VPC ישיר עם רשת VPC

המסוף

1. כניסה ל-Cloud Run

2. אם אתם מגדירים שירות חדש שאתם פורסים, לוחצים על יצירת שירות. אם אתם מגדירים ומפעילים שירות קיים, לוחצים על השירות ואז על עריכה והפעלה של גרסה חדשה.

3. אם אתם מגדירים שירות חדש, ממלאים את הדף של הגדרות השירות הראשוניות לפי הצורך, ואז לוחצים על Containers, Networking, Security כדי להרחיב את דף הגדרות השירות.

4. נכנסים לכרטיסייה Networking.

5. לוחצים על Connect to a VPC for outbound traffic (חיבור ל-VPC לתעבורה יוצאת).

6. לוחצים על שליחת תנועה ישירות ל-VPC.

7. בשדה Network (רשת), בוחרים את רשת ה-VPC שאליה רוצים להפנות את התנועה.

8. בשדה רשת משנה, בוחרים את רשת המשנה שדרכה השירות מקבל כתובות IP. אפשר לפרוס כמה שירותים באותה רשת משנה.

9. אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך לשירות או לשירותים. תגי רשת מצוינים ברמת הגרסה. לכל גרסה של שירות יכולים להיות תגי רשת שונים, כמו network-tag-2.

10. בקטע Traffic routing (ניתוב תנועה), בוחרים באחת מהאפשרויות הבאות:

    • הפניית בקשות רק לכתובות IP פרטיות אל ה-VPC כדי לשלוח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
    • העברת כל התעבורה ל-VPC כדי לשלוח את כל התעבורה היוצאת דרך רשת ה-VPC.

11. לוחצים על יצירה או על פריסה.

12. כדי לוודא שהשירות נמצא ברשת ה-VPC, לוחצים על השירות ואז על הכרטיסייה Networking (רשת). הרשת ותת-הרשת מופיעות בכרטיס VPC.

    עכשיו אפשר לשלוח בקשות מהשירות שלכם ב-Cloud Run לכל משאב ברשת ה-VPC, בהתאם למה שמוגדר בכללי חומת האש.

gcloud

YAML

1. אם אתם יוצרים שירות חדש, דלגו על השלב הזה. כדי לעדכן שירות קיים, מורידים את הגדרות ה-YAML שלו:

   gcloud run services describe SERVICE --format export > service.yaml

2. מעדכנים את המאפיינים הבאים:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   מחליפים את:

   • ‫SERVICE_NAME מחליפים בשם של שירות Cloud Run. שמות של שירותים צריכים להיות באורך של עד 49 תווים, והם צריכים להיות ייחודיים לכל אזור ופרויקט.
   • ‫REGION מחליפים באזור של שירות Cloud Run, שחייב להיות זהה לאזור של רשת המשנה.
   • ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, רשת המשנה מקבלת את אותו שם כמו הרשת.
   • SUBNET בשם של רשת המשנה. צריך לציין רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת. אתם יכולים לפרוס או להריץ כמה שירותים או משימות באותה רשת משנה.
   • אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך לשירות. בשירותים, תגי הרשת מצוינים ברמת השינוי. לכל עדכון של שירות יכולים להיות תגי רשת שונים, כמו network-tag-2.
   • EGRESS_SETTING עם ערך של הגדרת יציאה:
     • ‫all-traffic: שליחת כל התעבורה היוצאת דרך רשת ה-VPC.
     • ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
   • IMAGE בכתובת ה-URL של קובץ אימג' של קונטיינר השירות.

   אפשר גם לציין הגדרות נוספות, כמו משתני סביבה או מגבלות זיכרון.

3. יוצרים או מעדכנים את השירות באמצעות הפקודה הבאה:

   gcloud run services replace service.yaml

Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

1. מוסיפים לקובץ main.tf את הנתונים הבאים:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

המסוף

1. כניסה ל-Cloud Run

2. אם אתם מגדירים משימה חדשה, לוחצים על הכרטיסייה משימות וממלאים את הדף של הגדרות המשימה הראשוניות לפי הצורך. אם מגדירים משימה קיימת, לוחצים על המשימה ואז על עריכה.

3. לוחצים על Container, Variables & Secrets, Connections, Security (מאגר, משתנים וסודות, חיבורים, אבטחה) כדי להרחיב את דף מאפייני העבודה.

