Sortie VPC directe avec un réseau VPC partagé

Console

1. Dans la console Google Cloud, accédez à la page Cloud Run :

   Accédez à Cloud Run

2. Cliquez sur Déployer un conteneur et sélectionnez Service si vous configurez un nouveau service. Si vous configurez et déployez un service existant, cliquez sur ce service, puis sur Modifier et déployer la nouvelle révision.

3. Si vous configurez un nouveau service, remplissez la page initiale des paramètres du service selon vos besoins, puis cliquez sur Conteneur(s), volumes, mise en réseau et sécurité pour développer la page de configuration du service.

4. Cliquez sur l'onglet Réseau.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Sélectionnez Réseaux partagés avec moi.

8. Dans le champ Réseau, sélectionnez le réseau VPC partagé vers lequel vous souhaitez envoyer du trafic.

9. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre service reçoit des adresses IP.

10. Facultatif: saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos services. Les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.

11. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes:

    • Acheminez uniquement les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC partagé.
    • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC partagé.

12. Cliquez sur Créer ou Déployer.

13. Pour vérifier que votre service se trouve sur votre réseau VPC partagé, cliquez sur le service, puis sur l'onglet Mise en réseau. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

Vous pouvez désormais envoyer des requêtes à partir de votre service Cloud Run vers n'importe quelle ressource du réseau VPC partagé, conformément à vos règles de pare-feu.

gcloud

Pour placer votre service sur le sous-réseau partagé, spécifiez les noms de ressources complets du sous-réseau et du réseau VPC partagé en exécutant la commande suivante:

gcloud run deploy SERVICE_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  --max-instances MAX
  

Remplacez les éléments suivants :

• SERVICE_NAME : nom de votre service Cloud Run.
• IMAGE_URL: URL de l'image du service.
• HOST_PROJECT_ID: ID de votre projet VPC partagé.
• VPC_NETWORK : nom complet de la ressource de votre réseau VPC partagé.
• REGION: région de votre service Cloud Run, qui doit correspondre à la région de votre sous-réseau.
• SUBNET_NAME : nom complet de la ressource de votre sous-réseau.
• Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau séparés par une virgule que vous souhaitez associer à un service. Pour les services, les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.
• EGRESS_SETTING par une valeur de paramètre de sortie :
  • all-traffic: achemine tout le trafic sortant via le réseau VPC partagé.
  • private-ranges-only: achemine uniquement le trafic destiné à des adresses internes via le réseau VPC partagé.
• MAX: nombre maximal d'instances à utiliser pour le réseau VPC partagé. Le nombre maximal d'instances autorisées pour les services est de 100.

Pour plus d'informations et d'arguments facultatifs, consultez la documentation de référence sur gcloud.

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE_NAME
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   Remplacez :

   • SERVICE_NAME par le nom de votre service Cloud Run. Les noms de service doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre service Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom complet de la ressource de votre réseau VPC partagé.
   • SUBNET_NAME par le nom complet de la ressource de votre sous-réseau.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un service. Pour les services, les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic: achemine tout le trafic sortant via le réseau VPC partagé.
     • private-ranges-only: achemine uniquement le trafic destiné à des adresses internes via le réseau VPC partagé.
   • IMAGE par l'URL de votre image de conteneur de service.

3. Créez ou mettez à jour le service à l'aide de la commande suivante :

   gcloud run services replace service.yaml

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

1. Ajoutez le code ci-dessous à votre fichier main.tf :

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Dans la console Google Cloud, accédez à la page Cloud Run :

   Accédez à Cloud Run

2. Si vous configurez un nouveau job, cliquez sur Déployer un conteneur et sélectionnez Job pour remplir le formulaire Créer un job initial selon vos besoins. Si vous configurez un job existant, cliquez sur l'onglet Jobs, sélectionnez un job, puis cliquez sur Modifier.

