Sortie VPC directe avec un réseau VPC

Console

1. Dans la console Cloud de Confiance by S3NS , accédez à Cloud Run :

   Accédez à Cloud Run

2. Cliquez sur Créer un service si vous configurez un nouveau service sur lequel effectuer un déploiement. Si vous configurez et déployez un service existant, cliquez sur ce service.

3. Si vous configurez un nouveau service, remplissez la page initiale des paramètres du service selon vos besoins, puis cliquez sur Conteneurs, mise en réseau, sécurité pour développer la page de configuration de service.

4. Cliquez sur l'onglet Réseau.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Dans le champ Réseau, sélectionnez le réseau VPC vers lequel vous souhaitez envoyer du trafic.

8. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre service reçoit des adresses IP. Vous pouvez déployer plusieurs services sur le même sous-réseau.

9. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos services. Les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.

10. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes :

    • N'acheminez que les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC.
    • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC.

11. Cliquez sur Créer pour un nouveau service. Cliquez sur Afficher les différences et redéployer, puis sur Déployer les modifications pour un service existant.

12. Pour vérifier que votre service se trouve sur votre réseau VPC, cliquez sur le service, puis sur l'onglet Mise en réseau. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

    Vous pouvez désormais envoyer des requêtes à partir de votre service Cloud Run vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

gcloud

YAML

1. Si vous créez un service, ignorez cette étape. Si vous mettez à jour un service existant, téléchargez sa configuration YAML :

   gcloud run services describe SERVICE --format export > service.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Remplacez :

   • SERVICE_NAME par le nom de votre service Cloud Run. Les noms de service doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre service Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom de votre réseau VPC ; Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau.
   • SUBNET par le nom de votre sous-réseau. Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un service. Pour les services, les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • IMAGE par l'URL de votre image de conteneur de service.

   Vous pouvez également spécifier d'autres éléments de configuration, tels que des variables d'environnement ou des limites de mémoire.

3. Créez ou mettez à jour le service à l'aide de la commande suivante :

   gcloud run services replace service.yaml

Terraform

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

1. Ajoutez le code ci-dessous à votre fichier main.tf :

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Console

1. Accédez à Cloud Run

2. Si vous configurez un nouveau job, cliquez sur l'onglet Jobs et remplissez la page des paramètres initiaux du job selon vos besoins. Si vous configurez un job existant, cliquez sur celui-ci, puis sur Modifier.

3. Cliquez sur Conteneur, variables et secrets, connexions, sécurité pour développer la page des propriétés du job.

4. Cliquez sur l'onglet Connexions.

5. Cliquez sur Se connecter à un VPC pour le trafic sortant.

6. Cliquez sur Envoyer le trafic directement à un VPC.

7. Dans le champ Réseau, sélectionnez le réseau VPC auquel vous souhaitez envoyer du trafic.

8. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre job reçoit des adresses IP. Vous pouvez exécuter plusieurs jobs sur le même sous-réseau.

9. Dans le champ Routage du trafic, sélectionnez l'une des options suivantes :

   • N'acheminez que les requêtes adressées à des adresses IP privées vers le VPC pour envoyer uniquement le trafic vers des adresses internes via le réseau VPC.
   • Acheminez tout le trafic vers le VPC pour envoyer tout le trafic sortant via le réseau VPC.

10. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos services. Les tags réseau sont spécifiés au niveau de la révision. Chaque révision de service peut avoir des tags réseau différents, tels que network-tag-2.

11. Facultatif : saisissez les noms des tags réseau que vous souhaitez associer à votre ou vos jobs. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.

12. Cliquez sur Créer ou Mettre à jour.

13. Pour vérifier que votre job se trouve sur votre réseau VPC, cliquez sur le job, puis sur l'onglet Configuration. Le réseau et le sous-réseau sont répertoriés dans la fiche VPC.

    Vous pouvez maintenant exécuter votre job Cloud Run et envoyer des requêtes à partir du job vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

gcloud

Pour créer un job Cloud Run sans connecteur à partir de Google Cloud CLI, procédez comme suit :

1. Mettez à jour les composants gcloud vers la dernière version :

   gcloud components update

2. Assurez-vous que l'API Compute Engine est activée pour votre projet :

   gcloud services enable compute.googleapis.com
   

3. Créez un job Cloud Run à l'aide de la commande suivante :

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Remplacez :

   • JOB_NAME par le nom de votre job Cloud Run
   • IMAGE_URL : référence à l'image de conteneur, par exemple us-docker.pkg.dev/cloudrun/container/job:latest
   • NETWORK par le nom de votre réseau VPC ; Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau.
   • SUBNET par le nom de votre sous-réseau. Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • REGION par une région pour votre job.

