連線至虛擬私有雲網路

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 按一下 [Create connector] (建立連接器)。

3. 在「Name」欄位中，輸入連接器的名稱，並遵循 Compute Engine 的命名慣例，此外，名稱長度不得超過 21 個半形字元，且連接器名稱中的連字號 (-) 會計為兩個字元。

4. 在「Region」(地區) 欄位中，選取連接器所在的地區。這必須與無伺服器服務的地區相符。

   如果您的服務或工作位於 us-central 或 europe-west 區域，請使用 us-central1 或 europe-west1。

5. 在「Network」(網路) 欄位中，選取要附加連接器的虛擬私有雲網路。

6. 在「Subnet」(子網路) 欄位中，選取下列其中一個選項：

   • 使用現有子網路建立連接器：在「子網路」欄位中選取現有子網路。

   • 建立連接器和新的子網路：在「子網路」欄位中選取「自訂 IP 範圍」。接著，請在未使用的 /28 CIDR (例如 10.8.0.0/28) 中輸入第一個位址，用於 Google Cloud 在連接器的虛擬私有雲網路中建立的新子網路的主要 IPv4 位址範圍。請確認 IP 範圍不會與連接器虛擬私有雲網路中的任何現有路徑衝突。新子網路的名稱開頭為「aet-」。

7. (選用) 如要設定縮放選項以便進一步控制連接器，請按一下「Show Scaling Settings」，顯示縮放表單。

   1. 設定連接器的執行個體數量下限和上限，或使用預設值 (2 為下限，10 為上限)。如果流量使用量需要，連接器會向上調整至指定的上限，但連接器不會在流量減少時縮減。值必須介於 2 至 10 之間。
   2. 在「Instance Type」選單中，選擇要用於連接器的機器類型，或使用預設的 e2-micro。選擇執行個體類型時，請注意右側的費用側欄，其中會顯示頻寬和費用預估值。

8. 按一下 [建立]。

9. 若連接器可供使用，其名稱旁邊會顯示一個綠色勾號。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 將 gcloud 元件更新至最新版本：

   gcloud components update

3. 確認專案已啟用 Serverless VPC Access API：

   gcloud services enable vpcaccess.googleapis.com

4. 請使用下列任一選項建立連接器：

   如需詳細資訊和選用引數，請參閱 gcloud 參考資料。

   • 使用現有子網路建立連接器：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     更改下列內容：

     • CONNECTOR_NAME：連接器的名稱，必須符合 Compute Engine 命名慣例，且名稱長度不得超過 21 個半形字元，且連接符號 (-) 會計為兩個半形字元。
     • REGION：連接器的區域，必須與無伺服器服務或工作所在的區域相符。如果您的服務或工作屬於 us-central 或 europe-west，請使用 us-central1 或 europe-west1。
     • SUBNET_NAME：現有子網路的名稱。
     • HOST_PROJECT_ID：共用虛擬私有雲主專案 ID。如果連接器和現有子網路位於同一個專案，請省略 --subnet-project 旗標。
     • MIN：連接器可使用的最少執行個體數量。請使用介於 2(預設值) 和 9 之間的整數。
     • MAX：連接器可使用的執行個體數量上限。請使用介於 3 和 10 之間的整數 (預設值)。如果連接器擴充至執行個體數量上限，就不會再調降。
     • MACHINE_TYPE：必須是下列其中一個：f1-micro、e2-micro 或 e2-standard-4。

   • 建立連接器和新的子網路：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     更改下列內容：

     • CONNECTOR_NAME：連接器的名稱，必須符合 Compute Engine 命名慣例，且名稱長度不得超過 21 個半形字元，且連接符號 (-) 會計為兩個半形字元。
     • REGION：連接器的區域，必須與無伺服器服務或工作所在的區域相符。如果您的服務或工作屬於 us-central 或 europe-west，請使用 us-central1 或 europe-west1。
     • VPC_NETWORK：要附加連接器的虛擬私有雲網路名稱。連接器和虛擬私人雲端網路必須位於相同專案中。
     • IP_RANGE：提供未使用的 /28 CIDR (例如 10.8.0.0/28)，做為連接器在 VPC 網路中 Google Cloud 建立的新子網路的主要 IPv4 位址範圍。請確認 IP 範圍不會與連接器虛擬私有雲網路中的任何現有路徑衝突。新子網路的名稱開頭為「aet-」。
     • MIN：連接器可使用的最少執行個體數量。請使用介於 2(預設值) 和 9 之間的整數。
     • MAX：連接器可使用的執行個體數量上限。請使用介於 3 和 10 之間的整數 (預設值)。如果連接器擴充至執行個體數量上限，就不會再調降。
     • MACHINE_TYPE：必須是下列其中一個：f1-micro、e2-micro 或 e2-standard-4。

