Connessione a una rete VPC

Console

1. Vai alla pagina di panoramica di accesso VPC serverless.

   Vai ad Accesso VPC serverless

2. Fai clic su Crea connettore.

3. Nel campo Nome, inserisci un nome per il connettore che corrisponda alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi che il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.

4. Nel campo Regione, seleziona una regione per il connettore. Deve corrispondere alla regione del tuo servizio serverless.

   Se il tuo servizio o lavoro si trova nella regione us-central o europe-west, utilizza us-central1 o europe-west1.

5. Nel campo Rete, seleziona la rete VPC a cui collegare il connettore.

6. Nel campo Subnet, seleziona una delle seguenti opzioni:

   • Crea un connettore utilizzando una subnet esistente: seleziona la subnet esistente nel campo Subnet.

   • Crea un connettore e una nuova subnet:seleziona Intervallo IP personalizzato nel campo Subnet. Quindi, inserisci il primo indirizzo in un CIDR /28 non utilizzato (ad esempio 10.8.0.0/28) da utilizzare come intervallo di indirizzi IPv4 principale di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con le route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".

7. (Facoltativo) Per impostare le opzioni di scalabilità per un maggiore controllo del connettore, fai clic su Mostra impostazioni di scalabilità per visualizzare il modulo di scalabilità.

   1. Imposta il numero minimo e massimo di istanze per il connettore oppure utilizza i valori predefiniti, ovvero 2 (minimo) e 10 (massimo). Il connettore viene scalato fino al massimo specificato se l'utilizzo del traffico lo richiede, ma il connettore non viene ridimensionato quando il traffico diminuisce. Devi utilizzare valori compresi tra 2 e 10.
   2. Nel menu Tipo di istanza, scegli il tipo di macchina da utilizzare per il connettore oppure utilizza il valore predefinito e2-micro. Quando scegli il tipo di istanza, nota la barra laterale dei costi a destra, che mostra le stime della larghezza di banda e dei costi.

8. Fai clic su Crea.

9. Quando è pronto per l'uso, accanto al nome del connettore viene visualizzato un segno di spunta verde.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Aggiorna i componenti di gcloud all'ultima versione:

   gcloud components update

3. Assicurati che l'API Serverless VPC Access sia abilitata per il tuo progetto:

   gcloud services enable vpcaccess.googleapis.com

4. Crea il connettore utilizzando una delle seguenti opzioni:

   Per maggiori dettagli e argomenti facoltativi, consulta il gcloud riferimento.

   • Crea un connettore utilizzando una subnet esistente:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Sostituisci quanto segue:

     • CONNECTOR_NAME: un nome per il connettore, che corrisponda alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi che il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.
     • REGION: una regione per il connettore, corrispondente alla regione del servizio o del job serverless. Se il tuo servizio o lavoro si trova in us-central o europe-west, utilizza us-central1 o europe-west1.
     • SUBNET_NAME: il nome della subnet esistente.
     • HOST_PROJECT_ID: l'ID progetto host VPC condiviso. Se il connettore e la subnet esistente si trovano nello stesso progetto, ometti il flag --subnet-project.
     • MIN: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 2(il valore predefinito) e 9.
     • MAX: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 3 e 10 (valore predefinito). Se il connettore esegue lo scale up fino al numero massimo di istanze, non esegue lo scale down.
     • MACHINE_TYPE: deve essere uno dei seguenti valori: f1-micro, e2-micro o e2-standard-4.

   • Crea un connettore e una nuova subnet:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Sostituisci quanto segue:

     • CONNECTOR_NAME: un nome per il connettore, che corrisponda alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi che il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.
     • REGION: una regione per il connettore, corrispondente alla regione del servizio o del job serverless. Se il tuo servizio o lavoro si trova in us-central o europe-west, utilizza us-central1 o europe-west1.
     • VPC_NETWORK: il nome della rete VPC a cui collegare il connettore. Il connettore e la rete VPC devono trovarsi nello stesso progetto.
     • IP_RANGE: fornisci un CIDR /28 non utilizzato (ad esempio 10.8.0.0/28) da utilizzare come intervallo di indirizzi IPv4 principale di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con le route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".
     • MIN: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 2(il valore predefinito) e 9.
     • MAX: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 3 e 10 (valore predefinito). Se il connettore esegue lo scale up fino al numero massimo di istanze, non esegue lo scale down.
     • MACHINE_TYPE: deve essere uno dei seguenti valori: f1-micro, e2-micro o e2-standard-4.