3. Cliquez sur Conteneur, variables et secrets, connexions, sécurité pour développer la page des propriétés du job.

4. Cliquez sur l'onglet Connexions.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Sélectionnez Réseaux partagés avec moi.

8. Dans le champ Réseau, sélectionnez le réseau VPC partagé vers lequel vous souhaitez envoyer du trafic.

9. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre job reçoit des adresses IP.

10. Facultatif: saisissez les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.

11. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes:

    • Acheminez uniquement les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC partagé.
    • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC partagé.

12. Cliquez sur Créer ou Mettre à jour.

13. Pour vérifier que votre job se trouve sur votre réseau VPC partagé, cliquez sur le job, puis sur l'onglet Configuration. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

Vous pouvez maintenant exécuter votre job Cloud Run et envoyer des requêtes à partir du job vers n'importe quelle ressource du réseau VPC partagé, conformément à vos règles de pare-feu.

gcloud

Pour placer votre job sur le sous-réseau partagé, spécifiez les noms de ressources complets du sous-réseau et du réseau VPC partagé en exécutant la commande suivante:

gcloud run jobs create JOB_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  

Remplacez les éléments suivants :

• JOB_NAME par le nom de votre job Cloud Run
• IMAGE_URL: URL de l'image du job.
• HOST_PROJECT_ID : ID du projet hôte de VPC partagé.
• VPC_NETWORK : nom complet de la ressource de votre réseau VPC partagé.
• REGION: région de votre job Cloud Run, qui doit correspondre à la région du sous-réseau.
• SUBNET_NAME : nom complet de la ressource de votre sous-réseau.
• Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau séparés par une virgule que vous souhaitez associer à un job. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
• EGRESS_SETTING par une valeur de paramètre de sortie :
  • all-traffic: achemine tout le trafic sortant via le réseau VPC partagé.
  • private-ranges-only: achemine uniquement le trafic destiné à des adresses internes via le réseau VPC partagé.

Pour plus d'informations et d'arguments facultatifs, consultez la documentation de référence sur gcloud.

YAML

1. Si vous créez un job, ignorez cette étape. Si vous mettez à jour un job existant, téléchargez sa configuration YAML :

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: run.googleapis.com/v1
   kind: Job
   metadata:
     name: JOB_NAME
     annotations:
       run.googleapis.com/launch-stage: BETA
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   Remplacez :

   • JOB_NAME par le nom de votre job Cloud Run Les noms de job doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre job Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom complet de la ressource de votre réseau VPC partagé.
   • SUBNET par le nom complet de la ressource de votre sous-réseau.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic: achemine tout le trafic sortant via le réseau VPC partagé.
     • private-ranges-only: achemine uniquement le trafic destiné à des adresses internes via le réseau VPC partagé.
   • IMAGE par l'URL de votre image de conteneur de job.

3. Créez ou mettez à jour le job à l'aide de la commande suivante :

   gcloud run jobs replace job.yaml

Console

• Pour supprimer votre service du réseau VPC partagé, procédez comme suit:

  1. Dans la console Google Cloud, accédez à la page Cloud Run :

     Accédez à Cloud Run

  2. Cliquez sur le service à supprimer, puis sur Modifier et déployer la nouvelle révision.

  3. Cliquez sur l'onglet Réseau.

  4. Désactivez l'option Se connecter à un VPC pour le trafic sortant.

  5. Cliquez sur Déployer.

  6. Pour vérifier que votre service ne se trouve plus sur votre réseau VPC partagé, cliquez sur l'onglet Mise en réseau. Le réseau et le sous-réseau ne sont plus répertoriés dans la fiche VPC.

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC partagé:

  1. Cliquez sur le service contenant les tags réseau à supprimer, puis sur Modifier et déployer la nouvelle révision.

  2. Cliquez sur l'onglet Réseau.

  3. Effacez les noms des tags réseau que vous ne souhaitez plus associer à votre service.

  4. Cliquez sur Déployer.

gcloud

• Pour supprimer votre service du réseau VPC partagé, exécutez la commande suivante:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC partagé, exécutez la commande suivante:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Remplacez les éléments suivants :

  • SERVICE_NAME : nom de votre service Cloud Run.
  • REGION : région de votre service Cloud Run.

