连接到 VPC 网络

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   打开“无服务器 VPC 访问通道”页面

2. 点击创建连接器。

3. 在名称字段中，为连接器输入一个名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。

4. 在区域字段中，选择连接器的区域。此区域必须与您的无服务器服务的区域相匹配。

   如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。

5. 在网络字段中，选择要将连接器连接到的 VPC 网络。

6. 在子网字段中，选择以下选项之一：

   • 使用现有子网创建连接器：在“子网”字段中选择现有子网。

   • 创建连接器和新子网：在“子网”字段中选择自定义 IP 范围。然后，输入未使用的 /28 CIDR 中的第一个地址（例如 10.8.0.0/28），用作 Google Cloud 在连接器的 VPC 网络中创建的新子网的主要 IPv4 地址范围。确保此 IP 范围与连接器的 VPC 网络中的所有现有路由都不冲突。新子网的名称以“aet-”前缀开头。

7. （可选）如需设置扩缩选项以更好地控制连接器，请点击显示扩缩设置以显示扩缩表单。

   1. 设置连接器的实例数下限和上限，或使用默认值 2（下限）和 10（上限）。如果流量需要，连接器会扩容到指定的上限，但流量下降时，连接器实例数量不会缩减回来。您必须使用介于 2 和 10 之间的值。
   2. 在实例类型菜单中，选择要用于连接器的机器类型，或者使用默认的 e2-micro。当您选择实例类型时，请注意右侧的费用边栏，其中显示带宽和费用估算值。

8. 点击创建。

9. 准备就绪后，连接器名称旁边会出现绿色的对勾标记。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 将 gcloud 组件更新到最新版本：

   gcloud components update

3. 确保已为您的项目启用 Serverless VPC Access API：

   gcloud services enable vpcaccess.googleapis.com

4. 使用以下任一选项创建连接器：

   如需了解详情和可选的参数，请参阅 gcloud 参考文档。

   • 使用现有子网创建连接器：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     请替换以下内容：

     • CONNECTOR_NAME：连接器的名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。
     • REGION：连接器的区域，与无服务器服务或作业的区域相匹配。如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。
     • SUBNET_NAME：现有子网的名称。
     • HOST_PROJECT_ID：共享 VPC 宿主项目 ID。如果连接器和现有子网位于同一项目中，请省略 --subnet-project 标志。
     • MIN：用于连接器的实例数下限。请使用介于 2（默认值）到 9 之间的整数。
     • MAX：用于连接器的实例数上限。请使用介于 3 到 10（默认值）之间的整数。如果连接器扩容到实例数上限，便不会再缩减回来。
     • MACHINE_TYPE：必须是以下值之一：f1-micro、e2-micro 或 e2-standard-4。

   • 创建连接器和新子网：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     请替换以下内容：

     • CONNECTOR_NAME：连接器的名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。
     • REGION：连接器的区域，与无服务器服务或作业的区域相匹配。如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。
     • VPC_NETWORK：要将连接器连接到的 VPC 网络的名称。连接器和 VPC 网络必须位于同一项目中。
     • IP_RANGE：提供一个未使用的 /28 CIDR（例如 10.8.0.0/28），用作 Google Cloud 在连接器的 VPC 网络中创建的新子网的主要 IPv4 地址范围。确保此 IP 范围与连接器的 VPC 网络中的所有现有路由都不冲突。新子网的名称以“aet-”前缀开头。
     • MIN：用于连接器的实例数下限。请使用介于 2（默认值）到 9 之间的整数。
     • MAX：用于连接器的实例数上限。请使用介于 3 到 10（默认值）之间的整数。如果连接器扩容到实例数上限，便不会再缩减回来。
     • MACHINE_TYPE：必须是以下值之一：f1-micro、e2-micro 或 e2-standard-4。

5. 在使用之前，验证连接器处于 READY 状态：

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   替换以下内容：

   • CONNECTOR_NAME：连接器的名称；这是您在上一步中指定的名称。
   • REGION：连接器的区域；这是您在上一步中指定的区域。

   输出应包含 state: READY 行。

Terraform

您可以使用 Terraform 资源启用 vpcaccess.googleapis.com API。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

您可以使用 Terraform 模块创建 VPC 网络和子网，然后创建连接器。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Run：

