VPC ネットワークに接続する

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. [コネクタを作成] をクリックします。

3. [名前] フィールドに、Compute Engine の命名規則に沿ってコネクタの名前を入力します。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。

4. [リージョン] フィールドで、コネクタのリージョンを選択します。これは、サーバーレス サービスのリージョンと一致する必要があります。

   サービスまたはジョブが us-central または europe-west リージョンにある場合、us-central1 または europe-west1 を使用します。

5. [ネットワーク] フィールドで、コネクタを接続する VPC ネットワークを選択します。

6. [サブネット] フィールドで、次のいずれかのオプションを選択します。

   • 既存のサブネットを使用してコネクタを作成する: [サブネット] フィールドで既存のサブネットを選択します。

   • コネクタと新しいサブネットを作成する: [サブネット] フィールドで [カスタム IP 範囲] を選択します。次に、未使用の /28 CIDR（10.8.0.0/28 など）の最初のアドレスを入力します。これは、Google Cloud でコネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。

7. （省略可）コネクタを詳細に制御するためのスケーリング オプションを設定するには、[スケーリング設定を表示] をクリックしてスケーリング フォームを表示します。

   1. コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値（最小 2、最大 10）を使用します。コネクタは、トラフィックの使用量に応じて指定された最大値にスケールアップしますが、トラフィックが減少してもスケールダウンしません。2～10 の範囲の値を使用する必要があります。
   2. [インスタンス タイプ] メニューで、コネクタに使用するマシンタイプを選択するか、デフォルトの e2-micro を使用します。インスタンス タイプを選択すると、右側にコスト サイドバーが表示され、帯域幅とコストの見積もりが表示されます。

8. [作成] をクリックします。

9. コネクタの使用準備が整うと、コネクタ名の横に緑色のチェックマークが表示されます。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

3. プロジェクトで Serverless VPC Access API が有効になっていることを確認します。

   gcloud services enable vpcaccess.googleapis.com

4. 次のいずれかのオプションを使用してコネクタを作成します。

   より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

   • 既存のサブネットを使用してコネクタを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • SUBNET_NAME: 既存のサブネットの名前。
     • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクト ID。コネクタと既存のサブネットが同じプロジェクトに配置されている場合は、--subnet-project フラグを省略します。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

   • コネクタと新しいサブネットを作成する:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     次のように置き換えます。

     • CONNECTOR_NAME: Compute Engine の命名規則に一致するコネクタの名前。ただし、名前の長さは 21 文字未満とし、ハイフン（-）は 2 文字としてカウントする必要があります。
     • REGION: サーバーレス サービスまたはジョブのリージョンと一致しているコネクタのリージョン。サービスまたはジョブが us-central または europe-west にある場合は、us-central1 または europe-west1 を使用します。
     • VPC_NETWORK: コネクタを接続する VPC ネットワークの名前。コネクタと VPC ネットワークを同じプロジェクトに配置する必要があります。
     • IP_RANGE: Google Cloud でコネクタの VPC ネットワークに作成する新しいサブネットのプライマリ IPv4 アドレス範囲として使用する未使用の /28 CIDR（10.8.0.0/28 など）を指定します。指定した IP 範囲が、コネクタの VPC ネットワークにすでに存在するルートと競合しないようにしてください。新しいサブネットの名前は aet- という接頭辞で始まります。
     • MIN: コネクタに使用するインスタンスの最小数。2（デフォルト）～9 の範囲の整数を使用します。
     • MAX: コネクタに使用するインスタンスの最大数。3～10（デフォルト）の範囲の整数を使用します。コネクタが最大インスタンス数までスケールアップした場合、スケールダウンは行われません。
     • MACHINE_TYPE: f1-micro、e2-micro、e2-standard-4 のいずれかにする必要があります。

5. 使用する前に、コネクタが READY 状態になっていることを確認します。

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   次のように置き換えます。

   • CONNECTOR_NAME: コネクタの名前。これは、前のステップで指定した名前です。
   • REGION: コネクタのリージョン。これは、前の手順で指定したリージョンです。

