在共用虛擬私有雲主機專案中設定連接器

控制台

1. 開啟 Google Cloud 控制台資訊主頁。

   前往 Google Cloud 控制台資訊主頁

2. 在資訊主頁頂端的選單列中，按一下專案下拉式選單，然後選取主機專案。

gcloud

在終端機中執行下列指令，將 gcloud CLI 中的預設專案設為主機專案：

gcloud config set project HOST_PROJECT_ID

更改下列內容：

• HOST_PROJECT_ID：共用虛擬私有雲主專案的 ID

主控台

1. 為專案啟用 Serverless VPC Access API。

   啟用 API

2. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

3. 按一下 [Create connector] (建立連接器)。

4. 在「Name」欄位中，輸入連接器的名稱。名稱必須遵循 Compute Engine 命名慣例，且長度不得超過 21 個半形字元。連字號 (-) 算作兩個字元。

5. 在「Region」(區域) 欄位中，選取連接器所在的區域。這必須與無伺服器服務的地區相符。

   如果您的服務位於 us-central 或 europe-west 區域，請使用 us-central1 或 europe-west1。

6. 在「Network」(網路) 欄位中，選取要附加連接器的虛擬私有雲網路。

7. 按一下「Subnetwork」下拉式選單：

   選取未使用的 /28 子網路。

   • 子網路只能由連接器使用。其他資源 (例如 VM、Private Service Connect 或負載平衡器) 無法使用這些 IP 位址。
   • 如要確認子網路未用於 Private Service Connect 或 Cloud Load Balancing，請在 gcloud CLI 中執行下列指令，檢查子網路 purpose 是否為 PRIVATE：

     gcloud compute networks subnets describe SUBNET_NAME
     

     將 SUBNET_NAME 替換為子網路名稱。

8. (選用) 如要設定縮放選項以便進一步控制連接器，請按一下「Show Scaling Settings」，顯示縮放表單。

   1. 設定連接器的執行個體數量下限和上限，或使用預設值 (2 為下限，10 為上限)。隨著流量增加，連接器會向外擴充至指定的最大值，但連接器不會在流量減少時縮減。您必須使用介於 2 和 10 之間的值，且 MIN 值必須小於 MAX 值。
   2. 在「Instance Type」下拉式選單中，選擇要用於連接器的機器類型，或使用預設的 e2-micro。選擇執行個體類型時，請注意右側的費用側欄，這裡會顯示頻寬和費用預估值。

9. 按一下 [建立]。

10. 若連接器可供使用，其名稱旁邊會顯示一個綠色勾號。

gcloud

1. 將 gcloud 元件更新至最新版本：

   gcloud components update
   

2. 為專案啟用 Serverless VPC Access API：

   gcloud services enable vpcaccess.googleapis.com
   

3. 建立無伺服器虛擬私有雲端存取連接器：

   gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
   --region=REGION \
   --subnet=SUBNET \
   --subnet-project=HOST_PROJECT_ID \
   # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
   --min-instances=MIN \
   --max-instances=MAX \
   # Optional: specify machine type, default is e2-micro
   --machine-type=MACHINE_TYPE

   更改下列內容：

   • CONNECTOR_NAME：連接器名稱。名稱必須遵循 Compute Engine 命名慣例，且長度不得超過 21 個半形字元。連字號 (-) 算作兩個字元。
   • REGION：連接器的區域，必須與無伺服器服務的區域相符。如果您的服務位於 us-central 或 europe-west 地區，請使用 us-central1 或 europe-west1。
   • SUBNET：未使用的 /28 子網路名稱。
     • 子網路只能由連接器使用。其他資源 (例如 VM、Private Service Connect 或負載平衡器) 無法使用這些 IP 位址。
     • 如要確認子網路未用於 Private Service Connect 或 Cloud Load Balancing，請在 gcloud CLI 中執行下列指令，檢查子網路 purpose 是否為 PRIVATE：

       gcloud compute networks subnets describe SUBNET_NAME
       

       替換下列內容：
       • SUBNET_NAME：子網路名稱
   • HOST_PROJECT_ID：主機專案的 ID
   • MIN：連接器可使用的最少執行個體數量。請使用介於 2 和 9 之間的整數。預設值為 2。如要瞭解連接器資源調度，請參閱「吞吐量和資源調度」。
   • MAX：連接器可使用的執行個體數量上限。請使用介於 3 和 10 之間的整數。預設值為 10。如果流量需要，連接器會擴展至 [MAX] 執行個體，但不會縮減回來。如要瞭解連接器資源調度，請參閱「吞吐量和資源調度」。
   • MACHINE_TYPE：f1-micro、e2-micro 或 e2-standard-4。如要瞭解連接器的傳輸量 (包括機器類型和資源調度)，請參閱「傳輸量和資源調度」一文。

