VPC とコネクタ

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. [コネクタを作成] をクリックします。

3. [名前] フィールドに、Compute Engine の命名規則に沿ってコネクタの名前を入力します。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。

4. [リージョン] フィールドで、コネクタのリージョンを選択します。これは、サーバーレス サービスのリージョンと一致する必要があります。

   サービスまたはジョブが us-central または europe-west リージョンにある場合は、us-central1 または europe-west1 を使用します。

5. [ネットワーク] フィールドで、コネクタを接続する VPC ネットワークを選択します。

6. [サブネット] フィールドで、次のいずれかのオプションを選択します。

   • 既存のサブネットを使用してコネクタを作成する: [サブネット] フィールドで既存のサブネットを選択します。

   • コネクタと新しいサブネットを作成する: [サブネット] フィールドで [カスタム IP 範囲] を選択します。次に、未使用の /28 CIDR（10.8.0.0/28 など）の最初のアドレスを入力します。これは、 Google Cloud コネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。

7. （省略可）コネクタを詳細に制御するためのスケーリング オプションを設定するには、[スケーリング設定を表示] をクリックしてスケーリング フォームを表示します。

   1. コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値（最小 2、最大 10）を使用します。コネクタは、トラフィックの使用量に応じて指定された最大値にスケールアップしますが、トラフィックが減少してもスケールダウンしません。2～10 の範囲の値を使用する必要があります。
   2. [インスタンス タイプ] メニューで、コネクタに使用するマシンタイプを選択するか、デフォルトの e2-micro を使用します。インスタンス タイプを選択すると、右側にコスト サイドバーが表示され、帯域幅とコストの見積もりが表示されます。

8. [作成] をクリックします。

9. コネクタの使用準備が整うと、コネクタ名の横に緑色のチェックマークが表示されます。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

3. プロジェクトでサーバーレス VPC アクセスが有効になっていることを確認します。

   gcloud services enable vpcaccess.googleapis.com

4. 次のいずれかのオプションを使用してコネクタを作成します。

   より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

   • 既存のサブネットを使用してコネクタを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • SUBNET_NAME: 既存のサブネットの名前。
     • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクト ID。コネクタと既存のサブネットが同じプロジェクトに配置されている場合は、--subnet-project フラグを省略します。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

   • コネクタと新しいサブネットを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • VPC_NETWORK: コネクタを接続する VPC ネットワークの名前。コネクタと VPC ネットワークを同じプロジェクトに配置する必要があります。
     • IP_RANGE: Google Cloud でコネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用する未使用の /28 CIDR（10.8.0.0/28 など）を指定します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

5. 使用する前に、コネクタが READY 状態になっていることを確認します。

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   次のように置き換えます。

   • CONNECTOR_NAME: コネクタの名前。これは、前のステップで指定した名前です。
   • REGION: コネクタのリージョン。これは、前の手順で指定したリージョンです。

   出力には、state: READY という行が含まれます。

Terraform

Terraform リソースを使用して、vpcaccess.googleapis.com API を有効にできます。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Terraform モジュールを使用して VPC ネットワークとサブネットを作成し、その後コネクタを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

コンソール

1. Google Cloud コンソールで Cloud Run に移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[サービス] を選択して、新しいサービスを構成します。既存のサービスを構成する場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

   

   • [ネットワーク] フィールドで、メニューから次のいずれかを選択します。
     • VPC ネットワークからサービスの接続を解除するには、[なし] を選択します。
     • 既存のコネクタを使用するには、プルダウン リストからそのコネクタを選択するか、[カスタム] を選択して、プルダウン リストに表示されていない既存のコネクタを使用します。
     • 新しいコネクタを作成するには、[新しい VPC コネクタを追加] を選択します。コネクタの作成方法については、サーバーレス VPC アクセス コネクタを作成するをご覧ください。
     • [トラフィック ルーティング] で、次のいずれかを選択します。
       • プライベート IP へのリクエストだけを VPC に転送し、VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
       • すべてのトラフィックを VPC にルーティングする。すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。

5. [作成] または [デプロイ] をクリックします。

gcloud

デプロイ中にコネクタを指定するには、--vpc-connector フラグを使用します。

gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

次のように置き換えます。

• SERVICE: 実際のサービスの名前。
• IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です。
• CONNECTOR_NAME: コネクタの名前。