   转到 Cloud Run

2. 点击部署容器，然后选择服务以配置新服务。如果您要配置现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、网络、安全性以展开服务配置页面。

4. 点击连接标签页。

   

   • 在 VPC 连接器字段中，选择要使用的连接器或者选择无以断开服务与 VPC 网络的连接。

5. 点击创建或部署。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 要在部署期间指定连接器，请使用 --vpc-connector 标志：

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • 将 SERVICE 替换为服务的名称。
   • 替换 IMAGE_URL。
   • 将 CONNECTOR_NAME 替换为连接器的名称。 如果连接器位于共享 VPC 的宿主项目中，则该名称必须是完整指定的名称，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是宿主项目的 ID，CONNECTOR_REGION 是连接器的区域，CONNECTOR_NAME 是您为连接器指定的名称。

   要挂接、更新或移除现有服务的连接器，请根据需要使用 gcloud run services update 命令并添加以下任一标志：

   • --vpc-connector
   • --clear-vpc-connector

   例如，要挂接或更新连接器，请使用以下命令：

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • 将 SERVICE 替换为服务的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。

YAML

1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

   gcloud run services describe SERVICE --format export > service.yaml

2. 在顶级 spec 特性下的 annotations 特性下添加或更新 run.googleapis.com/vpc-access-connector 特性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • 将 SERVICE 替换为您的 Cloud Run 服务的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。 如果连接器位于共享 VPC 的宿主项目中，则该名称必须是完整指定的名称，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是宿主项目的 ID，CONNECTOR_REGION 是连接器的区域，CONNECTOR_NAME 是您为连接器指定的名称。

3. 使用以下命令将服务的配置替换为新配置：

   gcloud beta run services replace service.yaml

Terraform

您可以使用 Terraform 资源创建服务，并将其配置为使用您的连接器。

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

控制台

1. 前往 Google Cloud 控制台中的 Cloud Run functions 概览页面：

   前往 Cloud Run 函数

2. 点击创建函数。或者，点击现有函数以转至其详情页面，然后点击修改。

3. 点击运行时、构建和连接设置以展开高级设置。

4. 在“出站流量设置”下的连接标签页中，在 VPC 连接器字段中输入连接器的名称。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用 gcloud functions deploy 命令部署该函数并指定 --vpc-connector 标志：

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   其中：

   • FUNCTION_NAME 是函数的名称。
   • CONNECTOR_NAME 是连接器的名称。 如果连接器位于共享 VPC 的宿主项目中，则该名称必须是完整指定的名称，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是宿主项目的 ID，CONNECTOR_REGION 是连接器的区域，CONNECTOR_NAME 是您为连接器指定的名称。
   • FLAGS... 是指在函数部署期间传递的其他标志。

Python 2

1. 停用 App Engine URL Fetch 服务。

   默认情况下，所有请求均通过 URL Fetch 服务进行路由。这会导致对 VPC 网络的请求失败。如需停用此默认设置，请参阅禁止 URL Fetch 处理所有出站请求。

   如有需要，您仍然可以直接使用 urlfetch 库来处理各个请求，但不建议这样做。

2. 将无服务器 VPC 访问通道字段添加到 app.yaml 文件：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   替换以下内容：

   • 将 PROJECT_ID 替换为 Google Cloud 项目 ID。 如果连接器位于共享 VPC 的宿主项目中，则必须是宿主项目的 ID。
   • 将 REGION 替换为连接器所在的区域。
   • 将 CONNECTOR_NAME 替换为连接器的名称。

3. 部署该服务：

   gcloud app deploy

   部署服务后，服务将可以向内部 IP 地址发送请求，从而访问 VPC 网络中的资源。

Java 8

1. 停用 App Engine URL Fetch 服务 URLFetchService。

2. 将无服务器 VPC 访问通道元素添加到服务的 appengine-web.xml 文件：

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   替换以下内容：

   • 将 PROJECT_ID 替换为 Google Cloud 项目 ID。 如果连接器位于共享 VPC 的宿主项目中，则必须是宿主项目的 ID。
   • 将 REGION 替换为连接器所在的区域。
   • 将 CONNECTOR_NAME 替换为连接器的名称。

