Se connecter à un réseau VPC

Console

1. Accédez à la page de présentation de l'accès au VPC sans serveur.

   Accéder à l'accès au VPC sans serveur

2. Cliquez sur Créer un connecteur.

3. Dans le champ Nom, spécifiez un nom pour votre connecteur, en respectant les conventions d'attribution de noms de Compute Engine, auxquelles s'ajoutent ces exigences supplémentaires : le nom doit comporter moins de 21 caractères, et les tirets (-) comptent pour deux caractères.

4. Dans le champ Région, sélectionnez une région pour votre connecteur. Elle doit correspondre à la région de votre service sans serveur.

   Si votre service ou job se trouve dans la région us-central ou europe-west, utilisez us-central1 ou europe-west1.

5. Dans le champ Réseau, sélectionnez le réseau VPC auquel associer le connecteur.

6. Dans le champ Sous-réseau, sélectionnez l'une des options suivantes :

   • Créer un connecteur à l'aide d'un sous-réseau existant : sélectionnez le sous-réseau existant dans le champ Sous-réseau.

   • Créer un connecteur et un nouveau sous-réseau : sélectionnez Plage d'adresses IP personnalisée dans le champ Sous-réseau. Saisissez ensuite la première adresse d'une plage CIDR /28 inutilisée (par exemple, 10.8.0.0/28) à utiliser comme plage d'adresses IPv4 principale d'un nouveau sous-réseau, que Google Cloud va créer dans le réseau VPC du connecteur. Assurez-vous que la plage d'adresses IP n'entre pas en conflit avec des routes existantes dans le réseau VPC du connecteur. Le nom du nouveau sous-réseau commence par le préfixe "aet-".

7. (Facultatif) Pour définir les options de scaling afin de renforcer le contrôle du connecteur, cliquez sur Afficher les paramètres de scaling pour afficher le formulaire de scaling.

   1. Définissez le nombre minimal et maximal d'instances de votre connecteur ou utilisez les valeurs par défaut, qui sont 2 (min.) et 10 (max.). Le connecteur effectue un scaling à la hausse jusqu'à la valeur maximale spécifiée si l'utilisation du trafic l'exige, mais il ne réduit pas le nombre d'instances lorsque le trafic diminue. Les valeurs doivent être comprises entre 2 et 10.
   2. Dans le menu Type d'instance, choisissez le type de machine à utiliser pour le connecteur ou utilisez la valeur par défaut e2-micro. Notez la barre latérale des coûts sur la droite lorsque vous choisissez le type d'instance, qui affiche des estimations de bande passante et de coûts.

8. Cliquez sur Créer.

9. Une coche verte apparaît à côté du nom du connecteur lorsque celui-ci est prêt à être utilisé.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Mettez à jour les composants gcloud vers la dernière version :

   gcloud components update

3. Assurez-vous que l'API Serverless VPC Access est activée pour votre projet :

   gcloud services enable vpcaccess.googleapis.com

4. Créez le connecteur à l'aide de l'une des options suivantes :

   Pour plus d'informations et pour connaître les arguments facultatifs pouvant être stipulés, consultez la documentation de référence sur gcloud.

   • Créer un connecteur à l'aide d'un sous-réseau existant

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Remplacez les éléments suivants :

     • CONNECTOR_NAME : nom de votre connecteur, respectant les conventions d'attribution de noms de Compute Engine, avec les exigences supplémentaires suivantes : le nom doit comporter moins de 21 caractères, et les tirets (-) sont comptés comme deux caractères.
     • REGION : région du connecteur, correspondant à la région de votre service ou job sans serveur. Si votre service ou votre job se trouve dans la région us-central ou europe-west, utilisez us-central1 ou europe-west1.
     • SUBNET_NAME : nom du sous-réseau existant.
     • HOST_PROJECT_ID : ID du projet hôte de VPC partagé. Si le connecteur et le sous-réseau existant se trouvent dans le même projet, omettez l'option --subnet-project.
     • MIN : nombre minimal d'instances à utiliser pour le connecteur. Saisissez un nombre entier compris entre 2 (valeur par défaut) et 9.
     • MAX : nombre maximal d'instances à utiliser pour le connecteur. Saisissez un nombre entier compris entre 3 et 10 (valeur par défaut). Si le connecteur effectue un scaling à la hausse jusqu'à atteindre le nombre maximal d'instances, il ne réduit pas ensuite le nombre d'instances lorsque le trafic diminue.
     • MACHINE_TYPE : le type de machine doit être défini sur l'une des valeurs suivantes : f1-micro, e2-micro ou e2-standard-4.

