使用共享 VPC 网络的直接 VPC 出站流量

控制台

1. 在 Google Cloud 控制台中，转到 Cloud Run 页面。

   转到 Cloud Run

2. 如果您要配置新服务，请点击部署容器，然后选择服务。如果您要配置和部署现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、卷、网络、安全性以展开服务配置页面。

4. 点击网络标签页。

5. 点击连接到 VPC 以发送出站流量。

6. 点击将流量直接发送到 VPC。

7. 选择与我共享的网络。

8. 在网络字段中，选择您要向其发送流量的共享 VPC 网络。

9. 在子网字段中，选择您的服务用于接收 IP 地址的子网。

10. 可选：输入要与服务关联的网络标记的名称。网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。

11. 在流量路由部分，选择以下选项之一：

    • 仅将请求路由到 VPC 的专用 IP，以便通过共享 VPC 网络将流量仅发送到内部地址。
    • 将所有流量路由到 VPC，以通过共享 VPC 网络发送所有出站流量。

12. 点击创建或部署。

13. 如需验证您的服务是否在共享 VPC 网络上，请点击该服务，然后点击网络标签页。VPC 卡片中列出了网络和子网。

现在，您可以根据防火墙规则允许将来自 Cloud Run 服务的请求发送到共享 VPC 网络上的任何资源。

gcloud

如需将服务置于共享子网上，请运行以下命令为共享 VPC 网络和子网指定完全限定的资源名称：

gcloud run deploy SERVICE_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  --max-instances MAX
  

请替换以下内容：

• SERVICE_NAME：Cloud Run 服务的名称。
• IMAGE_URL：服务的映像网址。
• HOST_PROJECT_ID：共享 VPC 项目的 ID。
• VPC_NETWORK：共享 VPC 网络的完全限定资源名称。
• REGION：Cloud Run 服务所在的区域，该区域必须与子网的区域一致。
• SUBNET_NAME：子网的完全限定资源名称。
• 可选：将 NETWORK_TAG_NAMES 替换为要与服务关联的网络标记的名称。对于服务，网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。
• 将 EGRESS_SETTING 替换为出站流量设置值：
  • all-traffic：通过共享 VPC 网络发送所有出站流量。
  • private-ranges-only：仅发送通过共享 VPC 网络发送到内部地址的流量。
• MAX：用于共享 VPC 网络的实例数上限。服务允许的实例数上限为 100。

如需了解详情和可选的参数，请参阅 gcloud 参考文档。

YAML

1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

   gcloud run services describe SERVICE --format export > service.yaml

2. 更新以下属性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE_NAME
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   您需要进行如下替换：

   • 将 SERVICE_NAME 替换为您的 Cloud Run 服务的名称。服务名称不得超过 49 个字符，并且在每个区域和项目中必须是唯一的。
   • 将 REGION 替换为 Cloud Run 服务的区域，该区域必须与子网的区域一致。
   • 将 NETWORK 替换为共享 VPC 网络的完全限定资源名称。
   • 将 SUBNET_NAME 替换为子网的完全限定资源名称。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与服务关联的网络标记的名称。对于服务，网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过共享 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过共享 VPC 网络发送到内部地址的流量。
   • 将 IMAGE 替换为服务容器映像的网址。

3. 使用以下命令创建或更新服务：

   gcloud run services replace service.yaml

Terraform

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

1. 请将以下内容添加到 main.tf 文件：

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

控制台

1. 在 Google Cloud 控制台中，转到 Cloud Run 页面。

   转到 Cloud Run

2. 如果您要配置新作业，请点击部署容器，然后选择作业，根据需要填写初始创建作业表单。如果要配置现有作业，请点击作业标签页，选择一个作业，然后点击修改。

3. 点击容器、变量和 Secret、连接、安全性以展开作业属性页面。

4. 点击连接标签页。

5. 点击连接到 VPC 以获取出站流量。

6. 点击将流量直接发送到 VPC。

7. 选择与我共享的网络。

8. 在网络字段中，选择您要向其发送流量的共享 VPC 网络。

9. 在子网字段中，选择您的作业用于接收 IP 地址的子网。

10. 可选：输入要与作业关联的网络标记的名称。对于作业，网络标记在执行级指定。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。

11. 在流量路由部分，选择以下选项之一：

    • 仅将请求路由到 VPC 的专用 IP，以便通过共享 VPC 网络将流量仅发送到内部地址。
    • 将所有流量路由到 VPC，以通过共享 VPC 网络发送所有出站流量。

12. 点击创建或更新。

13. 如需验证您的作业是否在共享 VPC 网络上，请点击该作业，然后点击配置标签页。VPC 卡片中列出了网络和子网。

现在，您可以根据防火墙规则允许执行 Cloud Run 作业，并将作业的请求发送到共享 VPC 网络上的任何资源。

gcloud

如需将作业置于共享子网上，请运行以下命令为共享 VPC 网络和子网指定完全限定的资源名称：

gcloud run jobs create JOB_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  

请替换以下内容：

• JOB_NAME：Cloud Run 作业的名称
• IMAGE_URL：作业的图片网址。
• HOST_PROJECT_ID：共享 VPC 宿主项目的 ID。
• VPC_NETWORK：共享 VPC 网络的完全限定资源名称。
• REGION：Cloud Run 作业所在的区域，该区域必须与子网的区域一致。
• SUBNET_NAME：子网名称的完全限定资源名称。
• 可选：将 NETWORK_TAG_NAMES 替换为要与作业关联的网络标记的名称。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。
• 将 EGRESS_SETTING 替换为出站流量设置值：
  • all-traffic：通过共享 VPC 网络发送所有出站流量。
  • private-ranges-only：仅发送通过共享 VPC 网络发送到内部地址的流量。

