ダイレクト VPC 下り（外向き）と共有 VPC ネットワーク

コンソール

1. Google Cloud コンソールで [Cloud Run] ページに移動します。

   Cloud Run に移動

2. 新しいサービスを構成する場合は、[コンテナをデプロイ] をクリックし、[サービス] を選択します。既存のサービスを構成してデプロイする場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、必要に応じて最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [共有ネットワーク] を選択します。

8. [ネットワーク] フィールドで、トラフィックを送信する共有 VPC ネットワークを選択します。

9. [サブネット] フィールドで、サービスが IP アドレスを受信するサブネットを選択します。

10. 省略可: サービスに関連付けるネットワーク タグの名前を入力します。ネットワーク タグは、リビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。

11. [トラフィック ルーティング] で、次のいずれかを選択します。

    • プライベート IP へのリクエストだけを VPC に転送し、共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
    • すべてのトラフィックを VPC に転送する。すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。

12. [作成] または [デプロイ] をクリックします。

13. サービスが共有 VPC ネットワーク上にあることを確認するには、サービスをクリックして、[ネットワーキング] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

これで、ファイアウォール ルールで許可されるように、Cloud Run サービスから共有 VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

サービスを共有サブネットに配置するには、次のコマンドを実行して、共有 VPC ネットワークとサブネットの完全修飾リソース名を指定します。

gcloud run deploy SERVICE_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  --max-instances MAX
  

次のように置き換えます。

• SERVICE_NAME: Cloud Run サービスの名前。
• IMAGE_URL: サービスのイメージ URL。
• HOST_PROJECT_ID: 共有 VPC プロジェクトの ID。
• VPC_NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
• REGION: Cloud Run サービスのリージョン。サブネットのリージョンと一致する必要があります。
• SUBNET_NAME: サブネットの完全修飾リソース名。
• （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグのカンマ区切り名。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
• EGRESS_SETTING: 下り（外向き）設定値。
  • all-traffic: すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。
  • private-ranges-only: 共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
• MAX: 共有 VPC ネットワークに使用するインスタンスの最大数。サービスで許可されるインスタンスの最大数は 100 です。

より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 次の属性を更新します。

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE_NAME
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   次のように置き換えます。

   • SERVICE_NAME: Cloud Run サービスの名前。サービス名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • REGION: Cloud Run サービスのリージョン。サブネットのリージョンと一致する必要があります。
   • NETWORK は、共有 VPC ネットワークの完全修飾リソース名に置き換えます。
   • SUBNET_NAME は、サブネットの完全修飾リソース名に置き換えます。
   • （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグの名前。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。
     • private-ranges-only: 共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: サービス コンテナ イメージの URL。

3. 次のコマンドを使用して、サービスを作成または更新します。

   gcloud run services replace service.yaml

Terraform

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

1. 次のコードを main.tf ファイルに追加します。

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

コンソール

1. Google Cloud コンソールで [Cloud Run] ページに移動します。

   Cloud Run に移動

2. 新しいジョブを構成する場合は、[コンテナをデプロイ] をクリックし、[ジョブ] を選択して、必要に応じて最初の [ジョブを作成] フォームに入力します。既存のジョブを構成する場合は、[ジョブ] タブをクリックしてジョブを選択し、[編集] をクリックします。

3. [コンテナ、変数とシークレット、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [共有ネットワーク] を選択します。

8. [ネットワーク] フィールドで、トラフィックを送信する共有 VPC ネットワークを選択します。

9. [サブネット] フィールドで、ジョブが IP アドレスを受信するサブネットを選択します。

10. 省略可: ジョブに関連付けるネットワーク タグの名前を入力します。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。

11. [トラフィック ルーティング] で、次のいずれかを選択します。

    • プライベート IP へのリクエストだけを VPC に転送し、共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
    • すべてのトラフィックを VPC に転送する。すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。

12. [作成] または [更新] をクリックします。

13. ジョブが共有 VPC ネットワーク上にあることを確認するには、ジョブをクリックして [構成] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

これで、ファイアウォール ルールで許可されているように、Cloud Run ジョブを実行して、共有 VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

共有サブネットにジョブを配置するには、次のコマンドを実行して、共有 VPC ネットワークとサブネットの完全修飾リソース名を指定します。

gcloud run jobs create JOB_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  

次のように置き換えます。

• JOB_NAME: Cloud Run ジョブの名前。
• IMAGE_URL: ジョブのイメージ URL。
• HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトの ID。
• VPC_NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
• REGION: Cloud Run ジョブのリージョン。サブネットのリージョンと一致する必要があります。
• SUBNET_NAME: サブネットの名前の完全修飾リソース名。
• （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグのカンマ区切り名。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
• EGRESS_SETTING: 下り（外向き）設定値。
  • all-traffic: すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。
  • private-ranges-only: 共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。

より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

YAML

1. 新しいジョブを作成する場合は、この手順をスキップします。既存のジョブを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 次の属性を更新します。

   apiVersion: run.googleapis.com/v1
   kind: Job
   metadata:
     name: JOB_NAME
     annotations:
       run.googleapis.com/launch-stage: BETA
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   次のように置き換えます。

