Ligue-se a uma rede de VPC

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Clique em Criar conetor.

3. No campo Nome, introduza um nome para o conector, de acordo com as convenções de nomenclatura do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífens (-) contam como dois carateres.

4. No campo Região, selecione uma região para o conetor. Tem de corresponder à região do seu serviço sem servidor.

   Se o seu serviço ou trabalho estiver na região us-central ou europe-west, use us-central1 ou europe-west1.

5. No campo Rede, selecione a rede VPC à qual quer anexar o conetor.

6. No campo Sub-rede, selecione uma das seguintes opções:

   • Crie um conetor com uma sub-rede existente: selecione a sub-rede existente no campo Sub-rede.

   • Crie um conetor e uma nova sub-rede: selecione Intervalo de IP personalizado no campo Sub-rede. Em seguida, introduza o primeiro endereço num /28CIDR não usado (por exemplo, 10.8.0.0/28) para usar como o intervalo de endereços IPv4 principal de uma nova sub-rede que Google Cloud cria na rede VPC do conetor. Certifique-se de que o intervalo de IPs não entra em conflito com nenhuma rota existente na rede VPC do conector. O nome da nova sub-rede começa com o prefixo "aet-".

7. (Opcional) Para definir opções de dimensionamento para um controlo adicional do conector, clique em Mostrar definições de dimensionamento para apresentar o formulário de dimensionamento.

   1. Defina o número mínimo e máximo de instâncias para o seu conetor, ou use os valores predefinidos, que são 2 (mínimo) e 10 (máximo). O conetor é dimensionado até ao máximo especificado se a utilização do tráfego o exigir, mas o conetor não é redimensionado quando o tráfego diminui. Tem de usar valores entre 2 e 10.
   2. No menu Tipo de instância, escolha o tipo de máquina a usar para o conetor ou use o valor predefinido e2-micro. Repare na barra lateral de custos à direita quando escolher o tipo de instância, que apresenta estimativas de largura de banda e custos.

8. Clique em Criar.

9. É apresentada uma marca de verificação verde junto ao nome do conector quando este estiver pronto a ser usado.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Atualize os componentes do gcloud para a versão mais recente:

   gcloud components update

3. Certifique-se de que a API Serverless VPC Access está ativada para o seu projeto:

   gcloud services enable vpcaccess.googleapis.com

4. Crie o conetor através de uma das seguintes opções:

   Para mais detalhes e argumentos opcionais, consulte a gcloud referência.

   • Crie um conetor com uma sub-rede existente:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Substitua o seguinte:

     • CONNECTOR_NAME: um nome para o conector, que corresponda às convenções de nomenclatura> do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífenes (-) contam como dois carateres.
     • REGION: uma região para o conetor, correspondente à região do seu serviço ou tarefa sem servidor. Se o seu serviço ou trabalho for em us-central ou europe-west, use us-central1 ou europe-west1.
     • SUBNET_NAME: o nome da sub-rede existente.
     • HOST_PROJECT_ID: o ID do projeto anfitrião da VPC partilhada. Se o conetor e a sub-rede existente estiverem localizados no mesmo projeto, omita a flag --subnet-project.
     • MIN: o número mínimo de instâncias a usar para o conector. Use um número inteiro entre 2(o valor predefinido) e 9.
     • MAX: o número máximo de instâncias a usar para o conector. Use um número inteiro entre 3 e 10 (o valor predefinido). Se o conetor for dimensionado até ao número máximo de instâncias, não é novamente dimensionado para baixo.
     • MACHINE_TYPE: tem de ser um dos seguintes: f1-micro, e2-micro ou e2-standard-4.