5. 先驗證您的連接器是否處於 READY 狀態，然後再使用：

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   更改下列內容：

   • CONNECTOR_NAME：連接器名稱，也就是您在上一個步驟中指定的名稱。
   • REGION：連接器的地區，也就是您在上一個步驟中指定的地區。

   輸出內容應包含 state: READY 這一行。

Terraform

您可以使用 Terraform 資源啟用 vpcaccess.googleapis.com API。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

您可以使用 Terraform 模組建立 VPC 網路和子網路，然後建立連接器。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

控制台

1. 前往 Google Cloud 控制台的 Cloud Run：

   前往 Cloud Run

2. 從選單中選取「Services」(服務)，然後按一下「Deploy container」(部署容器)，即可設定新的服務。如果您要設定現有服務，請按一下該服務，然後點選「編輯並部署新修訂版本」。

3. 如果您要設定新服務，請填寫初始服務設定頁面，然後按一下「容器、磁碟區、網路與安全性」展開服務設定頁面。

4. 按一下「連線設定」分頁標籤。

   

   • 在「VPC Connector」(虛擬私有雲連接器) 欄位中，選取要使用的連接器，或選取「None」(無)，將服務與虛擬私有雲網路中斷連線。

5. 按一下 [Create] (建立) 或 [Deploy] (部署)。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如要在部署期間指定連接器，請使用 --vpc-connector 標記：

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • 將 SERVICE 改為您的服務名稱。
   • 取代 IMAGE_URL。
   • 將 CONNECTOR_NAME 替換為連接器的名稱。如果連接器位於共用虛擬私有雲的主專案中，則必須是完整指定的名稱，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是主機專案的 ID，CONNECTOR_REGION 是連接器的區域，CONNECTOR_NAME 則是您為連接器指定的名稱。

   如要為現有服務附加、更新或移除連接器，請視需要使用 gcloud run services update 指令搭配下列任一旗標：

   • --vpc-connector
   • --clear-vpc-connector

   例如，如要附加或更新連接器：

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • 將 SERVICE 改為您的服務名稱。
   • 將 CONNECTOR_NAME 替換為連接器的名稱。

YAML

1. 如果您要建立新服務，請略過這個步驟。如果您要更新現有服務，請下載其 YAML 設定：

   gcloud run services describe SERVICE --format export > service.yaml

2. 在頂層 spec 屬性下方，新增或更新 annotations 屬性下的 run.googleapis.com/vpc-access-connector 屬性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • 將 SERVICE 替換為 Cloud Run 服務名稱。
   • 將 CONNECTOR_NAME 替換為連接器的名稱。如果連接器位於共用虛擬私有雲的主專案中，則必須是完整指定的名稱，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是主機專案的 ID，CONNECTOR_REGION 是連接器的區域，CONNECTOR_NAME 則是您為連接器指定的名稱。

3. 使用下列指令，將服務替換為新設定：

   gcloud beta run services replace service.yaml

Terraform

您可以使用 Terraform 資源建立服務，並將服務設為使用連接器。

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

主控台

1. 前往Google Cloud 控制台的 Cloud Run 函式總覽頁面：

   前往 Cloud Run 函式

2. 按一下 [建立函式]。或者，您也可以點選現有函式前往其詳細資料頁面，然後按一下「Edit」(編輯)。

3. 按一下「Runtime, Build and Connections Settings」展開進階設定。

4. 在「傳出」設定下方的「連線」分頁中，在「VPC connector」欄位中輸入連接器名稱。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用 gcloud functions deploy 指令部署函式，並指定 --vpc-connector 標記：

