Direct VPC mit einem VPC-Netzwerk

Console

1. Rufen Sie in der Cloud de Confiance by S3NS Console Cloud Run auf:

   Zu Cloud Run

2. Klicken Sie auf Dienst erstellen, wenn Sie einen neuen Dienst für die Bereitstellung konfigurieren. Wenn Sie einen vorhandenen Dienst konfigurieren und bereitstellen, klicken Sie auf den Dienst.

3. Wenn Sie einen neuen Dienst konfigurieren, füllen Sie die Seite mit den anfänglichen Diensteinstellungen wie gewünscht aus und klicken Sie dann auf Container, Netzwerk, Sicherheit, um die Seite zur Dienstkonfiguration zu maximieren.

4. Klicken Sie auf den Tab Netzwerk.

5. Klicken Sie auf Mit einer VPC für ausgehenden Traffic verbinden.

6. Klicken Sie auf Traffic direkt an eine VPC senden.

7. Wählen Sie im Feld Netzwerk das VPC-Netzwerk aus, an das Sie Traffic senden möchten.

8. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Dienst IP-Adressen empfängt. Sie können mehrere Dienste im selben Subnetz bereitstellen.

9. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie Ihrem Dienst oder Ihren Diensten zuordnen möchten. Netzwerktags werden auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

10. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

    • Nur Anfragen an private IPs an die VPC weiterleiten, um nur Traffic an interne Adressen über das VPC-Netzwerk zu senden.
    • Gesamten Traffic an die VPC weiterleiten, um den gesamten ausgehenden Traffic über das VPC-Netzwerk zu senden.

11. Klicken Sie für einen neuen Dienst auf Erstellen. Klicken Sie für einen vorhandenen Dienst auf Unterschied ansehen und erneut bereitstellen und dann auf Änderungen bereitstellen.

12. Klicken Sie auf den Dienst und dann auf den Tab Netzwerk, um zu prüfen, ob sich der Dienst in Ihrem VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC-Karte aufgeführt.

    Sie können nun Anfragen von Ihrem Cloud Run-Dienst an eine beliebige Ressource im VPC-Netzwerk senden, je nach Ihren Firewallregeln.

gcloud

YAML

1. Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:

   gcloud run services describe SERVICE --format export > service.yaml

2. Aktualisieren Sie die folgenden Attribute:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Ersetzen Sie:

   • SERVICE_NAME durch den Namen Ihres Cloud Run-Dienstes. Dienstnamen dürfen maximal 49 Zeichen lang sein und pro Region und Projekt nur einmal vorkommen.
   • REGION durch die Region für Ihren Cloud Run-Dienst; diese muss der Region Ihres Subnetzes entsprechen.
   • NETWORK durch den Namen Ihres VPC-Netzwerks. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, hat das Subnetz denselben Namen wie das Netzwerk.
   • SUBNET durch den Namen Ihres Subnetzes. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, verwendet das Subnetz denselben Namen wie das Netzwerk. Sie können mehrere Dienste oder Jobs im selben Subnetz bereitstellen oder ausführen.
   • Optional: Ersetzen Sie NETWORK_TAG_NAMES durch die Namen der Netzwerk-Tags, die Sie einem Dienst zuordnen möchten. Bei Diensten werden Netzwerk-Tags auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das VPC-Netzwerk.
   • IMAGE durch die URL Ihres Dienst-Container-Images.

   Sie können auch weitere Konfigurationen angeben, z. B. Umgebungsvariablen oder Speicherlimits.

3. Erstellen oder aktualisieren Sie den Dienst mit dem folgenden Befehl:

   gcloud run services replace service.yaml

Terraform

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.

1. Fügen Sie der Datei main.tf Folgendes hinzu:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Zu Cloud Run

2. Klicken Sie auf den Tab Jobs und füllen Sie die Seite mit den anfänglichen Jobeinstellungen wie gewünscht aus, wenn Sie einen neuen Job konfigurieren. Klicken Sie auf den Job und dann auf Bearbeiten, wenn Sie einen vorhandenen Job konfigurieren.

3. Klicken Sie auf Container, Variablen und Secrets, Verbindungen, Sicherheit, um die Seite mit den Jobattributen zu maximieren.

