使用共用虛擬私有雲網路的直接虛擬私有雲輸出

控制台

1. 前往 Cloud de Confiance 控制台的「Cloud Run」頁面：

   前往 Cloud Run。

2. 從 Cloud Run 導覽選單中選取「服務」，然後按一下「部署容器」，設定新服務。如要設定現有服務，請按一下該服務。

3. 如要設定新服務，請視需要填寫初始服務設定頁面，然後按一下「Containers, Networking, Security」(容器、網路、安全性)，展開服務設定頁面。

4. 按一下 [網路] 分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 選取「與我共用的網路」。

8. 在「Network」(網路) 欄位中，選取要傳送流量的 Shared VPC 網路。

9. 在「Subnet」(子網路) 欄位中，選取服務接收 IP 位址的子網路。

10. 選用：輸入要與服務建立關聯的網路標記名稱。網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。

11. 在「流量轉送」部分，選取下列其中一個選項：

    • 僅將傳至私人 IP 的要求轉送至虛擬私有雲：僅透過共用虛擬私有雲網路將流量傳送至內部位址。
    • 將所有流量轉送至虛擬私有雲，透過 Shared VPC 網路傳送所有傳出流量。

12. 按一下「建立」，建立新服務。依序點選「查看差異並重新部署」和「部署變更」，即可更新現有服務。

13. 如要確認服務是否位於共用虛擬私有雲網路，請按一下服務，然後按一下「Networking」(網路) 分頁標籤。網路和子網路會列在「VPC」資訊卡中。

現在，您可以從 Cloud Run 服務傳送要求至共用虛擬私有雲網路上的任何資源，只要防火牆規則允許即可。

gcloud

如要將服務放在共用子網路上，請執行下列指令，指定 Shared VPC 網路和子網路的完整資源名稱：

gcloud run deploy SERVICE_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  --max-instances MAX
  

更改下列內容：

• SERVICE_NAME：Cloud Run 服務的名稱。
• IMAGE_URL：服務的圖片網址。
• HOST_PROJECT_ID：Shared VPC 專案的 ID。
• VPC_NETWORK：共用虛擬私有雲網路的完整資源名稱。
• REGION：Cloud Run 服務的區域，必須與子網路的區域相符。
• SUBNET_NAME：子網路的完整資源名稱。
• 選用：NETWORK_TAG_NAMES，以半形逗號分隔要與服務建立關聯的網路標記名稱。如果是服務，網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。
• EGRESS_SETTING 搭配輸出設定值：
  • all-traffic：透過 Shared VPC 網路傳送所有傳出流量。
  • private-ranges-only：僅透過 Shared VPC 虛擬私有雲網路將流量傳送至內部位址。
• MAX：共用虛擬私有雲網路可使用的執行個體數量上限。服務的執行個體數量上限為 100 個。

如要瞭解詳情和選用引數，請參閱 gcloud 參考資料。

YAML

1. 如果您要建立新服務，請略過這個步驟。如要更新現有服務，請下載其 YAML 設定：

   gcloud run services describe SERVICE --format export > service.yaml

2. 更新下列屬性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE_NAME
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   更改項目：

   • SERVICE_NAME 替換為 Cloud Run 服務名稱。服務名稱不得超過 49 個字元，且每個區域和專案的服務名稱不得重複。
   • REGION 替換為 Cloud Run 服務的區域，必須與子網路的區域相符。
   • NETWORK：共用虛擬私有雲網路的完整資源名稱。
   • SUBNET_NAME 替換為子網路的完整資源名稱。
   • 選用：NETWORK_TAG_NAMES 是要與服務建立關聯的網路標記名稱。如果是服務，網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配輸出設定值：
     • all-traffic：透過 Shared VPC 網路傳送所有傳出流量。
     • private-ranges-only：僅透過 Shared VPC 虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE：服務容器映像檔的網址。

3. 使用下列指令建立或更新服務：

   gcloud run services replace service.yaml

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

1. 請將以下內容新增到您的 main.tf 檔案中：

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

控制台

1. 前往 Cloud de Confiance 控制台的 Cloud Run「Jobs」(工作) 頁面：

   前往 Cloud Run。

2. 如要設定新工作，請按一下「Deploy container」(部署容器)，視需要填寫初始「Create job」(建立工作) 表單。如要設定現有工作，請按一下「Jobs」(工作) 分頁標籤，選取工作，然後按一下「Edit」(編輯)。