   • Crie um conetor e uma nova sub-rede:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Substitua o seguinte:

     • CONNECTOR_NAME: um nome para o conector, que corresponda às convenções de nomenclatura> do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífenes (-) contam como dois carateres.
     • REGION: uma região para o conetor, correspondente à região do seu serviço ou tarefa sem servidor. Se o seu serviço ou trabalho for em us-central ou europe-west, use us-central1 ou europe-west1.
     • VPC_NETWORK: o nome da rede VPC à qual anexar o conetor. O conetor e a rede VPC têm de estar localizados no mesmo projeto.
     • IP_RANGE: forneça um CIDR /28 não usado (por exemplo, 10.8.0.0/28) para usar como o intervalo de endereços IPv4 principal de uma nova sub-rede que Google Cloud cria na rede VPC do conector. Certifique-se de que o intervalo de IP não entra em conflito com nenhuma rota existente na rede VPC do conector. O nome da nova sub-rede começa com o prefixo "aet-".
     • MIN: o número mínimo de instâncias a usar para o conector. Use um número inteiro entre 2(o valor predefinido) e 9.
     • MAX: o número máximo de instâncias a usar para o conector. Use um número inteiro entre 3 e 10 (o valor predefinido). Se o conetor for dimensionado até ao número máximo de instâncias, não é novamente dimensionado para baixo.
     • MACHINE_TYPE: tem de ser um dos seguintes: f1-micro, e2-micro ou e2-standard-4.

5. Verifique se o conetor está no estado READY antes de o usar:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Substitua o seguinte:

   • CONNECTOR_NAME: o nome do conector; este é o nome que especificou no passo anterior.
   • REGION: a região do seu conector. Esta é a região que especificou no passo anterior.

   A saída deve conter a linha state: READY.

Terraform

Pode usar um recurso do Terraform para ativar a API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Pode usar módulos do Terraform para criar uma rede VPC e uma sub-rede e, em seguida, criar o conetor.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 12.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 12.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Consola

1. Na Google Cloud consola, aceda ao Cloud Run:

   Aceda ao Cloud Run

2. Selecione Serviços no menu e clique em Implementar contentor para configurar um novo serviço. Se estiver a configurar um serviço existente, clique no serviço e, de seguida, em Editar e implementar nova revisão.

3. Se estiver a configurar um novo serviço, preencha a página de definições iniciais do serviço e, de seguida, clique em Contentores, volumes, rede, segurança para expandir a página de configuração do serviço.

4. Clique no separador Ligações.

   

   • No campo Conector de VPC, selecione um conector a usar ou selecione Nenhum para desassociar o seu serviço de uma rede de VPC.

5. Clique em Criar ou Implementar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para especificar um conetor durante a implementação, use a flag --vpc-connector:

   gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

   • Substitua SERVICE pelo nome do seu serviço.
   • Substituir IMAGE_URL.
   • Substitua CONNECTOR_NAME pelo nome do seu conetor. Se o seu conetor estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o nome totalmente especificado, por exemplo:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     onde HOST_PROJECT_ID é o ID do projeto anfitrião, CONNECTOR_REGION é a região do seu conetor e CONNECTOR_NAME é o nome que atribuiu ao conetor.

   Para anexar, atualizar ou remover um conector para um serviço existente, use o comando gcloud run services update com qualquer uma das seguintes flags, conforme necessário:

   • --vpc-connector
   • --clear-vpc-connector

   Por exemplo, para anexar ou atualizar um conetor:

   gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

   • Substitua SERVICE pelo nome do seu serviço.
   • Substitua CONNECTOR_NAME pelo nome do seu conetor.

YAML

1. Se estiver a criar um novo serviço, ignore este passo. Se estiver a atualizar um serviço existente, transfira a respetiva configuração YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Adicione ou atualize o atributo run.googleapis.com/vpc-access-connector no atributo annotations no atributo spec de nível superior:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   • Substitua SERVICE pelo nome do seu serviço do Cloud Run.
   • Substitua CONNECTOR_NAME pelo nome do seu conetor. Se o seu conetor estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o nome totalmente especificado, por exemplo:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     onde HOST_PROJECT_ID é o ID do projeto anfitrião, CONNECTOR_REGION é a região do seu conetor e CONNECTOR_NAME é o nome que atribuiu ao conetor.

3. Substitua o serviço pela respetiva nova configuração através do seguinte comando:

   gcloud beta run services replace service.yaml

Terraform

Pode usar um recurso do Terraform para criar um serviço e configurá-lo para usar o seu conector.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Consola

1. Aceda à página de vista geral das funções do Cloud Run na Google Cloud consola:

   Aceder às funções do Cloud Run

2. Clique em Criar função. Em alternativa, clique numa função existente para aceder à respetiva página de detalhes e clique em Editar.

