VPC ネットワークによるダイレクト VPC 下り（外向き）

コンソール

1. Cloud Run に移動

2. デプロイ先の新しいサービスを構成する場合は、[サービスを作成] をクリックします。既存のサービスを構成してデプロイする場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、必要に応じて最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [ネットワーク] フィールドで、トラフィックを送信する VPC ネットワークを選択します。

8. [サブネット] フィールドで、サービスが IP アドレスを受信するサブネットを選択します。 同じサブネットに複数のサービスをデプロイできます。

9. 省略可: サービスに関連付けるネットワーク タグの名前を入力します。ネットワーク タグは、リビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。

10. [トラフィック ルーティング] で、次のいずれかを選択します。

    • プライベート IP へのリクエストだけを VPC に転送し、VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
    • すべてのトラフィックを VPC にルーティングする。すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。

11. [作成] または [デプロイ] をクリックします。

12. サービスが VPC ネットワーク上にあることを確認するには、サービスをクリックして、[ネットワーキング] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

    これで、ファイアウォール ルールで許可されるように、Cloud Run サービスから VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

Google Cloud CLI からコネクタなしで Cloud Run サービスをデプロイするには:

1. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

2. プロジェクトで Compute Engine API が有効になっていることを確認します。

   gcloud services enable compute.googleapis.com
   

3. 次のコマンドを使用して Cloud Run サービスをデプロイします。

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   次のように置き換えます。

   • SERVICE_NAME: Cloud Run サービスの名前。
   • IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形式は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。
   • （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグのカンマ区切り名。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • REGION: サービスのリージョン。

4. サービスが VPC ネットワーク上にあることを確認するには、次のコマンドを実行します。

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   次のように置き換えます。

   • SERVICE_NAME: 実際のサービスの名前。
   • REGION: 前の手順で指定したサービスのリージョン。

   出力には、ネットワークの名前、サブネット、下り（外向き）設定が含まれます。次に例を示します。

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

これで、ファイアウォール ルールで許可されるように、Cloud Run サービスから VPC ネットワーク上の任意のリソースにリクエストを送信できます。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 次の属性を更新します。

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   次のように置き換えます。

   • SERVICE_NAME: Cloud Run サービスの名前。サービス名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • REGION: Cloud Run サービスのリージョン。サブネットのリージョンと一致する必要があります。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。
   • （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグの名前。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: サービス コンテナ イメージの URL。

   環境変数やメモリ上限など他の構成を指定することもできます。

3. 次のコマンドを使用して、サービスを作成または更新します。

   gcloud run services replace service.yaml

Terraform

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

1. 次のコードを main.tf ファイルに追加します。

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

コンソール

1. Cloud Run に移動

2. 新しいジョブを構成する場合は、[ジョブ] タブをクリックし、必要に応じて初期ジョブ設定ページを入力します。既存のジョブを構成する場合は、ジョブをクリックして [編集] をクリックします。

3. [コンテナ、変数とシークレット、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [ネットワーク] フィールドで、トラフィックを送信する VPC ネットワークを選択します。

8. [サブネット] フィールドで、ジョブが IP アドレスを受信するサブネットを選択します。同じサブネットで複数のジョブを実行できます。

9. [トラフィック ルーティング] で、次のいずれかを選択します。

   • プライベート IP へのリクエストだけを VPC に転送し、VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • すべてのトラフィックを VPC にルーティングする。すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。

10. 省略可: サービスに関連付けるネットワーク タグの名前を入力します。ネットワーク タグは、リビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。

11. 省略可: ジョブに関連付けるネットワーク タグの名前を入力します。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。

12. [作成] または [更新] をクリックします。

13. ジョブが VPC ネットワーク上にあることを確認するには、ジョブをクリックして [構成] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

    これで、ファイアウォール ルールで許可されているように、Cloud Run ジョブを実行して、VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

