VPC 네트워크와 직접 VPC 이그레스

콘솔

1. Cloud Run으로 이동

2. 배포할 새 서비스를 구성하려면 서비스 만들기를 클릭합니다. 기존 서비스를 구성하고 배포하는 경우 서비스를 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

3. 새 서비스를 구성하는 경우 필요에 따라 초기 서비스 설정 페이지를 작성한 후 컨테이너, 볼륨, 네트워킹, 보안을 클릭하여 서비스 구성 페이지를 펼칩니다.

4. 네트워킹 탭을 클릭합니다.

5. 아웃바운드 트래픽을 위해 VPC에 연결을 클릭합니다.

6. VPC로 직접 트래픽 전송을 클릭합니다.

7. 네트워크 필드에서 트래픽을 전송할 VPC 네트워크를 선택합니다.

8. 서브넷 필드에서 서비스가 IP 주소를 수신할 서브넷을 선택합니다. 동일한 서브넷에 여러 서비스를 배포할 수 있습니다.

9. (선택사항) 서비스 또는 연결할 네트워크 태그의 이름을 입력합니다. 네트워크 태그는 버전 수준에서 지정됩니다. 각 서비스 버전은 network-tag-2와 같은 다른 네트워크 태그를 가질 수 있습니다.

10. 트래픽 라우팅에 다음 중 하나를 선택합니다.

    • VPC 네트워크를 통해 내부 주소로만 트래픽을 전송하도록 비공개 IP에 대한 요청만 VPC로 라우팅합니다.
    • VPC 네트워크를 통해 모든 아웃바운드 트래픽을 전송하려면 모든 트래픽을 VPC로 라우팅합니다.

11. 만들기 또는 배포를 클릭합니다.

12. 서비스가 VPC 네트워크에 있는지 확인하려면 서비스를 클릭한 후 네트워킹 탭을 클릭합니다. 네트워크와 서브넷은 VPC 카드에 나열됩니다.

    이제 방화벽 규칙에서 허용하는 대로 Cloud Run 서비스에서 VPC 네트워크의 모든 리소스로 요청을 전송할 수 있습니다.

gcloud

Google Cloud CLI에서 커넥터 없이 Cloud Run 서비스를 배포하려면 다음 안내를 따르세요.

1. gcloud 구성요소를 최신 버전으로 업데이트합니다.

   gcloud components update

2. 프로젝트에 Compute Engine API가 사용 설정되었는지 확인합니다.

   gcloud services enable compute.googleapis.com
   

3. 다음 명령어를 사용하여 Cloud Run 서비스를 배포합니다.

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   다음과 같이 바꿉니다.

   • SERVICE_NAME을 Cloud Run 서비스 이름으로 바꿉니다.
   • IMAGE_URL을 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/hello:latest)로 바꿉니다. Artifact Registry를 사용하는 경우 저장소 REPO_NAME이 이미 생성되어 있어야 합니다. URL의 형식은 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG입니다.
   • NETWORK를 VPC 네트워크의 이름으로 바꿉니다.
   • SUBNET: 서브넷 이름 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.
   • (선택사항) NETWORK_TAG_NAMES를 서비스와 연결할 네트워크 태그의 쉼표로 구분된 이름으로 바꿉니다. 서비스의 경우 네트워크 태그가 버전 수준에서 지정됩니다. 각 서비스 버전은 network-tag-2와 같은 다른 네트워크 태그를 가질 수 있습니다.
   • EGRESS_SETTING: 이그레스 설정 값
     • all-traffic: 모든 아웃바운드 트래픽을 VPC 네트워크를 통해 전송
     • private-ranges-only: VPC 네트워크를 통해 내부 주소로만 트래픽 전송
   • REGION: 서비스 리전

4. 서비스가 VPC 네트워크에 있는지 확인하려면 다음 명령어를 실행합니다.

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   다음과 같이 바꿉니다.

