VPC diretto con una rete VPC

Console

1. Nella console Cloud de Confiance by S3NS , vai a Cloud Run:

   Vai a Cloud Run

2. Fai clic su Crea servizio se stai configurando un nuovo servizio di cui stai eseguendo il deployment. Se stai configurando ed eseguendo il deployment di un servizio esistente, fai clic sul servizio.

3. Se stai configurando un nuovo servizio, compila la pagina delle impostazioni iniziali del servizio come necessario, poi fai clic su Contenitori, networking, sicurezza per espandere la pagina di configurazione del servizio.

4. Fai clic sulla scheda Networking.

5. Fai clic su Connettiti a un VPC per il traffico in uscita.

6. Fai clic su Invia il traffico direttamente a un VPC.

7. Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.

8. Nel campo Subnet, seleziona la subnet da cui il servizio riceve gli indirizzi IP. Puoi eseguire il deployment di più servizi nella stessa subnet.

9. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o ai tuoi servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.

10. Per Routing del traffico, seleziona una delle seguenti opzioni:

    • Instrada al VPC solo richieste a IP privati per inviare solo traffico agli indirizzi interni tramite la rete VPC.
    • Instrada al VPC tutto il traffico per inviare tutto il traffico in uscita attraverso la rete VPC.

11. Fai clic su Crea per un nuovo servizio. Fai clic su Visualizza differenze e fai di nuovo il deployment, quindi su Esegui il deployment delle modifiche per un servizio esistente.

12. Per verificare che il servizio si trovi sulla rete VPC, fai clic sul servizio, quindi sulla scheda Networking. La rete e la subnet sono elencate nella scheda VPC.

    Ora puoi inviare richieste dal tuo servizio Cloud Run a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

gcloud

YAML

1. Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Aggiorna i seguenti attributi:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Sostituisci:

   • SERVICE_NAME con il nome del tuo servizio Cloud Run. I nomi dei servizi devono contenere al massimo 49 caratteri e devono essere univoci per regione e progetto.
   • REGION con la regione del tuo servizio Cloud Run, che deve corrispondere alla regione della tua subnet.
   • NETWORK con il nome della tua rete VPC. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete.
   • SUBNET con il nome della subnet. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un servizio. Per i servizi, i tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione del traffico in uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: Invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • IMAGE con l'URL dell'immagine container del servizio.

   Puoi anche specificare una configurazione più dettagliata, ad esempio variabili di ambiente o limiti di memoria.

3. Crea o aggiorna il servizio utilizzando il seguente comando:

   gcloud run services replace service.yaml

Terraform

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

1. Aggiungi quanto segue al tuo file main.tf:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Vai a Cloud Run

2. Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina delle impostazioni iniziali del job in base alle tue esigenze. Se stai configurando un job esistente, fai clic sul job, quindi su Modifica.

3. Fai clic su Container, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.

4. Fai clic sulla scheda Connessioni.

5. Fai clic su Connettiti a un VPC per il traffico in uscita.

6. Fai clic su Invia il traffico direttamente a un VPC.

7. Nel campo Rete, seleziona la rete VPC a cui vuoi inviare il traffico.

8. Nel campo Subnet, seleziona la subnet da cui il job riceve gli indirizzi IP. Puoi eseguire più job sulla stessa subnet.

9. Per Routing del traffico, seleziona una delle seguenti opzioni:

   • Instrada al VPC solo richieste a IP privati per inviare solo traffico agli indirizzi interni tramite la rete VPC.
   • Instrada al VPC tutto il traffico per inviare tutto il traffico in uscita attraverso la rete VPC.

10. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o ai tuoi servizi. I tag di rete vengono specificati a livello di revisione. Ogni revisione del servizio può avere tag di rete diversi, ad esempio network-tag-2.

11. (Facoltativo) Inserisci i nomi dei tag di rete che vuoi associare al tuo job o ai tuoi job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.

12. Fai clic su Crea o Aggiorna.

13. Per verificare che il job si trovi nella tua rete VPC, fai clic sul job e poi sulla scheda Configurazione. La rete e la subnet sono elencate nella scheda VPC.

    Ora puoi eseguire il job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

gcloud

Per creare un job Cloud Run senza un connettore da Google Cloud CLI:

1. Aggiorna i componenti di gcloud all'ultima versione:

   gcloud components update

2. Assicurati che l'API Compute Engine sia abilitata per il tuo progetto:

   gcloud services enable compute.googleapis.com
   

3. Crea un job Cloud Run con questo comando:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Sostituisci:

   • JOB_NAME con il nome del tuo job Cloud Run.
   • IMAGE_URL: un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/job:latest
   • NETWORK con il nome della tua rete VPC. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete.
   • SUBNET con il nome della subnet. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione del traffico in uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: Invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • REGION con una regione per il job.