4. Pour vérifier que le job se trouve sur votre réseau VPC, exécutez la commande suivante :

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Remplacez :

   • JOB_NAME par le nom de votre tâche.
   • REGION par la région de votre job que vous avez spécifié à l'étape précédente.

   Le résultat doit contenir le nom de votre réseau et de votre sous-réseau, par exemple :

   VPC network:
     Network:       default
     Subnet:        default
   

Vous pouvez maintenant exécuter votre job Cloud Run et envoyer des requêtes à partir du job vers n'importe quelle ressource du réseau VPC, conformément à vos règles de pare-feu.

YAML

1. Si vous créez un job, ignorez cette étape. Si vous mettez à jour un job existant, téléchargez sa configuration YAML :

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Mettez à jour les attributs suivants :

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Remplacez :

   • JOB_NAME par le nom de votre job Cloud Run Les noms de job doivent comporter un maximum de 49 caractères et être uniques par région et par projet.
   • REGION par la région de votre job Cloud Run, qui doit correspondre à la région de votre sous-réseau.
   • NETWORK par le nom de votre réseau VPC ; Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau.
   • SUBNET par le nom de votre sous-réseau. Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau.
   • Facultatif: NETWORK_TAG_NAMES par les noms des tags réseau que vous souhaitez associer à un job. Pour les jobs, les tags réseau sont spécifiés au niveau de l'exécution. Chaque exécution de job peut avoir des tags réseau différents, tels que network-tag-2.
   • EGRESS_SETTING par une valeur de paramètre de sortie :
     • all-traffic : achemine tout le trafic sortant via le réseau VPC.
     • private-ranges-only : achemine uniquement le trafic destiné à des adresses internes via le réseau VPC.
   • IMAGE par l'URL de votre image de conteneur de job.

3. Créez ou mettez à jour le job à l'aide de la commande suivante :

   gcloud run jobs replace job.yaml

Console

Pour associer des tags réseau à un service ou à un job, procédez comme suit :

1. Dans la console Cloud de Confiance , accédez à la page Cloud Run.

   Accédez à Cloud Run

2. Cliquez sur le service ou le job auquel vous souhaitez associer des tags réseau, puis sur Modifier pour les jobs.

3. Cliquez sur l'onglet Mise en réseau pour les services ou sur l'onglet Connexions pour les jobs.

4. Assurez-vous d'avoir sélectionné Se connecter à un VPC pour le trafic sortant et Envoyer le trafic directement vers un VPC.

5. Dans le champ Sous-réseau, sélectionnez le sous-réseau à partir duquel votre service reçoit des adresses IP. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau.

6. Dans le champ Tags réseau, saisissez les noms des tags réseau que vous souhaitez associer à votre service ou à votre job.

7. Pour les tâches, cliquez sur Mettre à jour. Pour les services, cliquez sur Afficher les différences et redéployer, puis sur Déployer les modifications.

Pour les services, chaque révision peut avoir un ensemble différent de tags réseau, car ceux-ci sont spécifiés au niveau de la révision. Pour un job, une exécution possède les mêmes tags réseau que le job avait lors de la création de l'exécution.

gcloud

Pour associer des tags réseau à un service ou à un job, exécutez la commande gcloud run deploy :

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

Remplacez les éléments suivants :

• SERVICE_JOB_NAME par le nom de votre service ou de votre job.
• IMAGE_URL par l'URL de l'image du service ou du job.
• NETWORK par le nom de votre réseau VPC ;
• SUBNET par le nom de votre sous-réseau. Spécifiez un réseau VPC ou un sous-réseau, ou les deux. Si vous ne spécifiez qu'un réseau, le sous-réseau utilise le même nom que le réseau. Vous pouvez déployer ou exécuter plusieurs services ou jobs sur le même sous-réseau.
• NETWORK_TAG_NAMES par le nom de votre tag réseau ou liste de tags réseau séparés par une virgule.
• REGION par le nom de votre région.

Pour les services, chaque révision peut avoir un ensemble différent de tags réseau, car ceux-ci sont spécifiés au niveau de la révision. Pour un job, une exécution possède les mêmes tags réseau que le job avait lors de la création de l'exécution.