   • Créer un connecteur et un nouveau sous-réseau

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Remplacez les éléments suivants :

     • CONNECTOR_NAME : nom de votre connecteur, respectant les conventions d'attribution de noms de Compute Engine, avec les exigences supplémentaires suivantes : le nom doit comporter moins de 21 caractères, et les tirets (-) sont comptés comme deux caractères.
     • REGION : région du connecteur, correspondant à la région de votre service ou job sans serveur. Si votre service ou votre job se trouve dans la région us-central ou europe-west, utilisez us-central1 ou europe-west1.
     • VPC_NETWORK : nom du réseau VPC auquel associer le connecteur. Le connecteur et le réseau VPC doivent se trouver dans le même projet.
     • IP_RANGE : indiquez une plage CIDR /28 inutilisée (par exemple, 10.8.0.0/28) à utiliser comme plage d'adresses IPv4 principale d'un nouveau sous-réseau, que Google Cloud va créer dans le réseau VPC du connecteur. Assurez-vous que la plage d'adresses IP n'entre pas en conflit avec des routes existantes dans le réseau VPC du connecteur. Le nom du nouveau sous-réseau commence par le préfixe "aet-".
     • MIN : nombre minimal d'instances à utiliser pour le connecteur. Saisissez un nombre entier compris entre 2 (valeur par défaut) et 9.
     • MAX : nombre maximal d'instances à utiliser pour le connecteur. Saisissez un nombre entier compris entre 3 et 10 (valeur par défaut). Si le connecteur effectue un scaling à la hausse jusqu'à atteindre le nombre maximal d'instances, il ne réduit pas ensuite le nombre d'instances lorsque le trafic diminue.
     • MACHINE_TYPE : le type de machine doit être défini sur l'une des valeurs suivantes : f1-micro, e2-micro ou e2-standard-4.

5. Avant d'utiliser le connecteur, vérifiez qu'il est dans l'état READY :

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Remplacez les éléments suivants :

   • CONNECTOR_NAME : nom du connecteur. Il s'agit du nom que vous avez spécifié à l'étape précédente.
   • REGION : région du connecteur. Il s'agit de la région que vous avez spécifiée à l'étape précédente.

   Le résultat doit contenir la ligne state: READY.

Terraform

Vous pouvez utiliser une ressource Terraform pour activer l'API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Vous pouvez utiliser les modules Terraform pour créer un réseau et un sous-réseau VPC, puis créer le connecteur.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Console

1. Dans la console Google Cloud, accédez à Cloud Run :

   Accédez à Cloud Run

2. Cliquez sur Déployer un conteneur et sélectionnez Service pour configurer un nouveau service. Si vous configurez un service existant, cliquez sur celui-ci puis sur Modifier et déployer la nouvelle révision.

3. Si vous configurez un nouveau service, remplissez la page initiale des paramètres du service, puis cliquez sur Conteneur(s), volumes, mise en réseau et sécurité pour développer la page de configuration du service.

4. Cliquez sur l'onglet Connexions.

   

   • Dans le champ Connecteur VPC, sélectionnez un connecteur à utiliser ou Aucun pour déconnecter votre service d'un réseau VPC.

5. Cliquez sur Créer ou Déployer.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Pour spécifier un connecteur lors du déploiement, utilisez l'option --vpc-connector :

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • Remplacez SERVICE par le nom du service.
   • Remplacez IMAGE_URL.
   • Remplacez CONNECTOR_NAME par le nom de votre connecteur. Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir du nom complet, par exemple :

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     où HOST_PROJECT_ID est l'ID du projet hôte, CONNECTOR_REGION est la région de votre connecteur et CONNECTOR_NAME est le nom de votre connecteur.