   • SERVICE_NAME: 서비스 이름
   • REGION: 이전 단계에서 지정한 서비스의 리전

   출력에는 네트워크, 서브넷, 이그레스 설정의 이름이 포함되어야 합니다. 예를 들면 다음과 같습니다.

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

이제 방화벽 규칙에서 허용하는 대로 Cloud Run 서비스에서 VPC 네트워크의 모든 리소스로 요청을 전송할 수 있습니다.

YAML

1. 새 서비스를 만드는 경우에는 이 단계를 건너뜁니다. 기존 서비스를 업데이트하는 경우 YAML 구성을 다운로드하세요.

   gcloud run services describe SERVICE --format export > service.yaml

2. 다음 속성을 업데이트합니다.

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   다음과 같이 바꿉니다.

   • SERVICE_NAME: Cloud Run 서비스 이름. 서비스 이름은 49자 이하여야 하며 리전 및 프로젝트별로 고유해야 합니다.
   • REGION을 Cloud Run 서비스의 리전으로 바꿉니다. 이 리전은 서브넷 리전과 일치해야 합니다.
   • NETWORK를 VPC 네트워크의 이름으로 바꿉니다.
   • SUBNET을 서브넷 이름으로 바꿉니다. 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.
   • (선택사항) NETWORK_TAG_NAMES를 서비스에 연결할 네트워크 태그의 이름으로 바꿉니다. 서비스의 경우 네트워크 태그가 버전 수준에서 지정됩니다. 각 서비스 버전은 network-tag-2와 같은 다른 네트워크 태그를 가질 수 있습니다.
   • EGRESS_SETTING: 이그레스 설정 값
     • all-traffic: 모든 아웃바운드 트래픽을 VPC 네트워크를 통해 전송
     • private-ranges-only: VPC 네트워크를 통해 내부 주소로만 트래픽을 전송합니다.
   • IMAGE를 서비스 컨테이너 이미지의 URL로 바꿉니다.

   또한 환경 변수 또는 메모리 제한과 같은 추가 구성을 지정할 수 있습니다.

3. 다음 명령어를 사용하여 서비스를 만들거나 업데이트합니다.

   gcloud run services replace service.yaml

Terraform

Terraform 구성을 적용하거나 삭제하는 방법은 기본 Terraform 명령어를 참조하세요.

1. main.tf 파일에 다음을 추가합니다.

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

콘솔

1. Cloud Run으로 이동

2. 새 작업을 구성하는 경우 작업 탭을 클릭하고 필요에 따라 초기 작업 설정 페이지를 작성합니다. 기존 작업을 구성하는 경우 작업을 클릭한 후 수정을 클릭합니다.

3. 컨테이너, 변수 및 보안 비밀, 연결, 보안을 클릭하여 작업 속성 페이지를 펼칩니다.

4. 연결 탭을 클릭합니다.

5. 아웃바운드 트래픽을 위해 VPC에 연결을 클릭합니다.

6. VPC로 직접 트래픽 전송을 클릭합니다.

7. 네트워크 필드에서 트래픽을 전송할 VPC 네트워크를 선택합니다.

8. 서브넷 필드에서 작업이 IP 주소를 수신할 서브넷을 선택합니다. 동일한 서브넷에서 여러 작업을 실행할 수 있습니다.

9. 트래픽 라우팅에 다음 중 하나를 선택합니다.

   • VPC 네트워크를 통해 내부 주소로만 트래픽을 전송하도록 비공개 IP에 대한 요청만 VPC로 라우팅합니다.
   • VPC 네트워크를 통해 모든 아웃바운드 트래픽을 전송하려면 모든 트래픽을 VPC로 라우팅합니다.

10. (선택사항) 서비스 또는 연결할 네트워크 태그의 이름을 입력합니다. 네트워크 태그는 버전 수준에서 지정됩니다. 각 서비스 버전은 network-tag-2와 같은 다른 네트워크 태그를 가질 수 있습니다.