4. לוחצים על הכרטיסייה Connections (קישורים).

5. לוחצים על Connect to a VPC for outbound traffic (חיבור ל-VPC לתעבורה יוצאת).

6. לוחצים על שליחת תנועה ישירות ל-VPC.

7. בשדה Network (רשת), בוחרים את רשת ה-VPC שאליה רוצים לשלוח את התנועה.

8. בשדה Subnet (רשת משנה), בוחרים את רשת המשנה שממנה המשימה מקבלת כתובות IP. אפשר להריץ כמה משימות באותה רשת משנה.

9. בקטע Traffic routing (ניתוב תנועה), בוחרים באחת מהאפשרויות הבאות:

   • הפניית בקשות רק לכתובות IP פרטיות אל ה-VPC כדי לשלוח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
   • העברת כל התעבורה ל-VPC כדי לשלוח את כל התעבורה היוצאת דרך רשת ה-VPC.

10. אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך לשירות או לשירותים. תגי רשת מצוינים ברמת הגרסה. לכל גרסה של שירות יכולים להיות תגי רשת שונים, כמו network-tag-2.

11. אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך למשרה או למשרות. לגבי משימות, תגי הרשת מוגדרים ברמת הביצוע. לכל הפעלה של עבודה יכולים להיות תגים שונים של רשתות, כמו network-tag-2.

12. לוחצים על יצירה או על עדכון.

13. כדי לוודא שהעבודה נמצאת ברשת ה-VPC, לוחצים על העבודה ואז על הכרטיסייה הגדרות. הרשת ותת-הרשת מופיעות בכרטיס VPC.

    עכשיו אפשר להריץ את העבודה ב-Cloud Run ולשלוח בקשות מהעבודה לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

gcloud

כדי ליצור משימת Cloud Run בלי מחבר מ-Google Cloud CLI:

1. מעדכנים את הרכיבים של gcloud לגרסה האחרונה:

   gcloud components update

2. מוודאים ש-Compute Engine API מופעל בפרויקט:

   gcloud services enable compute.googleapis.com
   

3. יוצרים משימת Cloud Run באמצעות הפקודה הבאה:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   מחליפים את:

   • ‫JOB_NAME מחליפים בשם של משימת Cloud Run.
   • ‫IMAGE_URL: הפניה לקובץ אימג' של קונטיינר, לדוגמה us-docker.pkg.dev/cloudrun/container/job:latest
   • ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת.
   • SUBNET בשם של רשת המשנה. צריך לציין רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת. אתם יכולים לפרוס או להריץ כמה שירותים או משימות באותה רשת משנה.
   • אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך למשרה. לגבי משימות, תגי הרשת מצוינים ברמת ההפעלה. לכל הרצה של עבודה יכולים להיות תגי רשת שונים, כמו network-tag-2.
   • EGRESS_SETTING עם ערך של הגדרת יציאה:
     • ‫all-traffic: שליחת כל התעבורה היוצאת דרך רשת ה-VPC.
     • ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
   • ‫REGION עם אזור לחיפוש משרות.

4. כדי לוודא שהעבודה נמצאת ברשת ה-VPC, מריצים את הפקודה הבאה:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   מחליפים את:

   • JOB_NAME בשם של הג'וב.
   • ‫REGION באזור של המשרה שציינתם בשלב הקודם.

   הפלט צריך להכיל את השם של הרשת ושל רשת המשנה, לדוגמה:

   VPC network:
     Network:       default
     Subnet:        default
   

עכשיו אפשר להריץ את משימת Cloud Run ולשלוח בקשות מהמשימה לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

YAML

1. אם אתם יוצרים משרה חדשה, דלגו על השלב הזה. אם אתם מעדכנים משימה קיימת, אתם צריכים להוריד את הגדרת ה-YAML שלה:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. מעדכנים את המאפיינים הבאים:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   מחליפים את:

   • ‫JOB_NAME מחליפים בשם של משימת Cloud Run. שמות המשרות צריכים להיות באורך של עד 49 תווים, והם צריכים להיות ייחודיים לכל אזור ופרויקט.
   • ‫REGION עם האזור של משימת Cloud Run, שחייב להיות זהה לאזור של רשת המשנה.
   • ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, רשת המשנה מקבלת את אותו שם כמו הרשת.
   • SUBNET בשם של רשת המשנה. צריך לציין רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת. אתם יכולים לפרוס או להריץ כמה שירותים או משימות באותה רשת משנה.
   • אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך למשרה. לגבי משימות, תגי הרשת מצוינים ברמת ההפעלה. לכל הרצה של עבודה יכולים להיות תגי רשת שונים, כמו network-tag-2.
   • EGRESS_SETTING עם ערך של הגדרת יציאה:
     • ‫all-traffic: שליחת כל התעבורה היוצאת דרך רשת ה-VPC.
     • ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
   • IMAGE בכתובת ה-URL של קובץ האימג' בקונטיינר של העבודה.

