VPC con conectores

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Haz clic en Crear conector.

3. En el campo Nombre, introduzca un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine, así como los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.

4. En el campo Región, selecciona una región para tu conector. Debe coincidir con la región de tu servicio sin servidores.

   Si tu servicio o trabajo se encuentra en la región us-central o europe-west, usa us-central1 o europe-west1.

5. En el campo Red, selecciona la red de VPC a la que quieras adjuntar el conector.

6. En el campo Subred, seleccione una de las siguientes opciones:

   • Crear un conector con una subred: seleccione la subred en el campo Subred.

   • Crear un conector y una subred: selecciona Intervalo de IP personalizado en el campo Subred. A continuación, introduce la primera dirección de un /28CIDR que no esté en uso (por ejemplo, 10.8.0.0/28) para usarla como intervalo de direcciones IPv4 principal de una nueva subred que Google Cloud cree en la red de VPC del conector. Asegúrate de que el intervalo de IPs no entre en conflicto con ninguna ruta de la red de VPC del conector. El nombre de la nueva subred empieza por el prefijo "aet-".

7. (Opcional) Para definir opciones de escalado y tener más control sobre el conector, haz clic en Mostrar ajustes de escalado para que se muestre el formulario de escalado.

   1. Define el número mínimo y máximo de instancias de tu conector o usa los valores predeterminados, que son 2 (mínimo) y 10 (máximo). El conector se amplía hasta el máximo especificado si el uso del tráfico lo requiere, pero no se reduce cuando el tráfico disminuye. Debes usar valores entre 2 y 10.
   2. En el menú Tipo de instancia, elige el tipo de máquina que se va a usar para el conector o usa el valor predeterminado e2-micro. Fíjate en la barra lateral de costes de la derecha cuando elijas el tipo de instancia, que muestra las estimaciones de ancho de banda y costes.

8. Haz clic en Crear.

9. Cuando el conector esté listo para usarse, aparecerá una marca de verificación de color verde junto a su nombre.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Actualiza los componentes de gcloud a la versión más reciente:

   gcloud components update

3. Asegúrate de que la API Acceso a VPC sin servidor esté habilitada en tu proyecto:

   gcloud services enable vpcaccess.googleapis.com

4. Crea el conector con una de las siguientes opciones:

   Para obtener más información y argumentos opcionales, consulta la gcloudreferencia.

   • Crea un conector con una subred que ya tengas:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Haz los cambios siguientes:

     • CONNECTOR_NAME: un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine y los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para tu conector que coincida con la región de tu servicio o trabajo sin servidor. Si tu servicio o trabajo es en us-central o europe-west, usa us-central1 o europe-west1.
     • SUBNET_NAME: el nombre de la subred.
     • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida. Si el conector y la subred ya creada se encuentran en el mismo proyecto, omite la marca --subnet-project.
     • MIN: número mínimo de instancias que se van a usar en el conector. Usa un número entero entre 2(el valor predeterminado) y 9.
     • MAX: número máximo de instancias que se van a usar en el conector. Usa un número entero entre 3 y 10 (el valor predeterminado). Si el conector se escala hasta el número máximo de instancias, no se vuelve a reducir.
     • MACHINE_TYPE: debe ser uno de los siguientes valores: f1-micro, e2-micro o e2-standard-4.

   • Crear un conector y una subred:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Haz los cambios siguientes:

     • CONNECTOR_NAME: un nombre para el conector que cumpla las convenciones de nomenclatura de Compute Engine y los requisitos adicionales de que el nombre debe tener menos de 21 caracteres y que los guiones (-) cuentan como dos caracteres.
     • REGION: una región para tu conector que coincida con la región de tu servicio o trabajo sin servidor. Si tu servicio o trabajo es en us-central o europe-west, usa us-central1 o europe-west1.
     • VPC_NETWORK: el nombre de la red VPC a la que quieres adjuntar el conector. El conector y la red VPC deben estar en el mismo proyecto.
     • IP_RANGE: proporciona un CIDR /28 que no esté en uso (por ejemplo, 10.8.0.0/28) para usarlo como intervalo de direcciones IPv4 principal de una subred que Google Cloud cree en la red de VPC del conector. Asegúrate de que el intervalo de IPs no entre en conflicto con ninguna ruta de la red de VPC del conector. El nombre de la nueva subred empieza por el prefijo "aet-".
     • MIN: número mínimo de instancias que se van a usar en el conector. Usa un número entero entre 2(el valor predeterminado) y 9.
     • MAX: número máximo de instancias que se van a usar en el conector. Usa un número entero entre 3 y 10 (el valor predeterminado). Si el conector se escala hasta el número máximo de instancias, no se vuelve a reducir.
     • MACHINE_TYPE: debe ser uno de los siguientes valores: f1-micro, e2-micro o e2-standard-4.

5. Verifica que el conector esté en el estado READY antes de usarlo:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Haz los cambios siguientes:

   • CONNECTOR_NAME: el nombre del conector, que es el que has especificado en el paso anterior.
   • REGION: la región de tu conector. Es la región que especificaste en el paso anterior.

   El resultado debe contener la línea state: READY.

Terraform

Puede usar un recurso de Terraform para habilitar la API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puedes usar módulos de Terraform para crear una red VPC y una subred, y, a continuación, crear el conector.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 11.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 11.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Seleccione Servicios en el menú y haga clic en Implementar contenedor para configurar un nuevo servicio. Si vas a configurar un servicio que ya tienes, haz clic en él y, a continuación, en Editar y desplegar nueva revisión.

3. Si vas a configurar un servicio nuevo, rellena la página de configuración inicial del servicio y, a continuación, haz clic en Contenedores, volúmenes, redes y seguridad para desplegar la página de configuración del servicio.

4. Haz clic en la pestaña Redes.

   

   • En el campo Red, elija una de las siguientes opciones del menú:
     • Para desconectar tu servicio de una red VPC, selecciona Ninguna.
     • Para usar un conector que ya tengas, selecciónalo en la lista desplegable o elige Personalizado para usar un conector que no aparezca en la lista desplegable.
     • Para crear un conector, selecciona Añadir conector de VPC. Para obtener más información sobre cómo crear un conector, consulta el artículo Crear un conector de Acceso a VPC sin servidor.
     • En Enrutamiento del tráfico, seleccione una de las siguientes opciones:
       • Dirige solo las solicitudes a IP privadas a la VPC para enviar solo tráfico a direcciones internas a través de la red VPC.
       • Dirige todo el tráfico a la VPC para enviar todo el tráfico de salida a través de la red de VPC.

5. Haz clic en Crear o en Implementar.

gcloud

Para especificar un conector durante la implementación, usa la marca --vpc-connector:

gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Haz los cambios siguientes:

• SERVICE: el nombre de tu servicio.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: el nombre de tu conector.

Para adjuntar, actualizar o quitar un conector de un servicio, usa el comando gcloud run services update con una de las siguientes marcas, según sea necesario:

• --vpc-connector
• --clear-vpc-connector

Por ejemplo, para adjuntar o actualizar un conector, sigue estos pasos:

gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

Haz los cambios siguientes:

• SERVICE: el nombre de tu servicio.
• CONNECTOR_NAME: el nombre de tu conector.

YAML

1. Si va a crear un servicio, puede saltarse este paso. Si va a actualizar un servicio, descargue su configuración YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Añada o actualice el atributo run.googleapis.com/vpc-access-connector en el atributo annotations, que a su vez se encuentra en el atributo spec de nivel superior:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
         name: REVISION

   Haz los cambios siguientes:

   • SERVICE: el nombre de tu servicio de Cloud Run.
   • CONNECTOR_NAME: el nombre de tu conector.
   • REVISION con un nuevo nombre de revisión o elimínelo (si está presente). Si proporcionas un nuevo nombre de revisión, debe cumplir los siguientes criterios:
     • Empieza por SERVICE-
     • Contiene solo letras minúsculas, números y -
     • No termina con -
     • No supera los 63 caracteres