4. Klicken Sie auf den Tab Verbindungen.

5. Klicken Sie auf Mit einer VPC für ausgehenden Traffic verbinden.

6. Klicken Sie auf Traffic direkt an eine VPC senden.

7. Wählen Sie im Feld Netzwerk das VPC-Netzwerk aus, an das Sie Traffic senden möchten.

8. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Job IP-Adressen empfängt. Sie können mehrere Jobs im selben Subnetz ausführen.

9. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

   • Nur Anfragen an private IPs an die VPC weiterleiten, um nur Traffic an interne Adressen über das VPC-Netzwerk zu senden.
   • Gesamten Traffic an die VPC weiterleiten, um den gesamten ausgehenden Traffic über das VPC-Netzwerk zu senden.

10. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie Ihrem Dienst oder Ihren Diensten zuordnen möchten. Netzwerktags werden auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

11. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie Ihrem Job oder Ihren Jobs zuordnen möchten. Bei Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

12. Klicken Sie auf Erstellen oder Aktualisieren.

13. Klicken Sie auf den Job und dann auf den Tab Konfiguration, um zu prüfen, ob sich der Job in Ihrem VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC-Karte aufgeführt.

    Sie können Ihren Cloud Run-Job jetzt ausführen und Anfragen vom Job an eine beliebige Ressource im VPC-Netzwerk senden, je nach Firewallregeln.

gcloud

So erstellen Sie einen Cloud Run-Job ohne Connector über die Google Cloud CLI:

1. Aktualisieren Sie die Komponenten von gcloud auf die neueste Version:

   gcloud components update

2. Die Compute Engine API muss für das Projekt aktiviert sein:

   gcloud services enable compute.googleapis.com
   

3. Erstellen Sie mit folgendem Befehl einen Cloud Run-Job:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Ersetzen Sie:

   • JOB_NAME durch den Namen Ihres Cloud Run-Jobs.
   • IMAGE_URL: ein Verweis auf das Container-Image, z. B. us-docker.pkg.dev/cloudrun/container/job:latest
   • NETWORK durch den Namen Ihres VPC-Netzwerks. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, hat das Subnetz denselben Namen wie das Netzwerk.
   • SUBNET durch den Namen Ihres Subnetzes. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, verwendet das Subnetz denselben Namen wie das Netzwerk. Sie können mehrere Dienste oder Jobs im selben Subnetz bereitstellen oder ausführen.
   • Optional: Ersetzen Sie NETWORK_TAG_NAMES durch die Namen der Netzwerk-Tags, die Sie einem Job zuordnen möchten. Für Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das VPC-Netzwerk.
   • REGION durch eine Region für Ihren Job.

4. Führen Sie folgenden Befehl aus, um zu prüfen, ob sich der Job in Ihrem VPC-Netzwerk befindet:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Ersetzen Sie:

   • JOB_NAME durch den Namen des Jobs.
   • REGION durch die Region für Ihren Job, die Sie im vorherigen Schritt angegeben haben.

   Die Ausgabe sollte den Namen Ihres Netzwerks und des Subnetzes enthalten, zum Beispiel:

   VPC network:
     Network:       default
     Subnet:        default
   

Sie können Ihren Cloud Run-Job jetzt ausführen und Anfragen vom Job an eine beliebige Ressource im VPC-Netzwerk senden, je nach Firewallregeln.

YAML

1. Wenn Sie einen neuen Job erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Job aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Aktualisieren Sie die folgenden Attribute:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Ersetzen Sie:

   • JOB_NAME durch den Namen Ihres Cloud Run-Jobs. Jobnamen dürfen maximal 49 Zeichen lang sein und pro Region und Projekt nur einmal vorkommen.
   • REGION durch die Region für Ihren Cloud Run-Job; diese muss der Region Ihres Subnetzes entsprechen.
   • NETWORK durch den Namen Ihres VPC-Netzwerks. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, hat das Subnetz denselben Namen wie das Netzwerk.
   • SUBNET durch den Namen Ihres Subnetzes. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, verwendet das Subnetz denselben Namen wie das Netzwerk. Sie können mehrere Dienste oder Jobs im selben Subnetz bereitstellen oder ausführen.
   • Optional: Ersetzen Sie NETWORK_TAG_NAMES durch die Namen der Netzwerk-Tags, die Sie einem Job zuordnen möchten. Für Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das VPC-Netzwerk.
   • IMAGE durch die URL Ihres Job-Container-Images.