   如需更多詳細資料和選用引數，請參閱 gcloud 參考資料。

4. 先驗證您的連接器是否處於 READY 狀態，然後再使用：

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region=REGION

   更改下列內容：

   • CONNECTOR_NAME：連接器名稱，也就是您在上一個步驟中指定的名稱
   • REGION：連接器的地區，也就是您在上一個步驟中指定的地區

   輸出內容應包含 state: READY 這一行。

Terraform

您可以使用 Terraform 資源啟用 vpcaccess.googleapis.com API。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

您可以使用 Terraform 模組建立 VPC 網路和子網路，然後建立連接器。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

主控台

1. 開啟 Cloud Run functions API 頁面。

   Cloud Run functions API

2. 在資訊主頁頂端的選單列中，按一下專案下拉式選單，然後選取服務專案。

3. 按一下「啟用」。

gcloud

在終端機中執行下列指令：

gcloud services enable cloudfunctions.googleapis.com --project=SERVICE_PROJECT_ID

更改下列內容：

• SERVICE_PROJECT_ID：服務專案的 ID

主控台

1. 開啟 IAM 頁面。

   前往身分與存取權管理頁面

2. 按一下專案下拉式選單，然後選取主機專案。

3. 按一下「授予存取權」。

4. 在「New principals」欄位中，輸入服務專案的 Cloud Run 函式服務代理人的電子郵件地址：

   service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com

   更改下列內容：

   • SERVICE_PROJECT_NUMBER：與服務專案相關聯的專案編號。這與專案 ID 不同。您可以在Google Cloud 控制台的服務專案「Project Settings」頁面中找到專案編號。

5. 在「Role」欄位中，選取「Serverless VPC Access User」。

6. 按一下 [儲存]。

gcloud

1. 在終端機中執行下列指令：

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com \
   --role=roles/vpcaccess.user
   

   更改下列內容：

   • HOST_PROJECT_ID：共用虛擬私有雲主專案的 ID

   • SERVICE_PROJECT_NUMBER：與服務專案相關聯的專案編號。這與專案 ID 不同。您可以執行下列指令來找出專案編號：

     gcloud projects describe SERVICE_PROJECT_ID
     

主控台

1. 開啟 IAM 頁面。

   前往身分與存取權管理頁面

2. 按一下專案下拉式選單，然後選取主機專案。

3. 按一下「授予存取權」。

4. 在「New principals」欄位中，輸入主體的電子郵件地址，該主體應可透過服務專案查看連接器。您可以在這個欄位中輸入多個電子郵件地址。

5. 在「Role」欄位中，選取下列兩個角色：

   • 無伺服器虛擬私有雲存取檢視器
   • Compute 網路檢視器

6. 按一下 [儲存]。

gcloud

在終端機中執行下列指令：

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

更改下列內容：

• HOST_PROJECT_ID：共用虛擬私有雲主專案的 ID
• PRINCIPAL：部署 Cloud Run 服務的使用者。進一步瞭解 --member 標記。

主控台

1. 開啟 Cloud Run 函式總覽頁面。

   前往 Cloud Run 函式

2. 按一下專案下拉式選單，然後選取服務專案。

3. 按一下 [建立函式]。或者，您也可以點選現有函式前往其詳細資料頁面，然後按一下「Edit」(編輯)。

4. 按一下「Runtime, build...」展開進階設定。

5. 在「傳出」設定下方的「連線」分頁中，在「VPC connector」欄位中選取連接器。

gcloud

1. 將 gcloud CLI 設為使用包含函式的專案：

   gcloud config set project PROJECT_ID

   取代下列內容：
   • PROJECT_ID：含有需要存取共用虛擬私有雲的函式專案 ID。如果函式位於主專案中，則為主專案 ID。如果函式位於服務專案中，則為服務專案 ID。

2. 使用 --vpc-connector 標記並部署函式：

   gcloud functions deploy FUNCTION_NAME --vpc-connector=CONNECTOR_NAME
   

更改下列內容：

• FUNCTION_NAME：函式名稱
• CONNECTOR_NAME：連接器的名稱。從共用虛擬私有雲服務專案 (而非主專案) 部署時，請使用完整的名稱，例如：

  projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

  其中 HOST_PROJECT_ID 是主機專案的 ID，CONNECTOR_REGION 是連接器的區域，而 CONNECTOR_NAME 則是您為連接器指定的名稱。