3. Crea o actualiza el servicio con el siguiente comando:

   gcloud run services replace service.yaml

Terraform

Puedes usar un recurso de Terraform para crear un servicio y configurarlo de forma que use tu conector.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Consola

1. En la Google Cloud consola, ve a la página de trabajos de Cloud Run:

   Ir a Cloud Run

2. Seleccione Trabajos en el menú y haga clic en Implementar contenedor para rellenar la página de configuración inicial del trabajo. Si vas a configurar un trabajo que ya existe, selecciona el trabajo y haz clic en Editar.

3. Haz clic en Contenedores, volúmenes, conexiones y seguridad para desplegar la página de propiedades del trabajo.

4. Haz clic en la pestaña Conexiones.

   

   • En el campo Red, elija una de las siguientes opciones del menú:
     • Para desconectar el trabajo de una red VPC, selecciona Ninguna.
     • Para usar un conector que ya tengas, selecciónalo en la lista desplegable o elige Personalizado para usar un conector que no aparezca en la lista desplegable.
     • Para crear un conector, selecciona Añadir conector de VPC.
       Para obtener más información sobre cómo crear un conector, consulta el artículo Crear un conector de Acceso a VPC sin servidor.

5. Haz clic en Crear o en Actualizar.

gcloud

Para especificar un conector durante la implementación del trabajo, usa la marca --vpc-connector:

gcloud run jobs create JOB --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Haz los cambios siguientes:

• JOB: el nombre de tu trabajo.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: el nombre de tu conector.

Para adjuntar, actualizar o quitar un conector de un servicio, usa el comando gcloud run jobs update con una de las siguientes marcas, según sea necesario:

• --vpc-connector
• --clear-vpc-connector

Por ejemplo, para adjuntar o actualizar un conector, sigue estos pasos:

gcloud run jobs update JOB --vpc-connector CONNECTOR_NAME

Haz los cambios siguientes:

• JOB: el nombre de tu trabajo.
• CONNECTOR_NAME: el nombre de tu conector.

YAML

Puedes descargar y ver una configuración de trabajo con el comando gcloud run jobs describe --format export, que genera resultados limpios en formato YAML. A continuación, puedes modificar los campos que se describen más abajo y subir el archivo YAML modificado con el comando gcloud run jobs replace. Asegúrese de modificar solo los campos que se indican en la documentación.

1. Para ver y descargar la configuración, sigue estos pasos:

   gcloud run jobs describe JOB --format export > job.yaml

2. Añada o actualice el atributo run.googleapis.com/vpc-access-connector en el atributo annotations, que a su vez se encuentra en el atributo spec de nivel superior:

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   Haz los cambios siguientes:

   • JOB: el nombre de tu tarea de Cloud Run.
   • CONNECTOR_NAME: el nombre del conector. El atributo run.googleapis.com/vpc-access-connector es obligatorio cuando se especifica un ajuste de salida.

3. Sustituye el trabajo por su nueva configuración con el siguiente comando:

   gcloud run jobs replace job.yaml

Etiquetas de red

En los pasos siguientes se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red de VPC en función de las etiquetas de red del conector.

1. Asegúrate de que tienes los permisos necesarios para insertar reglas de cortafuegos. Debes tener uno de los siguientes roles de Gestión de Identidades y Accesos (IAM):

   • Rol Administrador de seguridad de Compute
   • Rol de gestión de identidades y accesos personalizado con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en tu red VPC.

   Crea una regla de cortafuegos de entrada con una prioridad inferior a 1000 en tu red de VPC para denegar la entrada desde la etiqueta de red del conector. De esta forma, se anula la regla de cortafuegos implícita que Acceso a VPC sin servidor crea en tu red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, deny-vpc-connector.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por motivos de seguridad y validación, también puede configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no admitidos: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_NETWORK_TAG: la etiqueta de red del conector universal si quiere restringir el acceso a todos los conectores (incluidos los que cree en el futuro) o la etiqueta de red única si quiere restringir el acceso a un conector específico.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Sustituye:

       • REGION: la región del conector que quieras restringir
       • CONNECTOR_NAME: el nombre del conector que quieras restringir

     Para obtener más información sobre las etiquetas de red de conectores, consulta Etiquetas de red.