11. (선택사항) 작업에 연결할 네트워크 태그의 이름을 입력합니다. 작업의 경우 네트워크 태그는 실행 수준에서 지정됩니다. 각 작업 실행에는 network-tag-2와 같은 다른 네트워크 태그가 있을 수 있습니다.

12. 만들기 또는 업데이트를 클릭합니다.

13. 작업이 VPC 네트워크에 있는지 확인하려면 작업을 클릭한 다음 구성 탭을 클릭합니다. 네트워크와 서브넷은 VPC 카드에 나열됩니다.

    이제 방화벽 규칙에서 허용하는 대로 Cloud Run 작업을 실행하고 VPC 네트워크의 모든 리소스로 작업의 요청을 전송할 수 있습니다.

gcloud

Google Cloud CLI에서 커넥터 없이 Cloud Run 작업을 만들려면 다음 안내를 따르세요.

1. gcloud 구성요소를 최신 버전으로 업데이트합니다.

   gcloud components update

2. 프로젝트에 Compute Engine API가 사용 설정되었는지 확인합니다.

   gcloud services enable compute.googleapis.com
   

3. 다음 명령어를 사용하여 Cloud Run 작업을 만듭니다.

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   다음과 같이 바꿉니다.

   • JOB_NAME을 Cloud Run 작업 이름으로 바꿉니다.
   • IMAGE_URL을 컨테이너 이미지에 대한 참조(예: us-docker.pkg.dev/cloudrun/container/job:latest)로 바꿉니다.
   • NETWORK를 VPC 네트워크의 이름으로 바꿉니다.
   • SUBNET: 서브넷 이름 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.
   • (선택사항) NETWORK_TAG_NAMES를 작업에 연결할 네트워크 태그의 이름으로 바꿉니다. 작업의 경우 네트워크 태그는 실행 수준에서 지정됩니다. 각 작업 실행에는 network-tag-2와 같은 다른 네트워크 태그가 있을 수 있습니다.
   • EGRESS_SETTING: 이그레스 설정 값
     • all-traffic: 모든 아웃바운드 트래픽을 VPC 네트워크를 통해 전송
     • private-ranges-only: VPC 네트워크를 통해 내부 주소로만 트래픽 전송
   • REGION을 작업의 리전으로 바꿉니다.

4. 작업이 VPC 네트워크에 있는지 확인하려면 다음 명령어를 실행합니다.

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   다음과 같이 바꿉니다.

   • JOB_NAME을 작업 이름으로 바꿉니다.
   • REGION을 이전 단계에서 지정한 작업의 리전으로 바꿉니다.

   출력에는 다음과 같이 네트워크와 서브넷의 이름이 포함됩니다.

   VPC network:
     Network:       default
     Subnet:        default
   

이제 방화벽 규칙에서 허용하는 대로 Cloud Run 작업을 실행하고 VPC 네트워크의 모든 리소스로 작업의 요청을 전송할 수 있습니다.

YAML

1. 새 작업을 만드는 경우에는 이 단계를 건너뜁니다. 기존 작업을 업데이트하는 경우 YAML 구성을 다운로드합니다.

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 다음 속성을 업데이트합니다.

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       annotations:
         run.googleapis.com/launch-stage: BETA
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   다음과 같이 바꿉니다.

   • JOB_NAME: Cloud Run 작업 이름. 작업 이름은 49자 이하여야 하며 리전 및 프로젝트별로 고유해야 합니다.
   • REGION을 Cloud Run 작업의 리전으로 바꿉니다. 이 리전은 서브넷의 리전과 일치해야 합니다.
   • NETWORK를 VPC 네트워크의 이름으로 바꿉니다.
   • SUBNET을 서브넷 이름으로 바꿉니다. 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.
   • (선택사항) NETWORK_TAG_NAMES를 작업에 연결할 네트워크 태그의 이름으로 바꿉니다. 작업의 경우 네트워크 태그는 실행 수준에서 지정됩니다. 각 작업 실행에는 network-tag-2와 같은 다른 네트워크 태그가 있을 수 있습니다.
   • EGRESS_SETTING: 이그레스 설정 값
     • all-traffic: 모든 아웃바운드 트래픽을 VPC 네트워크를 통해 전송
     • private-ranges-only: VPC 네트워크를 통해 내부 주소로만 트래픽을 전송합니다.
   • IMAGE를 작업 컨테이너 이미지의 URL로 바꿉니다.