3. Erstellen oder aktualisieren Sie den Dienst mit dem folgenden Befehl:

   gcloud run jobs replace job.yaml

Console

So ordnen Sie einem Dienst oder Job Netzwerk-Tags zu:

1. Rufen Sie in der Cloud de Confiance -Console die Seite Cloud Run auf.

   Zu Cloud Run

2. Klicken Sie auf den Dienst oder Job, dem Sie Netzwerk-Tags zuordnen möchten, und dann bei Jobs auf Bearbeiten.

3. Klicken Sie für Dienste auf den Tab Netzwerk und für Jobs auf den Tab Verbindungen.

4. Achten Sie darauf, dass Sie Mit einer VPC für ausgehenden Traffic verbinden und Traffic direkt an eine VPC senden ausgewählt haben.

5. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Dienst IP-Adressen empfängt. Sie können mehrere Dienste oder Jobs im selben Subnetz bereitstellen oder ausführen.

6. Geben Sie im Feld Netzwerk-Tags die Namen der Netzwerk-Tags ein, die Sie Ihrem Dienst oder Job zuordnen möchten.

7. Klicken Sie bei Jobs auf Aktualisieren. Klicken Sie bei Diensten auf Unterschied ansehen und erneut bereitstellen und dann auf Änderungen bereitstellen.

Bei Diensten kann jede Dienstversion einen anderen Satz von Netzwerk-Tags haben, da Netzwerk-Tags auf Versionsebene angegeben werden. Bei Jobs hat eine Jobausführung dieselben Netzwerk-Tags wie der Job, als die Ausführung des Jobs erstellt wurde.

gcloud

Verwenden Sie den Befehl gcloud run deploy, um einem Dienst oder Job Netzwerk-Tags zuzuweisen:

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

Ersetzen Sie Folgendes:

• SERVICE_JOB_NAME durch den Namen Ihres Dienstes oder Jobs.
• IMAGE_URL: Die Image-URL des Dienstes oder Jobs.
• NETWORK durch den Namen Ihres VPC-Netzwerks.
• SUBNET durch den Namen Ihres Subnetzes. Geben Sie entweder ein VPC-Netzwerk oder ein Subnetz oder beides an. Wenn Sie nur ein Netzwerk angeben, verwendet das Subnetz denselben Namen wie das Netzwerk. Sie können mehrere Dienste oder Jobs im selben Subnetz bereitstellen oder ausführen.
• NETWORK_TAG_NAMES durch den Namen Ihres Netzwerk-Tags oder eine durch Kommas getrennte Liste von Netzwerk-Tags ersetzen.
• REGION durch den Namen Ihrer Region.

Bei Diensten kann jede Dienstversion einen anderen Satz von Netzwerk-Tags haben, da Netzwerk-Tags auf Versionsebene angegeben werden. Bei Jobs hat eine Jobausführung dieselben Netzwerk-Tags wie der Job, als die Ausführung des Jobs erstellt wurde.

Console

• So entfernen Sie Ihren Dienst aus dem VPC-Netzwerk:

  1. Zu Cloud Run

  2. Klicken Sie auf den Dienst.

  3. Klicken Sie auf den Tab Netzwerk.

  4. Heben Sie die Markierung von Mit einer VPC für ausgehenden Traffic verbinden auf.

  5. Klicken Sie auf Unterschied ansehen und erneut bereitstellen und dann auf Änderungen bereitstellen.

  6. Klicken Sie auf den Tab Netzwerk, um zu prüfen, dass sich der Dienst nicht mehr in Ihrem VPC-Netzwerk befindet. Netzwerk und Subnetz werden nicht mehr auf der VPC-Karte aufgeführt.

• So entfernen Sie nur die Netzwerk-Tags, während der Dienst mit dem VPC-Netzwerk verbunden bleibt:

  1. Klicken Sie auf den Dienst, der die zu entfernenden Netzwerk-Tags enthält.

  2. Klicken Sie auf den Tab Netzwerk.

  3. Löschen Sie die Namen der Netzwerk-Tags, die nicht mehr mit Ihrem Dienst verknüpfen sein sollen.

  4. Klicken Sie auf Unterschied ansehen und erneut bereitstellen und dann auf Änderungen bereitstellen.

gcloud

• Führen Sie folgenden Befehl aus, um Ihren Dienst aus dem VPC-Netzwerk zu entfernen:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Führen Sie folgenden Befehl aus, um nur die Netzwerk-Tags zu entfernen, während der Dienst mit dem VPC-Netzwerk verbunden bleibt:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Ersetzen Sie Folgendes:

  • SERVICE_NAME: Der Name Ihres Cloud Run-Dienstes.
  • REGION: Die Region für Ihren Cloud Run-Dienst.