3. יוצרים או מעדכנים את העבודה באמצעות הפקודה הבאה:

   gcloud run jobs replace job.yaml

המסוף

כדי לשייך תגי רשת לשירות או לעבודה:

1. נכנסים לדף Cloud Run במסוף Cloud de Confiance .

   כניסה ל-Cloud Run

2. לוחצים על השירות או על המשימה שרוצים לשייך להם תגי רשת, ואז לוחצים על עריכה ופריסה של עדכון חדש בשביל שירותים או על עריכה בשביל משימות.

3. לוחצים על הכרטיסייה Networking (רשת) בשביל שירותים, או על הכרטיסייה Connections (חיבורים) בשביל משרות.

4. מוודאים שסימנתם את האפשרויות Connect to a VPC for outbound traffic (התחברות ל-VPC לתעבורה יוצאת) ו-Send traffic directly to a VPC (שליחת תעבורה ישירות ל-VPC).

5. בשדה Subnet (תת-רשת), בוחרים את תת-הרשת שממנה השירות מקבל כתובות IP. אפשר לפרוס או להפעיל כמה שירותים או משימות באותה רשת משנה.

6. בשדה Network tags, מזינים את השמות של תגי הרשת שרוצים לשייך לשירות או לעבודה.

7. לוחצים על פריסה או על עדכון.

במקרה של שירותים, לכל עדכון של שירות יכול להיות סט שונה של תגי רשת, כי תגי רשת מצוינים ברמת העדכון. לגבי משימות, לביצוע של משימה יש את אותם תגי רשת שהיו למשימה כשנוצר הביצוע של המשימה.

gcloud

כדי לשייך תגי רשת לשירות או לעבודה, משתמשים בפקודה gcloud run deploy:

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

• SERVICE_JOB_NAME בשם של השירות או המשימה.
• ‫IMAGE_URL עם כתובת ה-URL של התמונה של השירות או המשרה.
• ‫NETWORK מחליפים בשם של רשת ה-VPC.
• SUBNET בשם של רשת המשנה. צריך לציין רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת. אתם יכולים לפרוס או להריץ כמה שירותים או משימות באותה רשת משנה.
• ‫NETWORK_TAG_NAMES עם השם של תג הרשת או רשימה של תגי רשת שמופרדים בפסיקים.
• REGION בשם האזור.

במקרה של שירותים, לכל עדכון של שירות יכול להיות סט שונה של תגי רשת, כי תגי רשת מצוינים ברמת העדכון. לגבי משימות, לביצוע של משימה יש את אותם תגי רשת שהיו למשימה כשנוצר הביצוע של המשימה.

המסוף

• כדי להסיר את השירות מרשת ה-VPC:

  1. כניסה ל-Cloud Run

  2. לוחצים על השירות שרוצים להסיר ואז על עריכה ופריסה של גרסה חדשה.

  3. נכנסים לכרטיסייה Networking.

  4. מבטלים את הסימון של Connect to a VPC for outbound traffic (חיבור ל-VPC לתעבורה יוצאת).

  5. לוחצים על פריסה.

  6. כדי לוודא שהשירות כבר לא נמצא ברשת ה-VPC, לוחצים על הכרטיסייה Networking. הרשת ותת-הרשת לא מופיעות יותר בכרטיס VPC.

• כדי להסיר רק את תגי הרשת ולהשאיר את השירות מחובר לרשת ה-VPC:

  1. לוחצים על השירות שמכיל את תגי הרשת שרוצים להסיר, ואז לוחצים על עריכה ופריסה של עדכון חדש.

  2. נכנסים לכרטיסייה Networking.

  3. מוחקים את השמות של תגי הרשת שרוצים לבטל את השיוך שלהם לשירות.