3. 다음 명령어를 사용하여 작업을 만들거나 업데이트합니다.

   gcloud run jobs replace job.yaml

콘솔

네트워크 태그를 서비스나 작업과 연결하려면 다음 안내를 따르세요.

1. Google Cloud 콘솔에서 Cloud Run 페이지로 이동합니다.

   Cloud Run으로 이동

2. 네트워크 태그를 연결할 서비스나 작업을 클릭한 후 서비스의 경우 새 버전 수정 및 배포를, 작업의 경우 수정을 클릭합니다.

3. 서비스의 경우 네트워킹 탭을, 작업의 경우 연결 탭을 클릭합니다.

4. 아웃바운드 트래픽을 위해 VPC에 연결 및 VPC로 직접 트래픽 전송을 선택했는지 확인합니다.

5. 서브넷 필드에서 서비스가 IP 주소를 수신할 서브넷을 선택합니다. 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.

6. 네트워크 태그 필드에 서비스나 작업과 연결할 네트워크 태그의 이름을 입력합니다.

7. 배포 또는 업데이트를 클릭합니다.

서비스의 경우 네트워크 태그가 버전 수준에서 지정되므로 서비스 버전마다 네트워크 태그 집합이 다를 수 있습니다. 작업의 경우 작업 실행이 생성될 때 작업에 포함된 네트워크 태그와 동일한 네트워크 태그가 작업 실행에 있습니다.

gcloud

네트워크 태그를 서비스나 작업과 연결하려면 gcloud run deploy 명령어를 사용합니다.

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

다음을 바꿉니다.

• SERVICE_JOB_NAME을 서비스 또는 작업의 이름으로 바꿉니다.
• IMAGE_URL을 서비스 또는 작업의 이미지 URL로 바꿉니다.
• NETWORK를 VPC 네트워크의 이름으로 바꿉니다.
• SUBNET을 서브넷 이름으로 바꿉니다. 동일한 서브넷에 여러 서비스 또는 작업을 배포하거나 실행할 수 있습니다.
• NETWORK_TAG_NAMES를 네트워크 태그 이름 또는 쉼표로 구분된 네트워크 태그 목록으로 바꿉니다.
• REGION: 리전의 이름

서비스의 경우 네트워크 태그가 버전 수준에서 지정되므로 서비스 버전마다 네트워크 태그 집합이 다를 수 있습니다. 작업의 경우 작업 실행이 생성될 때 작업에 포함된 네트워크 태그와 동일한 네트워크 태그가 작업 실행에 있습니다.

콘솔

• VPC 네트워크에서 서비스를 삭제하려면 다음 안내를 따르세요.

  1. Cloud Run으로 이동

  2. 삭제할 서비스를 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

  3. 네트워킹 탭을 클릭합니다.

  4. 아웃바운드 트래픽을 위해 VPC에 연결을 선택 취소합니다.

  5. 배포를 클릭합니다.

  6. 서비스가 더 이상 VPC 네트워크에 없는지 확인하려면 네트워킹 탭을 클릭합니다. 네트워크 및 서브넷이 VPC 카드에 더 이상 나열되지 않습니다.

• 서비스를 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 안내를 따르세요.

  1. 삭제할 네트워크 태그가 포함된 서비스를 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

  2. 네트워킹 탭을 클릭합니다.

  3. 서비스와 더 이상 연결하지 않으려는 네트워크 태그의 이름을 선택 취소합니다.

  4. 배포를 클릭합니다.

gcloud

• VPC 네트워크에서 서비스를 삭제하려면 다음 명령어를 실행합니다.

