 區域，請使用 us-central1 或 europe-west1。

5. 在「Network」(網路) 欄位中，選取要附加連接器的虛擬私人雲端網路。

6. 在「Subnet」(子網路) 欄位中，選取下列其中一個選項：

   • 使用現有子網路建立連接器：在「子網路」欄位中選取現有子網路。

   • 建立連接器和新的子網路：在「子網路」欄位中選取「自訂 IP 範圍」。然後，在未使用的 /28 CIDR 中輸入第一個位址 (例如 10.8.0.0/28)，做為連接器虛擬私有雲網路中新建立子網路的主要 IPv4 位址範圍。 Google Cloud 請確保 IP 範圍不會與連接器虛擬私有雲網路中的任何現有路徑衝突。新子網路的名稱開頭為「aet-」前置字串。

7. (選用) 如要設定縮放選項，進一步控管連接器，請按一下「顯示縮放設定」，顯示縮放表單。

   1. 設定連接器的執行個體數量下限和上限，或使用預設值 (下限為 2，上限為 10)。如果流量用量需要，連接器會擴充至指定上限，但流量減少時，連接器不會縮減。你必須使用介於 2 和 10 之間的值。
   2. 在「Instance Type」(執行個體類型) 選單中，選擇要用於連接器的機器類型，或使用預設的 e2-micro。選擇執行個體類型時，請注意右側的費用側欄，其中會顯示頻寬和費用預估值。

8. 點選「建立」。

9. 若連接器可供使用，其名稱旁邊會顯示一個綠色勾號。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 將 gcloud 元件更新到最新版本：

   gcloud components update

3. 確認專案已啟用 Serverless VPC Access API：

   gcloud services enable vpcaccess.googleapis.com

4. 使用下列任一選項建立連接器：

   如要瞭解詳情和選用引數，請參閱gcloud參考資料。

   • 使用現有子網路建立連接器：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     更改下列內容：

     • CONNECTOR_NAME：連接器的名稱，須符合 Compute Engine 命名慣例，且長度不得超過 21 個字元，連字號 (-) 算兩個字元。
     • REGION：連接器的區域，與無伺服器服務或作業的區域相符。如果您的服務或工作位於 us-central 或 europe-west，請使用 us-central1 或 europe-west1。
     • SUBNET_NAME：現有子網路的名稱。
     • HOST_PROJECT_ID：共用虛擬私有雲主專案 ID。如果連接器和現有子網路位於同一個專案，請省略 --subnet-project 旗標。
     • MIN：連接器使用的執行個體數量下限。請使用介於 2(預設值) 和 9 之間的整數。
     • MAX：連接器可使用的執行個體數量上限。請使用介於 3 和 10 之間的整數 (預設值)。 如果連接器擴充至執行個體數量上限，就不會縮減。
     • MACHINE_TYPE：必須是下列其中一項：f1-micro、e2-micro 或 e2-standard-4。

   • 建立連接器和新的子網路：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     更改下列內容：

     • CONNECTOR_NAME：連接器的名稱，須符合 Compute Engine 命名慣例，且長度不得超過 21 個字元，連字號 (-) 算兩個字元。
     • REGION：連接器的區域，與無伺服器服務或作業的區域相符。如果您的服務或工作位於 us-central 或 europe-west，請使用 us-central1 或 europe-west1。
     • VPC_NETWORK：要附加連接器的虛擬私有雲網路名稱。連接器和虛擬私有雲網路必須位於同一個專案中。
     • IP_RANGE：提供未使用的 /28 CIDR (例如 10.8.0.0/28)，做為連接器虛擬私有雲網路中新子網路的主要 IPv4 位址範圍。 Google Cloud 請確保 IP 範圍不會與連接器虛擬私有雲網路中的任何現有路徑衝突。新子網路的名稱開頭為「aet-」前置字串。
     • MIN：連接器使用的執行個體數量下限。請使用介於 2(預設值) 和 9 之間的整數。
     • MAX：連接器可使用的執行個體數量上限。請使用介於 3 和 10 之間的整數 (預設值)。 如果連接器擴充至執行個體數量上限，就不會縮減。
     • MACHINE_TYPE：必須是下列其中一項：f1-micro、e2-micro 或 e2-standard-4。