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   其中：

   • FUNCTION_NAME 是函式名稱。
   • CONNECTOR_NAME 是連接器名稱。如果連接器位於共用虛擬私有雲的主專案中，則必須是完整指定的名稱，例如：

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     其中 HOST_PROJECT_ID 是主機專案的 ID，CONNECTOR_REGION 是連接器的區域，CONNECTOR_NAME 則是您為連接器指定的名稱。
   • FLAGS... 是您在函式部署期間傳送的其他標記。

Python 2

1. 停止使用 App Engine 網址擷取服務。

   根據預設，所有要求都會透過網址擷取服務轉送。這會導致對虛擬私有雲網路的請求失敗。如要停用這項預設功能，請參閱「停用網址擷取功能，以便處理所有傳出要求」。

   如有需要，您還是可以直接使用 urlfetch 程式庫來處理個別要求，但我們不建議這麼做。

2. 將「Serverless VPC Access」欄位新增至 app.yaml 檔案：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   更改下列內容：

   • PROJECT_ID 改成您的 Google Cloud 專案 ID。如果連接器位於共用虛擬私人雲端的主專案中，則必須是主專案的 ID。
   • REGION 與連接器所在的地區。
   • CONNECTOR_NAME 替換為連接器名稱。

3. 部署服務：

   gcloud app deploy

   您重新部署服務後，即可傳送要求至內部 IP 位址，以存取虛擬私人雲端網路中的資源。

Java 8

1. 停止使用 App Engine 網址擷取服務 URLFetchService。

2. 將無伺服器虛擬私有雲端存取元素新增至服務的 appengine-web.xml 檔案：

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   更改下列內容：

   • PROJECT_ID 改成您的 Google Cloud 專案 ID。如果連接器位於共用虛擬私人雲端的主專案中，則必須是主專案的 ID。
   • REGION 與連接器所在的地區。
   • CONNECTOR_NAME 替換為連接器名稱。

3. 部署服務：

   gcloud app deploy WEB-INF/appengine-web.xml

   您重新部署服務後，即可傳送要求至內部 IP 位址，以存取虛擬私人雲端網路中的資源。

Go 1.11

1. 停止使用 App Engine 網址擷取服務。

   無伺服器虛擬私有雲端存取不支援 URL 擷取，且使用 URL 擷取所提出的要求會忽略無伺服器虛擬私有雲端存取設定。請改用套接字建立輸出連線。

2. 將「Serverless VPC Access」欄位新增至 app.yaml 檔案：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   更改下列內容：

   • 將 PROJECT_ID 改成您的 Google Cloud 專案 ID
   • REGION 與連接器所在的地區
   • CONNECTOR_NAME 替換為連接器名稱

3. 部署服務：

   gcloud app deploy

   您重新部署服務後，即可傳送要求至內部 IP 位址，以存取虛擬私人雲端網路中的資源。

所有其他執行階段

1. 將「Serverless VPC Access」欄位新增至 app.yaml 檔案：

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   更改下列內容：

   • PROJECT_ID 改成您的 Google Cloud 專案 ID。如果連接器位於共用虛擬私人雲端的主專案中，則必須是主專案的 ID。
   • REGION 與連接器所在的地區。
   • CONNECTOR_NAME 替換為連接器名稱。

2. 部署服務：

   gcloud app deploy

   您重新部署服務後，即可傳送要求至內部 IP 位址，以存取虛擬私人雲端網路中的資源。

網路標記

下列步驟說明如何建立輸入規則，根據連接器網路標記限制連接器對虛擬私有雲端網路的存取權。

1. 請確認您具備插入防火牆規則的必要權限。您必須具備下列任一 Identity and Access Management (IAM) 角色：

   • Compute 安全管理員角色
   • 已啟用 compute.firewalls.create 權限的自訂 IAM 角色

2. 拒絕虛擬私有雲網路中的連接器流量。

   在虛擬私有雲網路中建立優先順序低於 1000 的輸入防火牆規則，拒絕來自連接器網路標記的輸入。這會覆寫 Serverless VPC Access 預設在 VPC 網路上建立的隱含防火牆規則。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：deny-vpc-connector。

   • PROTOCOL：您想允許從虛擬私有雲連接器傳送的一或多個通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量透過通訊埠 80 和 UDP 流量。詳情請參閱 allow 標記的說明文件。