Console

• Pour supprimer votre service du réseau VPC, procédez comme suit :

  1. Accédez à Cloud Run

  2. Cliquez sur le service.

  3. Cliquez sur l'onglet Réseau.

  4. Désactivez l'option Se connecter à un VPC pour le trafic sortant.

  5. Cliquez sur Afficher les différences et redéployer, puis sur Déployer les modifications.

  6. Pour vérifier que votre service ne se trouve plus sur votre réseau VPC, cliquez sur l'onglet Réseau. Le réseau et le sous-réseau ne sont plus répertoriés dans la fiche VPC.

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC, procédez comme suit :

  1. Cliquez sur le service contenant les tags réseau que vous souhaitez supprimer.

  2. Cliquez sur l'onglet Réseau.

  3. Effacez les noms des tags réseau que vous ne souhaitez plus associer à votre service.

  4. Cliquez sur Afficher les différences et redéployer, puis sur Déployer les modifications.

gcloud

• Pour supprimer votre service du réseau VPC, exécutez la commande suivante :

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC, exécutez la commande suivante :

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Remplacez les éléments suivants :

  • SERVICE_NAME : nom de votre service Cloud Run.
  • REGION : région de votre service Cloud Run.

YAML

• Pour supprimer votre service du réseau VPC, procédez comme suit :

  1. Téléchargez la configuration YAML du service :

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Supprimez le contenu suivant de votre fichier service.yaml :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Lieu

     • NETWORK : nom de votre réseau VPC.
     • SUBNET : nom de votre sous-réseau
     • Facultatif : NETWORK_TAG_NAMES : noms des tags réseau si vous les avez associés à un service.

  3. Déployez la révision du service en exécutant la commande suivante :

     gcloud run services replace service.yaml

• Pour ne supprimer que les tags réseau tout en maintenant le service connecté au réseau VPC, procédez comme suit :

  1. Téléchargez la configuration YAML du service :

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Supprimez la variable tags du contenu de votre fichier service.yaml, en laissant les variables network et subnetwork en place, comme indiqué dans l'exemple suivant :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Lieu

     • NETWORK : nom de votre réseau VPC.
     • SUBNET : nom de votre sous-réseau

  3. Déployez la révision du service en exécutant la commande suivante :

     gcloud run services replace service.yaml

Console

• Pour supprimer votre job du réseau VPC, procédez comme suit :

  1. Accédez à Cloud Run

  2. Cliquez sur le job à supprimer, puis sur Modifier et déployer la nouvelle révision.

  3. Cliquez sur l'onglet Connexions.

  4. Désactivez l'option Se connecter à un VPC pour le trafic sortant.

  5. Cliquez sur Mettre à jour.

  6. Pour vérifier que votre job ne se trouve plus sur votre réseau VPC, cliquez sur l'onglet Configuration. Le réseau et le sous-réseau ne sont plus répertoriés dans la fiche VPC.

• Pour supprimer uniquement les tags réseau tout en maintenant le job connecté au réseau VPC :

  1. Cliquez sur le job contenant les tags réseau à supprimer, puis sur Modifier et déployer la nouvelle révision.

  2. Cliquez sur l'onglet Connexions.

  3. Effacez les noms des tags réseau que vous ne souhaitez plus associer à votre job.

  4. Cliquez sur Mettre à jour.

gcloud

• Pour supprimer votre job du réseau VPC, exécutez la commande suivante :

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Pour ne supprimer que les tags réseau tout en maintenant le job connecté au réseau VPC, exécutez la commande suivante :

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Remplacez les éléments suivants :

  • JOB_NAME par le nom de votre job Cloud Run
  • REGION : région de votre job Cloud Run.

YAML

• Pour supprimer votre job du réseau VPC, procédez comme suit :

  1. Téléchargez la configuration YAML du job :

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Supprimez le contenu suivant de votre fichier job.yaml :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Remplacez les éléments suivants :

     • NETWORK : nom de votre réseau VPC.
     • SUBNET : nom de votre sous-réseau
     • Facultatif : NETWORK_TAG_NAMES par les noms des tags réseau si vous les avez associés à un job.

  3. Mettez à jour le job en exécutant la commande suivante :

     gcloud run jobs replace job.yaml

• Pour supprimer uniquement les tags réseau tout en maintenant le job connecté au réseau VPC :

  1. Téléchargez la configuration YAML du job :

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Supprimez la variable tags du contenu de votre fichier job.yaml, en laissant les variables network et subnetwork en place, comme indiqué dans l'exemple suivant :

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Remplacez les éléments suivants :

     • NETWORK : nom de votre réseau VPC.
     • SUBNET : nom de votre sous-réseau

  3. Mettez à jour le job en exécutant la commande suivante :

     gcloud run jobs replace job.yaml