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• 서비스를 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 명령어를 실행합니다.

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  다음을 바꿉니다.

  • SERVICE_NAME: Cloud Run 서비스의 이름
  • REGION: Cloud Run 서비스의 리전

YAML

• VPC 네트워크에서 서비스를 삭제하려면 다음 안내를 따르세요.

  1. 서비스의 YAML 구성을 다운로드합니다.

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. service.yaml 파일에서 다음 콘텐츠를 삭제합니다.

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     장소

     • NETWORK: VPC 네트워크의 이름
     • SUBNET: 서브넷 이름
     • (선택사항) NETWORK_TAG_NAMES: 서비스와 연결한 경우 네트워크 태그의 이름입니다.

  3. 다음 명령어를 실행하여 서비스 버전을 배포합니다.

     gcloud run services replace service.yaml

• 서비스를 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 안내를 따르세요.

  1. 서비스의 YAML 구성을 다운로드합니다.

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 다음 예시와 같이 network 및 subnetwork 변수를 그대로 둔 상태로 service.yaml 파일의 콘텐츠에서 tags 변수를 삭제합니다.

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     장소

     • NETWORK: VPC 네트워크의 이름
     • SUBNET: 서브넷 이름

  3. 다음 명령어를 실행하여 서비스 버전을 배포합니다.

     gcloud run services replace service.yaml

콘솔

• VPC 네트워크에서 작업을 삭제하려면 다음 안내를 따르세요.

  1. Cloud Run으로 이동

  2. 삭제할 작업을 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

  3. 연결 탭을 클릭합니다.

  4. 아웃바운드 트래픽을 위해 VPC에 연결을 선택 취소합니다.

  5. 업데이트를 클릭합니다.

  6. 작업이 더 이상 VPC 네트워크에 없는지 확인하려면 구성 탭을 클릭합니다. 네트워크 및 서브넷이 VPC 카드에 더 이상 나열되지 않습니다.

• 작업을 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 안내를 따르세요.

  1. 삭제할 네트워크 태그가 포함된 작업을 클릭한 후 새 버전 수정 및 배포를 클릭합니다.

  2. 연결 탭을 클릭합니다.

  3. 더 이상 작업과 연결하지 않으려는 네트워크 태그의 이름을 선택 취소합니다.

  4. 업데이트를 클릭합니다.

gcloud

• VPC 네트워크에서 작업을 삭제하려면 다음 명령어를 실행합니다.

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• 작업을 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 명령어를 실행합니다.

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  다음을 바꿉니다.

  • JOB_NAME: Cloud Run 작업의 이름
  • REGION: Cloud Run 작업의 리전

YAML

• VPC 네트워크에서 작업을 삭제하려면 다음 안내를 따르세요.

  1. 작업의 YAML 구성을 다운로드합니다.

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. job.yaml 파일에서 다음 콘텐츠를 삭제합니다.

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     다음을 바꿉니다.

     • NETWORK: VPC 네트워크의 이름
     • SUBNET: 서브넷 이름
     • (선택사항) NETWORK_TAG_NAMES를 작업과 연결한 경우 네트워크 태그의 이름으로 바꿉니다.

  3. 다음 명령어를 실행하여 작업을 업데이트합니다.

     gcloud run jobs replace job.yaml

• 작업을 VPC 네트워크에 연결된 상태로 유지하면서 네트워크 태그만 삭제하려면 다음 안내를 따르세요.

  1. 작업의 YAML 구성을 다운로드합니다.

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 다음 예시와 같이 network 및 subnetwork 변수를 그대로 둔 상태로 job.yaml 파일의 콘텐츠에서 tags 변수를 삭제합니다.

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     다음을 바꿉니다.

     • NETWORK: VPC 네트워크의 이름
     • SUBNET: 서브넷 이름

  3. 다음 명령어를 실행하여 작업을 업데이트합니다.

     gcloud run jobs replace job.yaml