3. 部署该服务：

   gcloud app deploy WEB-INF/appengine-web.xml

   部署服务后，服务将可以向内部 IP 地址发送请求，从而访问 VPC 网络中的资源。

Go 1.11

1. 停用 App Engine URL Fetch 服务。

   无服务器 VPC 访问通道不支持 URL Fetch，并且使用 URL Fetch 发出的请求将忽略无服务器 VPC 访问通道设置。请改用套接字建立出站连接。

2. 将无服务器 VPC 访问通道字段添加到 app.yaml 文件：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   替换以下内容：

   • 将 PROJECT_ID 替换为您的 Google Cloud 项目 ID
   • 将 REGION 替换为连接器所在的区域
   • 将 CONNECTOR_NAME 替换为连接器的名称

3. 部署该服务：

   gcloud app deploy

   部署服务后，服务将可以向内部 IP 地址发送请求，从而访问 VPC 网络中的资源。

所有其他运行时

1. 将无服务器 VPC 访问通道字段添加到 app.yaml 文件：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   替换以下内容：

   • 将 PROJECT_ID 替换为 Google Cloud 项目 ID。 如果连接器位于共享 VPC 的宿主项目中，则必须是宿主项目的 ID。
   • 将 REGION 替换为连接器所在的区域。
   • 将 CONNECTOR_NAME 替换为连接器的名称。

2. 部署该服务：

   gcloud app deploy

   部署服务后，服务将可以向内部 IP 地址发送请求，从而访问 VPC 网络中的资源。

网络标记

以下步骤介绍了如何创建入站规则，以根据连接器网络标记限制对 VPC 网络的访问权限。

1. 确保您拥有插入防火墙规则所需的权限。您必须拥有以下 Identity and Access Management (IAM) 角色之一：

   • Compute Security Admin 角色
   • 启用了 compute.firewalls.create 权限的自定义 IAM 角色

2. 拒绝您的 VPC 网络中的连接器流量。

   在您的 VPC 网络上创建优先级低于 1000 的入站防火墙规则，以拒绝来自连接器网络标记的入站流量。这会替换无服务器 VPC 访问通道默认情况下在您的 VPC 网络中创建的隐式防火墙规则。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 deny-vpc-connector。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

     出于安全和验证目的，您还可以配置拒绝规则来阻止以下不受支持的协议的流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_NETWORK_TAG：通用连接器网络标记（如果要限制对所有连接器的访问，包括将来创建的任何连接器）或唯一网络标记（如果要限制对特定连接器的访问）。

     • 通用网络标记：vpc-connector

     • 唯一网络标记：vpc-connector-REGION-CONNECTOR_NAME

       您需要进行如下替换：

       • REGION：您要限制的连接器所在的区域
       • CONNECTOR_NAME：您要限制的连接器的名称

     如需详细了解连接器网络标记，请参阅网络标记。

   • VPC_NETWORK：您的 VPC 网络的名称

   • PRIORITY：介于 0 到 65535 之间的整数。例如，0 设置最高优先级。

3. 允许应接收连接器流量的资源接收连接器流量。

   使用 allow 和 target-tags 标志创建一条入站防火墙规则，用于定位您的 VPC 网络中您希望 VPC 连接器访问的资源。将此规则的优先级设置为低于您在上一步中创建的规则的优先级值。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 allow-vpc-connector-for-select-resources。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

   • VPC_CONNECTOR_NETWORK_TAG：通用连接器网络标记（如果要限制对所有连接器的访问，包括将来创建的任何连接器）或唯一网络标记（如果要限制对特定连接器的访问）。必须与您在上一步中指定的网络标记相匹配。