5. Prima di utilizzare il connettore, verifica che si trovi nello stato READY:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Sostituisci quanto segue:

   • CONNECTOR_NAME: il nome del connettore, ovvero il nome specificato nel passaggio precedente.
   • REGION: la regione del connettore, ovvero la regione specificata nel passaggio precedente.

   L'output deve contenere la riga state: READY.

Terraform

Puoi utilizzare una risorsa Terraform per abilitare l'API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puoi utilizzare i moduli Terraform per creare una rete VPC e una subnet, quindi creare il connettore.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Console

1. Nella console Google Cloud , vai a Cloud Run:

   Vai a Cloud Run

2. Seleziona Servizi dal menu e fai clic su Esegui il deployment del contenitore per configurare un nuovo servizio. Se stai configurando un servizio esistente, fai clic sul servizio, quindi su Modifica ed esegui il deployment della nuova revisione.

3. Se stai configurando un nuovo servizio, compila la pagina delle impostazioni iniziali del servizio, quindi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.

4. Fai clic sulla scheda Connessioni.

   

   • Nel campo Connettore VPC, seleziona un connettore da utilizzare o seleziona Nessuno per disconnettere il servizio da una rete VPC.

5. Fai clic su Crea o Esegui il deployment.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Per specificare un connettore durante l'deployment, utilizza il flag --vpc-connector:

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • Sostituisci SERVICE con il nome del tuo servizio.
   • Sostituisci IMAGE_URL.
   • Sostituisci CONNECTOR_NAME con il nome del connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.

   Per collegare, aggiornare o rimuovere un connettore per un servizio esistente, utilizza il comando gcloud run services update con uno dei seguenti flag, a seconda delle necessità:

   • --vpc-connector
   • --clear-vpc-connector

   Ad esempio, per allegare o aggiornare un connettore:

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • Sostituisci SERVICE con il nome del tuo servizio.
   • Sostituisci CONNECTOR_NAME con il nome del connettore.

YAML

1. Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-connector in annotations nell'attributo spec di primo livello:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • Sostituisci SERVICE con il nome del tuo servizio Cloud Run.
   • Sostituisci CONNECTOR_NAME con il nome del connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.

3. Sostituisci il servizio con la sua nuova configurazione utilizzando il seguente comando:

   gcloud beta run services replace service.yaml

Terraform

Puoi utilizzare una risorsa Terraform per creare un servizio e configurarlo in modo che utilizzi il connettore.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Console

1. Vai alla pagina Panoramica di Cloud Run Functions nella consoleGoogle Cloud :

   Vai alle funzioni Cloud Run

2. Fai clic su Crea funzione. In alternativa, fai clic su una funzione esistente per andare alla relativa pagina dei dettagli e fai clic su Modifica.

3. Espandi le impostazioni avanzate facendo clic su IMPOSTAZIONI DI RUNTIME, BUILD E CONNESSIONI.

4. Nella scheda Connessioni in Impostazioni di uscita, inserisci il nome del connettore nel campo Connettore VPC.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Utilizza il comando gcloud functions deploy per eseguire il deployment della funzione e specifica il flag --vpc-connector:

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   dove:

   • FUNCTION_NAME è il nome della tua funzione.
   • CONNECTOR_NAME è il nome del connettore. Se il connettore si trova nel progetto host di un VPC condiviso, deve essere il nome completo, ad esempio:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.
   • FLAGS... si riferisce ad altri flag che passi durante il deployment della funzione.

Python 2

1. Interrompere l'utilizzo del servizio URL Fetch di App Engine.

   Per impostazione predefinita, tutte le richieste vengono indirizzate tramite il servizio di recupero URL. In questo modo, le richieste alla tua rete VPC non vanno a buon fine. Per disattivare questa impostazione predefinita, consulta Disattivare il recupero di URL dalla gestione di tutte le richieste in uscita.

   Se necessario, puoi comunque utilizzare la libreria urlfetch direttamente per le singole richieste, anche se non è consigliato.

2. Aggiungi il campo Accesso VPC serverless al file app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Sostituisci quanto segue:

   • PROJECT_ID con l'ID progetto Google Cloud . Se il connettore si trova nel progetto host di un VPC condiviso, questo deve essere l'ID del progetto host.
   • REGION con la regione in cui si trova il connettore.
   • CONNECTOR_NAME con il nome del connettore.