5. 先驗證您的連接器是否處於 READY 狀態，然後再使用：

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   更改下列內容：

   • CONNECTOR_NAME：連接器名稱，也就是您在上一個步驟中指定的名稱。
   • REGION：連接器的區域，也就是您在上一個步驟中指定的區域。

   輸出內容應包含 state: READY 這一行。

Terraform

您可以使用 Terraform 資源啟用 vpcaccess.googleapis.com API。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

您可以使用 Terraform 模組建立虛擬私有雲網路和子網路，然後建立連接器。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

網路標記

下列步驟說明如何建立輸入規則，根據連接器網路標記限制連接器對虛擬私有雲網路的存取權。

1. 確認您具備插入防火牆規則的必要權限。 您必須具備下列任一身分與存取權管理 (IAM) 角色：

   • Compute 安全管理員角色
   • 啟用 compute.firewalls.create 權限的自訂 IAM 角色

2. 拒絕虛擬私有雲網路的連接器流量。

   在虛擬私有雲網路中建立優先順序低於 1000 的輸入防火牆規則，拒絕來自連接器網路標記的輸入流量。這會覆寫無伺服器 VPC 存取權在 VPC 網路中預設建立的隱含防火牆規則。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：deny-vpc-connector。

   • PROTOCOL：您要允許來自虛擬私有雲連接器的通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量通過連接埠 80 和 UDP 流量。詳情請參閱 allow 旗標的說明文件。

     為確保安全和進行驗證，您也可以設定拒絕規則，封鎖下列不支援的通訊協定流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_NETWORK_TAG：通用連接器網路代碼，可限制所有連接器 (包括日後建立的連接器) 的存取權；或是專屬網路代碼，可限制特定連接器的存取權。

     • 通用網路代碼： vpc-connector

     • 專屬網路標記： vpc-connector-REGION-CONNECTOR_NAME

       取代：

       • REGION：要限制的連接器區域
       • CONNECTOR_NAME：要限制的連接器名稱

     如要進一步瞭解連接器網路標記，請參閱「網路標記」。

   • VPC_NETWORK：虛擬私有雲網路的名稱

   • PRIORITY：介於 0 到 65535 的整數。例如，0 代表最高優先順序。

3. 允許連接器流量傳送至應接收連接器流量的資源。

   使用 allow 和 target-tags 標記，建立以虛擬私有雲網路中資源為目標的輸入防火牆規則，讓虛擬私有雲連接器可以存取該資源。將這項規則的優先順序設為低於上一步建立的規則。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：allow-vpc-connector-for-select-resources。

   • PROTOCOL：您要允許來自虛擬私有雲連接器的通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量通過連接埠 80 和 UDP 流量。詳情請參閱 allow 旗標的說明文件。

   • VPC_CONNECTOR_NETWORK_TAG：如果您想限制所有連結器 (包括日後建立的連結器) 的存取權，請使用通用連結器網路代碼；如果您想限制特定連結器的存取權，請使用專屬網路代碼。這必須與您在上一個步驟中指定的網路標記相符。

     • 通用網路代碼： vpc-connector

     • 專屬網路標記： vpc-connector-REGION-CONNECTOR_NAME

       取代：

       • REGION：要限制的連接器區域
       • CONNECTOR_NAME：要限制的連接器名稱

     如要進一步瞭解連接器網路標記，請參閱「網路標記」。

   • VPC_NETWORK：虛擬私有雲網路的名稱

   • RESOURCE_TAG：您希望 VPC 連接器存取的 VPC 資源網路標記

   • PRIORITY：小於您在上一步設定優先順序的整數。舉例來說，如果您將上一步建立的規則優先順序設為 990，請嘗試設為 980。

如要進一步瞭解建立防火牆規則時的必要和選用旗標，請參閱 gcloud compute firewall-rules create 說明文件。

CIDR 範圍

下列步驟說明如何建立輸入規則，根據連接器的 CIDR 範圍，限制連接器對虛擬私有雲網路的存取權。

1. 確認您具備插入防火牆規則的必要權限。 您必須具備下列任一身分與存取權管理 (IAM) 角色：

   • Compute 安全管理員角色
   • 啟用 compute.firewalls.create 權限的自訂 IAM 角色

2. 拒絕虛擬私有雲網路的連接器流量。

   在虛擬私有雲網路中建立優先順序低於 1000 的輸入防火牆規則，拒絕來自連線器 CIDR 範圍的輸入流量。這會覆寫無伺服器 VPC 存取權在 VPC 網路中預設建立的隱含防火牆規則。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：deny-vpc-connector。