   • VPC_NETWORK: el nombre de tu red de VPC

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debería recibirlo.

   Usa las marcas allow y target-tags para crear una regla de cortafuegos de entrada dirigida al recurso de tu red de VPC al que quieres que acceda el conector de VPC. Asigne a esta regla una prioridad inferior a la de la regla que ha creado en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_NETWORK_TAG: la etiqueta de red del conector universal si quiere restringir el acceso a todos los conectores (incluidos los que cree en el futuro) o la etiqueta de red única si quiere restringir el acceso a un conector específico. Debe coincidir con la etiqueta de red que ha especificado en el paso anterior.

     • Etiqueta de red universal: vpc-connector

     • Etiqueta de red única: vpc-connector-REGION-CONNECTOR_NAME

       Sustituye:

       • REGION: la región del conector que quieras restringir
       • CONNECTOR_NAME: el nombre del conector que quieras restringir

     Para obtener más información sobre las etiquetas de red de conectores, consulta Etiquetas de red.

   • VPC_NETWORK: el nombre de tu red de VPC

   • RESOURCE_TAG: la etiqueta de red del recurso de VPC al que quieres que acceda tu conector de VPC

   • PRIORITY: un número entero inferior a la prioridad que hayas definido en el paso anterior. Por ejemplo, si has asignado la prioridad 990 a la regla que has creado en el paso anterior, prueba con 980.

Para obtener más información sobre las marcas obligatorias y opcionales para crear reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Intervalo CIDR

En los pasos siguientes se muestra cómo crear reglas de entrada que restrinjan el acceso de un conector a tu red VPC en función del intervalo CIDR del conector.

1. Asegúrate de que tienes los permisos necesarios para insertar reglas de cortafuegos. Debes tener uno de los siguientes roles de Gestión de Identidades y Accesos (IAM):

   • Rol Administrador de seguridad de Compute
   • Rol de gestión de identidades y accesos personalizado con el permiso compute.firewalls.create habilitado

2. Deniega el tráfico del conector en tu red VPC.

   Crea una regla de cortafuegos de entrada con una prioridad inferior a 1000 en tu red de VPC para denegar la entrada desde el intervalo CIDR del conector. De esta forma, se anula la regla de cortafuegos implícita que Acceso a VPC sin servidor crea en tu red de VPC de forma predeterminada.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, deny-vpc-connector.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

     Por motivos de seguridad y validación, también puede configurar reglas de denegación para bloquear el tráfico de los siguientes protocolos no admitidos: ah, all, esp, icmp, ipip y sctp.

   • VPC_CONNECTOR_CIDR_RANGE: el intervalo CIDR del conector cuyo acceso quieres restringir

   • VPC_NETWORK: el nombre de tu red de VPC

   • PRIORITY: un número entero entre 0 y 65535. Por ejemplo, 0 establece la prioridad más alta.

3. Permite el tráfico del conector al recurso que debería recibirlo.

   Usa las marcas allow y target-tags para crear una regla de cortafuegos de entrada dirigida al recurso de tu red de VPC al que quieres que acceda el conector de VPC. Asigne a esta regla una prioridad inferior a la de la regla que ha creado en el paso anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Haz los cambios siguientes:

   • RULE_NAME: el nombre de la nueva regla de cortafuegos. Por ejemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o varios protocolos que quieras permitir desde tu conector de VPC. Los protocolos admitidos son tcp y udp. Por ejemplo, tcp:80,udp permite el tráfico TCP a través del puerto 80 y el tráfico UDP. Para obtener más información, consulta la documentación de la marca allow.