     • 通用网络标记：vpc-connector

     • 唯一网络标记：vpc-connector-REGION-CONNECTOR_NAME

       您需要进行如下替换：

       • REGION：您要限制的连接器所在的区域
       • CONNECTOR_NAME：您要限制的连接器的名称

     如需详细了解连接器网络标记，请参阅网络标记。

   • VPC_NETWORK：您的 VPC 网络的名称

   • RESOURCE_TAG：您希望 VPC 连接器访问的 VPC 资源的网络标记

   • PRIORITY：小于您在上一步中设置的优先级值的整数。例如，如果您将在上一步中创建的规则的优先级设置为 990，请尝试 980。

如需详细了解用于创建防火墙规则的必需和可选标志，请参阅 gcloud compute firewall-rules create 的文档。

CIDR 范围

以下步骤介绍了如何创建入站规则，以根据连接器的 CIDR 范围限制对 VPC 网络的访问权限。

1. 确保您拥有插入防火墙规则所需的权限。您必须拥有以下 Identity and Access Management (IAM) 角色之一：

   • Compute Security Admin 角色
   • 启用了 compute.firewalls.create 权限的自定义 IAM 角色

2. 拒绝您的 VPC 网络中的连接器流量。

   在您的 VPC 网络上创建优先级低于 1000 的入站防火墙规则，以拒绝来自连接器的 CIDR 范围的入站流量。这会替换无服务器 VPC 访问通道默认情况下在您的 VPC 网络中创建的隐式防火墙规则。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 deny-vpc-connector。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

     出于安全和验证目的，您还可以配置拒绝规则来阻止以下不受支持的协议的流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制其访问权限的连接器的 CIDR 范围

   • VPC_NETWORK：您的 VPC 网络的名称

   • PRIORITY：介于 0 到 65535 之间的整数。例如，0 设置最高优先级。

3. 允许应接收连接器流量的资源接收连接器流量。

   使用 allow 和 target-tags 标志创建一条入站防火墙规则，用于定位您的 VPC 网络中您希望 VPC 连接器访问的资源。将此规则的优先级设置为低于您在上一步中创建的规则的优先级值。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 allow-vpc-connector-for-select-resources。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制其访问权限的连接器的 CIDR 范围

   • VPC_NETWORK：您的 VPC 网络的名称

   • RESOURCE_TAG：您希望 VPC 连接器访问的 VPC 资源的网络标记

   • PRIORITY：小于您在上一步中设置的优先级值的整数。例如，如果您将在上一步中创建的规则的优先级设置为 990，请尝试 980。

如需详细了解用于创建防火墙规则的必需和可选标志，请参阅 gcloud compute firewall-rules create 的文档。

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   转到无服务器 VPC 访问通道

2. 选择要修改的连接器，然后点击修改。

3. 在实例类型列表中，选择所需的机器（实例）类型。如需了解可用的机器类型，请参阅有关吞吐量和扩缩的文档。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如需更新连接器机器类型，请在终端中运行以下命令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   替换以下内容：
   • CONNECTOR_NAME：连接器的名称
   • REGION：连接器的区域名称
   • MACHINE_TYPE：所需的机器类型。如需了解可用的机器类型，请参阅有关吞吐量和扩缩的文档。

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   转到无服务器 VPC 访问通道

2. 选择要修改的连接器，然后点击修改。

3. 在实例数下限字段中，选择所需的实例数下限。

   此字段的最小可能值为当前值。此字段的最大可能值是实例数上限字段中的当前值减去 1。例如，如果实例数上限字段的值为 8，则实例数下限字段的最大可能值为 7。

4. 在实例数上限字段中，选择所需的实例数上限。

   此字段的最小可能值为当前值。此字段的最大可能值为 10。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如需增加连接器的实例数下限或上限，请在终端中运行以下命令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   替换以下内容：

• CONNECTOR_NAME：连接器的名称
• REGION：连接器的区域名称
• MIN_INSTANCES：所需的实例数下限。
  • 此字段的最小可能值是 min_instances 的当前值。如需查找当前值，请参阅查找当前特性值。
  • 此字段的最大可能值是当前 max_instances 值减去 1，因为 min_instances 必须小于 max_instances。例如，如果 max_instances 为 8，则此字段的最大可能值为 7。如果您的连接器使用默认 max-instances 值 10，则此字段的最大可能值为 9。如需查找 max-instances 的值，请参阅查找当前特性值。

• MAX_INSTANCES：

  • 此字段的最小可能值是 max_instances 的当前值。如需查找当前值，请参阅查找当前特性值。
  • 此字段的最大可能值为 10。

  如果您只想增加实例数下限而不增加实例数上限，则仍必须指定实例数上限。 反之，如果您只想更新实例数上限而不更新实例数下限，则仍必须指定实例数下限。如需将实例数下限或上限保持为当前值，请指定其当前值。如需查找它们的当前值，请参阅查找当前特性值。