3. 按一下「Container, Variables & Secrets, Connections, Security」(容器、變數和密鑰、連線、安全性)，展開工作屬性頁面。

4. 按一下「連線」分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 選取「與我共用的網路」。

8. 在「Network」(網路) 欄位中，選取要傳送流量的 Shared VPC 網路。

9. 在「Subnet」(子網路) 欄位中，選取工作接收 IP 位址的子網路。

10. 選用：輸入要與工作建立關聯的網路標記名稱。如果是工作，網路標記是在執行層級指定。每項工作執行作業可以有不同的網路標記，例如 network-tag-2。

11. 在「流量轉送」部分，選取下列其中一個選項：

    • 僅將傳至私人 IP 的要求轉送至虛擬私有雲：僅透過共用虛擬私有雲網路將流量傳送至內部位址。
    • 將所有流量轉送至虛擬私有雲，透過 Shared VPC 網路傳送所有傳出流量。

12. 按一下「建立」或「更新」。

13. 如要確認工作位於 Shared VPC 網路，請依序點選工作和「設定」分頁標籤。網路和子網路會列在「虛擬私有雲」資訊卡中。

現在可以執行 Cloud Run 工作，並從工作傳送要求至共用虛擬私有雲網路上的任何資源，只要防火牆規則允許即可。

gcloud

如要將工作放在共用子網路上，請執行下列指令，指定 Shared VPC 網路和子網路的完整資源名稱：

gcloud run jobs create JOB_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  

更改下列內容：

• JOB_NAME：Cloud Run 工作名稱。
• IMAGE_URL：工作的圖片網址。
• HOST_PROJECT_ID：Shared VPC 主機專案的 ID。
• VPC_NETWORK：共用虛擬私有雲網路的完整資源名稱。
• REGION：Cloud Run 工作的區域，必須與子網路的區域相符。
• SUBNET_NAME：子網路名稱的完整資源名稱。
• 選用：NETWORK_TAG_NAMES，以半形逗號分隔要與工作建立關聯的網路標記名稱。每項工作執行作業都可以有不同的網路標記，例如 network-tag-2。
• EGRESS_SETTING 搭配輸出設定值：
  • all-traffic：透過 Shared VPC 網路傳送所有傳出流量。
  • private-ranges-only：僅透過 Shared VPC 虛擬私有雲網路將流量傳送至內部位址。

如要瞭解詳情和選用引數，請參閱 gcloud 參考資料。

YAML

1. 如果您要建立新工作，請略過這個步驟。如要更新現有工作，請下載其 YAML 設定：

   gcloud run jobs describe JOB --format export > job.yaml

2. 更新下列屬性：

   apiVersion: run.googleapis.com/v1
   kind: Job
   metadata:
     name: JOB_NAME
     annotations:
       run.googleapis.com/launch-stage: BETA
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   更改項目：

   • 將 JOB_NAME 替換為 Cloud Run 工作名稱。工作名稱不得超過 49 個字元，且每個區域和專案中的名稱不得重複。
   • REGION 替換為 Cloud Run 工作的區域，該區域必須與子網路的區域相符。
   • NETWORK：共用虛擬私有雲網路的完整資源名稱。
   • SUBNET：子網路的完整資源名稱。
   • 選用：將 NETWORK_TAG_NAMES 替換為要與工作建立關聯的網路標記名稱。如果是工作，網路標記是在執行層級指定。每項工作執行作業可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配輸出設定值：
     • all-traffic：透過 Shared VPC 網路傳送所有傳出流量。
     • private-ranges-only：僅透過 Shared VPC 虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE：工作容器映像檔的網址。

3. 使用下列指令建立或更新工作：

   gcloud run jobs replace job.yaml

控制台

• 如要從 Shared VPC 網路移除服務，請按照下列步驟操作：

  1. 前往 Cloud de Confiance 控制台的 Cloud Run「Services」(服務) 頁面：

     前往 Cloud Run。

  2. 按一下所需服務。

  3. 按一下 [網路] 分頁標籤。

  4. 取消勾選「連線至虛擬私有雲，以傳出流量」旁的核取方塊。

  5. 依序點選「查看差異並重新部署」和「部署變更」。

  6. 如要確認服務已不在 Shared VPC 網路上，請按一下「Networking」(網路) 分頁標籤。「VPC」資訊卡中不會再列出網路和子網路。

• 如要只移除網路標記，但保留服務與共用虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 按一下要移除網路標記的服務。