   • VPC_CONNECTOR_CIDR_RANGE: el intervalo CIDR del conector cuyo acceso estás restringiendo

   • VPC_NETWORK: el nombre de tu red de VPC

   • RESOURCE_TAG: la etiqueta de red del recurso de VPC al que quieres que acceda tu conector de VPC

   • PRIORITY: un número entero inferior a la prioridad que hayas definido en el paso anterior. Por ejemplo, si has asignado la prioridad 990 a la regla que has creado en el paso anterior, prueba con 980.

Para obtener más información sobre las marcas obligatorias y opcionales para crear reglas de firewall, consulta la documentación de gcloud compute firewall-rules create.

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Seleccione Servicios en el menú y haga clic en Implementar contenedor para configurar un nuevo servicio. Si vas a configurar un servicio que ya tienes, haz clic en él y, a continuación, en Editar y desplegar nueva revisión.

3. Si vas a configurar un servicio nuevo, rellena la página de configuración inicial del servicio y, a continuación, haz clic en Contenedores, volúmenes, redes y seguridad para desplegar la página de configuración del servicio.

4. Haz clic en la pestaña Redes.

   

   • Después de seleccionar un conector VPC, elige La ruta solo realiza solicitudes a IPs privadas mediante el conector VPC o La ruta envía todo el tráfico a la VPC.

5. Haz clic en Crear o en Implementar.

gcloud

Para especificar un ajuste de salida, usa la marca --vpc-egress. Puedes especificar un ajuste de salida durante la implementación:

gcloud run deploy SERVICE \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Haz los cambios siguientes:

• SERVICE: el nombre de tu servicio.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: el nombre de tu conector.
• EGRESS_SETTING: un valor de ajuste de salida:
  • all-traffic: envía todo el tráfico saliente a través del conector.
  • private-ranges-only: envía solo tráfico a direcciones internas a través del conector de VPC.

También puede actualizar un servicio y cambiar el ajuste de salida:

gcloud run services update SERVICE --vpc-egress EGRESS_SETTING

Haz los cambios siguientes:

• SERVICE: el nombre de tu servicio.
• EGRESS_SETTING: un valor de ajuste de salida como se indica más arriba.

YAML

1. Si va a crear un servicio, puede saltarse este paso. Si va a actualizar un servicio, descargue su configuración YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Añada o actualice el atributo run.googleapis.com/vpc-access-egress en el atributo annotations, que a su vez se encuentra en el atributo spec de nivel superior:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         name: REVISION

   Haz los cambios siguientes:

   • SERVICE: el nombre de tu servicio de Cloud Run.
   • CONNECTOR_NAME: el nombre del conector. El atributo run.googleapis.com/vpc-access-connector es obligatorio cuando se especifica un ajuste de salida.
   • EGRESS_SETTING: uno de los siguientes:
     • all-traffic: envía todo el tráfico saliente a través del conector.
     • private-ranges-only: envía solo tráfico a direcciones internas a través del conector de VPC.
     • REVISION con un nuevo nombre de revisión o elimínelo (si está presente). Si proporcionas un nuevo nombre de revisión, debe cumplir los siguientes criterios:
       • Empieza por SERVICE-
       • Contiene solo letras minúsculas, números y -
       • No termina con -
       • No supera los 63 caracteres

3. Crea o actualiza el servicio con el siguiente comando:

   gcloud run services replace service.yaml

Consola

1. En la Google Cloud consola, ve a la página de trabajos de Cloud Run:

   Ir a Cloud Run

2. Seleccione Trabajos en el menú y haga clic en Implementar contenedor para rellenar la página de configuración inicial del trabajo. Si vas a configurar un trabajo que ya existe, selecciona el trabajo y haz clic en Editar.

3. Haz clic en Contenedores, volúmenes, conexiones y seguridad para desplegar la página de propiedades del trabajo.

4. Haz clic en la pestaña Conexiones.

   

   • Después de seleccionar un conector, elige La ruta solo realiza solicitudes a IPs privadas mediante el conector VPC o La ruta envía todo el tráfico a la VPC.

