Restreindre l'entrée réseau pour Cloud Run

Console

1. Dans la console Google Cloud , accédez à la page Cloud Run :

   Accédez à Cloud Run

2. Si vous configurez un nouveau service, sélectionnez Services dans le menu, puis cliquez sur Déployer un conteneur pour afficher le formulaire Créer un service. Remplissez la page initiale des paramètres du service.

3. Si vous configurez un service existant, cliquez sur celui-ci, puis sur l'onglet Réseau.

4. Sélectionnez le trafic entrant que vous souhaitez autoriser :

   

5. Cliquez sur Créer ou sur Enregistrer.

gcloud

1. Si vous déployez un nouveau service, déployez votre service avec l'option --ingress :

   gcloud run deploy SERVICE --image IMAGE_URL --ingress INGRESS

   Remplacer

   • INGRESS par l'un des paramètres d'entrée disponibles :
     • all
     • internal
     • internal-and-cloud-load-balancing
   • SERVICE par le nom de votre service
   • IMAGE_URL par une référence à l'image de conteneur, par exemple us-docker.pkg.dev/cloudrun/container/hello:latest. Si vous utilisez Artifact Registry, le dépôt REPO_NAME doit déjà être créé. L'URL se présente sous la forme suivante : LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG

2. Si vous modifiez une entrée de service existante, procédez comme suit :

   gcloud run services update SERVICE --ingress INGRESS

   Remplacer

   • INGRESS par l'un des paramètres d'entrée disponibles :
     • all
     • internal
     • internal-and-cloud-load-balancing
   • SERVICE par le nom de votre service

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour l'annotation run.googleapis.com/ingress: :

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     annotations:
       run.googleapis.com/ingress: INGRESS
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION

   Remplacer

   • SERVICE par le nom de votre service Cloud Run
   • INGRESS par l'un des paramètres d'entrée disponibles :
     • all
     • internal
     • internal-and-cloud-load-balancing
   • REVISION par un nouveau nom de révision ou supprimez-le (le cas échéant). Si vous indiquez un nouveau nom de révision, il doit répondre aux critères suivants :
     • Commencer par SERVICE-
     • Ne contenir que des lettres minuscules, des chiffres et -
     • Ne pas se terminer par -
     • Ne pas dépasser 63 caractères

3. Remplacez la configuration du service en utilisant la commande suivante :

   gcloud run services replace service.yaml

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

resource "google_cloud_run_v2_service" "default" {
  provider = google-beta
  name     = "ingress-service"
  location = "us-central1"

  deletion_protection = false # set to "true" in production

  # For valid annotation values and descriptions, see
  # https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/cloud_run_v2_service#ingress
  ingress = "INGRESS_TRAFFIC_INTERNAL_ONLY"

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello" #public image for your service
    }
  }
}

Ligne de commande

• Pour désactiver l'URL run.app d'un service, exécutez la commande gcloud beta run services update avec l'option --no-default-url ou transmettez l'option --no-default-url à la commande gcloud run deploy :

  gcloud beta run services update SERVICE_NAME --no-default-url

  où SERVICE_NAME correspond au nom de votre service Cloud Run.

Dans le résultat, l'URL s'affiche en tant que None.

Pour restaurer l'URL par défaut, utilisez l'option --default-url.

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Pour désactiver l'URL run.app, utilisez l'annotation run.googleapis.com/default-url-disabled :

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     annotations:
       run.googleapis.com/default-url-disabled: true
       run.googleapis.com/launch-stage: BETA
     name: SERVICE
   spec:
     template:
       metadata:
         name: REVISION

   Remplacer

   • SERVICE par le nom de votre service Cloud Run ;
   • REVISION par un nouveau nom de révision ou supprimez-le (le cas échéant). Si vous indiquez un nouveau nom de révision, il doit répondre aux critères suivants :
     • Commencer par SERVICE-
     • Ne contenir que des lettres minuscules, des chiffres et -
     • Ne pas se terminer par -
     • Ne pas dépasser 63 caractères

3. Créez ou mettez à jour le service à l'aide de la commande suivante :

   gcloud run services replace service.yaml

Pour restaurer l'URL par défaut, supprimez l'annotation run.googleapis.com/default-url-disabled.

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

  resource "google_cloud_run_v2_service" "disable_default_url_service" {
    name     = "cloudrun-service"
    location = "europe-west1"
    launch_stage = "BETA"
    default_uri_disabled = true

    template {
      containers {
        image = "us-docker.pkg.dev/cloudrun/container/hello"
      }
      annotations = {
        "run.googleapis.com/ingress" = "all"   # "all" or "internal-only"
      }

    }
  }

Vérifiez que les lignes launch_stage et default_uri_disabled figurent dans votre fichier main.tf. La ressource google_cloud_run_v2_service précédente spécifie un service Cloud Run avec l'URL par défaut désactivée en aperçu.

Pour restaurer l'URL par défaut, supprimez les arguments default_uri_disabled et launch_stage.