4. Per verificare che il job si trovi nella tua rete VPC, esegui questo comando:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Sostituisci:

   • JOB_NAME con il nome del job.
   • REGION con la regione del job specificata nel passaggio precedente.

   L'output dovrebbe contenere il nome della rete e della subnet, ad esempio:

   VPC network:
     Network:       default
     Subnet:        default
   

Ora puoi eseguire il job Cloud Run e inviare richieste dal job a qualsiasi risorsa sulla rete VPC, come consentito dalle regole firewall.

YAML

1. Se stai creando un nuovo job, salta questo passaggio. Se stai aggiornando un job esistente, scarica la relativa configurazione YAML:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Aggiorna i seguenti attributi:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Sostituisci:

   • JOB_NAME con il nome del tuo job Cloud Run. I nomi dei job devono contenere al massimo 49 caratteri e devono essere univoci per regione e progetto.
   • REGION con la regione del job Cloud Run, che deve corrispondere alla regione della subnet.
   • NETWORK con il nome della tua rete VPC. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete.
   • SUBNET con il nome della subnet. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet.
   • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete che vuoi associare a un job. Per i job, i tag di rete vengono specificati a livello di esecuzione. Ogni esecuzione del job può avere tag di rete diversi, ad esempio network-tag-2.
   • EGRESS_SETTING con un valore di impostazione del traffico in uscita:
     • all-traffic: invia tutto il traffico in uscita tramite la rete VPC.
     • private-ranges-only: Invia solo il traffico agli indirizzi interni tramite la rete VPC.
   • IMAGE con l'URL dell'immagine container del job.

3. Crea o aggiorna il job utilizzando il seguente comando:

   gcloud run jobs replace job.yaml

Console

Per associare tag di rete a un servizio o un job:

1. Nella console Cloud de Confiance , vai alla pagina Cloud Run.

   Vai a Cloud Run

2. Fai clic sul servizio o sul lavoro a cui vuoi associare i tag di rete, quindi fai clic su Modifica per i lavori.

3. Fai clic sulla scheda Networking per i servizi o sulla scheda Connessioni per i lavori.

4. Assicurati di aver selezionato Connettiti a un VPC per il traffico in uscita e Invia il traffico direttamente a un VPC.

5. Nel campo Subnet, seleziona la subnet da cui il servizio riceve gli indirizzi IP. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet.

6. Nel campo Tag di rete, inserisci i nomi dei tag di rete che vuoi associare al tuo servizio o lavoro.

7. Per i lavori, fai clic su Aggiorna. Per i servizi, fai clic su Visualizza differenze e rifai il deployment, quindi su Esegui il deployment delle modifiche.

Per i servizi, ogni revisione del servizio può avere un insieme diverso di tag di rete perché i tag di rete vengono specificati a livello di revisione. Per i job, un'esecuzione del job ha gli stessi tag di rete del job al momento della creazione dell'esecuzione del job.

gcloud

Per associare tag di rete a un servizio o a un job, utilizza il comando gcloud run deploy:

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

Sostituisci quanto segue:

• SERVICE_JOB_NAME con il nome del tuo servizio o lavoro.
• IMAGE_URL con l'URL dell'immagine del servizio o dell'offerta di lavoro.
• NETWORK con il nome della tua rete VPC.
• SUBNET con il nome della subnet. Specifica una rete VPC o una subnet oppure entrambe. Se specifichi solo una rete, la subnet utilizza lo stesso nome della rete. Puoi eseguire il deployment o l'esecuzione di più servizi o job nella stessa subnet.
• NETWORK_TAG_NAMES con il nome del tag di rete o un elenco separato da virgole di tag di rete.
• REGION con il nome della tua regione.

Per i servizi, ogni revisione del servizio può avere un insieme diverso di tag di rete perché i tag di rete vengono specificati a livello di revisione. Per i job, un'esecuzione del job ha gli stessi tag di rete del job al momento della creazione dell'esecuzione del job.