     為確保安全性和驗證，您也可以設定拒絕規則，禁止以下不支援的通訊協定流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_NETWORK_TAG：如果您想限制所有連接器 (包括日後建立的所有連接器) 的存取權限，請使用通用連接器網路代碼；如果想限制特定連接器的存取權限，請使用專屬網路代碼。

     • 通用網路代碼： vpc-connector

     • 專屬網路標記： vpc-connector-REGION-CONNECTOR_NAME

       取代：

       • REGION：您要限制的連接器區域
       • CONNECTOR_NAME：要限制的連接器名稱

     如要進一步瞭解連接器網路標記，請參閱「網路標記」。

   • VPC_NETWORK：虛擬私有雲網路名稱

   • PRIORITY：介於 0 至 65535 的整數。舉例來說，0 會設定最高優先順序。

3. 允許連接器流量傳送至應接收連接器流量的資源。

   使用 allow 和 target-tags 標記，建立輸入防火牆規則，指定您希望 VPC 連接器存取的虛擬私有雲網路中的資源。將這個規則的優先順序設為低於上一個步驟中建立的規則優先順序。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：allow-vpc-connector-for-select-resources。

   • PROTOCOL：您想允許從虛擬私有雲連接器傳送的一或多個通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量透過通訊埠 80 和 UDP 流量。詳情請參閱 allow 標記的說明文件。

   • VPC_CONNECTOR_NETWORK_TAG：如果您想限制所有連接器 (包括日後建立的所有連接器) 的存取權限，請使用通用連接器網路代碼；如果您想限制特定連接器的存取權限，請使用專屬網路代碼。這個值必須與您在上一個步驟中指定的網路代碼相符。

     • 通用網路代碼： vpc-connector

     • 專屬網路標記： vpc-connector-REGION-CONNECTOR_NAME

       取代：

       • REGION：您要限制的連接器區域
       • CONNECTOR_NAME：要限制的連接器名稱

     如要進一步瞭解連接器網路標記，請參閱「網路標記」。

   • VPC_NETWORK：虛擬私有雲網路名稱

   • RESOURCE_TAG：您希望 VPC 連接器存取的 VPC 資源網路標記

   • PRIORITY：整數，小於您在先前步驟中設定的優先順序。舉例來說，如果您在上一個步驟中將建立的規則優先順序設為 990，請改為試試 980。

如要進一步瞭解建立防火牆規則的必要和選用旗標，請參閱 gcloud compute firewall-rules create 的說明文件。

CIDR 範圍

下列步驟說明如何建立輸入規則，根據連接器的 CIDR 範圍限制連接器對虛擬私人雲端網路的存取權。

1. 請確認您具備插入防火牆規則的必要權限。您必須具備下列任一 Identity and Access Management (IAM) 角色：

   • Compute 安全管理員角色
   • 已啟用 compute.firewalls.create 權限的自訂 IAM 角色

2. 拒絕虛擬私有雲網路中的連接器流量。

   在 VPC 網路上建立優先順序低於 1000 的輸入防火牆規則，拒絕來自連接器 CIDR 範圍的輸入。這會覆寫 Serverless VPC Access 預設在 VPC 網路上建立的隱含防火牆規則。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：deny-vpc-connector。

   • PROTOCOL：您想允許從虛擬私有雲連接器傳送的一或多個通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量透過通訊埠 80 和 UDP 流量。詳情請參閱 allow 標記的說明文件。

     為確保安全性和驗證，您也可以設定拒絕規則，禁止以下不支援的通訊協定流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制存取權的連接器 CIDR 範圍

   • VPC_NETWORK：虛擬私有雲網路名稱

   • PRIORITY：介於 0 至 65535 的整數。舉例來說，0 會設定最高優先順序。

3. 允許連接器流量傳送至應接收連接器流量的資源。

   使用 allow 和 target-tags 標記，建立輸入防火牆規則，指定您希望 VPC 連接器存取的虛擬私有雲網路中的資源。將這個規則的優先順序設為低於上一個步驟中建立的規則優先順序。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   更改下列內容：