3. Expanda as definições avançadas clicando em DEFINIÇÕES DE TEMPO DE EXECUÇÃO, COMPILAÇÃO E LIGAÇÕES.

4. No separador Ligações, em Definições de saída, introduza o nome do conetor no campo Conetor de VPC.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Use o comando gcloud functions deploy para implementar a função e especifique a flag --vpc-connector:

   gcloud functions deploy FUNCTION_NAME \
   --vpc-connector CONNECTOR_NAME \
   FLAGS...
   

   where:

   • FUNCTION_NAME é o nome da sua função.
   • CONNECTOR_NAME é o nome do seu conetor. Se o seu conetor estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o nome totalmente especificado, por exemplo:

     projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

     onde HOST_PROJECT_ID é o ID do projeto anfitrião, CONNECTOR_REGION é a região do seu conetor e CONNECTOR_NAME é o nome que atribuiu ao conetor.
   • FLAGS... refere-se a outras flags que transmite durante a implementação de funções.

Python 2

1. Descontinue a utilização do serviço URL Fetch do App Engine.

   Por predefinição, todos os pedidos são encaminhados através do serviço URL Fetch. Isto faz com que os pedidos à sua rede VPC falhem. Para desativar esta predefinição, consulte o artigo Desativar a obtenção de URLs do tratamento de todos os pedidos de saída.

   Ainda pode usar a biblioteca urlfetch diretamente para pedidos individuais, se necessário. No entanto, isto não é recomendado.

2. Adicione o campo de acesso a VPC sem servidor ao seu ficheiro app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Substitua o seguinte:

   • PROJECT_ID com o ID do seu Google Cloud projeto. Se o conector estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o ID do projeto anfitrião.
   • REGION com a região em que o conetor se encontra.
   • CONNECTOR_NAME com o nome do conetor.

3. Implemente o serviço:

   gcloud app deploy

   Depois de implementar o serviço, este pode enviar pedidos para endereços IP internos para aceder a recursos na sua rede VPC.

Java 8

1. Descontinue a utilização do serviço de obtenção de URL do App Engine URLFetchService.

2. Adicione o elemento de acesso a VPC sem servidor ao ficheiro appengine-web.xml do seu serviço:

   <vpc-access-connector>
   <name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
   </vpc-access-connector>
   

   Substitua o seguinte:

   • PROJECT_ID com o ID do seu Google Cloud projeto. Se o conector estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o ID do projeto anfitrião.
   • REGION com a região em que o conetor se encontra.
   • CONNECTOR_NAME com o nome do conetor.

3. Implemente o serviço:

   gcloud app deploy WEB-INF/appengine-web.xml

   Depois de implementar o serviço, este pode enviar pedidos para endereços IP internos para aceder a recursos na sua rede VPC.

Go 1.11

1. Descontinue a utilização do serviço URL Fetch do App Engine.

   O Acesso a VPC sem servidor não suporta a obtenção de URLs e os pedidos feitos através da obtenção de URLs ignoram as definições do Acesso a VPC sem servidor. Em alternativa, estabeleça ligações de saída com sockets.

2. Adicione o campo de acesso a VPC sem servidor ao seu ficheiro app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Substitua o seguinte:

   • PROJECT_ID com o seu Google Cloud ID do projeto
   • REGION com a região em que o conetor se encontra
   • CONNECTOR_NAME com o nome do conetor

3. Implemente o serviço:

   gcloud app deploy

   Depois de implementar o serviço, este pode enviar pedidos para endereços IP internos para aceder a recursos na sua rede VPC.

Todos os outros tempos de execução

1. Adicione o campo de acesso a VPC sem servidor ao seu ficheiro app.yaml:

   vpc_access_connector:
    name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   Substitua o seguinte:

   • PROJECT_ID com o ID do seu Google Cloud projeto. Se o conector estiver no projeto anfitrião de uma VPC partilhada, este tem de ser o ID do projeto anfitrião.
   • REGION com a região em que o conetor se encontra.
   • CONNECTOR_NAME com o nome do conetor.

2. Implemente o serviço:

   gcloud app deploy

   Depois de implementar o serviço, este pode enviar pedidos para endereços IP internos para aceder a recursos na sua rede VPC.

