直連虛擬私有雲與虛擬私有雲網路

控制台

1. 前往 Cloud de Confiance by S3NS 控制台的「Cloud Run」頁面：

   前往 Cloud Run。

2. 如要設定要部署的新服務，請按一下「Create Service」(建立服務)。如要設定及部署現有服務，請按一下該服務。

3. 如要設定新服務，請視需要填寫初始服務設定頁面，然後按一下「Containers, Networking, Security」(容器、網路、安全性)，展開服務設定頁面。

4. 按一下 [網路] 分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 在「Network」(網路) 欄位中，選取要傳送流量的虛擬私有雲網路。

8. 在「Subnet」(子網路) 欄位中，選取服務接收 IP 位址的子網路。您可以在同一個子網路上部署多項服務。

9. 選用：輸入要與服務建立關聯的網路標記名稱。網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。

10. 在「流量轉送」部分，選取下列其中一個選項：

    • 僅將傳至私人 IP 的要求轉送至虛擬私有雲：僅透過虛擬私有雲網路將流量傳送至內部位址。
    • 將所有流量轉送至虛擬私有雲，透過虛擬私有雲網路傳送所有傳出流量。

11. 按一下「建立」，建立新服務。依序點選「查看差異並重新部署」和「部署變更」，即可更新現有服務。

12. 如要確認服務是否位於虛擬私有雲網路，請按一下服務，然後點選「Networking」(網路) 分頁標籤。網路和子網路會列在「VPC」資訊卡中。

    現在，您可以從 Cloud Run 服務傳送要求至虛擬私有雲網路上的任何資源，只要防火牆規則允許即可。

gcloud

YAML

1. 如果您要建立新服務，請略過這個步驟。如要更新現有服務，請下載其 YAML 設定：

   gcloud run services describe SERVICE --format export > service.yaml

2. 更新下列屬性：

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   更改項目：

   • SERVICE_NAME 替換為 Cloud Run 服務名稱。服務名稱不得超過 49 個字元，且每個區域和專案的服務名稱不得重複。
   • REGION 替換為 Cloud Run 服務的區域，必須與子網路的區域相符。
   • 將 NETWORK 替換為虛擬私有雲網路名稱。指定虛擬私有雲網路或子網路，或兩者皆指定。如果只指定網路，子網路會使用與網路相同的名稱。
   • 將 SUBNET 替換為子網路名稱。指定虛擬私有雲網路和/或子網路。如果只指定網路，子網路會使用與網路相同的名稱。您可以在同一個子網路上部署或執行多個 服務或工作 。
   • 選用：NETWORK_TAG_NAMES 是要與服務建立關聯的網路標記名稱。如果是服務，網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配輸出設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：僅透過虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE：服務容器映像檔的網址。

   您也可以指定更多設定，例如環境變數或記憶體限制。

3. 使用下列指令建立或更新服務：

   gcloud run services replace service.yaml

Terraform

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

1. 請將以下內容新增到您的 main.tf 檔案中：

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

控制台

1. 前往 Cloud Run。

2. 如要設定新工作，請按一下「Jobs」(工作) 分頁標籤，並視需要填寫初始工作設定頁面。如要設定現有工作，請按一下該工作，然後按一下「Edit」(編輯)。

3. 按一下「Container, Variables & Secrets, Connections, Security」(容器、變數和密鑰、連線、安全性)，展開工作屬性頁面。

4. 按一下「連線」分頁標籤。

5. 按一下「連線至虛擬私有雲，以傳出流量」。

6. 按一下「直接將流量傳送至虛擬私有雲」。

7. 在「Network」(網路) 欄位中，選取要傳送流量的虛擬私有雲網路。

8. 在「Subnet」(子網路) 欄位中，選取工作接收 IP 位址的子網路。您可以在同一個子網路上執行多項工作。

9. 在「流量轉送」部分，選取下列其中一個選項：

   • 僅將傳至私人 IP 的要求轉送至虛擬私有雲：僅透過虛擬私有雲網路將流量傳送至內部位址。
   • 將所有流量轉送至虛擬私有雲，透過虛擬私有雲網路傳送所有傳出流量。

10. 選用：輸入要與服務建立關聯的網路標記名稱。網路標記是在修訂版本層級指定。每個服務修訂版本都可以有不同的網路標記，例如 network-tag-2。

11. 選用：輸入要與工作建立關聯的網路標記名稱。如果是工作，則是在執行層級指定網路標記。每項工作執行作業都可以有不同的網路標記，例如 network-tag-2。