  4. לוחצים על פריסה.

gcloud

• כדי להסיר את השירות מרשת ה-VPC, מריצים את הפקודה הבאה:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• כדי להסיר רק את תגי הרשת ולהשאיר את השירות מחובר לרשת ה-VPC, מריצים את הפקודה הבאה:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_NAME: השם של שירות Cloud Run.
  • ‫REGION: האזור של שירות Cloud Run.

YAML

• כדי להסיר את השירות מרשת ה-VPC:

  1. מורידים את הגדרות ה-YAML של השירות:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. צריך להסיר את התוכן הבא מהקובץ service.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     כאשר:

     • ‫NETWORK: השם של רשת ה-VPC
     • ‫SUBNET: השם של רשת המשנה.
     • אופציונלי: NETWORK_TAG_NAMES: השמות של תגי הרשת אם שייכתם אותם לשירות.

  3. מריצים את הפקודה הבאה כדי לפרוס את עדכון השירות:

     gcloud run services replace service.yaml

• כדי להסיר רק את תגי הרשת ולהשאיר את השירות מחובר לרשת ה-VPC:

  1. מורידים את הגדרות ה-YAML של השירות:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. מסירים את המשתנה tags מהתוכן בקובץ service.yaml, ומשאירים את המשתנים network ו-subnetwork במקומם, כמו בדוגמה הבאה:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     כאשר:

     • ‫NETWORK: השם של רשת ה-VPC
     • ‫SUBNET: השם של רשת המשנה.

  3. מריצים את הפקודה הבאה כדי לפרוס את עדכון השירות:

     gcloud run services replace service.yaml

המסוף

• כדי להסיר את העבודה מרשת ה-VPC:

  1. כניסה ל-Cloud Run

  2. לוחצים על המשימה שרוצים להסיר ואז על עריכה ופריסה של גרסה חדשה.

  3. לוחצים על הכרטיסייה Connections (קישורים).

  4. מבטלים את הסימון של Connect to a VPC for outbound traffic (חיבור ל-VPC לתעבורה יוצאת).

  5. לוחצים על עדכון.

  6. כדי לוודא שהעבודה כבר לא ברשת ה-VPC, לוחצים על הכרטיסייה Configuration. הרשת ותת-הרשת לא מופיעות יותר בכרטיס VPC.

• כדי להסיר רק את תגי הרשת ולהשאיר את המשימה מחוברת לרשת ה-VPC:

  1. לוחצים על המשימה שמכילה את תגי הרשת שרוצים להסיר, ואז לוחצים על Edit and deploy new revision (עריכה ופריסה של גרסה חדשה).

  2. לוחצים על הכרטיסייה Connections (קישורים).

  3. מוחקים את השמות של תגי הרשת שאתם לא רוצים יותר לשייך למשרה.

  4. לוחצים על עדכון.

gcloud

• כדי להסיר את העבודה מרשת ה-VPC, מריצים את הפקודה הבאה:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• כדי להסיר רק את תגי הרשת ולהשאיר את העבודה מחוברת לרשת ה-VPC, מריצים את הפקודה הבאה:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫JOB_NAME: השם של המשימה ב-Cloud Run.
  • ‫REGION: האזור של המשימה ב-Cloud Run.

YAML

• כדי להסיר את העבודה מרשת ה-VPC:

  1. מורידים את הגדרות ה-YAML של המשימה:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. צריך להסיר את התוכן הבא מהקובץ job.yaml:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫NETWORK: השם של רשת ה-VPC
     • ‫SUBNET: השם של רשת המשנה.
     • אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת אם שייכתם אותם למשרה.

  3. מעדכנים את העבודה על ידי הרצת הפקודה הבאה:

     gcloud run jobs replace job.yaml

• כדי להסיר רק את תגי הרשת ולהשאיר את המשימה מחוברת לרשת ה-VPC:

  1. מורידים את הגדרות ה-YAML של המשימה:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. מסירים את המשתנה tags מהתוכן בקובץ job.yaml, ומשאירים את המשתנים network ו-subnetwork במקומם, כמו בדוגמה הבאה:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫NETWORK: השם של רשת ה-VPC
     • ‫SUBNET: השם של רשת המשנה.

  3. מעדכנים את העבודה על ידי הרצת הפקודה הבאה:

     gcloud run jobs replace job.yaml