Salida de VPC directa con una red de VPC

Console

1. Ir a Cloud Run

2. Haz clic en Crear servicio si quieres configurar un servicio nuevo en el que realizarás la implementación. Si quieres configurar y, luego, implementar un servicio existente, haz clic en el servicio y, luego, en Implementar y editar una nueva revisión.

3. Si configuras un servicio nuevo, completa la página de configuración del servicio inicial como desees y haz clic en Contenedor, volúmenes, herramientas de redes y seguridad para expandir la página de configuración del servicio.

4. Haz clic en la pestaña Herramientas de redes.

5. Haz clic en Conéctate a una VPC para el tráfico saliente.

6. Haz clic en Enviar tráfico de forma directa a una VPC.

7. En el campo Red, selecciona la red de VPC a la que deseas enviar tráfico.

8. En el campo Subred, selecciona la subred desde la que tu servicio recibe direcciones IP. Puedes implementar varios servicios en la misma subred.

9. Opcional: Ingresa los nombres de las etiquetas de red que quieres asociar con tu servicio o tus servicios. Las etiquetas de red se especifican a nivel de revisión. Cada revisión del servicio puede tener diferentes etiquetas de red, como network-tag-2.

10. En Enrutamiento del tráfico, selecciona una de las siguientes opciones:

    • Enruta solo las solicitudes a IP privadas a la VPC para enviar solo tráfico a direcciones internas a través de la red de VPC.
    • Enruta todo el tráfico a la VPC para enviar todo el tráfico saliente a través de la red de VPC.

11. Haz clic en Crear o Implementar.

12. Para verificar que tu servicio esté en tu red de VPC, haz clic en el servicio y, luego, en la pestaña Herramientas de redes. Las redes y las subredes se detallan en la tarjeta VPC.

    Ahora puedes enviar solicitudes desde tu servicio de Cloud Run a cualquier recurso en la red de VPC, como lo permiten las reglas de firewall.

gcloud

Para implementar un servicio de Cloud Run sin un conector de Google Cloud CLI, sigue estos pasos:

1. Actualiza los componentes de gcloud a la versión más reciente:

   gcloud components update

2. Asegúrate de que la API de Compute Engine esté habilitada para tu proyecto:

   gcloud services enable compute.googleapis.com
   

3. Implementa el servicio de Cloud Run con el siguiente comando:

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run.
   • IMAGE_URL por una referencia a la imagen del contenedor, como us-docker.pkg.dev/cloudrun/container/hello:latest Si usas Artifact Registry, el repositorio REPO_NAME debe estar creado. La URL tiene el formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
   • NETWORK por el nombre de la red de VPC.
   • SUBNET por el nombre de la subred Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.
   • Opcional: NETWORK_TAG_NAMES por los nombres separados por comas de las etiquetas de red que deseas asociar con un servicio. Para los servicios, las etiquetas de red se especifican a nivel de revisión. Cada revisión del servicio puede tener diferentes etiquetas de red, como network-tag-2.
   • EGRESS_SETTING por un valor de configuración de salida:
     • all-traffic: Envía todo el tráfico saliente por medio de la red de VPC.
     • private-ranges-only: Envía solo el tráfico a direcciones internas por medio de la red de VPC.
   • REGION por una región para el servicio.

4. Para verificar que tu servicio esté en tu red de VPC, ejecuta el siguiente comando:

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre de tu servicio
   • REGION por la región del servicio que especificaste en el paso anterior.

   El resultado debe contener el nombre de tu red, subred y configuración de salida, por ejemplo:

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Ahora puedes enviar solicitudes desde tu servicio de Cloud Run a cualquier recurso en la red de VPC, como lo permiten las reglas de firewall.

YAML

1. Si creas un servicio nuevo, omite este paso. Si actualizas un servicio existente, descarga su configuración de YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Actualiza los siguientes atributos:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Reemplaza lo siguiente:

   • SERVICE_NAME por el nombre del servicio de Cloud Run. Los nombres de servicios deben tener 49 caracteres o menos, y deben ser únicos por región y proyecto.
   • REGION por la región del servicio de Cloud Run, que debe coincidir con la región de la subred.
   • NETWORK por el nombre de la red de VPC.
   • SUBNET por el nombre de la subred Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.
   • Opcional: NETWORK_TAG_NAMES por los nombres de las etiquetas de red que deseas asociar con un servicio. Para los servicios, las etiquetas de red se especifican a nivel de revisión. Cada revisión del servicio puede tener diferentes etiquetas de red, como network-tag-2.
   • EGRESS_SETTING por un valor de configuración de salida:
     • all-traffic: Envía todo el tráfico saliente por medio de la red de VPC.
     • private-ranges-only: Envía solo el tráfico a direcciones internas por medio de la red de VPC.
   • IMAGE por la URL de la imagen de contenedor de servicio.