Etiquetas de rede

Os passos seguintes mostram como criar regras de entrada que restringem o acesso de um conector à sua rede VPC com base nas etiquetas de rede do conector.

1. Certifique-se de que tem as autorizações necessárias para inserir regras de firewall. Tem de ter uma das seguintes funções de gestão de identidade e de acesso (IAM):

   • Função de administrador de segurança de computação
   • Função IAM personalizada com a autorização compute.firewalls.create ativada

2. Recuse o tráfego do conector na sua rede de VPC.

   Crie uma regra de firewall de entrada com uma prioridade inferior a 1000 na sua rede da VPC para recusar a entrada a partir da etiqueta da rede do conector. Isto substitui a regra de firewall implícita que o acesso a VPC sem servidor cria na sua rede VPC por predefinição.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, deny-vpc-connector.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

     Para fins de segurança e validação, também pode configurar regras de recusa para bloquear o tráfego dos seguintes protocolos não suportados: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_NETWORK_TAG: a etiqueta de rede do conetor universal se quiser restringir o acesso a todos os conetores (incluindo quaisquer conetores criados no futuro) ou a etiqueta de rede exclusiva se quiser restringir o acesso a um conetor específico.

     • Etiqueta de rede universal: vpc-connector

     • Etiqueta de rede exclusiva: vpc-connector-REGION-CONNECTOR_NAME

       Substituição:

       • REGION: a região do conector que quer restringir
       • CONNECTOR_NAME: o nome do conector que quer restringir

     Para saber mais acerca das etiquetas de rede de conetores, consulte o artigo Etiquetas de rede.

   • VPC_NETWORK: o nome da sua rede VPC

   • PRIORITY: um número inteiro entre 0 e 65535. Por exemplo, 0 define a prioridade mais elevada.

3. Permita o tráfego do conetor para o recurso que deve receber o tráfego do conetor.

   Use as flags allow e target-tags para criar uma regra de firewall de entrada que segmenta o recurso na sua rede VPC ao qual quer que o conetor VPC aceda. Defina a prioridade desta regra como um valor inferior à prioridade da regra que criou no passo anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

   • VPC_CONNECTOR_NETWORK_TAG: a etiqueta de rede do conetor universal, se quiser restringir o acesso a todos os conetores (incluindo quaisquer conetores criados no futuro), ou a etiqueta de rede exclusiva, se quiser restringir o acesso a um conetor específico. Tem de corresponder à etiqueta de rede que especificou no passo anterior.

     • Etiqueta de rede universal: vpc-connector

     • Etiqueta de rede exclusiva: vpc-connector-REGION-CONNECTOR_NAME

       Substituição:

       • REGION: a região do conector que quer restringir
       • CONNECTOR_NAME: o nome do conector que quer restringir

     Para saber mais acerca das etiquetas de rede de conetores, consulte o artigo Etiquetas de rede.

   • VPC_NETWORK: o nome da sua rede VPC

   • RESOURCE_TAG: a etiqueta de rede para o recurso de VPC ao qual quer que o conetor de VPC aceda

   • PRIORITY: um número inteiro inferior à prioridade que definiu no passo anterior. Por exemplo, se definir a prioridade da regra criada no passo anterior como 990, experimente 980.

Para mais informações acerca das flags obrigatórias e opcionais para criar regras de firewall, consulte a documentação do gcloud compute firewall-rules create.

Intervalo CIDR

Os passos seguintes mostram como criar regras de entrada que restringem o acesso de um conector à sua rede VPC com base no intervalo CIDR do conector.

1. Certifique-se de que tem as autorizações necessárias para inserir regras de firewall. Tem de ter uma das seguintes funções de gestão de identidade e de acesso (IAM):

   • Função de administrador de segurança de computação
   • Função IAM personalizada com a autorização compute.firewalls.create ativada

2. Recuse o tráfego do conector na sua rede de VPC.

   Crie uma regra de firewall de entrada com uma prioridade inferior a 1000 na sua rede da VPC para negar a entrada a partir do intervalo CIDR do conector. Isto substitui a regra de firewall implícita que o acesso a VPC sem servidor cria na sua rede VPC por predefinição.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, deny-vpc-connector.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

     Para fins de segurança e validação, também pode configurar regras de recusa para bloquear o tráfego dos seguintes protocolos não suportados: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_CIDR_RANGE: o intervalo CIDR do conector cujo acesso está a restringir

   • VPC_NETWORK: o nome da sua rede VPC

   • PRIORITY: um número inteiro entre 0 e 65535. Por exemplo, 0 define a prioridade mais elevada.