   出力には、state: READY という行が含まれます。

Terraform

Terraform リソースを使用して、vpcaccess.googleapis.com API を有効にできます。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Terraform モジュールを使用して VPC ネットワークとサブネットを作成し、コネクタを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

コンソール

1. Google Cloud コンソールで、[Cloud Run] に移動します。

   Cloud Run に移動

2. [コンテナをデプロイ] をクリックし、[サービス] を選択して、新しいサービスを構成します。既存のサービスを構成する場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [接続] タブをクリックします。

   

   • [VPC コネクタ] フィールドで、使用するコネクタを選択するか、[なし] を選択してサービスを VPC ネットワークから切断します。

5. [作成] または [デプロイ] をクリックします。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. デプロイ中にコネクタを指定するには、--vpc-connector フラグを使用します。

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • SERVICE は、実際のサービス名に置き換えます。
   • IMAGE_URL を置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。コネクタは、共有 VPC のホスト プロジェクト内にある場合、完全に指定された名前である必要があります。次に例を示します。

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     ここで、HOST_PROJECT_ID はホスト プロジェクトの ID、CONNECTOR_REGION はコネクタのリージョン、CONNECTOR_NAME はコネクタに付けた名前です。

   既存のサービスのコネクタを接続、更新、削除するには、必要に応じて次のいずれかのフラグを指定して gcloud run services update コマンドを使用します。

   • --vpc-connector
   • --clear-vpc-connector

   たとえば、コネクタを接続または更新するには:

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • SERVICE は、実際のサービス名に置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 最上位の spec 属性の下の annotations 属性にある run.googleapis.com/vpc-access-connector 属性を追加または更新します。

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • SERVICE は、実際の Cloud Run サービスの名前に置き換えます。
   • CONNECTOR_NAME は、コネクタの名前に置き換えます。コネクタは、共有 VPC のホスト プロジェクト内にある場合、完全に指定された名前である必要があります。次に例を示します。

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     ここで、HOST_PROJECT_ID はホスト プロジェクトの ID、CONNECTOR_REGION はコネクタのリージョン、CONNECTOR_NAME はコネクタに付けた名前です。

3. 次のコマンドを使用して、サービスを新しい構成に置き換えます。

   gcloud beta run services replace service.yaml

Terraform

Terraform リソースを使用してサービスを作成し、コネクタを使用するように構成できます。

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

コンソール

1. Google Cloud コンソールで Cloud Run functions の概要ページに移動します。

   Cloud Run 関数に移動

2. [関数を作成] をクリックします。または、既存の関数をクリックしてその詳細ページに移動し、[編集] をクリックします。

3. [ランタイム、ビルド、接続の設定] をクリックして詳細設定を表示します。

4. [接続] タブの [下り（外向き）設定] で、[VPC コネクタ] フィールドにコネクタの名前を入力します。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. gcloud functions deploy コマンドを使用して関数をデプロイし、--vpc-connector フラグを指定します。

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   ここで

   • FUNCTION_NAME は、関数の名前です。
   • CONNECTOR_NAME は、コネクタの名前です。 コネクタは、共有 VPC のホスト プロジェクト内にある場合、完全に指定された名前である必要があります。次に例を示します。

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     ここで、HOST_PROJECT_ID はホスト プロジェクトの ID、CONNECTOR_REGION はコネクタのリージョン、CONNECTOR_NAME はコネクタに付けた名前です。
   • FLAGS... は、関数のデプロイ時に渡す他のフラグです。

Python 2

1. App Engine の URL 取得サービスの使用を中止します。

   デフォルトでは、すべてのリクエストは URL 取得サービスを通じて転送されます。これにより、VPC ネットワークへのリクエストは失敗します。このデフォルトを無効にするには、URL 取得を無効にしてすべての送信リクエストの処理をできないようにするをご覧ください。

   必要に応じて、個々のリクエストに urlfetch ライブラリを直接使用することもできますが、この方法はおすすめしません。

2. サーバーレス VPC アクセス フィールドを app.yaml ファイルに追加します。

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   以下を置き換えます。

   • PROJECT_ID は、Google Cloud プロジェクト ID に置き換えます。 コネクタは、共有 VPC のホスト プロジェクト内にある場合、ホスト プロジェクトの ID である必要があります。
   • REGION を、コネクタが存在するリージョンに置き換えます。
   • CONNECTOR_NAME を、コネクタの名前に置き換えます。