3. Esegui il deployment del servizio:

   gcloud app deploy

   Dopo aver eseguito il deployment del servizio, questo è in grado di inviare richieste agli indirizzi IP interni per accedere alle risorse nella rete VPC.

Java 8

1. Interrompi l'utilizzo del servizio URL Fetch di App Engine URLFetchService.

2. Aggiungi l'elemento di accesso VPC serverless al file appengine-web.xml del tuo servizio:

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   Sostituisci quanto segue:

   • PROJECT_ID con l'ID progetto Google Cloud . Se il connettore si trova nel progetto host di un VPC condiviso, questo deve essere l'ID del progetto host.
   • REGION con la regione in cui si trova il connettore.
   • CONNECTOR_NAME con il nome del connettore.

3. Esegui il deployment del servizio:

   gcloud app deploy WEB-INF/appengine-web.xml

   Dopo aver eseguito il deployment del servizio, questo è in grado di inviare richieste agli indirizzi IP interni per accedere alle risorse nella rete VPC.

Go 1.11

1. Interrompere l'utilizzo del servizio URL Fetch di App Engine.

   L'accesso VPC serverless non supporta il recupero URL e le richieste effettuate utilizzando il recupero URL ignorano le impostazioni di accesso VPC serverless. Stabilisci connessioni in uscita con socket.

2. Aggiungi il campo Accesso VPC serverless al file app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Sostituisci quanto segue:

   • PROJECT_ID con l'ID progetto Google Cloud
   • REGION con la regione in cui si trova il connettore
   • CONNECTOR_NAME con il nome del connettore

3. Esegui il deployment del servizio:

   gcloud app deploy

   Dopo aver eseguito il deployment del servizio, questo è in grado di inviare richieste agli indirizzi IP interni per accedere alle risorse nella rete VPC.

Tutti gli altri runtime

1. Aggiungi il campo Accesso VPC serverless al file app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Sostituisci quanto segue:

   • PROJECT_ID con l'ID progetto Google Cloud . Se il connettore si trova nel progetto host di un VPC condiviso, questo deve essere l'ID del progetto host.
   • REGION con la regione in cui si trova il connettore.
   • CONNECTOR_NAME con il nome del connettore.

2. Esegui il deployment del servizio:

   gcloud app deploy

   Dopo aver eseguito il deployment del servizio, questo è in grado di inviare richieste agli indirizzi IP interni per accedere alle risorse nella rete VPC.

Tag di rete

I seguenti passaggi mostrano come creare regole di ingresso che limitano l'accesso di un connettore alla tua rete VPC in base ai tag di rete del connettore.

1. Assicurati di disporre delle autorizzazioni necessarie per inserire regole firewall. Devi disporre di uno dei seguenti ruoli Identity and Access Management (IAM):

   • Ruolo Compute Security Admin
   • Ruolo IAM personalizzato con l'autorizzazione compute.firewalls.create abilitata

2. Nega il traffico del connettore nella rete VPC.

   Crea una regola firewall in entrata con priorità inferiore a 1000 nella tua rete VPC per negare l'accesso dal tag di rete del connettore. Questa operazione sostituisce la regola firewall implicita che l'accesso VPC serverless crea per impostazione predefinita nella tua rete VPC.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Sostituisci quanto segue:

   • RULE_NAME: il nome della nuova regola firewall. Ad esempio, deny-vpc-connector.

   • PROTOCOL: uno o più protocolli che vuoi consentire dal connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per saperne di più, consulta la documentazione del flag allow.

     Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico.

     • Tag di rete universale: vpc-connector

     • Tag di rete univoco: vpc-connector-REGION-CONNECTOR_NAME

       Sostituisci:

       • REGION: la regione del connettore che vuoi limitare
       • CONNECTOR_NAME: il nome del connettore che vuoi limitare

     Per saperne di più sui tag di rete del connettore, consulta Tag di rete.

   • VPC_NETWORK: il nome della tua rete VPC

   • PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.

3. Consenti il traffico del connettore alla risorsa che deve ricevere il traffico del connettore.

   Utilizza i flag allow e target-tags per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola su un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Sostituisci quanto segue:

   • RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o più protocolli che vuoi consentire dal connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per saperne di più, consulta la documentazione del flag allow.

   • VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico. Deve corrispondere al tag di rete che hai specificato nel passaggio precedente.