   • PROTOCOL：您要允許來自虛擬私有雲連接器的通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量通過連接埠 80 和 UDP 流量。詳情請參閱 allow 旗標的說明文件。

     為確保安全和進行驗證，您也可以設定拒絕規則，封鎖下列不支援的通訊協定流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_CIDR_RANGE：要限制存取的連接器 CIDR 範圍

   • VPC_NETWORK：虛擬私有雲網路的名稱

   • PRIORITY：介於 0 到 65535 的整數。例如，0 代表最高優先順序。

3. 允許連接器流量傳送至應接收連接器流量的資源。

   使用 allow 和 target-tags 標記，建立以虛擬私有雲網路中資源為目標的輸入防火牆規則，讓虛擬私有雲連接器可以存取該資源。將這項規則的優先順序設為低於上一步建立的規則。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：allow-vpc-connector-for-select-resources。

   • PROTOCOL：您要允許來自虛擬私有雲連接器的通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量通過連接埠 80 和 UDP 流量。詳情請參閱 allow 旗標的說明文件。

   • VPC_CONNECTOR_CIDR_RANGE：要限制存取權的連接器 CIDR 範圍

   • VPC_NETWORK：虛擬私有雲網路的名稱

   • RESOURCE_TAG：您希望 VPC 連接器存取的 VPC 資源網路標記

   • PRIORITY：小於您在上一步設定優先順序的整數。舉例來說，如果您將上一步建立的規則優先順序設為 990，請嘗試設為 980。

如要進一步瞭解建立防火牆規則時的必要和選用旗標，請參閱 gcloud compute firewall-rules create 說明文件。

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取要編輯的連結器，然後按一下「編輯」。

3. 在「執行個體類型」清單中，選取偏好的機器 (執行個體) 類型。如要瞭解可用的機器類型，請參閱輸送量和擴充說明文件。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如要更新連接器機型，請在終端機中執行下列指令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   取代下列項目：
   • CONNECTOR_NAME：連接器名稱
   • REGION：連接器所在區域的名稱
   • MACHINE_TYPE：偏好的機器類型。如要瞭解可用的機器類型，請參閱輸送量和擴縮說明文件。

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取要編輯的連結器，然後按一下「編輯」。

3. 在「執行個體數量下限」欄位中，選取偏好的執行個體數量下限。

   這個欄位的最小值是目前的值。這個欄位的最大可能值是「最多執行個體」欄位中的目前值減 1。舉例來說，如果「執行個體數量上限」欄位的值為 8，則「執行個體數量下限」欄位的值最多為 7。

4. 在「Maximum instances」(執行個體數量上限) 欄位中，選取所需的執行個體數量上限。

   這個欄位的最小值是目前的值。這個欄位的最大可能值為 10。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如要增加連接器的執行個體數量下限或上限，請在終端機中執行下列指令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   取代下列項目：

• CONNECTOR_NAME：連接器名稱
• REGION：連接器所在區域的名稱
• MIN_INSTANCES：您偏好的執行個體數量下限。
  • 這個欄位的最小值是 min_instances 的目前值。如要查看目前的值，請參閱「找出目前的屬性值」。
  • 這個欄位的最大可能值是目前的 max_instances 值減 1，因為 min_instances 必須小於 max_instances。舉例來說，如果 max_instances 是 8，這個欄位的最大可能值就是 7。如果連接器使用預設的 max-instances 值 10，這個欄位的最大可能值為 9。如要找出 max-instances 的值，請參閱「找出目前的屬性值」。

• MAX_INSTANCES：

  • 這個欄位的最小值是 max_instances 的目前值。如要查看目前的值，請參閱「找出目前的屬性值」。
  • 這個欄位的最大值為 10。

  如果只想增加執行個體數量下限，但不想增加上限，您仍須指定執行個體數量上限。反之，如果您只想更新執行個體數量上限，但不想更新下限，仍須指定執行個體數量下限。如要將執行個體數量下限或上限維持在目前值，請指定目前值。如要查看目前的值，請參閱「找出目前的屬性值」。

主控台

1. 前往Google Cloud 主控台的「Serverless VPC Access」(無伺服器虛擬私有雲存取) 總覽頁面：

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取您要刪除的連接器。

3. 點選「刪除」。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用下列 gcloud 指令刪除連接器：

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   更改下列內容：

   • CONNECTOR_NAME，其中 CONNECTOR_NAME 是要刪除的連接器名稱
   • 將 REGION 替換為連接器所在的地區