控制台

1. 转到 Google Cloud 控制台中的无服务器 VPC 访问通道概览页面：

   转到无服务器 VPC 访问通道

2. 选择要删除的连接器。

3. 点击删除。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用以下 gcloud 命令删除连接器：

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   替换以下内容：

   • 将 CONNECTOR_NAME 替换为要删除的连接器的名称
   • 将 REGION 替换为连接器所在的区域

控制台

1. 转到 Cloud Run

2. 如果您是要配置一个新服务来作为部署目标，请点击创建服务。如果您要配置和部署现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、网络、安全性以展开服务配置页面。

4. 点击网络标签页。

5. 点击连接到 VPC 以发送出站流量。

6. 点击将流量直接发送到 VPC。

7. 在网络字段中，选择要向其发送流量的 VPC 网络。

8. 在子网字段中，选择您的服务用于接收 IP 地址的子网。 您可以在同一子网上部署多个服务。

9. 可选：输入要与服务关联的网络标记的名称。网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。

10. 在流量路由部分，选择以下选项之一：

    • 仅将请求路由到 VPC 的专用 IP，以便通过 VPC 网络将流量仅发送到内部地址。
    • 将所有流量路由到 VPC，以通过 VPC 网络发送所有出站流量。

11. 点击创建或部署。

12. 如需验证您的服务是否在 VPC 网络上，请点击该服务，然后点击网络标签页。VPC 卡片中列出了网络和子网。

    现在，您可以根据防火墙规则允许将来自 Cloud Run 服务的请求发送到 VPC 网络上的任何资源。

gcloud

如需通过 Google Cloud CLI 部署没有连接器的 Cloud Run 服务，请执行以下操作：

1. 将 gcloud 组件更新到最新版本：

   gcloud components update

2. 确保已为您的项目启用了 Compute Engine API：

   gcloud services enable compute.googleapis.com
   

3. 使用以下命令部署 Cloud Run 服务：

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   您需要进行如下替换：

   • 将 SERVICE_NAME 替换为您的 Cloud Run 服务的名称。
   • 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • 将 NETWORK 替换为 VPC 网络的名称。
   • 将 SUBNET 替换为您的子网名称。 子网必须至少为 /26 或更大。直接 VPC 出站流量支持 IPv4 范围 RFC 1918、RFC 6598 和 E 类。您可以在同一子网上部署或执行多个服务或作业，但该子网不能由任何现有连接器共享。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与服务关联的网络标记的名称。对于服务，网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过 VPC 网络发送到内部地址的流量。
   • 将 REGION 替换为您的服务的区域。

4. 如需验证您的服务是否在 VPC 网络上，请运行以下命令：

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   您需要进行如下替换：

   • 将 SERVICE_NAME 替换为您的服务名称。
   • 将 REGION 替换为您在上一步中指定的服务的区域。

   输出应包含网络的名称、子网和出站流量设置，例如：

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

现在，您可以根据防火墙规则允许将来自 Cloud Run 服务的请求发送到 VPC 网络上的任何资源。

YAML

1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

   gcloud run services describe SERVICE --format export > service.yaml

2. 更新以下属性：

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   您需要进行如下替换：

   • 将 SERVICE_NAME 替换为您的 Cloud Run 服务的名称。服务名称不得超过 49 个字符，并且在每个区域和项目中必须是唯一的。
   • 将 REGION 替换为 Cloud Run 服务的区域，该区域必须与子网的区域一致。
   • 将 NETWORK 替换为 VPC 网络的名称。
   • 将 SUBNET 替换为您的子网名称。 子网必须至少为 /26 或更大。直接 VPC 出站流量支持 IPv4 范围 RFC 1918、RFC 6598 和 E 类。您可以在同一子网上部署或执行多个服务或作业，但该子网不能由任何现有连接器共享。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与服务关联的网络标记的名称。对于服务，网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过 VPC 网络发送到内部地址的流量。
   • 将 IMAGE 替换为服务容器映像的网址。