3. Permita o tráfego do conetor para o recurso que deve receber o tráfego do conetor.

   Use as flags allow e target-tags para criar uma regra de firewall de entrada que segmenta o recurso na sua rede VPC ao qual quer que o conetor VPC aceda. Defina a prioridade desta regra como um valor inferior à prioridade da regra que criou no passo anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

   • VPC_CONNECTOR_CIDR_RANGE: o intervalo CIDR do conector cujo acesso está a restringir

   • VPC_NETWORK: o nome da sua rede VPC

   • RESOURCE_TAG: a etiqueta de rede para o recurso de VPC ao qual quer que o conetor de VPC aceda

   • PRIORITY: um número inteiro inferior à prioridade que definiu no passo anterior. Por exemplo, se definir a prioridade da regra criada no passo anterior como 990, experimente 980.

Para mais informações sobre as flags obrigatórias e opcionais para criar regras de firewall, consulte a documentação do gcloud compute firewall-rules create.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer editar e clique em Editar.

3. Na lista Tipo de instância, selecione o tipo de máquina (instância) preferido. Para saber mais sobre os tipos de máquinas disponíveis, consulte a documentação sobre débito e escalabilidade.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para atualizar o tipo de máquina do conetor, execute o seguinte comando no seu terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Substitua o seguinte:
   • CONNECTOR_NAME: o nome do conetor
   • REGION: o nome da região do conector
   • MACHINE_TYPE: o seu tipo de máquina preferido. Para saber mais sobre os tipos de máquinas disponíveis, consulte a documentação sobre débito e escalabilidade.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer editar e clique em Editar.

3. No campo Instâncias mínimas, selecione o número mínimo de instâncias preferido.

   O valor mais pequeno possível para este campo é o valor atual. O maior valor possível para este campo é o valor atual no campo Máximo de instâncias menos 1. Por exemplo, se o valor no campo Máximo de instâncias for 8, o maior valor possível para o campo Mínimo de instâncias é 7.

4. No campo Máximo de instâncias, selecione o número máximo de instâncias preferido.

   O valor mais pequeno possível para este campo é o valor atual. O valor máximo possível para este campo é 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para aumentar o número mínimo ou máximo de instâncias do conector, execute o seguinte comando no terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Substitua o seguinte:

• CONNECTOR_NAME: o nome do conetor
• REGION: o nome da região do conector
• MIN_INSTANCES: o número mínimo preferencial de instâncias.
  • O valor mais pequeno possível para este campo é o valor atual de min_instances. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.
  • O maior valor possível para este campo é o valor atual de max_instances menos 1, porque min_instances tem de ser inferior a max_instances. Por exemplo, se max_instances for 8, o maior valor possível para este campo é 7. Se o conector usar o valor predefinido de max-instances 10, o maior valor possível deste campo é 9. Para encontrar o valor de max-instances, consulte Encontre os valores dos atributos atuais.

• MAX_INSTANCES:

  • O valor mais pequeno possível para este campo é o valor atual de max_instances. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.
  • O maior valor possível para este campo é 10.

  Se quiser apenas aumentar o número mínimo de instâncias, mas não o número máximo, tem de especificar o número máximo de instâncias. Por outro lado, se quiser atualizar apenas o número máximo de instâncias, mas não o mínimo, tem de especificar o número mínimo de instâncias. Para manter o número mínimo ou máximo de instâncias no respetivo valor atual, especifique o valor atual. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor na Google Cloud consola:

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer eliminar.

3. Clique em Eliminar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Use o seguinte comando gcloud para eliminar um conetor:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Substitua o seguinte:

   • CONNECTOR_NAME com o nome do conetor que quer eliminar
   • REGION com a região onde o conetor está localizado

Consola

1. Aceda ao Cloud Run

2. Clique em Criar serviço se estiver a configurar um novo serviço para o qual está a implementar. Se estiver a configurar e implementar um serviço existente, clique no serviço e, de seguida, em Editar e implementar nova revisão.