     • Tag di rete universale: vpc-connector

     • Tag di rete univoco: vpc-connector-REGION-CONNECTOR_NAME

       Sostituisci:

       • REGION: la regione del connettore che vuoi limitare
       • CONNECTOR_NAME: il nome del connettore che vuoi limitare

     Per saperne di più sui tag di rete del connettore, consulta Tag di rete.

   • VPC_NETWORK: il nome della tua rete VPC

   • RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che acceda il connettore VPC

   • PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se hai impostato la priorità della regola che hai creato nel passaggio precedente su 990, prova 980.

Per saperne di più sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create.

Intervallo CIDR

I seguenti passaggi mostrano come creare regole di ingresso che limitano l'accesso di un connettore alla tua rete VPC in base all'intervallo CIDR del connettore.

1. Assicurati di disporre delle autorizzazioni necessarie per inserire regole firewall. Devi disporre di uno dei seguenti ruoli Identity and Access Management (IAM):

   • Ruolo Compute Security Admin
   • Ruolo IAM personalizzato con l'autorizzazione compute.firewalls.create abilitata

2. Nega il traffico del connettore nella rete VPC.

   Crea una regola firewall in entrata con priorità inferiore a 1000 nella tua rete VPC per negare l'accesso in entrata dall'intervallo CIDR del connettore. Questa operazione sostituisce la regola firewall implicita che l'accesso VPC serverless crea per impostazione predefinita nella tua rete VPC.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Sostituisci quanto segue:

   • RULE_NAME: il nome della nuova regola firewall. Ad esempio, deny-vpc-connector.

   • PROTOCOL: uno o più protocolli che vuoi consentire dal connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per saperne di più, consulta la documentazione del flag allow.

     Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR per il connettore di cui stai limitando l'accesso

   • VPC_NETWORK: il nome della tua rete VPC

   • PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.

3. Consenti il traffico del connettore alla risorsa che deve ricevere il traffico del connettore.

   Utilizza i flag allow e target-tags per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola su un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Sostituisci quanto segue:

   • RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-for-select-resources.

   • PROTOCOL: uno o più protocolli che vuoi consentire dal connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per saperne di più, consulta la documentazione del flag allow.

   • VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR per il connettore di cui stai limitando l'accesso

   • VPC_NETWORK: il nome della tua rete VPC

   • RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che acceda il connettore VPC

   • PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se hai impostato la priorità della regola che hai creato nel passaggio precedente su 990, prova 980.

Per saperne di più sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create.

Console

1. Vai alla pagina di panoramica di accesso VPC serverless.

   Vai ad Accesso VPC serverless

2. Seleziona il connettore da modificare e fai clic su Modifica.

3. Nell'elenco Tipo di istanza, seleziona il tipo di macchina (istanza) che preferisci. Per scoprire di più sui tipi di macchina disponibili, consulta la documentazione su Throughput e scalabilità.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Per aggiornare il tipo di macchina del connettore, esegui questo comando nel terminale:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Sostituisci quanto segue:
   • CONNECTOR_NAME: il nome del connettore
   • REGION: il nome della regione del connettore
   • MACHINE_TYPE: il tipo di macchina che preferisci. Per scoprire di più sui tipi di macchine disponibili, consulta la documentazione su Throughput e scalabilità.

Console

1. Vai alla pagina di panoramica di accesso VPC serverless.

   Vai ad Accesso VPC serverless

2. Seleziona il connettore da modificare e fai clic su Modifica.

3. Nel campo Istanze minime, seleziona il numero minimo di istanze che preferisci.

   Il valore più piccolo possibile per questo campo è il valore attuale. Il valore più grande possibile per questo campo è il valore attuale nel campo Istanze massime meno 1. Ad esempio, se il valore nel campo Istanze massime è 8, il valore massimo possibile per il campo Istanze minime è 7.