Console

• Per rimuovere il servizio dalla rete VPC:

  1. Vai a Cloud Run

  2. Fai clic sul servizio.

  3. Fai clic sulla scheda Networking.

  4. Deseleziona Connettiti a un VPC per il traffico in uscita.

  5. Fai clic su Visualizza differenze e fai di nuovo il deployment, poi su Esegui il deployment delle modifiche.

  6. Per verificare che il servizio non sia più nella rete VPC, fai clic sulla scheda Networking. La rete e la subnet non sono più elencate nella scheda VPC.

• Per rimuovere solo i tag di rete mantenendo il servizio connesso alla rete VPC:

  1. Fai clic sul servizio che contiene i tag di rete che vuoi rimuovere.

  2. Fai clic sulla scheda Networking.

  3. Cancella i nomi dei tag di rete che non vuoi più associare al tuo servizio.

  4. Fai clic su Visualizza differenze e fai di nuovo il deployment, poi su Esegui il deployment delle modifiche.

gcloud

• Per rimuovere il servizio dalla rete VPC, esegui il seguente comando:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Per rimuovere solo i tag di rete mantenendo il servizio connesso alla rete VPC, esegui questo comando:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Sostituisci quanto segue:

  • SERVICE_NAME: il nome del servizio Cloud Run.
  • REGION: la regione per il tuo servizio Cloud Run.

YAML

• Per rimuovere il servizio dalla rete VPC:

  1. Scarica la configurazione YAML del servizio:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Rimuovi i seguenti contenuti dal file service.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Dove

     • NETWORK: il nome della tua rete VPC.
     • SUBNET: il nome della subnet.
     • (Facoltativo) NETWORK_TAG_NAMES: i nomi dei tag di rete se li hai associati a un servizio.

  3. Esegui il deployment della revisione del servizio eseguendo questo comando:

     gcloud run services replace service.yaml

• Per rimuovere solo i tag di rete mantenendo il servizio connesso alla rete VPC:

  1. Scarica la configurazione YAML del servizio:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Rimuovi la variabile tags dai contenuti del file service.yaml, lasciando le variabili network e subnetwork, come mostrato nell'esempio seguente:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Dove

     • NETWORK: il nome della tua rete VPC.
     • SUBNET: il nome della subnet.

  3. Esegui il deployment della revisione del servizio eseguendo questo comando:

     gcloud run services replace service.yaml

Console

• Per rimuovere il job dalla rete VPC:

  1. Vai a Cloud Run

  2. Fai clic sul job che vuoi rimuovere, poi su Modifica ed esegui il deployment di una nuova revisione.

  3. Fai clic sulla scheda Connessioni.

  4. Deseleziona Connettiti a un VPC per il traffico in uscita.

  5. Fai clic su Aggiorna.

  6. Per verificare che il job non si trovi più nella rete VPC, fai clic sulla scheda Configurazione. La rete e la subnet non sono più elencate nella scheda VPC.

• Per rimuovere solo i tag di rete mantenendo il job connesso alla rete VPC:

  1. Fai clic sul job contenente i tag di rete da rimuovere, quindi fai clic su Modifica e implementa nuova revisione.

  2. Fai clic sulla scheda Connessioni.

  3. Cancella i nomi dei tag di rete che non vuoi più associare al tuo job.

  4. Fai clic su Aggiorna.

gcloud

• Per rimuovere il job dalla rete VPC, esegui questo comando:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Per rimuovere solo i tag di rete mantenendo il job connesso alla rete VPC, esegui questo comando:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Sostituisci quanto segue:

  • JOB_NAME: il nome del job Cloud Run.
  • REGION: la regione per il tuo job Cloud Run.

YAML

• Per rimuovere il job dalla rete VPC:

  1. Scarica la configurazione YAML del job:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Rimuovi i seguenti contenuti dal file job.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Sostituisci quanto segue:

     • NETWORK: il nome della tua rete VPC.
     • SUBNET: il nome della subnet.
     • (Facoltativo) NETWORK_TAG_NAMES con i nomi dei tag di rete se li avevi associati a un lavoro.

  3. Aggiorna il job eseguendo questo comando:

     gcloud run jobs replace job.yaml

• Per rimuovere solo i tag di rete mantenendo il job connesso alla rete VPC:

  1. Scarica la configurazione YAML del job:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Rimuovi la variabile tags dai contenuti del file job.yaml, lasciando le variabili network e subnetwork, come mostrato nell'esempio seguente:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Sostituisci quanto segue:

     • NETWORK: il nome della tua rete VPC.
     • SUBNET: il nome della subnet.

  3. Aggiorna il job eseguendo questo comando:

     gcloud run jobs replace job.yaml