3. Se estiver a configurar um novo serviço, preencha a página de definições iniciais do serviço conforme necessário e, de seguida, clique em Contentores, volumes, rede, segurança para expandir a página de configuração do serviço.

4. Clique no separador Rede.

5. Clique em Ligar a uma VPC para tráfego de saída.

6. Clique em Enviar tráfego diretamente para uma VPC.

7. No campo Rede, selecione a rede VPC para a qual quer enviar tráfego.

8. No campo Sub-rede, selecione a sub-rede a partir da qual o seu serviço recebe endereços IP. Pode implementar vários serviços na mesma sub-rede.

9. Opcional: introduza os nomes das etiquetas de rede que quer associar ao seu serviço ou serviços. As etiquetas de rede são especificadas ao nível da revisão. Cada revisão do serviço pode ter etiquetas de rede diferentes, como network-tag-2.

10. Para Encaminhamento de tráfego, selecione uma das seguintes opções:

    • Encaminhe apenas pedidos para IPs privados para a VPC para enviar apenas tráfego para endereços internos através da rede VPC.
    • Encaminhe todo o tráfego para a VPC para enviar todo o tráfego de saída através da rede de VPC.

11. Clique em Criar ou Implementar.

12. Para verificar se o seu serviço está na rede VPC, clique no serviço e, de seguida, clique no separador Redes. A rede e a sub-rede estão listadas no cartão VPC.

    Já pode enviar pedidos do seu serviço do Cloud Run para qualquer recurso na rede VPC, conforme permitido pelas regras da firewall.

gcloud

Para implementar um serviço do Cloud Run sem um conetor a partir da CLI do Google Cloud:

1. Atualize os componentes do gcloud para a versão mais recente:

   gcloud components update

2. Certifique-se de que a API Compute Engine está ativada para o seu projeto:

   gcloud services enable compute.googleapis.com
   

3. Implemente o seu serviço do Cloud Run com o seguinte comando:

   gcloud run deploy SERVICE_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Substituição:

   • SERVICE_NAME com o nome do seu serviço do Cloud Run.
   • IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se usar o Artifact Registry, o repositório REPO_NAMEtem de já estar criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
   • Opcional: NETWORK com o nome da sua rede de VPC. Especifique uma rede de VPC ou uma sub-rede, ou ambas. Se especificar apenas uma rede, a sub-rede usa o mesmo nome que a rede.
   • Opcional: SUBNET com o nome da sua sub-rede. A sub-rede tem de ser /26 ou maior. A saída direta da VPC suporta intervalos IPv4 RFC 1918, RFC 6598 e Classe E. Pode implementar ou executar vários serviços ou tarefas na mesma sub-rede, mas a sub-rede não pode ser partilhada por nenhum conector existente.
   • Opcional: NETWORK_TAG_NAMES com os nomes separados por vírgulas das etiquetas de rede que quer associar a um serviço. Para serviços, as etiquetas de rede são especificadas ao nível da revisão. Cada revisão do serviço pode ter etiquetas de rede diferentes, como network-tag-2.
   • EGRESS_SETTING com um valor de definição de saída:
     • all-traffic: envia todo o tráfego de saída através da rede VPC.
     • private-ranges-only: envia apenas tráfego para endereços internos através da rede VPC.
   • REGION com uma região para o seu serviço.

4. Para verificar se o seu serviço está na rede VPC, execute o seguinte comando:

   gcloud run services describe SERVICE_NAME \
   --region=REGION

   Substituição:

   • SERVICE_NAME com o nome do seu serviço.
   • REGION com a região do seu serviço que especificou no passo anterior.

   O resultado deve conter o nome da sua rede, sub-rede e definição de saída, por exemplo:

   VPC access:
     Network:       default
     Subnet:        subnet
     Egress:        private-ranges-only
   

Já pode enviar pedidos do seu serviço do Cloud Run para qualquer recurso na rede VPC, conforme permitido pelas regras da firewall.