   Pour associer, mettre à jour ou supprimer un connecteur pour un service existant, utilisez la commande gcloud run services update avec l'une des options suivantes selon vos besoins :

   • --vpc-connector
   • --clear-vpc-connector

   Par exemple, pour associer ou mettre à jour un connecteur :

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • Remplacez SERVICE par le nom du service.
   • Remplacez CONNECTOR_NAME par le nom de votre connecteur.

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Ajoutez ou mettez à jour l'attribut run.googleapis.com/vpc-access-connector sous l'attribut annotations sous l'attribut de niveau supérieur spec :

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • Remplacez SERVICE par le nom de votre service Cloud Run.
   • Remplacez CONNECTOR_NAME par le nom de votre connecteur. Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir du nom complet, par exemple :

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     où HOST_PROJECT_ID est l'ID du projet hôte, CONNECTOR_REGION est la région de votre connecteur et CONNECTOR_NAME est le nom de votre connecteur.

3. Remplacez la configuration du service en utilisant la commande suivante :

   gcloud beta run services replace service.yaml

Terraform

Vous pouvez utiliser une ressource Terraform pour créer un service et le configurer pour qu'il utilise votre connecteur.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Console

1. Accédez à la page de présentation des Cloud Run Functions dans la console Google Cloud.

   Accéder aux fonctions Cloud Run

2. Cliquez sur Créer une fonction. Vous pouvez également cliquer sur une fonction existante pour accéder à sa page d'informations, puis sur Modifier.

3. Développez les paramètres avancés en cliquant sur Paramètres d'exécution, de compilation et de connexion.

4. Dans l'onglet Connexions, sous "Paramètres de sortie", saisissez le nom de votre connecteur dans le champ Connecteur VPC.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Exécutez la commande gcloud functions deploy pour déployer la fonction et spécifiez l'indicateur --vpc-connector :

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   où :

   • FUNCTION_NAME est le nom de la fonction.
   • CONNECTOR_NAME est le nom du connecteur. Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir du nom complet, par exemple :

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     où HOST_PROJECT_ID est l'ID du projet hôte, CONNECTOR_REGION est la région de votre connecteur et CONNECTOR_NAME est le nom de votre connecteur.
   • FLAGS... fait référence aux autres options que vous transmettez lors du déploiement de la fonction.

Python 2

1. Arrêtez l'utilisation du service de récupération d'URL App Engine.

   Par défaut, toutes les requêtes sont acheminées via le service de récupération d'URL. Cela entraîne l'échec des requêtes adressées à votre réseau VPC. Pour désactiver ce paramètre par défaut, consultez la section Désactiver le service de récupération d'URL pour la gestion de toutes les requêtes sortantes.

   Vous pouvez toujours utiliser la bibliothèque urlfetch directement pour des requêtes individuelles si nécessaire, mais cela n'est pas recommandé.

2. Ajoutez le champ "Accès au VPC sans serveur" au fichier app.yaml :

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Remplacez les éléments suivants :

   • PROJECT_ID par l'ID de votre projet Google Cloud Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir de l'ID du projet hôte.
   • REGION par la région où se trouve le connecteur.
   • CONNECTOR_NAME par le nom de votre connecteur.

3. Déployez le service :

   gcloud app deploy

   Une fois votre service déployé, il peut envoyer des requêtes aux adresses IP internes afin d'accéder aux ressources de votre réseau VPC.

Java 8

1. Arrêtez l'utilisation du service de récupération d'URL App Engine URLFetchService.

2. Ajoutez l'élément "Accès au VPC sans serveur" au fichier appengine-web.xml de votre service :

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   Remplacez les éléments suivants :

   • PROJECT_ID par l'ID de votre projet Google Cloud Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir de l'ID du projet hôte.
   • REGION par la région où se trouve le connecteur.
   • CONNECTOR_NAME par le nom de votre connecteur.

3. Déployez le service :

   gcloud app deploy WEB-INF/appengine-web.xml

   Une fois votre service déployé, il peut envoyer des requêtes aux adresses IP internes afin d'accéder aux ressources de votre réseau VPC.