   • RULE_NAME：新防火牆規則的名稱。例如：allow-vpc-connector-for-select-resources。

   • PROTOCOL：您想允許從虛擬私有雲連接器傳送的一或多個通訊協定。支援的通訊協定為 tcp 或 udp。舉例來說，tcp:80,udp 允許 TCP 流量透過通訊埠 80 和 UDP 流量。詳情請參閱 allow 標記的說明文件。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制存取權的連接器 CIDR 範圍

   • VPC_NETWORK：虛擬私有雲網路名稱

   • RESOURCE_TAG：您希望 VPC 連接器存取的 VPC 資源網路標記

   • PRIORITY：整數，小於您在先前步驟中設定的優先順序。舉例來說，如果您在上一個步驟中將建立的規則優先順序設為 990，請改為試試 980。

如要進一步瞭解建立防火牆規則的必要和選用旗標，請參閱 gcloud compute firewall-rules create 的說明文件。

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取要編輯的連接器，然後按一下「編輯」。

3. 在「Instance type」清單中，選取偏好的機器 (執行個體) 類型。如要瞭解可用的機器類型，請參閱吞吐量和調整規模說明文件。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如要更新連接器機器類型，請在終端機中執行下列指令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   取代下列內容：
   • CONNECTOR_NAME：連接器名稱
   • REGION：連接器的區域名稱
   • MACHINE_TYPE：您偏好的機器類型。如要瞭解可用的機器類型，請參閱吞吐量和調整規模說明文件。

主控台

1. 前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 總覽頁面。

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取要編輯的連接器，然後按一下「編輯」。

3. 在「Minimum instances」欄位中，選取所需的執行個體數量下限。

   這個欄位最小可能的值是目前的值。這個欄位的最大值是「最大執行個體」欄位中的目前值減 1。舉例來說，如果「最大執行個體數」欄位中的值為 8，則「最小執行個體數」欄位可用的最大值為 7。

4. 在「Maximum instances」欄位中，選取所需的執行個體數量上限。

   這個欄位最小可能的值是目前的值。這個欄位的最大值為 10。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如要增加連接器的執行個體最小或最大數量，請在終端機中執行下列指令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   取代下列內容：

• CONNECTOR_NAME：連接器名稱
• REGION：連接器的區域名稱
• MIN_INSTANCES：您偏好的最小執行個體數。
  • 這個欄位的最小值是 min_instances 的目前值。如要查看目前的值，請參閱「查看目前的屬性值」。
  • 這個欄位的最大值是目前 max_instances 值減 1，因為 min_instances 必須小於 max_instances。舉例來說，如果 max_instances 為 8，這個欄位的最大值就是 7。如果連接器使用預設的 max-instances 值 10，這個欄位的最大值為 9。如要找出 max-instances 的值，請參閱「找出目前的屬性值」。

• MAX_INSTANCES：

  • 這個欄位的最小值是 max_instances 的目前值。如要查看目前的值，請參閱「查看目前的屬性值」。
  • 這個欄位的最大值為 10。

  如果您只想增加執行個體數量下限，而非上限，則仍必須指定執行個體數量上限。反之，如果您只想更新執行個體數量上限，而非下限，則仍必須指定執行個體數量下限。如要讓執行個體數量下限或上限維持現有值，請指定現有值。如要查看目前的值，請參閱「查看目前的屬性值」。

主控台

1. 前往Google Cloud 主控台的「Serverless VPC Access」(無伺服器虛擬私有雲端存取) 總覽頁面：

   前往「Serverless VPC Access」(無伺服器虛擬私人雲端存取) 頁面

2. 選取您要刪除的連接器。

3. 點選「刪除」。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用下列 gcloud 指令刪除連接器：

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   更改下列內容：

   • CONNECTOR_NAME 加上要刪除的連接器名稱
   • REGION 連接器所在的地區

控制台

1. 前往 Cloud Run

2. 如果您要設定要部署至的新服務，請按一下「Create Service」。如果您要設定及部署現有服務，請按一下該服務，然後點選「編輯並部署新修訂版本」。

3. 如果您要設定新的服務，請視需要填寫初始服務設定頁面，然後按一下「容器、磁碟區、網路與安全性」，展開服務設定頁面。

4. 按一下 [網路] 分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 在「Network」(網路) 欄位中，選取要傳送流量的 VPC 網路。