既存のサービスのコネクタを接続、更新、削除するには、必要に応じて次のいずれかのフラグを指定して gcloud run services update コマンドを使用します。

• --vpc-connector
• --clear-vpc-connector

たとえば、コネクタを接続または更新するには、次のコマンドを使用します。

gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

次のように置き換えます。

• SERVICE: 実際のサービスの名前。
• CONNECTOR_NAME: コネクタの名前。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 最上位の spec 属性の下の annotations 属性にある run.googleapis.com/vpc-access-connector 属性を追加または更新します。

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
         name: REVISION

   次のように置き換えます。

   • SERVICE は、Cloud Run サービスの名前に置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。
   • REVISION は、新しいリビジョン名に置き換えるか、削除（存在する場合）します。新しいリビジョン名を指定する場合は、次の条件を満たす必要があります。
     • SERVICE- で始まる
     • 小文字、数字、- のみが使用されている
     • 末尾が - ではない
     • 63 文字以内である

3. 次のコマンドを使用して、サービスを作成または更新します。

   gcloud run services replace service.yaml

Terraform

Terraform リソースを使用してサービスを作成し、コネクタを使用するように構成できます。

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

コンソール

1. Google Cloud コンソールで、Cloud Run の [ジョブ] ページに移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[ジョブ] を選択して、ジョブの初期設定ページに入力します。既存のジョブを構成する場合は、ジョブを選択して [編集] をクリックします。

3. [コンテナ、ボリューム、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

   

   • [ネットワーク] フィールドで、メニューから次のいずれかを選択します。
     • VPC ネットワークからジョブの接続を解除するには、[なし] を選択します。
     • 既存のコネクタを使用するには、プルダウン リストからそのコネクタを選択するか、[カスタム] を選択して、プルダウン リストに表示されていない既存のコネクタを使用します。
     • 新しいコネクタを作成するには、[新しい VPC コネクタを追加] を選択します。
       コネクタの作成方法については、サーバーレス VPC アクセス コネクタを作成するをご覧ください。

5. [作成] または [更新] をクリックします。

gcloud

ジョブのデプロイ時にコネクタを指定するには、--vpc-connector フラグを使用します。

gcloud run jobs create JOB --image IMAGE_URL --vpc-connector CONNECTOR_NAME

次のように置き換えます。

• JOB: ジョブの名前。
• IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です。
• CONNECTOR_NAME: コネクタの名前。

既存のサービスのコネクタを接続、更新、削除するには、必要に応じて次のいずれかのフラグを指定して gcloud run jobs update コマンドを使用します。

• --vpc-connector
• --clear-vpc-connector

たとえば、コネクタを接続または更新するには、次のコマンドを使用します。

gcloud run jobs update JOB --vpc-connector CONNECTOR_NAME

次のように置き換えます。

• JOB: ジョブの名前。
• CONNECTOR_NAME: コネクタの名前。

YAML

既存のジョブ構成をダウンロードして表示するには、gcloud run jobs describe --format export コマンドを使用します。読みやすく整えられた結果が YAML 形式で出力されます。次に、下記の手順に沿ってフィールドを変更し、gcloud run jobs replace コマンドを使用して変更後の YAML ファイルをアップロードします。必ず説明されているとおりにフィールドを変更してください。

1. 次のコマンドで、構成を表示してダウンロードします。

   gcloud run jobs describe JOB --format export > job.yaml

2. 最上位の spec 属性の下の annotations 属性にある run.googleapis.com/vpc-access-connector 属性を追加または更新します。

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   次のように置き換えます。

   • JOB: Cloud Run ジョブの名前。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。run.googleapis.com/vpc-access-connector 属性は、下り（外向き）設定を指定するときに必要です。

3. 次のコマンドを使用して、ジョブを新しい構成に置き換えます。

   gcloud run jobs replace job.yaml

ネットワーク タグ

次の手順は、コネクタのネットワーク タグに基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタのネットワーク タグからの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       次のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。これは、前のステップで指定したネットワーク タグと一致する必要があります。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       次のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必須のフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

CIDR 範囲

次の手順は、コネクタの CIDR 範囲に基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタの CIDR 範囲からの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必要なフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

コンソール

1. Google Cloud コンソールで Cloud Run に移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[サービス] を選択して、新しいサービスを構成します。既存のサービスを構成する場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

   