Go 1.11

1. Arrêtez l'utilisation du service de récupération d'URL App Engine.

   L'accès au VPC sans serveur n'est pas compatible avec le service de récupération d'URL. Les requêtes effectuées à l'aide de ce service ignorent les paramètres d'accès au VPC sans serveur. Établissez des connexions sortantes avec des sockets.

2. Ajoutez le champ "Accès au VPC sans serveur" au fichier app.yaml :

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Remplacez les éléments suivants :

   • PROJECT_ID par l'ID de votre projet Google Cloud
   • REGION par la région où se trouve le connecteur
   • CONNECTOR_NAME par le nom de votre connecteur

3. Déployez le service :

   gcloud app deploy

   Une fois votre service déployé, il peut envoyer des requêtes aux adresses IP internes afin d'accéder aux ressources de votre réseau VPC.

Tous les autres environnements d'exécution

1. Ajoutez le champ "Accès au VPC sans serveur" au fichier app.yaml :

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Remplacez les éléments suivants :

   • PROJECT_ID par l'ID de votre projet Google Cloud Si votre connecteur se trouve dans le projet hôte d'un VPC partagé, il doit s'agir de l'ID du projet hôte.
   • REGION par la région où se trouve le connecteur.
   • CONNECTOR_NAME par le nom de votre connecteur.

2. Déployez le service :

   gcloud app deploy

   Une fois votre service déployé, il peut envoyer des requêtes aux adresses IP internes afin d'accéder aux ressources de votre réseau VPC.

Tags réseau

Les étapes suivantes expliquent comment créer des règles d'entrée limitant l'accès d'un connecteur à votre réseau VPC en fonction des tags réseau du connecteur.

1. Vérifiez que vous disposez des autorisations requises pour insérer des règles de pare-feu. Vous devez disposer de l'un des rôles Identity and Access Management (IAM) suivants :

   • Rôle d'administrateur de sécurité de Compute
   • Rôle IAM personnalisé avec l'autorisation compute.firewalls.create activée

2. Refuser le trafic du connecteur sur votre réseau VPC

   Créez une règle de pare-feu d'entrée ayant une priorité inférieure à 1 000 sur votre réseau VPC pour refuser l'entrée du tag réseau du connecteur. Cette option remplace la règle de pare-feu implicite créée par défaut par l'accès au VPC sans serveur sur votre réseau VPC.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Remplacez les éléments suivants :

   • RULE_NAME : nom de votre nouvelle règle de pare-feu. Exemple : deny-vpc-connector.

   • PROTOCOL : un ou plusieurs protocoles que vous souhaitez autoriser à partir de votre connecteur VPC. Les protocoles acceptés sont tcp ou udp. Par exemple, tcp:80,udp autorise le trafic TCP via le port 80 et le trafic UDP. Pour en savoir plus, consultez la documentation de l'option allow.

     Pour des raisons de sécurité et de validation, vous pouvez également configurer des règles de refus pour bloquer le trafic correspondant aux protocoles non compatibles suivants : ah, all, esp, icmp, ipip et sctp.

   • VPC_CONNECTOR_NETWORK_TAG : tag réseau de connecteur universel si vous souhaitez limiter l'accès de tous les connecteurs (y compris ceux créés ultérieurement), ou tag réseau unique si vous souhaitez limiter l'accès d'un connecteur spécifique.

     • Tag réseau universel : vpc-connector

     • Tag réseau unique : vpc-connector-REGION-CONNECTOR_NAME

       Remplacez :

       • REGION : région du connecteur que vous souhaitez restreindre
       • CONNECTOR_NAME : nom du connecteur que vous souhaitez restreindre

     Pour en savoir plus sur les tags réseau de connecteur, consultez la page Tags réseau.

   • VPC_NETWORK : nom de votre réseau VPC

   • PRIORITY : entier compris entre 0 et 65535. Par exemple, 0 définit la priorité la plus élevée.