  2. 按一下 [網路] 分頁標籤。

  3. 清除不想再與服務建立關聯的網路標記名稱。

  4. 依序點選「查看差異並重新部署」和「部署變更」。

gcloud

• 如要從 Shared VPC 網路移除服務，請執行下列指令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• 如要只移除網路標記，但保留服務與 Shared VPC 虛擬私有雲網路的連線，請執行下列指令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  更改下列內容：

  • SERVICE_NAME：Cloud Run 服務的名稱。
  • REGION：Cloud Run 服務的區域。

YAML

• 如要從 Shared VPC 網路移除服務，請按照下列步驟操作：

  1. 下載服務的 YAML 設定：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 從 service.yaml 檔案中移除下列內容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地點

     • NETWORK：共用虛擬私有雲網路的完整資源名稱。
     • SUBNET：子網路的完整資源名稱。
     • 選用：NETWORK_TAG_NAMES：網路標記的名稱 (如果您已將標記與服務建立關聯)。

  3. 使用下列指令更新服務：

     gcloud run services replace service.yaml

• 如要只移除網路標記，但保留服務與共用虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 下載服務的 YAML 設定：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 從 service.yaml 檔案的內容中移除 tags 變數，保留 network 和 subnetwork 變數，如以下範例所示：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     更改下列內容：

     • NETWORK：共用虛擬私有雲網路的完整資源名稱。
     • SUBNET：子網路的完整資源名稱。

  3. 使用下列指令更新服務：

     gcloud run services replace service.yaml

控制台

• 如要從 Shared VPC 網路中移除工作，請按照下列步驟操作：

  1. 前往 Cloud de Confiance 控制台的 Cloud Run「Jobs」(工作) 頁面：

     前往 Cloud Run。

  2. 按一下要移除的工作，然後點選「Edit and deploy new revision」(編輯及部署新的修訂版本)。

  3. 按一下 [設定] 標籤。

  4. 清除「連線至虛擬私有雲，以傳出流量」。

  5. 按一下「Update」。

  6. 如要確認工作已不在 Shared VPC 網路上，請按一下「Configuration」(設定) 分頁標籤。「VPC」資訊卡中不會再列出該網路和子網路。

• 如要僅移除網路標記，但保留工作與 Shared VPC 虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 按一下含有要移除網路標記的工作，然後點選「Edit and deploy new revision」(編輯及部署新的修訂版本)。

  2. 按一下「連線」分頁標籤。

  3. 清除不再與工作建立關聯的網路標記名稱。

  4. 按一下「Update」。

gcloud

• 如要從 Shared VPC 網路中移除工作，請執行下列指令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• 如要只移除網路標記，但保留工作與 Shared VPC 網路的連線，請執行下列指令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  更改下列內容：

  • JOB_NAME：Cloud Run 工作名稱。
  • REGION：Cloud Run 工作的區域。

YAML

• 如要從 Shared VPC 網路中移除工作，請按照下列步驟操作：

  1. 下載工作的 YAML 設定：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 從 job.yaml 檔案中移除下列內容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地點

     • NETWORK：共用虛擬私有雲網路的完整資源名稱。
     • SUBNET：子網路的完整資源名稱。
     • 選用：NETWORK_TAG_NAMES：網路標記的名稱 (如果您已將其與工作建立關聯)。

  3. 使用下列指令更新工作：

     gcloud run jobs replace job.yaml

• 如要僅移除網路標記，但保留工作與 Shared VPC 虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 下載工作的 YAML 設定：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 從 job.yaml 檔案中移除下列內容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地點

     • NETWORK：共用虛擬私有雲網路的完整資源名稱。
     • SUBNET：子網路的完整資源名稱。
     • 選用：NETWORK_TAG_NAMES：網路標記的名稱 (如果您已將其與工作建立關聯)。

  3. 使用下列指令更新工作：

     gcloud run jobs replace job.yaml