8. 在「Subnet」(子網路)欄位中，選取服務接收 IP 位址的子網路。您可以在同一個子網路中部署多項服務。

9. 選用：輸入要與服務相關聯的網路標記名稱。網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。

10. 在「Traffic routing」(流量路由) 部分，選取下列其中一個選項：

    • 僅將傳至私人 IP 的要求轉送至虛擬私有雲，這樣系統就只會透過 VPC 網路傳送流量至內部位址。
    • 將所有流量轉送至虛擬私有雲，透過虛擬私有雲網路傳送所有出站流量。

11. 按一下 [Create] (建立) 或 [Deploy] (部署)。

12. 如要確認服務位於虛擬私有雲網路中，請按一下服務，然後點選「Networking」分頁標籤。網路和子網路會列在「VPC」VPC資訊卡中。

    您現在可以根據防火牆規則，從 Cloud Run 服務傳送要求至 VPC 網路上的任何資源。

gcloud

如要透過 Google Cloud CLI 部署不含連接器的 Cloud Run 服務，請按照下列步驟操作：

1. 將 gcloud 元件更新至最新版本：

   gcloud components update

2. 確認已為專案啟用 Compute Engine API：

   gcloud services enable compute.googleapis.com
   

3. 使用下列指令部署 Cloud Run 服務：

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   取代：

   • SERVICE_NAME 替換為 Cloud Run 服務名稱。
   • IMAGE_URL 與容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。如果您使用的是 Artifact Registry，則必須先建立存放區 REPO_NAME。網址的形狀為 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • 將 NETWORK 替換為虛擬私人雲端網路名稱。
   • 將 SUBNET 替換為子網路名稱。子網路必須為 /26 或更大。直接虛擬私人雲端出口支援 IPv4 範圍 RFC 1918、RFC 6598 和 Class E。您可以在同一個子網路上部署或執行多項服務或工作，但任何現有連接器都無法共用子網路。
   • 選用：NETWORK_TAG_NAMES，其中包含您要與服務建立關聯的網路標記名稱，以半形逗號分隔。對於服務，網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配egress 設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：只透過虛擬私有雲網路將流量傳送至內部位址。
   • REGION 改為服務的地區。

4. 如要確認服務位於 VPC 網路中，請執行下列指令：

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   取代：

   • SERVICE_NAME 改為您的服務名稱。
   • 將 REGION 替換為您在上一個步驟中指定的服務地區。

   輸出內容應包含網路、子網路和出口設定的名稱，例如：

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

您現在可以根據防火牆規則，從 Cloud Run 服務傳送要求至 VPC 網路上的任何資源。

YAML

1. 如果您要建立新服務，請略過這個步驟。如果您要更新現有服務，請下載其 YAML 設定：

   gcloud run services describe SERVICE --format export > service.yaml

2. 更新下列屬性：

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   取代：

   • SERVICE_NAME 改為 Cloud Run 服務名稱。服務名稱長度不得超過 49 個字元，且每個區域和專案的服務名稱都必須是獨一無二的。
   • REGION 與 Cloud Run 服務的地區，必須與子網路的地區相符。
   • 將 NETWORK 替換為虛擬私人雲端網路的名稱。
   • 將 SUBNET 替換為子網路名稱。子網路必須為 /26 或更大。直接虛擬私人雲端出口支援 IPv4 範圍 RFC 1918、RFC 6598 和 Class E。您可以在同一個子網路上部署或執行多項服務或工作，但任何現有連接器都無法共用子網路。
   • 選用：NETWORK_TAG_NAMES 與您要與服務建立關聯的網路標記名稱。對於服務，網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配egress 設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：只透過虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE 與服務容器映像檔的網址。

   您也可以指定更多設定，例如環境變數或記憶體上限。

3. 使用下列指令建立或更新服務：

   gcloud run services replace service.yaml

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

1. 請將以下內容新增到您的 main.tf 檔案中：

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

控制台

1. 前往 Cloud Run

2. 如果您要設定新工作，請按一下「Jobs」分頁，然後視需要填寫初始工作設定頁面。如果您要設定現有的工作，請按一下該工作，然後點選「編輯」。

3. 按一下「容器、變數和密鑰、連線、安全性」，展開工作屬性頁面。

4. 按一下「連線設定」分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 在「Network」(網路) 欄位中，選取要傳送流量的 VPC 網路。