   • JOB_NAME: Cloud Run ジョブの名前。ジョブ名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • REGION: Cloud Run ジョブのリージョン。サブネットのリージョンと一致する必要があります。
   • NETWORK は、共有 VPC ネットワークの完全修飾リソース名に置き換えます。
   • SUBNET は、サブネットの完全修飾リソース名に置き換えます。
   • （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグの名前。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを共有 VPC ネットワーク経由で送信します。
     • private-ranges-only: 共有 VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: ジョブのコンテナ イメージの URL。

3. 次のコマンドを使用して、ジョブを作成または更新します。

   gcloud run jobs replace job.yaml

コンソール

• 共有 VPC ネットワークからサービスを削除するには:

  1. Google Cloud コンソールで [Cloud Run] ページに移動します。

     Cloud Run に移動

  2. 削除するサービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  3. [ネットワーキング] タブをクリックします。

  4. [アウトバウンド トラフィック用の VPC に接続する] をクリアします。

  5. [デプロイ] をクリックします。

  6. サービスが共有 VPC ネットワークに存在しなくなったことを確認するには、[ネットワーキング] タブをクリックします。ネットワークとサブネットが [VPC] カードに表示されなくなります。

• サービスを共有 VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. 削除するネットワーク タグを含むサービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  2. [ネットワーキング] タブをクリックします。

  3. サービスとの関連付けを解除したいネットワーク タグの名前をクリアします。

  4. [デプロイ] をクリックします。

gcloud

• 共有 VPC ネットワークからサービスを削除するには、次のコマンドを実行します。

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• 共有 VPC ネットワークに接続したままネットワーク タグのみを削除するには、次のコマンドを実行します。

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  次のように置き換えます。

  • SERVICE_NAME: Cloud Run サービスの名前。
  • REGION: Cloud Run サービスのリージョン。

YAML

• 共有 VPC ネットワークからサービスを削除するには:

  1. サービスの YAML 構成をダウンロードします。

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. service.yaml ファイルから次の内容を削除します。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     場所

     • NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
     • SUBNET: サブネットの完全修飾リソース名。
     • （省略可）NETWORK_TAG_NAMES: サービスに関連付けられているネットワーク タグの名前。

  3. 次のコマンドを使用してサービスを更新します。

     gcloud run services replace service.yaml

• サービスを共有 VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. サービスの YAML 構成をダウンロードします。

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 次の例に示すように、service.yaml ファイルの内容から tags 変数を削除します。network 変数と subnetwork 変数はそのままにします。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     次のように置き換えます。

     • NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
     • SUBNET: サブネットの完全修飾リソース名。

  3. 次のコマンドを使用してサービスを更新します。

     gcloud run services replace service.yaml

コンソール

• 共有 VPC ネットワークからジョブを削除するには:

  1. Google Cloud コンソールで [Cloud Run] ページに移動します。

     Cloud Run に移動

  2. 削除するジョブをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  3. [構成] タブをクリックします。

  4. [アウトバウンド トラフィック用の VPC に接続する] をクリアします。

  5. [更新] をクリックします。

  6. ジョブが共有 VPC ネットワークに存在しないことを確認するには、[構成] タブをクリックします。ネットワークとサブネットが [VPC] カードに表示されなくなります。

• ジョブを共有 VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. 削除するネットワーク タグを含むジョブをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  2. [接続] タブをクリックします。

  3. ジョブとの関連付けを解除したいネットワーク タグの名前をクリアします。

  4. [更新] をクリックします。

gcloud

• 共有 VPC ネットワークからジョブを削除するには、次のコマンドを実行します。

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• ジョブを共有 VPC ネットワークに接続したままネットワーク タグのみを削除するには、次のコマンドを実行します。

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  次のように置き換えます。

  • JOB_NAME: Cloud Run ジョブの名前。
  • REGION: Cloud Run ジョブのリージョン。

YAML

• 共有 VPC ネットワークからジョブを削除するには:

  1. ジョブの YAML 構成をダウンロードします。

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. job.yaml ファイルから次の内容を削除します。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     場所

     • NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
     • SUBNET: サブネットの完全修飾リソース名。
     • （省略可）NETWORK_TAG_NAMES: ジョブをネットワーク タグに関連付けている場合、ネットワーク タグの名前。

  3. 次のコマンドを使用してジョブを更新します。

     gcloud run jobs replace job.yaml

• ジョブを共有 VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. ジョブの YAML 構成をダウンロードします。

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. job.yaml ファイルから次の内容を削除します。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     場所

     • NETWORK: 共有 VPC ネットワークの完全修飾リソース名。
     • SUBNET: サブネットの完全修飾リソース名。
     • （省略可）NETWORK_TAG_NAMES: ジョブをネットワーク タグに関連付けている場合、ネットワーク タグの名前。

  3. 次のコマンドを使用してジョブを更新します。

     gcloud run jobs replace job.yaml