4. Nel campo Numero massimo di istanze, seleziona il numero massimo di istanze che preferisci.

   Il valore più piccolo possibile per questo campo è il valore attuale. Il valore massimo possibile per questo campo è 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Per aumentare il numero minimo o massimo di istanze per il connettore, esegui questo comando nel terminale:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Sostituisci quanto segue:

• CONNECTOR_NAME: il nome del connettore
• REGION: il nome della regione del connettore
• MIN_INSTANCES: il numero minimo di istanze che preferisci.
  • Il valore più piccolo possibile per questo campo è il valore attuale di min_instances. Per trovare il valore attuale, consulta Trovare i valori attuali degli attributi.
  • Il valore più grande possibile per questo campo è il valore attuale di max_instances meno 1, perché min_instances deve essere inferiore a max_instances. Ad esempio, se max_instances è 8, il valore più grande possibile per questo campo è 7. Se il connettore utilizza il valore predefinito max-instances di 10, il valore più grande possibile di questo campo è 9. Per trovare il valore di max-instances, consulta Trovare i valori degli attributi attuali.

• MAX_INSTANCES:

  • Il valore più piccolo possibile per questo campo è il valore attuale di max_instances. Per trovare il valore attuale, consulta Trovare i valori attuali degli attributi.
  • Il valore più grande possibile per questo campo è 10.

  Se vuoi aumentare solo il numero minimo di istanze, ma non quello massimo, devi comunque specificare il numero massimo di istanze. Al contrario, se vuoi aggiornare solo il numero massimo di istanze, ma non quello minimo, devi comunque specificare il numero minimo di istanze. Per mantenere il numero minimo o massimo di istanze al valore attuale, specifica il valore attuale. Per trovare il valore attuale, consulta Trovare i valori attuali degli attributi.

Console

1. Vai alla pagina di panoramica dell'accesso VPC serverless nella consoleGoogle Cloud :

   Vai ad Accesso VPC serverless

2. Seleziona il connettore da eliminare.

3. Fai clic su Elimina.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Utilizza il seguente comando gcloud per eliminare un connettore:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Sostituisci quanto segue:

   • CONNECTOR_NAME con il nome del connettore che vuoi eliminare
   • REGION con la regione in cui si trova il connettore

Console

1. Vai a Cloud Run

2. Fai clic su Crea servizio se stai configurando un nuovo servizio di cui stai eseguendo il deployment. Se stai configurando ed eseguendo il deployment di un servizio esistente, fai clic sul servizio, quindi su Modifica ed esegui il deployment della nuova revisione.

3. Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio in base alle tue esigenze, quindi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.

4. Fai clic sulla scheda Networking.

5. Fai clic su Connettiti a un VPC per il traffico in uscita.

6. Fai clic su Invia il traffico direttamente a un VPC.

7. Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.

8. Nel campo Subnet, seleziona la subnet da cui il servizio riceve gli indirizzi IP. Puoi eseguire il deployment di più servizi nella stessa subnet.

9. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o ai tuoi servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.

10. Per Routing del traffico, seleziona una delle seguenti opzioni:

    • Instrada al VPC solo richieste a IP privati per inviare solo traffico agli indirizzi interni tramite la rete VPC.
    • Instrada al VPC tutto il traffico per inviare tutto il traffico in uscita tramite la rete VPC.

11. Fai clic su Crea o Esegui il deployment.

12. Per verificare che il servizio si trovi nella rete VPC, fai clic sul servizio, quindi fai clic sulla scheda Networking. La rete e la subnet sono elencate nella scheda VPC.

    Ora puoi inviare richieste dal tuo servizio Cloud Run a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

gcloud

Per eseguire il deployment di un servizio Cloud Run senza un connettore da Google Cloud CLI:

1. Aggiorna i componenti di gcloud all'ultima versione:

   gcloud components update

2. Assicurati che l'API Compute Engine sia abilitata per il tuo progetto:

   gcloud services enable compute.googleapis.com
   

3. Esegui il deployment del servizio Cloud Run con questo comando:

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Sostituisci:

   • SERVICE_NAME con il nome del tuo servizio Cloud Run.
   • IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già stato creato. L'URL ha la forma LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • NETWORK con il nome della tua rete VPC.
   • SUBNET con il nome della tua subnet. La subnet deve essere /26 o superiore. L'uscita VPC diretta supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet, ma la subnet non può essere condivisa da connettori esistenti.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi separati da virgole dei tag di rete che vuoi associare a un servizio. Per i servizi, i tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione di uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • REGION con una regione per il tuo servizio.

4. Per verificare che il servizio si trovi sulla rete VPC, esegui il seguente comando:

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   Sostituisci:

   • SERVICE_NAME con il nome del tuo servizio.
   • REGION con la regione per il tuo servizio che hai specificato nel passaggio precedente.