3. Autorisez le trafic de connecteur vers la ressource qui doit recevoir le trafic du connecteur.

   Utilisez les options allow et target-tags pour créer une règle de pare-feu d'entrée ciblant la ressource de votre réseau VPC à laquelle vous souhaitez que le connecteur VPC accède. Définissez la priorité de cette règle sur une valeur inférieure à celle de la règle que vous avez définie à l'étape précédente.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Remplacez les éléments suivants :

   • RULE_NAME : nom de votre nouvelle règle de pare-feu. Exemple : allow-vpc-connector-for-select-resources.

   • PROTOCOL : un ou plusieurs protocoles que vous souhaitez autoriser à partir de votre connecteur VPC. Les protocoles acceptés sont tcp ou udp. Par exemple, tcp:80,udp autorise le trafic TCP via le port 80 et le trafic UDP. Pour en savoir plus, consultez la documentation de l'option allow.

   • VPC_CONNECTOR_NETWORK_TAG : tag réseau de connecteur universel si vous souhaitez limiter l'accès de tous les connecteurs (y compris ceux créés ultérieurement), ou tag réseau unique si vous souhaitez limiter l'accès d'un connecteur spécifique. Il doit correspondre au tag réseau que vous avez spécifié à l'étape précédente.

     • Tag réseau universel : vpc-connector

     • Tag réseau unique : vpc-connector-REGION-CONNECTOR_NAME

       Remplacez :

       • REGION : région du connecteur que vous souhaitez restreindre
       • CONNECTOR_NAME : nom du connecteur que vous souhaitez restreindre

     Pour en savoir plus sur les tags réseau de connecteur, consultez la page Tags réseau.

   • VPC_NETWORK : nom de votre réseau VPC

   • RESOURCE_TAG : tag réseau de la ressource VPC à laquelle votre connecteur VPC doit accéder.

   • PRIORITY : entier inférieur à la priorité définie à l'étape précédente. Par exemple, si vous définissez la priorité de la règle que vous avez créée à l'étape précédente sur 990, essayez 980.

Pour en savoir plus sur les options obligatoires et facultatives de création de règles de pare-feu, consultez la documentation sur la commande gcloud compute firewall-rules create.

Plage CIDR

Les étapes suivantes montrent comment créer des règles d'entrée qui limitent l'accès d'un connecteur à votre réseau VPC en fonction de la plage CIDR du connecteur.

1. Vérifiez que vous disposez des autorisations requises pour insérer des règles de pare-feu. Vous devez disposer de l'un des rôles Identity and Access Management (IAM) suivants :

   • Rôle d'administrateur de sécurité de Compute
   • Rôle IAM personnalisé avec l'autorisation compute.firewalls.create activée

2. Refuser le trafic du connecteur sur votre réseau VPC

   Créez une règle de pare-feu d'entrée ayant une priorité inférieure à 1000 sur votre réseau VPC pour refuser l'entrée de la plage CIDR du connecteur. Cette option remplace la règle de pare-feu implicite créée par défaut par l'accès au VPC sans serveur sur votre réseau VPC.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Remplacez les éléments suivants :

   • RULE_NAME : nom de votre nouvelle règle de pare-feu. Exemple : deny-vpc-connector.

   • PROTOCOL : un ou plusieurs protocoles que vous souhaitez autoriser à partir de votre connecteur VPC. Les protocoles acceptés sont tcp ou udp. Par exemple, tcp:80,udp autorise le trafic TCP via le port 80 et le trafic UDP. Pour en savoir plus, consultez la documentation de l'option allow.

     Pour des raisons de sécurité et de validation, vous pouvez également configurer des règles de refus pour bloquer le trafic correspondant aux protocoles non compatibles suivants : ah, all, esp, icmp, ipip et sctp.

   • VPC_CONNECTOR_CIDR_RANGE : plage CIDR du connecteur dont vous limitez l'accès

   • VPC_NETWORK : nom de votre réseau VPC

   • PRIORITY : entier compris entre 0 et 65535. Par exemple, 0 définit la priorité la plus élevée.