3. サービスをデプロイします。

   gcloud app deploy

   サービスをデプロイすると、内部 IP アドレスへのリクエストを送信して VPC ネットワーク内のリソースにアクセスできるようになります。

Java 8

1. App Engine の URL 取得サービス URLFetchService の使用を中止します。

2. サーバーレス VPC アクセス要素をサービスの appengine-web.xml ファイルに追加します。

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   以下を置き換えます。

   • PROJECT_ID は、Google Cloud プロジェクト ID に置き換えます。 コネクタは、共有 VPC のホスト プロジェクト内にある場合、ホスト プロジェクトの ID である必要があります。
   • REGION を、コネクタが存在するリージョンに置き換えます。
   • CONNECTOR_NAME を、コネクタの名前に置き換えます。

3. サービスをデプロイします。

   gcloud app deploy WEB-INF/appengine-web.xml

   サービスをデプロイすると、内部 IP アドレスへのリクエストを送信して VPC ネットワーク内のリソースにアクセスできるようになります。

Go 1.11

1. App Engine の URL 取得サービスの使用を中止します。

   サーバーレス VPC アクセスは URL 取得をサポートしていません。URL 取得を使用して送信されたリクエストは、サーバーレス VPC アクセスの設定を無視します。代わりに、ソケットを使用して送信接続を行ってください。

2. サーバーレス VPC アクセス フィールドを app.yaml ファイルに追加します。

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   以下を置き換えます。

   • PROJECT_ID は、Google Cloud プロジェクト ID に置き換えます。
   • REGION を、コネクタが存在するリージョンに置き換えます
   • CONNECTOR_NAME を、コネクタの名前に置き換えます

3. サービスをデプロイします。

   gcloud app deploy

   サービスをデプロイすると、内部 IP アドレスへのリクエストを送信して VPC ネットワーク内のリソースにアクセスできるようになります。

その他のすべてのランタイム

1. サーバーレス VPC アクセス フィールドを app.yaml ファイルに追加します。

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   以下を置き換えます。

   • PROJECT_ID は、Google Cloud プロジェクト ID に置き換えます。 コネクタは、共有 VPC のホスト プロジェクト内にある場合、ホスト プロジェクトの ID である必要があります。
   • REGION を、コネクタが存在するリージョンに置き換えます。
   • CONNECTOR_NAME を、コネクタの名前に置き換えます。

2. サービスをデプロイします。

   gcloud app deploy

   サービスをデプロイすると、内部 IP アドレスへのリクエストを送信して VPC ネットワーク内のリソースにアクセスできるようになります。

ネットワーク タグ

次の手順は、コネクタのネットワーク タグに基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタのネットワーク タグからの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       以下のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ（今後作成されるコネクタを含む）のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。これは、前のステップで指定したネットワーク タグと一致する必要があります。

     • ユニバーサル ネットワーク タグ: vpc-connector

     • 一意のネットワーク タグ: vpc-connector-REGION-CONNECTOR_NAME

       以下のように置き換えます。

       • REGION: 制限するコネクタのリージョン
       • CONNECTOR_NAME: 制限するコネクタの名前

     コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必須のフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

CIDR 範囲

次の手順は、コネクタの CIDR 範囲に基づいて、VPC ネットワークへのアクセスを制限する上り（内向き）ルールを作成する方法を示しています。

1. ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management（IAM）ロールを付与されている必要があります。

   • Compute セキュリティ管理者のロール
   • compute.firewalls.create 権限が有効にされているカスタム IAM ロール

2. VPC ネットワーク間のコネクタのトラフィックを拒否します。

   コネクタの CIDR 範囲からの上り（内向き）を拒否するには、VPC ネットワークで優先度 1000 未満の上り（内向き）ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: deny-vpc-connector

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

     セキュリティと検証のために、次のサポートされていないプロトコルのトラフィックをブロックする拒否ルールを構成することもできます。ah、all、esp、icmp、ipip、sctp。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • PRIORITY: 0～65535 の整数。たとえば、0 は最も高い優先度に設定されます。

3. コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。

   allow フラグと target-tags フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り（内向き）ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   次のように置き換えます。

   • RULE_NAME: 新しいファイアウォール ルールの名前。例: allow-vpc-connector-for-select-resources

   • PROTOCOL: VPC コネクタから許可する 1 つ以上のプロトコル。サポートされているプロトコルは tcp または udp です。たとえば、tcp:80,udp は、ポート 80 経由の TCP トラフィックと UDP トラフィックを許可します。詳細については、allow フラグのドキュメントをご覧ください。

   • VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲

   • VPC_NETWORK: VPC ネットワークの名前

   • RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。

   • PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。

ファイアウォール ルールの作成に必要なフラグとオプション フラグの詳細については、gcloud compute firewall-rules create のドキュメントをご覧ください。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [インスタンスのタイプ] リストで、希望するマシン（インスタンス）タイプを選択します。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのマシンタイプを更新するには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   次のように置き換えます。
   • CONNECTOR_NAME: コネクタの名前。
   • REGION: コネクタのリージョンの名前。
   • MACHINE_TYPE: 希望するマシンタイプ。使用可能なマシンタイプについては、スループットとスケーリングのドキュメントをご覧ください。

コンソール

1. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 編集するコネクタを選択して、[編集] をクリックします。

3. [最小インスタンス数] フィールドで、希望するインスタンスの最小数を選択します。

   このフィールドの設定可能な最小値は現在の値です。このフィールドの設定可能な最大値は、[最大インスタンス数] フィールドの現在の値から 1 を引いた値になります。たとえば、[最大インスタンス数] フィールドの値が 8 の場合、[最小インスタンス数] フィールドの設定可能な最大値は 7 になります。

4. [最大インスタンス数] フィールドで、希望するインスタンスの最大数を選択します。

   このフィールドの設定可能な最小値は現在の値です。このフィールドの設定可能な最大値は 10 です。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタのインスタンスの最小数または最大数を増やすには、ターミナルで次のコマンドを実行します。

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   次のように置き換えます。

• CONNECTOR_NAME: コネクタの名前。
• REGION: コネクタのリージョンの名前。
• MIN_INSTANCES: 希望する最小インスタンス数。
  • このフィールドの設定可能な最小値は min_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は、現在の max_instances の値から 1 を引いた値になります。これは、min_instances を max_instances より小さくする必要があるためです。たとえば、max_instances が 8 の場合、このフィールドに設定可能な最大値は 7 です。コネクタがデフォルトの max-instances 値（10）を使用する場合、このフィールドに設定可能な最大値は 9 になります。max-instances の値を確認するには、現在の属性値を確認するをご覧ください。

• MAX_INSTANCES:

  • このフィールドの設定可能な最小値は、max_instances の現在の値です。現在の値を確認するには、現在の属性値を確認するをご覧ください。
  • このフィールドに設定可能な最大値は 10 です。

  インスタンスの最大数を増やさずに最小数だけを増やす場合でも、インスタンスの最大数を指定する必要があります。 逆に、インスタンスの最小数を更新せずに最大数を更新する場合でも、インスタンスの最小数を指定する必要があります。インスタンスの最小数または最大数を現在の値のままにするには、現在の値を指定します。現在の値を確認するには、現在の属性値を確認するをご覧ください。

コンソール

1. Google Cloud コンソールで、サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

2. 削除するコネクタを選択します。

3. [削除] をクリックします。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. コネクタを削除するには、次の gcloud コマンドを使用します。

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   以下を置き換えます。

   • CONNECTOR_NAME は、削除するコネクタの名前に置き換えます。
   • REGION は、コネクタが配置されているリージョンに置き換えます。

コンソール

1. Cloud Run に移動します。

2. デプロイ先の新しいサービスを構成する場合は、[サービスを作成] をクリックします。既存のサービスを構成してデプロイする場合は、サービスをクリックし、[新しいリビジョンの編集とデプロイ] をクリックします。

3. 新しいサービスを構成する場合は、必要に応じて最初のサービス設定のページに入力してから、[コンテナ、ボリューム、ネットワーキング、セキュリティ] をクリックしてサービス構成ページを開きます。