   • VPC コネクタを選択したら、[プライベート IP へのリクエストのみを VPC にルーティングする] または [すべてのトラフィックを VPC にルーティングする] を選択します。

5. [作成] または [デプロイ] をクリックします。

gcloud

下り（外向き）設定を指定するには、--vpc-egress フラグを使用します。デプロイ中に下り（外向き）設定を指定できます。

gcloud run deploy SERVICE \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

次のように置き換えます。

• SERVICE: 実際のサービスの名前。
• IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です。
• CONNECTOR_NAME: コネクタの名前。
• EGRESS_SETTING: 下り（外向き）設定値。
  • all-traffic: コネクタ経由ですべてのアウトバンド トラフィックを送信します。
  • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。

既存のサービスを更新し、下り（外向き）設定を変更することもできます。

gcloud run services update SERVICE --vpc-egress EGRESS_SETTING

次のように置き換えます。

• SERVICE: 実際のサービスの名前。
• EGRESS_SETTING: 前述の下り（外向き）設定値。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 最上位の spec 属性の下の annotations 属性にある run.googleapis.com/vpc-access-egress 属性を追加または更新します。

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         name: REVISION

   次のように置き換えます。

   • SERVICE は、Cloud Run サービスの名前に置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。run.googleapis.com/vpc-access-connector 属性は、下り（外向き）設定を指定するときに必要です。
   • EGRESS_SETTING は、次のいずれかに置き換えます。
     • all-traffic: コネクタ経由ですべてのアウトバンド トラフィックを送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。
     • REVISION は、新しいリビジョン名に置き換えるか、削除（存在する場合）します。新しいリビジョン名を指定する場合は、次の条件を満たす必要があります。
       • SERVICE- で始まる
       • 小文字、数字、- のみが使用されている
       • 末尾が - ではない
       • 63 文字以内である

3. 次のコマンドを使用して、サービスを作成または更新します。

   gcloud run services replace service.yaml

コンソール

1. Google Cloud コンソールで、Cloud Run の [ジョブ] ページに移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[ジョブ] を選択して、ジョブの初期設定ページに入力します。既存のジョブを構成する場合は、ジョブを選択して [編集] をクリックします。

3. [コンテナ、ボリューム、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

   

   • コネクタを選択したら、[プライベート IP へのリクエストのみを VPC にルーティングする] または [すべてのトラフィックを VPC にルーティングする] を選択します。

5. [作成] または [更新] をクリックします。

gcloud

下り（外向き）設定を指定するには、--vpc-egress フラグを使用します。ジョブのデプロイ プロセス中に下り（外向き）設定を指定できます。

gcloud run jobs create JOB \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

次のように置き換えます。

• JOB: ジョブの名前。
• IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です。
• CONNECTOR_NAME: コネクタの名前。
• EGRESS_SETTING: 下り（外向き）設定値。
  • all-traffic: コネクタ経由ですべてのアウトバンド トラフィックを送信します。
  • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。

既存のジョブを更新し、下り（外向き）設定を変更することもできます。

gcloud run jobs update JOB --vpc-egress EGRESS_SETTING

次のように置き換えます。

• JOB は、ジョブの名前に置き換えます。
• EGRESS_SETTING: 前述の下り（外向き）設定値。

YAML

既存のジョブ構成をダウンロードして表示するには、gcloud run jobs describe --format export コマンドを使用します。読みやすく整えられた結果が YAML 形式で出力されます。次に、下記の手順に沿ってフィールドを変更し、gcloud run jobs replace コマンドを使用して変更後の YAML ファイルをアップロードします。必ず説明されているとおりにフィールドを変更してください。

1. 次のコマンドを使用して、ジョブを新しい構成に置き換えます。

   gcloud run jobs replace job.yaml

2. 最上位の spec 属性の下の annotations 属性にある run.googleapis.com/vpc-access-egress 属性を追加または更新します。

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING

   次のように置き換えます。

   • JOB: Cloud Run ジョブの名前。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。run.googleapis.com/vpc-access-connector 属性は、下り（外向き）設定を指定するときに必要です。
   • EGRESS_SETTING は、次のいずれかに置き換えます。
     • all-traffic: コネクタ経由ですべてのアウトバンド トラフィックを送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。