3. Autorisez le trafic de connecteur vers la ressource qui doit recevoir le trafic du connecteur.

   Utilisez les options allow et target-tags pour créer une règle de pare-feu d'entrée ciblant la ressource de votre réseau VPC à laquelle vous souhaitez que le connecteur VPC accède. Définissez la priorité de cette règle sur une valeur inférieure à celle de la règle que vous avez définie à l'étape précédente.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Remplacez les éléments suivants :

   • RULE_NAME : nom de votre nouvelle règle de pare-feu. Exemple : allow-vpc-connector-for-select-resources.

   • PROTOCOL : un ou plusieurs protocoles que vous souhaitez autoriser à partir de votre connecteur VPC. Les protocoles acceptés sont tcp ou udp. Par exemple, tcp:80,udp autorise le trafic TCP via le port 80 et le trafic UDP. Pour en savoir plus, consultez la documentation de l'option allow.

   • VPC_CONNECTOR_CIDR_RANGE : plage CIDR du connecteur dont vous limitez l'accès

   • VPC_NETWORK : nom de votre réseau VPC

   • RESOURCE_TAG : tag réseau de la ressource VPC à laquelle votre connecteur VPC doit accéder.

   • PRIORITY : entier inférieur à la priorité définie à l'étape précédente. Par exemple, si vous définissez la priorité de la règle que vous avez créée à l'étape précédente sur 990, essayez 980.

Pour en savoir plus sur les options requises et facultatives pour la création de règles de pare-feu, consultez la documentation sur la commande gcloud compute firewall-rules create.

Console

1. Accédez à la page de présentation de l'accès au VPC sans serveur.

   Accéder à l'accès au VPC sans serveur

2. Sélectionnez le connecteur que vous souhaitez modifier, puis cliquez sur Modifier.

3. Dans la liste Type d'instance, sélectionnez le type de machine (instance) de votre choix. Pour en savoir plus sur les types de machines disponibles, consultez la documentation Débit et scaling.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Pour mettre à jour le type de machine du connecteur, exécutez la commande suivante dans votre terminal :

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Remplacez les éléments suivants :
   • CONNECTOR_NAME : nom de votre connecteur
   • REGION : nom de la région du connecteur
   • MACHINE_TYPE : type de machine de votre choix Pour en savoir plus sur les types de machines disponibles, consultez la documentation Débit et scaling.

Console

1. Accédez à la page de présentation de l'accès au VPC sans serveur.

   Accéder à l'accès au VPC sans serveur

2. Sélectionnez le connecteur que vous souhaitez modifier, puis cliquez sur Modifier.

3. Dans le champ Nombre minimal d'instances, sélectionnez le nombre minimal d'instances de votre choix.

   La plus petite valeur possible de ce champ est la valeur actuelle. La plus grande valeur possible pour ce champ est la valeur actuelle figurant dans le champ Nombre maximal d'instances moins 1. Par exemple, si la valeur du champ Nombre maximal d'instances est 8, la valeur la plus élevée possible pour le champ Nombre minimal d'instances est 7.

4. Dans le champ Nombre maximal d'instances, sélectionnez le nombre maximal d'instances souhaité.

   La plus petite valeur possible de ce champ est la valeur actuelle. La valeur la plus élevée pour ce champ est 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Pour augmenter le nombre minimal ou maximal d'instances du connecteur, exécutez la commande suivante dans votre terminal :

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Remplacez les éléments suivants :

• CONNECTOR_NAME : nom de votre connecteur
• REGION : nom de la région du connecteur
• MIN_INSTANCES : nombre minimal d'instances souhaité.
  • La plus petite valeur possible pour ce champ est la valeur actuelle de min_instances. Pour trouver la valeur actuelle, consultez la section Rechercher les valeurs d'attribut actuelles.
  • La plus grande valeur possible pour ce champ est la valeur max_instances actuelle moins 1, car min_instances doit être inférieur à max_instances. Par exemple, si max_instances est défini sur 8, la plus grande valeur possible pour ce champ est 7. Si votre connecteur utilise la valeur max-instances par défaut de 10, la plus grande valeur possible de ce champ est 9. Pour trouver la valeur de max-instances, consultez Rechercher les valeurs d'attributs actuelles.

• MAX_INSTANCES :

  • La plus petite valeur possible pour ce champ est la valeur actuelle de max_instances. Pour trouver la valeur actuelle, consultez la section Rechercher les valeurs d'attribut actuelles.
  • La valeur la plus élevée possible pour ce champ est 10.