   También puedes especificar más opciones de configuración, como variables de entorno o límites de memoria.

3. Crea o actualiza el servicio con el siguiente comando:

   gcloud run services replace service.yaml

Terraform

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

1. Agrega lo siguiente a tu archivo main.tf:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Ir a Cloud Run

2. Si quieres configurar un nuevo trabajo, haz clic en la pestaña Trabajos y completa la página de configuración de trabajo inicial según sea necesario. Si quieres configurar un trabajo existente, haz clic en el trabajo y, luego, en Editar.

3. Haz clic en Contenedor, variables y secretos, conexiones y seguridad para expandir la página de propiedades del trabajo.

4. Haz clic en la pestaña Conexiones.

5. Haz clic en Conéctate a una VPC para el tráfico saliente.

6. Haz clic en Enviar tráfico de forma directa a una VPC.

7. En el campo Red, selecciona la red de VPC a la que deseas enviar tráfico.

8. En el campo Subred, selecciona la subred desde la que tu trabajo recibe direcciones IP. Puedes ejecutar varios trabajos en la misma subred.

9. En Enrutamiento del tráfico, selecciona una de las siguientes opciones:

   • Enruta solo las solicitudes a IP privadas a la VPC para enviar solo tráfico a direcciones internas a través de la red de VPC.
   • Enruta todo el tráfico a la VPC para enviar todo el tráfico saliente a través de la red de VPC.

10. Opcional: Ingresa los nombres de las etiquetas de red que quieres asociar con tu servicio o tus servicios. Las etiquetas de red se especifican a nivel de revisión. Cada revisión del servicio puede tener diferentes etiquetas de red, como network-tag-2.

11. Opcional: Ingresa los nombres de las etiquetas de red que quieres asociar a tu trabajo o trabajos. Para los trabajos, las etiquetas de red se especifican a nivel de ejecución. Cada ejecución de trabajo puede tener etiquetas de red diferentes, como network-tag-2.

12. Haz clic en Crear o Actualizar.

13. Para verificar que tu trabajo esté en la red de VPC, haz clic en el trabajo y, luego, en la pestaña Configuración. Las redes y las subredes se detallan en la tarjeta VPC.

    Ahora puedes ejecutar el trabajo de Cloud Run y enviar solicitudes desde el trabajo a cualquier recurso en la red de VPC, como lo permiten las reglas de firewall.

gcloud

Para crear un trabajo de Cloud Run sin un conector de Google Cloud CLI, sigue estos pasos:

1. Actualiza los componentes de gcloud a la versión más reciente:

   gcloud components update

2. Asegúrate de que la API de Compute Engine esté habilitada para tu proyecto:

   gcloud services enable compute.googleapis.com
   

3. Crea un trabajo de Cloud Run con el siguiente comando:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Reemplaza lo siguiente:

   • JOB_NAME por el nombre del trabajo de Cloud Run.
   • IMAGE_URL por una referencia a la imagen de contenedor, como us-docker.pkg.dev/cloudrun/container/job:latest
   • NETWORK por el nombre de la red de VPC.
   • SUBNET por el nombre de la subred Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.
   • Opcional: NETWORK_TAG_NAMES por los nombres de las etiquetas de red que deseas asociar con un trabajo. Para los trabajos, las etiquetas de red se especifican a nivel de ejecución. Cada ejecución de trabajo puede tener diferentes etiquetas de red, como network-tag-2.
   • EGRESS_SETTING por un valor de configuración de salida:
     • all-traffic: Envía todo el tráfico saliente por medio de la red de VPC.
     • private-ranges-only: Envía solo el tráfico a direcciones internas por medio de la red de VPC.
   • REGION por una región para el trabajo.

4. Para verificar que el trabajo esté en tu red de VPC, ejecuta el siguiente comando:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Reemplaza lo siguiente:

   • JOB_NAME por el nombre de tu trabajo.
   • REGION por la región del trabajo que especificaste en el paso anterior.