8. 在「Subnet」(子網路) 欄位中，選取工作接收 IP 位址的子網路。您可以在同一個子網路中執行多項工作。

9. 在「Traffic routing」(流量路由) 部分，選取下列其中一個選項：

   • 僅將傳至私人 IP 的要求轉送至虛擬私有雲，這樣系統就只會透過 VPC 網路傳送流量至內部位址。
   • 將所有流量轉送至虛擬私有雲，透過虛擬私有雲網路傳送所有出站流量。

10. 選用：輸入要與服務相關聯的網路標記名稱。網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。

11. 選用：輸入要與工作或多個工作建立關聯的網路標記名稱。對於工作，網路標記是在執行層級指定。每個工作執行作業都可以有不同的網路標記，例如 network-tag-2。

12. 按一下「建立」或「更新」。

13. 如要確認工作位於虛擬私有雲網路，請按一下工作，然後點選「Configuration」分頁標籤。網路和子網路會列於 VPC 資訊卡中。

    您現在可以執行 Cloud Run 工作，並根據防火牆規則，將工作傳送至虛擬私有雲網路中的任何資源。

gcloud

如要透過 Google Cloud CLI 建立不含連接器的 Cloud Run 工作，請按照下列步驟操作：

1. 將 gcloud 元件更新至最新版本：

   gcloud components update

2. 確認已為專案啟用 Compute Engine API：

   gcloud services enable compute.googleapis.com
   

3. 使用下列指令建立 Cloud Run 工作：

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   取代：

   • JOB_NAME 替換為 Cloud Run 作業的名稱。
   • IMAGE_URL，參照容器映像檔，例如 us-docker.pkg.dev/cloudrun/container/job:latest
   • 將 NETWORK 替換為虛擬私人雲端網路名稱。
   • 將 SUBNET 替換為子網路名稱。子網路必須為 /26 或更大。直接虛擬私人雲端出口支援 IPv4 範圍 RFC 1918、RFC 6598 和 Class E。您可以在同一個子網路上部署或執行多項服務或工作，但任何現有連接器都無法共用子網路。
   • 選用：NETWORK_TAG_NAMES 可用來指定要與工作相關聯的網路標記名稱。針對工作，網路標記是在執行層級指定。每個工作執行作業都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配egress 設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：只透過虛擬私有雲網路將流量傳送至內部位址。
   • 將 REGION 替換為工作所在的區域。

4. 如要確認工作位於虛擬私有雲網路，請執行下列指令：

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   取代：

   • JOB_NAME 改為工作名稱。
   • REGION 與您在上一個步驟中指定的工作區域。

   輸出內容應包含網路和子網路名稱，例如：

   VPC network:
     Network:       default
     Subnet:        default
   

您現在可以執行 Cloud Run 工作，並根據防火牆規則，將工作傳送至虛擬私有雲網路中的任何資源。

YAML

1. 如果您要建立新工作，請略過這個步驟。如果您要更新現有工作，請下載其 YAML 設定：

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. 更新下列屬性：

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   取代：

   • JOB_NAME 替換為 Cloud Run 作業的名稱。工作名稱長度不得超過 49 個半形字元，且每個區域和專案的名稱都必須不重複。
   • REGION 與 Cloud Run 工作所在的區域，該區域必須與子網路的區域相符。
   • 將 NETWORK 替換為虛擬私人雲端網路的名稱。
   • 將 SUBNET 替換為子網路名稱。子網路必須為 /26 或更大。直接虛擬私人雲端出口支援 IPv4 範圍 RFC 1918、RFC 6598 和 Class E。您可以在同一個子網路上部署或執行多項服務或工作，但任何現有連接器都無法共用子網路。
   • 選用：NETWORK_TAG_NAMES 可用來指定要與工作相關聯的網路標記名稱。針對工作，網路標記是在執行層級指定。每個工作執行作業都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配egress 設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：只透過虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE 與工作容器映像檔的網址。

3. 使用下列指令建立或更新工作：

   gcloud run jobs replace job.yaml