  Si vous souhaitez augmenter le nombre minimal d'instances, mais pas le nombre maximal, vous devez toujours spécifier le nombre maximal d'instances. Inversement, si vous ne souhaitez mettre à jour que le nombre maximal d'instances, mais pas le nombre minimal, vous devez toujours spécifier le nombre minimal d'instances. Pour conserver la valeur actuelle du nombre minimal ou maximal d'instances, vous devez spécifier cette valeur actuelle. Pour trouver leur valeur actuelle, consultez la section Rechercher les valeurs d'attribut actuelles.

Console

1. Accédez à la page de présentation de l'accès au VPC sans serveur dans la console Google Cloud :

   Accéder à l'accès au VPC sans serveur

2. Sélectionnez le connecteur que vous souhaitez supprimer.

3. Cliquez sur Supprimer.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Utilisez la commande gcloud suivante pour supprimer un connecteur :

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Remplacez les éléments suivants :

   • CONNECTOR_NAME par le nom du connecteur que vous souhaitez supprimer ;
   • REGION par la région où se trouve le connecteur.

Console

1. Accédez à Cloud Run

2. Cliquez sur Créer un service si vous configurez un nouveau service sur lequel effectuer un déploiement. Si vous configurez et déployez un service existant, cliquez sur ce service, puis sur Modifier et déployer la nouvelle révision.

3. Si vous configurez un nouveau service, remplissez la page initiale des paramètres du service selon vos besoins, puis cliquez sur Conteneur(s), volumes, mise en réseau et sécurité pour développer la page de configuration du service.

4. Cliquez sur l'onglet Réseau.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Dans le champ Réseau, sélectionnez le réseau VPC vers lequel vous souhaitez envoyer du trafic.

8. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre service reçoit des adresses IP. Vous pouvez déployer plusieurs services sur le même sous-réseau.

9. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos services. Les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.

10. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes :

    • N'acheminez que les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC.
    • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC.

11. Cliquez sur Créer ou Déployer.

12. Pour vérifier que votre service se trouve sur votre réseau VPC, cliquez sur le service, puis sur l'onglet Mise en réseau. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

    Vous pouvez désormais envoyer des requêtes à partir de votre service Cloud Run vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

gcloud

Pour déployer un service Cloud Run sans connecteur à partir de Google Cloud CLI, procédez comme suit :

1. Mettez à jour les composants gcloud vers la dernière version :

   gcloud components update

2. Assurez-vous que l'API Compute Engine est activée pour votre projet :

   gcloud services enable compute.googleapis.com
   

3. Déployez votre service Cloud Run à l'aide de la commande suivante :

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Remplacez :

   • SERVICE_NAME par le nom de votre service Cloud Run.
   • IMAGE_URL par une référence à l'image de conteneur, par exemple us-docker.pkg.dev/cloudrun/container/hello:latest. Si vous utilisez Artifact Registry, le dépôt REPO_NAME doit déjà être créé. L'URL se présente sous la forme suivante : LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • NETWORK par le nom de votre réseau VPC ;
   • SUBNET par le nom de votre sous-réseau. Le sous-réseau doit être /26 ou supérieur. La sortie VPC directe est compatible avec les plages IPv4 RFC 1918, RFC 6598 et Classe E. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau, mais le sous-réseau ne peut pas être partagé par des connecteurs existants.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau séparés par une virgule que vous souhaitez associer à un service. Pour les services, les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • REGION par une région pour votre service.

4. Pour vérifier que votre service se trouve sur votre réseau VPC, exécutez la commande suivante :

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   Remplacez :

   • SERVICE_NAME par le nom de votre service.
   • REGION par la région du service que vous avez spécifiée à l'étape précédente.