12. 按一下「建立」或「更新」。

13. 如要確認工作是否位於虛擬私有雲網路，請按一下工作，然後點選「Configuration」(設定) 分頁標籤。網路和子網路會列在「VPC」資訊卡中。

    現在可以執行 Cloud Run 工作，並從工作傳送要求至虛擬私有雲網路上的任何資源，只要防火牆規則允許即可。

gcloud

如要透過 Google Cloud CLI 建立不含連接器的 Cloud Run 工作，請按照下列步驟操作：

1. 將 gcloud 元件更新到最新版本：

   gcloud components update

2. 確認專案已啟用 Compute Engine API：

   gcloud services enable compute.googleapis.com
   

3. 使用下列指令建立 Cloud Run 工作：

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   更改項目：

   • 將 JOB_NAME 替換為 Cloud Run 工作名稱。
   • IMAGE_URL：容器映像檔的參照，例如 us-docker.pkg.dev/cloudrun/container/job:latest
   • 將 NETWORK 替換為虛擬私有雲網路名稱。指定虛擬私有雲網路和/或子網路。如果只指定網路，子網路會使用與網路相同的名稱。
   • 將 SUBNET 替換為子網路名稱。指定虛擬私有雲網路和/或子網路。如果只指定網路，子網路會使用與網路相同的名稱。您可以在同一個子網路上部署或執行多個 服務或工作 。
   • 選用：將 NETWORK_TAG_NAMES 替換為要與工作建立關聯的網路標記名稱。如果是工作，網路標記是在執行層級指定。每項工作執行作業可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配輸出設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：僅透過虛擬私有雲網路將流量傳送至內部位址。
   • REGION：工作所在的區域。

4. 如要確認工作是否在虛擬私有雲網路上，請執行下列指令：

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   更改項目：

   • 將 JOB_NAME 替換成工作名稱。
   • REGION：您在上一個步驟中指定的工作區域。

   輸出內容應包含網路和子網路的名稱，例如：

   VPC network:
     Network:       default
     Subnet:        default
   

現在可以執行 Cloud Run 工作，並從工作傳送要求至虛擬私有雲網路上的任何資源，只要防火牆規則允許即可。

YAML

1. 如果您要建立新工作，請略過這個步驟。如要更新現有工作，請下載其 YAML 設定：

   gcloud run jobs describe JOB --format export > job.yaml

2. 更新下列屬性：

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   更改項目：

   • 將 JOB_NAME 替換為 Cloud Run 工作名稱。工作名稱不得超過 49 個字元，且每個區域和專案中的名稱不得重複。
   • REGION 替換為 Cloud Run 工作的區域，該區域必須與子網路的區域相符。
   • 將 NETWORK 替換為虛擬私有雲網路名稱。指定虛擬私有雲網路或子網路，或兩者皆指定。如果只指定網路，子網路會使用與網路相同的名稱。
   • 將 SUBNET 替換為子網路名稱。指定虛擬私有雲網路和/或子網路。如果只指定網路，子網路會使用與網路相同的名稱。您可以在同一個子網路上部署或執行多個 服務或工作 。
   • 選用：將 NETWORK_TAG_NAMES 替換為要與工作建立關聯的網路標記名稱。如果是工作，網路標記是在執行層級指定。每項工作執行作業可以有不同的網路標記，例如 network-tag-2。
   • EGRESS_SETTING 搭配輸出設定值：
     • all-traffic：透過虛擬私有雲網路傳送所有傳出流量。
     • private-ranges-only：僅透過虛擬私有雲網路將流量傳送至內部位址。
   • IMAGE：工作容器映像檔的網址。

3. 使用下列指令建立或更新工作：

   gcloud run jobs replace job.yaml

控制台

如要將網路標記與服務或工作建立關聯，請按照下列步驟操作：

1. 前往 Cloud de Confiance 控制台的「Cloud Run」頁面。

   前往 Cloud Run。

2. 按一下要與網路標記建立關聯的服務或工作，然後按一下「Edit」(編輯)。

3. 如果是服務，請按一下「Networking」(網路) 分頁標籤；如果是工作，請按一下「Connections」(連線) 分頁標籤。

4. 確認已選取「連線至虛擬私有雲，以傳出流量」和「直接將流量傳送至虛擬私有雲」。

5. 在「Subnet」(子網路) 欄位中，選取服務接收 IP 位址的子網路。您可以在同一個子網路上部署或執行多項服務或工作。

6. 在「Network tags」(網路標記) 欄位中，輸入要與服務或工作建立關聯的網路標記名稱。

7. 如果是工作，請按一下「更新」。如果是服務，請依序點選「View diff & redeploy」(查看差異並重新部署) 和「Deploy changes」(部署變更)。

如果是服務，每個服務修訂版本都可以有一組不同的網路標記，因為網路標記是在修訂版本層級指定。如果是工作，工作執行作業的網路標記會與建立工作執行作業時的網路標記相同。

gcloud

如要將網路標記與服務或工作建立關聯，請使用 gcloud run deploy 指令：

gcloud run deploy SERVICE_JOB_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --region=REGION