4. [ネットワーキング] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [ネットワーク] フィールドで、トラフィックを送信する VPC ネットワークを選択します。

8. [サブネット] フィールドで、サービスが IP アドレスを受信するサブネットを選択します。 同じサブネットに複数のサービスをデプロイできます。

9. 省略可: サービスに関連付けるネットワーク タグの名前を入力します。ネットワーク タグは、リビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。

10. [トラフィック ルーティング] で、次のいずれかを選択します。

    • プライベート IP へのリクエストだけを VPC にルーティングし、VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
    • すべてのトラフィックを VPC にルーティングする。すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。

11. [作成] または [デプロイ] をクリックします。

12. サービスが VPC ネットワーク上にあることを確認するには、サービスをクリックして、[ネットワーキング] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

    これで、ファイアウォール ルールで許可されるように、Cloud Run サービスから VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

Google Cloud CLI からコネクタなしで Cloud Run サービスをデプロイするには:

1. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

2. プロジェクトで Compute Engine API が有効になっていることを確認します。

   gcloud services enable compute.googleapis.com
   

3. 次のコマンドを使用して Cloud Run サービスをデプロイします。

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   以下のように置き換えます。

   • SERVICE_NAME は、Cloud Run サービスの名前に置き換えます。
   • IMAGE_URL: コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/hello:latest など）。Artifact Registry を使用する場合は、リポジトリ REPO_NAME がすでに作成されている必要があります。URL の形状は LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG です
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。サブネットは /26 以上である必要があります。VPC 下り（外向き）は IPv4 範囲（RFC 1918、RFC 6598、クラス E）をサポートします。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できますが、サブネットを既存のコネクタで共有することはできません。
   • （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグのカンマ区切り名。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。
   • REGION: サービスのリージョン。

4. サービスが VPC ネットワーク上にあることを確認するには、次のコマンドを実行します。

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   以下のように置き換えます。

   • SERVICE_NAME は、実際のサービスの名前に置き換えます。
   • REGION: 前の手順で指定したサービスのリージョン。

   出力には、ネットワークの名前、サブネット、下り（外向き）設定が含まれます。次に例を示します。

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

これで、ファイアウォール ルールで許可されるように、Cloud Run サービスから VPC ネットワーク上の任意のリソースにリクエストを送信できます。

YAML

1. 新しいサービスを作成する場合は、この手順をスキップします。既存のサービスを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run services describe SERVICE --format export > service.yaml

2. 次の属性を更新します。

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   次のように置き換えます。

   • SERVICE_NAME: Cloud Run サービスの名前。サービス名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • Cloud Run のリージョンのある REGION は、サブネットのリージョンと一致する必要があります。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。サブネットは /26 以上である必要があります。VPC 下り（外向き）は IPv4 範囲（RFC 1918、RFC 6598、クラス E）をサポートします。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できますが、サブネットを既存のコネクタで共有することはできません。
   • （省略可）NETWORK_TAG_NAMES: サービスに関連付けるネットワーク タグの名前。サービスの場合、ネットワーク タグはリビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: サービス コンテナ イメージの URL。

   環境変数やメモリ上限など他の構成を指定することもできます。

3. 次のコマンドを使用して、サービスを作成または更新します。

   gcloud run services replace service.yaml

Terraform

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

1. 次のコードを main.tf ファイルに追加します。

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

コンソール

1. Cloud Run に移動

2. 新しいジョブを構成する場合は、[ジョブ] タブをクリックし、必要に応じて初期ジョブ設定ページを入力します。既存のジョブを構成する場合は、ジョブをクリックして [編集] をクリックします。

3. [コンテナ、変数とシークレット、接続、セキュリティ] をクリックして、ジョブのプロパティ ページを開きます。

4. [接続] タブをクリックします。

5. [アウトバウンド トラフィック用の VPC に接続する] をクリックします。

6. [VPC に直接トラフィックを送信] をクリックします。

7. [ネットワーク] フィールドで、トラフィックを送信する VPC ネットワークを選択します。

8. [サブネット] フィールドで、ジョブが IP アドレスを受信するサブネットを選択します。同じサブネットで複数のジョブを実行できます。

9. [トラフィック ルーティング] で、次のいずれかを選択します。

   • プライベート IP へのリクエストだけを VPC にルーティングし、VPC ネットワーク経由で内部アドレスにのみトラフィックを送信します。
   • すべてのトラフィックを VPC にルーティングする。すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。