   La sortie doit contenir le nom du réseau, du sous-réseau et du trafic sortant, par exemple :

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Vous pouvez désormais envoyer des requêtes à partir de votre service Cloud Run vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Remplacez :

   • SERVICE_NAME par le nom de votre service Cloud Run. Les noms de service doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre service Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom de votre réseau VPC ;
   • SUBNET par le nom de votre sous-réseau. Le sous-réseau doit être /26 ou supérieur. La sortie VPC directe est compatible avec les plages IPv4 RFC 1918, RFC 6598 et Classe E. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau, mais le sous-réseau ne peut pas être partagé par des connecteurs existants.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un service. Pour les services, les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • IMAGE par l'URL de votre image de conteneur de service.

   Vous pouvez également spécifier d'autres éléments de configuration, tels que des variables d'environnement ou des limites de mémoire.

3. Créez ou mettez à jour le service à l'aide de la commande suivante :

   gcloud run services replace service.yaml

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

1. Ajoutez le code ci-dessous à votre fichier main.tf :

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Accédez à Cloud Run

2. Si vous configurez un nouveau job, cliquez sur l'onglet Jobs et remplissez la page des paramètres initiaux du job selon vos besoins. Si vous configurez un job existant, cliquez sur celui-ci, puis sur Modifier.

3. Cliquez sur Conteneur, variables et secrets, connexions, sécurité pour développer la page des propriétés du job.

4. Cliquez sur l'onglet Connexions.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Dans le champ Réseau, sélectionnez le réseau VPC auquel vous souhaitez envoyer du trafic.

8. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre job reçoit des adresses IP. Vous pouvez exécuter plusieurs jobs sur le même sous-réseau.

9. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes :

   • N'acheminez que les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC.
   • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC.

10. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos services. Les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.

11. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos jobs. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.

12. Cliquez sur Créer ou Mettre à jour.

13. Pour vérifier que votre job se trouve sur votre réseau VPC, cliquez sur le job, puis sur l'onglet Configuration. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

    Vous pouvez maintenant exécuter votre job Cloud Run et envoyer des requêtes à partir du job vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

gcloud

Pour créer un job Cloud Run sans connecteur à partir de Google Cloud CLI, procédez comme suit :

1. Mettez à jour les composants gcloud vers la dernière version :

   gcloud components update

2. Assurez-vous que l'API Compute Engine est activée pour votre projet :

   gcloud services enable compute.googleapis.com
   

3. Créez un job Cloud Run à l'aide de la commande suivante :

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Remplacez :

   • JOB_NAME par le nom de votre job Cloud Run
   • IMAGE_URL par une référence à l'image du conteneur, par exemple us-docker.pkg.dev/cloudrun/container/job:latest ;
   • NETWORK par le nom de votre réseau VPC ;
   • SUBNET par le nom de votre sous-réseau. Le sous-réseau doit être /26 ou supérieur. La sortie VPC directe est compatible avec les plages IPv4 RFC 1918, RFC 6598 et Classe E. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau, mais le sous-réseau ne peut pas être partagé par des connecteurs existants.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • REGION par une région pour votre job.

4. Pour vérifier que le job se trouve sur votre réseau VPC, exécutez la commande suivante :

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Remplacez :

   • JOB_NAME par le nom de votre tâche.
   • REGION par la région de votre job que vous avez spécifié à l'étape précédente.

   Le résultat doit contenir le nom de votre réseau et de votre sous-réseau, par exemple :

   VPC network:
     Network:       default
     Subnet:        default
   

Vous pouvez maintenant exécuter votre job Cloud Run et envoyer des requêtes à partir du job vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

YAML

1. Si vous créez un job, ignorez cette étape. Si vous mettez à jour un job existant, téléchargez sa configuration YAML :

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       annotations:
         run.googleapis.com/launch-stage: BETA
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Remplacez :

   • JOB_NAME par le nom de votre job Cloud Run Les noms de job doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre job Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom de votre réseau VPC ;
   • SUBNET par le nom de votre sous-réseau. Le sous-réseau doit être /26 ou supérieur. La sortie VPC directe est compatible avec les plages IPv4 RFC 1918, RFC 6598 et Classe E. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau, mais le sous-réseau ne peut pas être partagé par des connecteurs existants.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • IMAGE par l'URL de votre image de conteneur de job.

3. Créez ou mettez à jour le job à l'aide de la commande suivante :

   gcloud run jobs replace job.yaml