更改下列內容：

• 將 SERVICE_JOB_NAME 替換成服務或工作名稱。
• IMAGE_URL：服務或工作的圖片網址。
• NETWORK：虛擬私有雲網路名稱。
• 將 SUBNET 替換為子網路名稱。指定虛擬私有雲網路和/或子網路。如果只指定網路，子網路會使用與網路相同的名稱。您可以在同一個子網路上部署或執行多個 服務或工作 。
• NETWORK_TAG_NAMES 替換為網路標記名稱，或以半形逗號分隔的網路標記清單。
• 將 REGION 替換為區域名稱。

如果是服務，每個服務修訂版本都可以有一組不同的網路標記，因為網路標記是在修訂版本層級指定。如果是工作，工作執行作業的網路標記會與建立工作執行作業時的標記相同。

控制台

• 如要從虛擬私有雲網路移除服務，請按照下列步驟操作：

  1. 前往 Cloud Run。

  2. 按一下所需服務。

  3. 按一下 [網路] 分頁標籤。

  4. 清除「連線至虛擬私有雲，以傳出流量」。

  5. 依序點選「查看差異並重新部署」和「部署變更」。

  6. 如要確認服務已不在虛擬私有雲網路上，請按一下「Networking」(網路) 分頁標籤。「VPC」卡片中不會再列出網路和子網路。

• 如要只移除網路標記，同時保留服務與虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 按一下要移除網路標記的服務。

  2. 按一下 [網路] 分頁標籤。

  3. 清除不想再與服務建立關聯的網路標記名稱。

  4. 依序點選「查看差異並重新部署」和「部署變更」。

gcloud

• 如要從虛擬私有雲網路中移除服務，請執行下列指令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• 如要只移除網路標記，但保留服務與虛擬私有雲網路的連線，請執行下列指令：

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  更改下列內容：

  • SERVICE_NAME：Cloud Run 服務的名稱。
  • REGION：Cloud Run 服務的區域。

YAML

• 如要從虛擬私有雲網路移除服務，請按照下列步驟操作：

  1. 下載服務的 YAML 設定：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 從 service.yaml 檔案中移除下列內容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     地點

     • NETWORK：虛擬私有雲網路的名稱。
     • SUBNET：子網路名稱。
     • 選用：NETWORK_TAG_NAMES：網路標記的名稱 (如果您已將標記與服務建立關聯)。

  3. 執行下列指令，部署服務修訂版本：

     gcloud run services replace service.yaml

• 如要移除網路標記，但保留服務與虛擬私有雲網路的連線，請按照下列步驟操作：

  1. 下載服務的 YAML 設定：

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. 從 service.yaml 檔案的內容中移除 tags 變數，保留 network 和 subnetwork 變數，如以下範例所示：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     地點

     • NETWORK：虛擬私有雲網路的名稱。
     • SUBNET：子網路名稱。

  3. 執行下列指令，部署服務修訂版本：

     gcloud run services replace service.yaml

控制台

• 如要從虛擬私有雲網路中移除工作，請按照下列步驟操作：

  1. 前往 Cloud Run。

  2. 按一下要移除的工作，然後點選「Edit and deploy new revision」(編輯及部署新的修訂版本)。

  3. 按一下「連線」分頁標籤。

  4. 清除「連線至虛擬私有雲，以傳出流量」。

  5. 按一下「Update」。

  6. 如要確認工作已不在虛擬私有雲網路中，請按一下「Configuration」(設定) 分頁標籤。「VPC」資訊卡中不會再列出該網路和子網路。

• 如要只移除網路標記，但保留工作與虛擬私有雲網路的連線：

  1. 按一下含有要移除網路標記的工作，然後點選「Edit and deploy new revision」(編輯及部署新的修訂版本)。

  2. 按一下「連線」分頁標籤。

  3. 清除不再與工作建立關聯的網路標記名稱。

  4. 按一下「Update」。

gcloud

• 如要從虛擬私有雲網路移除工作，請執行下列指令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• 如要移除網路標記，但保留工作與虛擬私有雲網路的連線，請執行下列指令：

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  更改下列內容：

  • JOB_NAME：Cloud Run 工作名稱。
  • REGION：Cloud Run 工作的區域。

YAML

• 如要從虛擬私有雲網路中移除工作，請按照下列步驟操作：

  1. 下載工作的 YAML 設定：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 從 job.yaml 檔案中移除下列內容：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     更改下列內容：

     • NETWORK：虛擬私有雲網路的名稱。
     • SUBNET：子網路名稱。
     • 選用：如果網路標記與工作相關聯，請將 NETWORK_TAG_NAMES 替換為網路標記名稱。

  3. 執行下列指令來更新工作：

     gcloud run jobs replace job.yaml

• 如要只移除網路標記，但保留工作與虛擬私有雲網路的連線：

  1. 下載工作的 YAML 設定：

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. 從 job.yaml 檔案的內容中移除 tags 變數，保留 network 和 subnetwork 變數，如以下範例所示：

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     更改下列內容：

     • NETWORK：虛擬私有雲網路的名稱。
     • SUBNET：子網路名稱。

  3. 執行下列指令來更新工作：

     gcloud run jobs replace job.yaml