3. 次のコマンドを使用して、ジョブを新しい構成に置き換えます。

   gcloud run jobs replace job.yaml

コンソール

1. Cloud Run に移動

2. 目的のサービスまたはジョブをクリックして、詳細ページを開きます。

   • サービスの場合は、[リビジョン] タブをクリックします。

   • ジョブの場合は、[構成] タブをクリックします。

[ネットワーク] タブに、サーバーレス VPC アクセス コネクタの設定が表示されます。

gcloud

1. サービスの設定を表示するには、次のコマンドを使用します。

   gcloud run services describe SERVICE

2. ジョブの設定を表示するには、次のコマンドを使用します。

   gcloud run jobs describe JOB

3. 返された構成で、サーバーレス VPC アクセス コネクタの設定を探します。

コンソール

1. Google Cloud コンソールで Cloud Run に移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[サービス] を選択して、新しいサービスを構成します。既存のサービスを構成する場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

   

   • [ネットワーク] フィールドで [なし] を選択して、VPC ネットワークからサービスを接続解除します。

5. [作成] または [デプロイ] をクリックします。

gcloud

サービスを接続解除するには、次のフラグを指定して gcloud run services update コマンドを実行します。

• --clear-vpc-connector

gcloud run services update SERVICE --clear-vpc-connector

• SERVICE は、実際のサービス名に置き換えます。

コンソール

1. Google Cloud コンソールで、Cloud Run の [ジョブ] ページに移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[ジョブ] を選択して、ジョブの初期設定ページに入力します。既存のジョブを構成する場合は、ジョブを選択して [編集] をクリックします。

3. [コンテナ、ボリューム、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

   

   • [ネットワーク] フィールドで [なし] を選択して、VPC ネットワークからジョブを接続解除します。

5. [作成] または [更新] をクリックします。

gcloud

ジョブを接続解除するには、次のフラグを指定して gcloud run jobs update コマンドを実行します。

--clear-vpc-connector

gcloud run jobs update JOB --clear-vpc-connector

JOB は、使用するジョブの名前に置き換えます。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [インスタンス タイプ] リストで、目的のマシン（インスタンス）タイプを選択します。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのマシンタイプを更新するには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   次のように置き換えます。
   • CONNECTOR_NAME: コネクタの名前。
   • REGION: コネクタのリージョンの名前。
   • MACHINE_TYPE: 目的のマシンタイプ。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [最小インスタンス数] フィールドに、目的のインスタンスの最小数を選択します。

   このフィールドに設定可能な最小値は現在の値です。このフィールドに設定可能な最大値は、[最大インスタンス数] フィールドの現在の値から 1 を引いた値になります。たとえば、[最大インスタンス数] フィールドの値が 8 の場合、[最小インスタンス数] フィールドに設定可能な最大値は 7 になります。

4. [最大インスタンス数] フィールドでインスタンスの最大数を選択します。

   このフィールドに設定可能な最小値は現在の値です。このフィールドに設定可能な最大値は 10 です。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのインスタンスの最小数または最大数を増やすには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   次のように置き換えます。

• CONNECTOR_NAME: コネクタの名前。
• REGION: コネクタのリージョンの名前。
• MIN_INSTANCES: 目的の最小インスタンス数。
  • このフィールドに設定可能な最小値は min_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は、現在の max_instances の値から 1 を引いた値になります。これは、min_instances を max_instances より小さくする必要があるためです。たとえば、max_instances が 8 の場合、このフィールドに設定可能な最大値は 7 です。コネクタがデフォルトの max-instances 値（10）を使用する場合、このフィールドに設定可能な最大値は 9 になります。max-instances の値を確認するには、現在の属性値を確認するをご覧ください。

• MAX_INSTANCES:

  • このフィールドに設定可能な最小値は max_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は 10 です。

  インスタンスの最大数を増やさずに最小数だけを増やす場合でも、インスタンスの最大数を指定する必要があります。逆に、インスタンスの最小数を更新せずに最大数を更新する場合でも、インスタンスの最小数を指定する必要があります。インスタンスの最小数または最大数を現在の値のままにするには、現在の値を指定します。現在の値を確認するには、現在の属性値を確認するをご覧ください。

コンソール

1. Google Cloud コンソールで、サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 削除するコネクタを選択します。

3. [削除] をクリックします。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタを削除するには、次の gcloud コマンドを使用します。

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   次のように置き換えます。

   • CONNECTOR_NAME は、削除するコネクタの名前に置き換えます。
   • REGION は、コネクタが配置されているリージョンに置き換えます。