5. Haz clic en Crear o en Actualizar.

gcloud

Para especificar un ajuste de salida, usa la marca --vpc-egress. Puedes especificar un ajuste de salida durante el proceso de implementación del trabajo:

gcloud run jobs create JOB \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Haz los cambios siguientes:

• JOB: el nombre de tu trabajo.
• IMAGE_URL: una referencia a la imagen del contenedor, por ejemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Si usas Artifact Registry, el repositorio REPO_NAME ya debe estar creado. La URL sigue el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: el nombre de tu conector.
• EGRESS_SETTING: un valor de ajuste de salida:
  • all-traffic: envía todo el tráfico saliente a través del conector.
  • private-ranges-only: envía solo tráfico a direcciones internas a través del conector de VPC.

También puede actualizar un trabajo y cambiar el ajuste de salida:

gcloud run jobs update JOB --vpc-egress EGRESS_SETTING

Haz los cambios siguientes:

• JOB: el nombre de tu trabajo.
• EGRESS_SETTING: un valor de ajuste de salida como se indica más arriba.

YAML

Puedes descargar y ver una configuración de trabajo con el comando gcloud run jobs describe --format export, que genera resultados limpios en formato YAML. A continuación, puedes modificar los campos que se describen más abajo y subir el archivo YAML modificado con el comando gcloud run jobs replace. Asegúrese de modificar solo los campos que se indican en la documentación.

1. Sustituye el trabajo por su nueva configuración con el siguiente comando:

   gcloud run jobs replace job.yaml

2. Añada o actualice el atributo run.googleapis.com/vpc-access-egress en el atributo annotations, que a su vez se encuentra en el atributo spec de nivel superior:

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING

   Haz los cambios siguientes:

   • JOB: el nombre de tu tarea de Cloud Run.
   • CONNECTOR_NAME: el nombre del conector. El atributo run.googleapis.com/vpc-access-connector es obligatorio cuando se especifica un ajuste de salida.
   • EGRESS_SETTING: uno de los siguientes:
     • all-traffic: envía todo el tráfico saliente a través del conector.
     • private-ranges-only: envía solo tráfico a direcciones internas a través del conector de VPC.

3. Sustituye el trabajo por su nueva configuración con el siguiente comando:

   gcloud run jobs replace job.yaml

Consola

1. Ir a Cloud Run

2. Haz clic en el servicio o el trabajo que te interese para abrir la página de detalles.

   • En el caso de un servicio, haz clic en la pestaña Revisiones.

   • En un trabajo, haz clic en la pestaña Configuración.

El ajuste del conector de Acceso a VPC sin servidor se encuentra en la pestaña Redes.

gcloud

1. Usa el siguiente comando para ver los ajustes de tu servicio:

   gcloud run services describe SERVICE

2. Usa el siguiente comando para ver los ajustes de tu trabajo:

   gcloud run jobs describe JOB

3. Busca el ajuste del conector de Acceso a VPC sin servidor en la configuración devuelta.

Consola

1. En la Google Cloud consola, ve a Cloud Run:

   Ir a Cloud Run

2. Seleccione Servicios en el menú y haga clic en Implementar contenedor para configurar un nuevo servicio. Si vas a configurar un servicio que ya tienes, haz clic en él y, a continuación, en Editar y desplegar nueva revisión.

3. Si vas a configurar un servicio nuevo, rellena la página de configuración inicial del servicio y, a continuación, haz clic en Contenedores, volúmenes, redes y seguridad para desplegar la página de configuración del servicio.

4. Haz clic en la pestaña Redes.

   

   • En el campo Red, selecciona Ninguna para desconectar tu servicio de una red VPC.

5. Haz clic en Crear o en Implementar.

gcloud

Para desconectar un servicio, usa el comando gcloud run services update con la siguiente marca:

• --clear-vpc-connector

gcloud run services update SERVICE --clear-vpc-connector

• Sustituye SERVICE por el nombre de tu servicio.