   El resultado debe contener el nombre de tu red y subred, por ejemplo:

   VPC network:
     Network:       default
     Subnet:        default
   

Ahora puedes ejecutar el trabajo de Cloud Run y enviar solicitudes desde el trabajo a cualquier recurso en la red de VPC, como lo permiten las reglas de firewall.

YAML

1. Si creas un trabajo nuevo, omite este paso. Si actualizas un trabajo existente, descarga su configuración de YAML:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Actualiza los siguientes atributos:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       annotations:
         run.googleapis.com/launch-stage: BETA
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Reemplaza lo siguiente:

   • JOB_NAME por el nombre del trabajo de Cloud Run. Los nombres de trabajos deben tener 49 caracteres o menos, y deben ser únicos por región y proyecto.
   • REGION por la región del trabajo de Cloud Run, que debe coincidir con la región de la subred.
   • NETWORK por el nombre de la red de VPC.
   • SUBNET por el nombre de la subred Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.
   • Opcional: NETWORK_TAG_NAMES por los nombres de las etiquetas de red que deseas asociar con un trabajo. Para los trabajos, las etiquetas de red se especifican a nivel de ejecución. Cada ejecución de trabajo puede tener diferentes etiquetas de red, como network-tag-2.
   • EGRESS_SETTING por un valor de configuración de salida:
     • all-traffic: Envía todo el tráfico saliente por medio de la red de VPC.
     • private-ranges-only: Envía solo el tráfico a direcciones internas por medio de la red de VPC.
   • IMAGE por la URL de la imagen de contenedor.

3. Crea o actualiza el servicio con el siguiente comando:

   gcloud run jobs replace job.yaml

Console

Para asociar etiquetas de red a un servicio o trabajo, sigue estos pasos:

1. En la consola de Google Cloud, ve a la página Cloud Run.

   Ir a Cloud Run

2. Haz clic en el servicio o trabajo con el que deseas asociar las etiquetas de red y, luego, haz clic en Editar e implementar nueva revisión para servicios o en Editar para trabajos.

3. Haz clic en la pestaña Herramientas de redes para los servicios o en la pestaña Conexiones para los trabajos.

4. Asegúrate de nhaber seleccionado Conectar a una VPC para el tráfico saliente y Enviar tráfico directamente a una VPC.

5. En el campo Subred, selecciona la subred desde la que tu servicio recibe direcciones IP. Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.

6. En el campo Etiquetas de red, ingresa los nombres de las etiquetas de red que deseas asociar con el servicio o el trabajo.

7. Haz clic en Implementar o Actualizar.

En el caso de los servicios, cada revisión de servicio puede tener un conjunto diferente de etiquetas de red, ya que se especifican a nivel de revisión. En el caso de los trabajos, una ejecución de trabajo tiene las mismas etiquetas de red que tenía el trabajo cuando se creó el trabajo.

gcloud

Para asociar las etiquetas de red a un servicio o trabajo, usa el comando gcloud run deploy:

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

Reemplaza lo siguiente:

• SERVICE_JOB_NAME por el nombre de tu servicio o trabajo.
• IMAGE_URL por la URL de imagen del servicio o el trabajo.
• NETWORK por el nombre de la red de VPC.
• SUBNET por el nombre de la subred Puedes implementar o ejecutar varios servicios o trabajos en la misma subred.
• NETWORK_TAG_NAMES por el nombre de tu etiqueta de red o una lista de etiquetas de red separadas por comas.
• REGION por el nombre de tu región

En el caso de los servicios, cada revisión de servicio puede tener un conjunto diferente de etiquetas de red, ya que se especifican a nivel de revisión. En el caso de los trabajos, una ejecución de trabajo tiene las mismas etiquetas de red que tenía el trabajo cuando se creó el trabajo.

Console

• Para quitar el servicio de la red de VPC, haz lo siguiente:

  1. Ir a Cloud Run

  2. Haz clic en el servicio que deseas quitar y, luego, en Editar e implementar nueva revisión.

  3. Haz clic en la pestaña Herramientas de redes.

  4. Desmarca Conéctate a una VPC para el tráfico saliente.

  5. Haz clic en Implementar.

  6. Para verificar que tu servicio ya no esté en tu red de VPC, haz clic en la pestaña Herramientas de redes. La red y la subred ya no se enumeran en la tarjeta VPC.