如需了解详情和可选的参数，请参阅 gcloud 参考文档。

YAML

1. 如果您要创建新的作业，请跳过此步骤。如果您要更新现有作业，请下载其 YAML 配置：

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 更新以下属性：

   apiVersion: run.googleapis.com/v1
   kind: Job
   metadata:
     name: JOB_NAME
     annotations:
       run.googleapis.com/launch-stage: BETA
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   您需要进行如下替换：

   • 将 JOB_NAME 替换为 Cloud Run 作业的名称。 作业名称不得超过 49 个字符，并且在每个区域和项目中必须是唯一的。
   • 将 REGION 替换为 Cloud Run 作业的区域，该区域必须与子网的区域一致。
   • 将 NETWORK 替换为共享 VPC 网络的完全限定资源名称。
   • 将 SUBNET 替换为子网的完全限定资源名称。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与作业关联的网络标记的名称。对于作业，网络标记在执行级指定。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过共享 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过共享 VPC 网络发送到内部地址的流量。
   • 将 IMAGE 替换为作业容器映像的网址。

3. 使用以下命令创建或更新作业：

   gcloud run jobs replace job.yaml

控制台

• 如需从共享 VPC 网络中移除服务，请执行以下操作：

  1. 在 Google Cloud 控制台中，转到 Cloud Run 页面。

     转到 Cloud Run

  2. 点击要移除的服务，然后点击修改和部署新的修订版本。

  3. 点击网络标签页。

  4. 清除连接到 VPC 以获取出站流量。

  5. 点击部署。

  6. 如需验证您的服务是否不再位于共享 VPC 网络上，请点击网络标签页。VPC 卡片中不再列出网络和子网。

• 如需仅移除网络标记，同时保持服务与共享 VPC 网络的连接，请执行以下操作：

  1. 点击包含要移除的网络标记的服务，然后点击修改和部署新的修订版本。

  2. 点击网络标签页。

  3. 清除您不再希望与服务关联的网络标记的名称。

  4. 点击部署。

gcloud

• 如需从共享 VPC 网络中移除服务，请运行以下命令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• 如需仅移除网络标记，同时保持服务与共享 VPC 网络的连接，请运行以下命令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  请替换以下内容：

  • SERVICE_NAME：Cloud Run 服务的名称。
  • REGION：Cloud Run 服务的区域。

YAML

• 如需从共享 VPC 网络中移除服务，请执行以下操作：

  1. 下载服务的 YAML 配置：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 从 service.yaml 文件中移除以下内容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地点

     • NETWORK：共享 VPC 网络的完全限定资源名称。
     • SUBNET：子网的完全限定资源名称。
     • 可选：NETWORK_TAG_NAMES：网络标记的名称（如果已将其与服务关联）。

  3. 使用以下命令更新服务：

     gcloud run services replace service.yaml

• 如需仅移除网络标记，同时保持服务与共享 VPC 网络的连接，请执行以下操作：

  1. 下载服务的 YAML 配置：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 从 service.yaml 文件的内容中移除 tags 变量，并保持 network 和 subnetwork 变量不变，如以下示例所示：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     替换以下内容：

     • NETWORK：共享 VPC 网络的完全限定资源名称。
     • SUBNET：子网的完全限定资源名称。

  3. 使用以下命令更新服务：

     gcloud run services replace service.yaml

控制台

• 如需从共享 VPC 网络中移除作业，请执行以下操作：

  1. 在 Google Cloud 控制台中，转到 Cloud Run 页面。

     转到 Cloud Run

  2. 点击要移除的作业，然后点击修改和部署新的修订版本。

  3. 点击配置标签页。

  4. 清除连接到 VPC 以获取出站流量。

  5. 点击更新。

  6. 如需验证您的作业是否不再位于共享 VPC 网络上，请点击配置标签页。VPC 卡片中不再列出网络和子网。

• 如需仅移除网络标记，同时保持作业与共享 VPC 网络的连接，请执行以下操作：

  1. 点击包含要移除的网络标记的作业，然后点击修改和部署新的修订版本。

  2. 点击连接标签页。

  3. 清除您不再希望与作业关联的网络标记的名称。

  4. 点击更新。

gcloud

• 如需从共享 VPC 网络中移除作业，请运行以下命令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• 如需仅移除网络标记，同时保持作业与共享 VPC 网络的连接，请运行以下命令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  请替换以下内容：

  • JOB_NAME：Cloud Run 作业的名称
  • REGION：Cloud Run 作业所在的区域。

YAML

• 如需从共享 VPC 网络中移除作业，请执行以下操作：

  1. 下载作业的 YAML 配置：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 从 job.yaml 文件中移除以下内容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地点

     • NETWORK：共享 VPC 网络的完全限定资源名称。
     • SUBNET：子网的完全限定资源名称。
     • 可选：如果您已将网络标记与作业相关联，则将 NETWORK_TAG_NAMES 替换为网络标记的名称。

  3. 使用以下命令更新作业：

     gcloud run jobs replace job.yaml

• 如需仅移除网络标记，同时保持作业与共享 VPC 网络的连接，请执行以下操作：

  1. 下载作业的 YAML 配置：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 从 job.yaml 文件中移除以下内容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地点

     • NETWORK：共享 VPC 网络的完全限定资源名称。
     • SUBNET：子网的完全限定资源名称。
     • 可选：如果您已将网络标记与作业相关联，则将 NETWORK_TAG_NAMES 替换为网络标记的名称。

  3. 使用以下命令更新作业：

     gcloud run jobs replace job.yaml