YAML

1. Se estiver a criar um novo serviço, ignore este passo. Se estiver a atualizar um serviço existente, transfira a respetiva configuração YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Atualize os seguintes atributos:

   apiVersion: serving.knative.dev/v1
     kind: Service
     metadata:
       name: SERVICE_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Substituição:

   • SERVICE_NAME com o nome do seu serviço do Cloud Run. Os nomes dos serviços têm de ter 49 carateres ou menos e têm de ser únicos por região e projeto.
   • REGION com a região do seu serviço do Cloud Run, que tem de corresponder à região da sua sub-rede.
   • Opcional: NETWORK com o nome da sua rede de VPC. Especifique uma rede de VPC ou uma sub-rede, ou ambas. Se especificar apenas uma rede, a sub-rede usa o mesmo nome que a rede.
   • Opcional: SUBNET com o nome da sua sub-rede. A sub-rede tem de ser /26 ou maior. A saída direta da VPC suporta intervalos IPv4 RFC 1918, RFC 6598 e Classe E. Pode implementar ou executar vários serviços ou tarefas na mesma sub-rede, mas a sub-rede não pode ser partilhada por nenhum conector existente.
   • Opcional: NETWORK_TAG_NAMES com os nomes das etiquetas de rede que quer associar a um serviço. Para serviços, as etiquetas de rede são especificadas ao nível da revisão. Cada revisão do serviço pode ter etiquetas de rede diferentes, como network-tag-2.
   • EGRESS_SETTING com um valor de definição de saída:
     • all-traffic: envia todo o tráfego de saída através da rede VPC.
     • private-ranges-only: envia apenas tráfego para endereços internos através da rede VPC.
   • IMAGE com o URL da imagem do contentor de serviços.

   Também pode especificar mais configurações, como variáveis de ambiente ou limites de memória.

3. Crie ou atualize o serviço com o seguinte comando:

   gcloud run services replace service.yaml

Terraform

Para saber como aplicar ou remover uma configuração do Terraform, consulte os comandos básicos do Terraform.

1. Adicione o seguinte ao ficheiro main.tf:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Consola

1. Aceda ao Cloud Run

2. Se estiver a configurar uma nova tarefa, clique no separador Tarefas e preencha a página de definições iniciais da tarefa conforme necessário. Se estiver a configurar uma tarefa existente, clique na tarefa e, de seguida, em Editar.

3. Clique em Recipiente, variáveis e segredos, ligações, segurança para expandir a página de propriedades da tarefa.

4. Clique no separador Ligações.

5. Clique em Ligar a uma VPC para tráfego de saída.

6. Clique em Enviar tráfego diretamente para uma VPC.

7. No campo Rede, selecione a rede de VPC para a qual quer enviar tráfego.

8. No campo Sub-rede, selecione a sub-rede a partir da qual a tarefa recebe endereços IP. Pode executar várias tarefas na mesma sub-rede.

9. Para Encaminhamento de tráfego, selecione uma das seguintes opções:

   • Encaminhe apenas pedidos para IPs privados para a VPC para enviar apenas tráfego para endereços internos através da rede VPC.
   • Encaminhe todo o tráfego para a VPC para enviar todo o tráfego de saída através da rede de VPC.

10. Opcional: introduza os nomes das etiquetas de rede que quer associar ao seu serviço ou serviços. As etiquetas de rede são especificadas ao nível da revisão. Cada revisão do serviço pode ter etiquetas de rede diferentes, como network-tag-2.

11. Opcional: introduza os nomes das etiquetas de rede que quer associar à sua tarefa ou tarefas. Para trabalhos, as etiquetas de rede são especificadas ao nível da execução. Cada execução de tarefa pode ter etiquetas de rede diferentes, como network-tag-2.

12. Clique em Criar ou Atualizar.

13. Para verificar se a tarefa está na sua rede VPC, clique na tarefa e, de seguida, clique no separador Configuração. A rede e a sub-rede estão indicadas no cartão VPC.