Consola

1. En la Google Cloud consola, ve a la página de trabajos de Cloud Run:

   Ir a Cloud Run

2. Seleccione Trabajos en el menú y haga clic en Implementar contenedor para rellenar la página de configuración inicial del trabajo. Si vas a configurar un trabajo que ya existe, selecciona el trabajo y haz clic en Editar.

3. Haz clic en Contenedores, volúmenes, conexiones y seguridad para desplegar la página de propiedades del trabajo.

4. Haz clic en la pestaña Conexiones.

   

   • En el campo Red, selecciona Ninguna para desconectar el trabajo de una red de VPC.

5. Haz clic en Crear o en Actualizar.

gcloud

Para desconectar un trabajo, usa el comando gcloud run jobs update con la siguiente marca:

--clear-vpc-connector

gcloud run jobs update JOB --clear-vpc-connector

Sustituye JOB por el nombre del trabajo.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras editar y haz clic en Editar.

3. En la lista Tipo de instancia, selecciona el tipo de máquina (instancia) que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre rendimiento y escalado.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para actualizar el tipo de máquina del conector, ejecuta el siguiente comando en el terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Sustituye lo siguiente:
   • CONNECTOR_NAME: el nombre de tu conector
   • REGION: el nombre de la región de tu conector
   • MACHINE_TYPE: el tipo de máquina que prefieras. Para obtener información sobre los tipos de máquinas disponibles, consulta la documentación sobre rendimiento y escalado.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor.

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras editar y haz clic en Editar.

3. En el campo Instancias mínimas, selecciona el número mínimo de instancias que prefieras.

   El valor más pequeño posible de este campo es el valor actual. El valor más alto posible de este campo es el valor actual del campo Número máximo de instancias menos 1. Por ejemplo, si el valor del campo Máximo de instancias es 8, el valor más alto posible del campo Mínimo de instancias es 7.

4. En el campo Número máximo de instancias, selecciona el número máximo de instancias que prefieras.

   El valor más pequeño posible de este campo es el valor actual. El valor máximo posible de este campo es 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para aumentar el número mínimo o máximo de instancias del conector, ejecuta el siguiente comando en tu terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Sustituye lo siguiente:

• CONNECTOR_NAME: el nombre de tu conector
• REGION: el nombre de la región de tu conector
• MIN_INSTANCES: el número mínimo de instancias que prefieras.
  • El valor más pequeño posible de este campo es el valor actual de min_instances. Para ver el valor actual, consulte Buscar los valores de atributo actuales.
  • El valor más alto posible para este campo es el valor actual de max_instances menos 1, ya que min_instances debe ser inferior a max_instances. Por ejemplo, si max_instances es 8, el valor más alto posible de este campo es 7. Si tu conector usa el valor predeterminado max-instances de 10, el valor máximo posible de este campo es 9. Para encontrar el valor de max-instances, consulte Buscar los valores de atributo actuales.

• MAX_INSTANCES:

  • El valor más pequeño posible de este campo es el valor actual de max_instances. Para ver el valor actual, consulte Buscar los valores de atributo actuales.
  • El valor máximo posible de este campo es 10.

  Si solo quiere aumentar el número mínimo de instancias, pero no el máximo, debe especificar el número máximo de instancias. Por el contrario, si solo quiere actualizar el número máximo de instancias, pero no el mínimo, debe especificar el número mínimo de instancias. Para mantener el número mínimo o máximo de instancias en su valor actual, especifica dicho valor. Para consultar su valor actual, consulte Buscar los valores de atributo actuales.

Consola

1. Ve a la página de resumen de Acceso a VPC sin servidor en laGoogle Cloud consola:

   Ir a Acceso a VPC sin servidor

2. Selecciona el conector que quieras eliminar.

3. Haz clic en Eliminar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Usa el siguiente comando gcloud para eliminar un conector:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Haz los cambios siguientes:

   • CONNECTOR_NAME con el nombre del conector que quieras eliminar
   • REGION por la región en la que se encuentra el conector