10. 省略可: サービスに関連付けるネットワーク タグの名前を入力します。ネットワーク タグは、リビジョン レベルで指定されます。サービス リビジョンには、network-tag-2 などの異なるネットワーク タグを設定できます。

11. 省略可: ジョブに関連付けるネットワーク タグの名前を入力します。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。

12. [作成] または [更新] をクリックします。

13. ジョブが VPC ネットワーク上にあることを確認するには、ジョブをクリックして [構成] タブをクリックします。ネットワークとサブネットが [VPC] カードに一覧表示されます。

    これで、ファイアウォール ルールで許可されているように、Cloud Run ジョブを実行して、VPC ネットワーク上の任意のリソースにリクエストを送信できます。

gcloud

Google Cloud CLI からコネクタなしで Cloud Run ジョブを作成するには:

1. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update

2. プロジェクトで Compute Engine API が有効になっていることを確認します。

   gcloud services enable compute.googleapis.com
   

3. 次のコマンドを使用して Cloud Run ジョブを作成します。

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   以下のように置き換えます。

   • JOB_NAME: Cloud Run ジョブの名前。
   • IMAGE_URL は、コンテナ イメージへの参照（us-docker.pkg.dev/cloudrun/container/job:latest など）に置き換えます。
   • NETWORK は、VPC ネットワークの名前です。
   • SUBNET: サブネットの名前。サブネットは /26 以上である必要があります。VPC 下り（外向き）は IPv4 範囲（RFC 1918、RFC 6598、クラス E）をサポートします。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できますが、サブネットを既存のコネクタで共有することはできません。
   • （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグの名前。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。
   • REGION: ジョブのリージョン。

4. ジョブが VPC ネットワーク上にあることを確認するには、次のコマンドを実行します。

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   以下のように置き換えます。

   • JOB_NAME: ジョブの名前。
   • REGION: 前の手順で指定したジョブのリージョン。

   出力には次のようなネットワークまたはサブネットの名前が表示されます。

   VPC network:
     Network:       default
     Subnet:        default
   

これで、ファイアウォール ルールで許可されているように、Cloud Run ジョブを実行して、VPC ネットワーク上の任意のリソースにリクエストを送信できます。

YAML

1. 新しいジョブを作成する場合は、この手順をスキップします。既存のジョブを更新する場合は、その YAML 構成をダウンロードします。

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 次の属性を更新します。

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       annotations:
         run.googleapis.com/launch-stage: BETA
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   次のように置き換えます。

   • JOB_NAME: Cloud Run ジョブの名前。ジョブ名は 49 文字以下で、リージョンとプロジェクトごとに一意である必要があります。
   • REGION: Cloud Run ジョブのリージョン。サブネットのリージョンと一致する必要があります。
   • NETWORK: VPC ネットワークの名前。
   • SUBNET: サブネットの名前。サブネットは /26 以上である必要があります。VPC 下り（外向き）は IPv4 範囲（RFC 1918、RFC 6598、クラス E）をサポートします。複数のサービスまたはジョブを同じサブネットにデプロイまたは実行できますが、サブネットを既存のコネクタで共有することはできません。
   • （省略可）NETWORK_TAG_NAMES: ジョブに関連付けるネットワーク タグの名前。ジョブの場合、ネットワーク タグは実行レベルで指定されます。ジョブ実行ごとに異なるネットワーク タグ（network-tag-2 など）を設定できます。
   • EGRESS_SETTING: 下り（外向き）設定値。
     • all-traffic: すべてのアウトバウンド トラフィックを VPC ネットワーク経由で送信します。
     • private-ranges-only: VPC コネクタ経由で内部アドレスにのみトラフィックを送信します。
   • IMAGE: ジョブのコンテナ イメージの URL。

3. 次のコマンドを使用して、ジョブを作成または更新します。

   gcloud run jobs replace job.yaml