    Já pode executar a tarefa do Cloud Run e enviar pedidos da tarefa para qualquer recurso na rede da VPC, conforme permitido pelas regras de firewall.

gcloud

Para criar uma tarefa do Cloud Run sem um conector a partir da CLI do Google Cloud:

1. Atualize os componentes do gcloud para a versão mais recente:

   gcloud components update

2. Certifique-se de que a API Compute Engine está ativada para o seu projeto:

   gcloud services enable compute.googleapis.com
   

3. Crie uma tarefa do Cloud Run com o seguinte comando:

   gcloud run jobs create JOB_NAME \
   --image=IMAGE_URL \
   --network=NETWORK \
   --subnet=SUBNET \
   --network-tags=NETWORK_TAG_NAMES \
   --vpc-egress=EGRESS_SETTING \
   --region=REGION

   Substituição:

   • JOB_NAME com o nome da tarefa do Cloud Run.
   • IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/job:latest
   • Opcional: NETWORK com o nome da sua rede de VPC. Especifique uma rede de VPC ou uma sub-rede, ou ambas. Se especificar apenas uma rede, a sub-rede usa o mesmo nome que a rede.
   • Opcional: SUBNET com o nome da sua sub-rede. A sub-rede tem de ser /26 ou maior. A saída direta da VPC suporta intervalos IPv4 RFC 1918, RFC 6598 e Classe E. Pode implementar ou executar vários serviços ou tarefas na mesma sub-rede, mas a sub-rede não pode ser partilhada por nenhum conector existente.
   • Opcional: NETWORK_TAG_NAMES com os nomes das etiquetas de rede que quer associar a uma tarefa. Para trabalhos, as etiquetas de rede são especificadas ao nível da execução. Cada execução de tarefa pode ter etiquetas de rede diferentes, como network-tag-2.
   • EGRESS_SETTING com um valor de definição de saída:
     • all-traffic: envia todo o tráfego de saída através da rede VPC.
     • private-ranges-only: envia apenas tráfego para endereços internos através da rede VPC.
   • REGION com uma região para o seu trabalho.

4. Para verificar se a tarefa está na sua rede VPC, execute o seguinte comando:

   gcloud run jobs describe JOB_NAME \
     --region=REGION
     

   Substituição:

   • JOB_NAME com o nome do seu trabalho.
   • REGION com a região do seu trabalho que especificou no passo anterior.

   A saída deve conter o nome da sua rede e sub-rede, por exemplo:

   VPC network:
     Network:       default
     Subnet:        default
   

Já pode executar a tarefa do Cloud Run e enviar pedidos da tarefa para qualquer recurso na rede da VPC, conforme permitido pelas regras de firewall.

YAML

1. Se estiver a criar uma nova tarefa, ignore este passo. Se estiver a atualizar uma tarefa existente, transfira a respetiva configuração YAML:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Atualize os seguintes atributos:

   apiVersion: run.googleapis.com/v1
     kind: Job
     metadata:
       name: JOB_NAME
       labels:
         cloud.googleapis.com/location: REGION
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         spec:
           containers:
           - image: IMAGE

   Substituição:

   • JOB_NAME com o nome da tarefa do Cloud Run. Os nomes das tarefas têm de ter 49 carateres ou menos e têm de ser exclusivos por região e projeto.
   • REGION com a região da sua tarefa do Cloud Run, que tem de corresponder à região da sua sub-rede.
   • Opcional: NETWORK com o nome da sua rede de VPC. Especifique uma rede de VPC ou uma sub-rede, ou ambas. Se especificar apenas uma rede, a sub-rede usa o mesmo nome que a rede.
   • Opcional: SUBNET com o nome da sua sub-rede. A sub-rede tem de ser /26 ou maior. A saída direta da VPC suporta intervalos IPv4 RFC 1918, RFC 6598 e Classe E. Pode implementar ou executar vários serviços ou tarefas na mesma sub-rede, mas a sub-rede não pode ser partilhada por nenhum conector existente.
   • Opcional: NETWORK_TAG_NAMES com os nomes das etiquetas de rede que quer associar a uma tarefa. Para trabalhos, as etiquetas de rede são especificadas ao nível da execução. Cada execução de tarefa pode ter etiquetas de rede diferentes, como network-tag-2.
   • EGRESS_SETTING com um valor de definição de saída:
     • all-traffic: envia todo o tráfego de saída através da rede VPC.
     • private-ranges-only: envia apenas tráfego para endereços internos através da rede VPC.
   • IMAGE com o URL da imagem do contentor do seu trabalho.

3. Crie ou atualize a tarefa através do seguinte comando:

   gcloud run jobs replace job.yaml