YAML

• Pour supprimer votre service du réseau VPC partagé, procédez comme suit:

  1. Téléchargez la configuration YAML du service :

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Supprimez le contenu suivant de votre fichier service.yaml :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Lieu

     • NETWORK : nom complet de la ressource de votre réseau VPC partagé.
     • SUBNET : nom complet de la ressource de votre sous-réseau.
     • Facultatif : NETWORK_TAG_NAMES : noms des tags réseau si vous les avez associés à un service.

  3. Mettez à jour le service à l'aide de la commande suivante :

     gcloud run services replace service.yaml

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC partagé:

  1. Téléchargez la configuration YAML du service :

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Supprimez la variable tags du contenu de votre fichier service.yaml, en laissant les variables network et subnetwork en place, comme indiqué dans l'exemple suivant :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Remplacez les éléments suivants :

     • NETWORK : nom complet de la ressource de votre réseau VPC partagé.
     • SUBNET : nom complet de la ressource de votre sous-réseau.

  3. Mettez à jour le service à l'aide de la commande suivante :

     gcloud run services replace service.yaml

Console

• Pour supprimer votre job du réseau VPC partagé:

  1. Dans la console Google Cloud, accédez à la page Cloud Run :

     Accédez à Cloud Run

  2. Cliquez sur le job à supprimer, puis sur Modifier et déployer la nouvelle révision.

  3. Cliquez sur l'onglet Configuration.

  4. Désactivez l'option Se connecter à un VPC pour le trafic sortant.

  5. Cliquez sur Mettre à jour.

  6. Pour vérifier que votre job ne se trouve plus sur votre réseau VPC partagé, cliquez sur l'onglet Configuration. Le réseau et le sous-réseau ne sont plus répertoriés dans la fiche VPC.

• Pour supprimer uniquement les tags réseau tout en maintenant le job connecté au réseau VPC partagé:

  1. Cliquez sur le job contenant les tags réseau à supprimer, puis sur Modifier et déployer la nouvelle révision.

  2. Cliquez sur l'onglet Connexions.

  3. Effacez les noms des tags réseau que vous ne souhaitez plus associer à votre job.

  4. Cliquez sur Mettre à jour.

gcloud

• Pour supprimer votre job du réseau VPC partagé, exécutez la commande suivante:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Pour ne supprimer que les tags réseau tout en maintenant le job connecté au réseau VPC partagé, exécutez la commande suivante:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Remplacez les éléments suivants :

  • JOB_NAME par le nom de votre job Cloud Run
  • REGION : région de votre job Cloud Run.

YAML

• Pour supprimer votre job du réseau VPC partagé:

  1. Téléchargez la configuration YAML du job :

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Supprimez le contenu suivant de votre fichier job.yaml :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Lieu

     • NETWORK : nom complet de la ressource de votre réseau VPC partagé.
     • SUBNET : nom complet de la ressource de votre sous-réseau.
     • Facultatif: NETWORK_TAG_NAMES: noms des tags réseau si vous les avez associés à un job.

  3. Mettez à jour la tâche à l'aide de la commande suivante :

     gcloud run jobs replace job.yaml

• Pour supprimer uniquement les tags réseau tout en maintenant le job connecté au réseau VPC partagé:

  1. Téléchargez la configuration YAML du job :

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Supprimez le contenu suivant de votre fichier job.yaml :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Lieu

     • NETWORK : nom complet de la ressource de votre réseau VPC partagé.
     • SUBNET : nom complet de la ressource de votre sous-réseau.
     • Facultatif: NETWORK_TAG_NAMES: noms des tags réseau si vous les avez associés à un job.

  3. Mettez à jour la tâche à l'aide de la commande suivante :

     gcloud run jobs replace job.yaml