Google Cloud CLI からコネクタなしで Cloud Run ジョブを作成するには:

1. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

2. プロジェクトで Compute Engine API が有効になっていることを確認します。

   gcloud services enable compute.googleapis.com
   

3. 次のコマンドを使用して Cloud Run ジョブを作成します。

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   次のように置き換えます。

   • JOB_NAME: Cloud Run ジョブの名前。
   • IMAGE_URL は、コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/job:latest など）に置き換えます。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。
   • （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグの名前。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • REGION: ジョブのリージョン。

4. ジョブが VPC ネットワーク上にあることを確認するには、次のコマンドを実行します。

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   次のように置き換えます。

   • JOB_NAME は、ジョブの名前に置き換えます。
   • REGION: 前の手順で指定したジョブのリージョン。

   出力には次のようなネットワークまたはサブネットの名前が表示されます。

   VPC network:
     Network:       default
     Subnet:        default
   

これで、ファイアウォール ルールで許可されているように、Cloud Run ジョブを実行して、VPC ネットワーク上の任意のリソースにリクエストを送信できます。

YAML

1. 新しいジョブを作成する場合は、この手順をスキップします。既存のジョブを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 次の属性を更新します。

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   次のように置き換えます。

   • JOB_NAME: Cloud Run ジョブの名前。ジョブ名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • REGION: Cloud Run ジョブのリージョン。サブネットのリージョンと一致する必要があります。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。
   • （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグの名前。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: ジョブのコンテナ イメージの URL。

3. 次のコマンドを使用して、ジョブを作成または更新します。

   gcloud run jobs replace job.yaml

コンソール

ネットワーク タグをサービスまたはジョブに関連付けるには:

1. Google Cloud コンソールで、[Cloud Run] ページに移動します。

   Cloud Run に移動

2. ネットワーク タグを関連付けるサービスまたはジョブをクリックし、[新しいリビジョンの編集とデプロイ]（サービスの場合）または [編集]（ジョブの場合）をクリックします。

3. [ネットワーキング] タブ（サービスの場合）または [接続] タブ（ジョブの場合）をクリックします。

4. [アウトバウンド トラフィック用の VPC に接続する] と [VPC に直接トラフィックを送信] が選択されていることを確認します。

5. [サブネット] フィールドで、サービスが IP アドレスを受信するサブネットを選択します。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。

6. [ネットワーク タグ] フィールドに、サービスまたはジョブに関連付けるネットワーク タグの名前を入力します。

7. [デプロイ] または [更新] をクリックします。

サービスの場合、ネットワーク タグはリビジョン レベルで指定されるため、サービス リビジョンごとに異なるネットワーク タグのセットを使用できます。ジョブの場合、ジョブ実行の作成時にジョブに設定されていた同じネットワーク タグがジョブ実行に設定されます。

gcloud

ネットワーク タグをサービスまたはジョブに関連付けるには、gcloud run deploy コマンドを使用します。

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

次のように置き換えます。

• SERVICE_JOB_NAME: サービスまたはジョブの名前。
• IMAGE_URL: サービスまたはジョブのイメージ URL。
• NETWORK: VPC ネットワークの名前。
• SUBNET: サブネットの名前。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できます。
• NETWORK_TAG_NAMES: ネットワーク タグの名前またはネットワーク タグのカンマ区切りリスト。
• REGION: リージョンの名前。

サービスの場合、ネットワーク タグはリビジョン レベルで指定されるため、サービス リビジョンごとに異なるネットワーク タグのセットを使用できます。ジョブの場合、ジョブ実行の作成時にジョブに設定されていた同じネットワーク タグがジョブ実行に設定されます。

コンソール

• VPC ネットワークからサービスを削除するには:

  1. Cloud Run に移動します。

  2. 削除するサービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  3. [ネットワーキング] タブをクリックします。