   L'output deve contenere il nome della rete, della subnet e dell'impostazione di uscita, ad esempio:

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Ora puoi inviare richieste dal tuo servizio Cloud Run a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

YAML

1. Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Aggiorna i seguenti attributi:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Sostituisci:

   • SERVICE_NAME con il nome del tuo servizio Cloud Run. I nomi dei servizi devono contenere al massimo 49 caratteri e devono essere univoci per regione e progetto.
   • REGION con la regione del tuo servizio Cloud Run, che deve corrispondere alla regione della tua subnet.
   • NETWORK con il nome della tua rete VPC.
   • SUBNET con il nome della tua subnet. La subnet deve essere /26 o superiore. L'uscita VPC diretta supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet, ma la subnet non può essere condivisa da connettori esistenti.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un servizio. Per i servizi, i tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione di uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • IMAGE con l'URL dell'immagine container del servizio.

   Puoi anche specificare più configurazioni, come variabili di ambiente o limiti di memoria.

3. Crea o aggiorna il servizio utilizzando il seguente comando:

   gcloud run services replace service.yaml

Terraform

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

1. Aggiungi quanto segue al tuo file main.tf:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Vai a Cloud Run

2. Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina delle impostazioni iniziali del job in base alle esigenze. Se stai configurando un job esistente, fai clic sul job e poi su Modifica.

3. Fai clic su Container, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.

4. Fai clic sulla scheda Connessioni.

5. Fai clic su Connettiti a un VPC per il traffico in uscita.

6. Fai clic su Invia il traffico direttamente a un VPC.

7. Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.

8. Nel campo Subnet, seleziona la subnet da cui il job riceve gli indirizzi IP. Puoi eseguire più job sulla stessa subnet.

9. Per Routing del traffico, seleziona una delle seguenti opzioni:

   • Instrada al VPC solo richieste a IP privati per inviare solo traffico agli indirizzi interni tramite la rete VPC.
   • Instrada al VPC tutto il traffico per inviare tutto il traffico in uscita tramite la rete VPC.

10. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o ai tuoi servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.

11. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo job o ai tuoi job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.

12. Fai clic su Crea o Aggiorna.

13. Per verificare che il job si trovi nella tua rete VPC, fai clic sul job, quindi fai clic sulla scheda Configurazione. La rete e la subnet sono elencate nella scheda VPC.

    Ora puoi eseguire il job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

gcloud

Per creare un job Cloud Run senza un connettore da Google Cloud CLI:

1. Aggiorna i componenti di gcloud all'ultima versione:

   gcloud components update

2. Assicurati che l'API Compute Engine sia abilitata per il tuo progetto:

   gcloud services enable compute.googleapis.com
   

3. Crea un job Cloud Run con il seguente comando:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Sostituisci:

   • JOB_NAME con il nome del tuo job Cloud Run.
   • IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/job:latest
   • NETWORK con il nome della tua rete VPC.
   • SUBNET con il nome della tua subnet. La subnet deve essere /26 o superiore. L'uscita VPC diretta supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet, ma la subnet non può essere condivisa da connettori esistenti.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione di uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • REGION con una regione per il job.

4. Per verificare che il job si trovi nella tua rete VPC, esegui questo comando:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Sostituisci:

   • JOB_NAME con il nome del job.
   • REGION con la regione del job che hai specificato nel passaggio precedente.

   L'output deve contenere il nome della rete e della subnet, ad esempio:

   VPC network:
     Network:       default
     Subnet:        default
   

Ora puoi eseguire il job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

YAML

1. Se stai creando un nuovo job, salta questo passaggio. Se stai aggiornando un job esistente, scarica la relativa configurazione YAML:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Aggiorna i seguenti attributi:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Sostituisci:

   • JOB_NAME con il nome del tuo job Cloud Run. I nomi dei job devono contenere al massimo 49 caratteri e devono essere univoci per regione e progetto.
   • REGION con la regione del tuo job Cloud Run, che deve corrispondere alla regione della tua subnet.
   • NETWORK con il nome della tua rete VPC.
   • SUBNET con il nome della tua subnet. La subnet deve essere /26 o superiore. L'uscita VPC diretta supporta gli intervalli IPv4 RFC 1918, RFC 6598 e Classe E. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet, ma la subnet non può essere condivisa da connettori esistenti.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione di uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • IMAGE con l'URL dell'immagine container del job.

3. Crea o aggiorna il job utilizzando il seguente comando:

   gcloud run jobs replace job.yaml