YAML

• So entfernen Sie Ihren Dienst aus dem VPC-Netzwerk:

  1. Laden Sie die YAML-Konfiguration des Dienstes herunter:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Entfernen Sie folgenden Inhalt aus der service.yaml-Datei:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Wo

     • NETWORK ist der Name des VPC-Netzwerks.
     • SUBNET: Der Name Ihres Subnetzes.
     • Optional: NETWORK_TAG_NAMES: die Namen der Netzwerktags, wenn Sie diese mit einem Dienst verknüpft haben.

  3. Stellen Sie die Dienstversion über folgenden Befehl bereit:

     gcloud run services replace service.yaml

• So entfernen Sie nur die Netzwerk-Tags, während der Dienst mit dem VPC-Netzwerk verbunden bleibt:

  1. Laden Sie die YAML-Konfiguration des Dienstes herunter:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Entfernen Sie die Variable tags aus dem Inhalt der service.yaml-Datei und lassen Sie die Variablen network und subnetwork an ihrem Ort, wie im folgenden Beispiel gezeigt:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Wo

     • NETWORK ist der Name des VPC-Netzwerks.
     • SUBNET: Der Name Ihres Subnetzes.

  3. Stellen Sie die Dienstversion über folgenden Befehl bereit:

     gcloud run services replace service.yaml

Console

• So entfernen Sie Ihren Job aus dem VPC-Netzwerk:

  1. Öffnen Sie Cloud Run.

  2. Klicken Sie auf den Job, den Sie entfernen möchten, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  3. Klicken Sie auf den Tab Verbindungen.

  4. Heben Sie die Markierung von Mit einer VPC für ausgehenden Traffic verbinden auf.

  5. Klicken Sie auf Aktualisieren.

  6. Klicken Sie auf den Tab Konfiguration, um zu prüfen, dass sich der Job nicht mehr in Ihrem VPC-Netzwerk befindet. Netzwerk und Subnetz werden nicht mehr auf der VPC-Karte aufgeführt.

• So entfernen Sie nur die Netzwerk-Tags, während der Job mit dem VPC-Netzwerk verbunden bleibt:

  1. Klicken Sie auf den Job, der die zu entfernenden Netzwerk-Tags enthält, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  2. Klicken Sie auf den Tab Verbindungen.

  3. Löschen Sie die Namen der Netzwerk-Tags, die nicht mehr mit Ihrem Job verknüpfen sein sollen.

  4. Klicken Sie auf Aktualisieren.

gcloud

• Führen Sie folgenden Befehl aus, um Ihren Job aus dem VPC-Netzwerk zu entfernen:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Führen Sie folgenden Befehl aus, um nur die Netzwerk-Tags zu entfernen, während der Job mit dem VPC-Netzwerk verbunden bleibt:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Ersetzen Sie Folgendes:

  • JOB_NAME: Der Name Ihres Cloud Run-Jobs.
  • REGION: Die Region für Ihren Cloud Run-Job.

YAML

• So entfernen Sie Ihren Job aus dem VPC-Netzwerk:

  1. Laden Sie die YAML-Konfiguration des Jobs herunter:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Entfernen Sie folgenden Inhalt aus der job.yaml-Datei:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Ersetzen Sie Folgendes:

     • NETWORK ist der Name des VPC-Netzwerks.
     • SUBNET: Der Name Ihres Subnetzes.
     • Optional: NETWORK_TAG_NAMES durch die Namen der Netzwerktags, wenn Sie diese mit einem Job verknüpft haben.

  3. Stellen Sie den Job mit folgendem Befehl noch einmal bereit:

     gcloud run jobs replace job.yaml

• So entfernen Sie nur die Netzwerk-Tags, während der Job mit dem VPC-Netzwerk verbunden bleibt:

  1. Laden Sie die YAML-Konfiguration des Jobs herunter:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Entfernen Sie die Variable tags aus dem Inhalt der job.yaml-Datei und lassen Sie die Variablen network und subnetwork an ihrem Ort, wie im folgenden Beispiel gezeigt:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Ersetzen Sie Folgendes:

     • NETWORK ist der Name des VPC-Netzwerks.
     • SUBNET: Der Name Ihres Subnetzes.

  3. Stellen Sie den Job mit folgendem Befehl noch einmal bereit:

     gcloud run jobs replace job.yaml