  4. [アウトバウンド トラフィック用の VPC に接続する] をクリアします。

  5. [デプロイ] をクリックします。

  6. サービスが VPC ネットワークに存在しなくなったことを確認するには、[ネットワーキング] タブをクリックします。ネットワークとサブネットが [VPC] カードに表示されなくなります。

• サービスを VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. 削除するネットワーク タグを含むサービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  2. [ネットワーキング] タブをクリックします。

  3. サービスとの関連付けを解除したいネットワーク タグの名前をクリアします。

  4. [デプロイ] をクリックします。

gcloud

• VPC ネットワークからサービスを削除するには、次のコマンドを実行します。

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• VPC ネットワークに接続したままネットワーク タグのみを削除するには、次のコマンドを実行します。

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  次のように置き換えます。

  • SERVICE_NAME: Cloud Run サービスの名前。
  • REGION: Cloud Run サービスのリージョン。

YAML

• VPC ネットワークからサービスを削除するには:

  1. サービスの YAML 構成をダウンロードします。

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. service.yaml ファイルから次の内容を削除します。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     ここで

     • NETWORK: VPC ネットワークの名前。
     • SUBNET: サブネットの名前。
     • （省略可）NETWORK_TAG_NAMES: サービスに関連付けられているネットワーク タグの名前。

  3. 次のコマンドを実行して、サービス リビジョンをデプロイします。

     gcloud run services replace service.yaml

• サービスを VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. サービスの YAML 構成をダウンロードします。

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 次の例に示すように、service.yaml ファイルの内容から tags 変数を削除します。network 変数と subnetwork 変数はそのままにします。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     ここで

     • NETWORK: VPC ネットワークの名前。
     • SUBNET: サブネットの名前。

  3. 次のコマンドを実行して、サービス リビジョンをデプロイします。

     gcloud run services replace service.yaml

コンソール

• VPC ネットワークからジョブを削除するには:

  1. Cloud Run に移動します。

  2. 削除するジョブをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  3. [接続] タブをクリックします。

  4. [アウトバウンド トラフィック用の VPC に接続する] をクリアします。

  5. [更新] をクリックします。

  6. ジョブが VPC ネットワークに存在しないことを確認するには、[構成] タブをクリックします。ネットワークとサブネットが [VPC] カードに表示されなくなります。

• ジョブを VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. 削除するネットワーク タグを含むジョブをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

  2. [接続] タブをクリックします。

  3. ジョブとの関連付けを解除したいネットワーク タグの名前をクリアします。

  4. [更新] をクリックします。

gcloud

• VPC ネットワークからジョブを削除するには、次のコマンドを実行します。

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• ジョブを VPC ネットワークに接続したままネットワーク タグのみを削除するには、次のコマンドを実行します。

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  次のように置き換えます。

  • JOB_NAME: Cloud Run ジョブの名前。
  • REGION: Cloud Run ジョブのリージョン。

YAML

• VPC ネットワークからジョブを削除するには:

  1. ジョブの YAML 構成をダウンロードします。

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. job.yaml ファイルから次の内容を削除します。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     次のように置き換えます。

     • NETWORK: VPC ネットワークの名前。
     • SUBNET: サブネットの名前。
     • （省略可）NETWORK_TAG_NAMES: ジョブをネットワーク タグに関連付けている場合、ネットワーク タグの名前。

  3. 次のコマンドを実行して、ジョブを更新します。

     gcloud run jobs replace job.yaml

• ジョブを VPC ネットワークに接続したまま、ネットワーク タグのみを削除するには:

  1. ジョブの YAML 構成をダウンロードします。

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 次の例に示すように、job.yaml ファイルの内容から tags 変数を削除します。network 変数と subnetwork 変数はそのままにします。

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     次のように置き換えます。

     • NETWORK: VPC ネットワークの名前。
     • SUBNET: サブネットの名前。

  3. 次のコマンドを実行して、ジョブを更新します。

     gcloud run jobs replace job.yaml