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el servicio conectado a la red de VPC, haz lo siguiente:

  1. Haz clic en el servicio que contiene las etiquetas de red que deseas quitar y, luego, en Implementar y editar una nueva revisión.

  2. Haz clic en la pestaña Herramientas de redes.

  3. Borra los nombres de las etiquetas de red que ya no deseas asociar con tu servicio.

  4. Haz clic en Implementar.

gcloud

• Para quitar tu servicio de la red de VPC, ejecuta el siguiente comando:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el servicio conectado a la red de VPC, ejecuta el siguiente comando:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Reemplaza lo siguiente:

  • SERVICE_NAME: el nombre de tu servicio de Cloud Run.
  • REGION: la región del servicio de Cloud Run.

YAML

• Para quitar el servicio de la red de VPC, haz lo siguiente:

  1. Descarga la configuración YAML del servicio:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Quita el siguiente contenido de tu archivo service.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Donde

     • NETWORK: El nombre de tu red de VPC
     • SUBNET: el nombre de tu subred.
     • Opcional: NETWORK_TAG_NAMES: son los nombres de las etiquetas de red si las asociaste con un servicio.

  3. Implementa la revisión del servicio a través de la ejecución del siguiente comando:

     gcloud run services replace service.yaml

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el servicio conectado a la red de VPC, haz lo siguiente:

  1. Descarga la configuración YAML del servicio:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Quita las variables tags del contenido de tu archivo service.yaml y deja las variables network y subnetwork en su lugar, como se muestra en el siguiente ejemplo:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Donde

     • NETWORK: El nombre de tu red de VPC
     • SUBNET: el nombre de tu subred.

  3. Implementa la revisión del servicio a través de la ejecución del siguiente comando:

     gcloud run services replace service.yaml

Console

• Para quitar el trabajo de la red de VPC, haz lo siguiente:

  1. Ir a Cloud Run

  2. Haz clic en el trabajo que deseas quitar y, luego, en Editar e implementar nueva revisión.

  3. Haz clic en la pestaña Conexiones.

  4. Desmarca Conéctate a una VPC para el tráfico saliente.

  5. Haz clic en Actualizar.

  6. Para verificar que tu trabajo ya no esté en tu red de VPC, haz clic en la pestaña Configuración. La red y la subred ya no se enumeran en la tarjeta VPC.

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el trabajo conectado a la red de VPC, haz lo siguiente:

  1. Haz clic en el trabajo que contiene las etiquetas de red que deseas quitar y, luego, en Implementar y editar una nueva revisión.

  2. Haz clic en la pestaña Conexiones.

  3. Borra los nombres de las etiquetas de red que ya no deseas asociar con tu trabajo.

  4. Haz clic en Actualizar.

gcloud

• Para quitar tu trabajo de la red de VPC, ejecuta el siguiente comando:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el trabajo conectado a la red de VPC, ejecuta el siguiente comando:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Reemplaza lo siguiente:

  • JOB_NAME por el nombre del trabajo de Cloud Run.
  • REGION: la región del trabajo de Cloud Run.

YAML

• Para quitar el trabajo de la red de VPC, haz lo siguiente:

  1. Descarga la configuración YAML del trabajo:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Quita el siguiente contenido de tu archivo job.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Reemplaza lo siguiente:

     • NETWORK: El nombre de tu red de VPC
     • SUBNET: el nombre de tu subred.
     • Opcional: NETWORK_TAG_NAMES por los nombres de las etiquetas de red si las asociaste con un trabajo.

  3. Actualiza el trabajo a través de la ejecución del siguiente comando:

     gcloud run jobs replace job.yaml

• Para quitar solo las etiquetas de red y, al mismo tiempo, mantener el trabajo conectado a la red de VPC, haz lo siguiente:

  1. Descarga la configuración YAML del trabajo:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Quita las variables tags del contenido de tu archivo job.yaml y deja las variables network y subnetwork en su lugar, como se muestra en el siguiente ejemplo:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Reemplaza lo siguiente:

     • NETWORK: El nombre de tu red de VPC
     • SUBNET: el nombre de tu subred.

  3. Actualiza el trabajo a través de la ejecución del siguiente comando:

     gcloud run jobs replace job.yaml