   您还可以指定更多配置，例如环境变量或内存限制。

3. 使用以下命令创建或更新服务：

   gcloud run services replace service.yaml

Terraform

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

1. 请将以下内容添加到 main.tf 文件：

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

控制台

1. 转到 Cloud Run

2. 如果您要配置新作业，请点击作业标签页，然后根据需要填写初始作业设置页面。如果要配置现有作业，请点击作业，然后点击修改。

3. 点击容器、变量和 Secret、连接、安全性以展开作业属性页面。

4. 点击连接标签页。

5. 点击连接到 VPC 以获取出站流量。

6. 点击将流量直接发送到 VPC。

7. 在网络字段中，选择要向其发送流量的 VPC 网络。

8. 在子网字段中，选择您的作业用于接收 IP 地址的子网。 您可以在同一子网上执行多个作业。

9. 在流量路由部分，选择以下选项之一：

   • 仅将请求路由到 VPC 的专用 IP，以便通过 VPC 网络将流量仅发送到内部地址。
   • 将所有流量路由到 VPC，以通过 VPC 网络发送所有出站流量。

10. 可选：输入要与服务关联的网络标记的名称。网络标记在修订版本级指定。每个服务修订版本都可以有不同的网络标记，例如 network-tag-2。

11. 可选：输入要与作业关联的网络标记的名称。对于作业，网络标记在执行级指定。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。

12. 点击创建或更新。

13. 如需验证您的作业是否在 VPC 网络上，请点击该作业，然后点击配置标签页。VPC 卡片中列出了网络和子网。

    现在，您可以根据防火墙规则允许执行 Cloud Run 作业，并将作业的请求发送到 VPC 网络上的任何资源。

gcloud

如需在 Google Cloud CLI 中创建没有连接器的 Cloud Run 作业，请执行以下操作：

1. 将 gcloud 组件更新到最新版本：

   gcloud components update

2. 确保已为您的项目启用了 Compute Engine API：

   gcloud services enable compute.googleapis.com
   

3. 使用以下命令创建 Cloud Run 作业：

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   您需要进行如下替换：

   • 将 JOB_NAME 替换为 Cloud Run 作业的名称。
   • 将 IMAGE_URL 替换为对容器映像的引用（例如 us-docker.pkg.dev/cloudrun/container/job:latest）。
   • 将 NETWORK 替换为 VPC 网络的名称。
   • 将 SUBNET 替换为您的子网名称。 子网必须至少为 /26 或更大。直接 VPC 出站流量支持 IPv4 范围 RFC 1918、RFC 6598 和 E 类。您可以在同一子网上部署或执行多个服务或作业，但该子网不能由任何现有连接器共享。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与作业关联的网络标记的名称。对于作业，网络标记在执行级指定。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过 VPC 网络发送到内部地址的流量。
   • 将 REGION 替换为作业的区域。

4. 如需验证作业是否在 VPC 网络中，请运行以下命令：

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   您需要进行如下替换：

   • 将 JOB_NAME 替换为作业的名称。
   • 将 REGION 替换为您在上一步中指定的作业的区域。

   输出应包含网络和子网的名称，例如：

   VPC network:
     Network:       default
     Subnet:        default
   

现在，您可以根据防火墙规则允许执行 Cloud Run 作业，并将作业的请求发送到 VPC 网络上的任何资源。

YAML

1. 如果您要创建新的作业，请跳过此步骤。如果您要更新现有作业，请下载其 YAML 配置：

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 更新以下属性：

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       annotations:
         run.googleapis.com/launch-stage: BETA
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   您需要进行如下替换：

   • 将 JOB_NAME 替换为 Cloud Run 作业的名称。 作业名称不得超过 49 个字符，并且在每个区域和项目中必须是唯一的。
   • 将 REGION 替换为 Cloud Run 作业的区域，该区域必须与子网的区域一致。
   • 将 NETWORK 替换为 VPC 网络的名称。
   • 将 SUBNET 替换为您的子网名称。 子网必须至少为 /26 或更大。直接 VPC 出站流量支持 IPv4 范围 RFC 1918、RFC 6598 和 E 类。您可以在同一子网上部署或执行多个服务或作业，但该子网不能由任何现有连接器共享。
   • 可选：将 NETWORK_TAG_NAMES 替换为要与作业关联的网络标记的名称。对于作业，网络标记在执行级指定。每个作业执行都可以具有不同的网络标记，例如 network-tag-2。
   • 将 EGRESS_SETTING 替换为出站流量设置值：
     • all-traffic：通过 VPC 网络发送所有出站流量。
     • private-ranges-only：仅发送通过 VPC 网络发送到内部地址的流量。
   • 将 IMAGE 替换为作业容器映像的网址。

3. 使用以下命令创建或更新作业：

   gcloud run jobs replace job.yaml