VPC com conetores

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Clique em Criar conetor.

3. No campo Nome, introduza um nome para o conector, de acordo com as convenções de nomenclatura do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífens (-) contam como dois carateres.

4. No campo Região, selecione uma região para o conetor. Tem de corresponder à região do seu serviço sem servidor.

   Se o seu serviço ou trabalho estiver na região us-central ou europe-west, use us-central1 ou europe-west1.

5. No campo Rede, selecione a rede VPC à qual quer anexar o conetor.

6. No campo Sub-rede, selecione uma das seguintes opções:

   • Crie um conetor com uma sub-rede existente: selecione a sub-rede existente no campo Sub-rede.

   • Crie um conetor e uma nova sub-rede: selecione Intervalo de IP personalizado no campo Sub-rede. Em seguida, introduza o primeiro endereço num /28CIDR não usado (por exemplo, 10.8.0.0/28) para usar como o intervalo de endereços IPv4 principal de uma nova sub-rede que Google Cloud cria na rede VPC do conetor. Certifique-se de que o intervalo de IPs não entra em conflito com nenhuma rota existente na rede VPC do conector. O nome da nova sub-rede começa com o prefixo "aet-".

7. (Opcional) Para definir opções de dimensionamento para um controlo adicional do conector, clique em Mostrar definições de dimensionamento para apresentar o formulário de dimensionamento.

   1. Defina o número mínimo e máximo de instâncias para o seu conetor, ou use os valores predefinidos, que são 2 (mínimo) e 10 (máximo). O conetor é dimensionado até ao máximo especificado se a utilização do tráfego o exigir, mas o conetor não é redimensionado quando o tráfego diminui. Tem de usar valores entre 2 e 10.
   2. No menu Tipo de instância, escolha o tipo de máquina a usar para o conetor ou use o valor predefinido e2-micro. Repare na barra lateral de custos à direita quando escolher o tipo de instância, que apresenta estimativas de largura de banda e custos.

8. Clique em Criar.

9. É apresentada uma marca de verificação verde junto ao nome do conector quando este estiver pronto a usar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Atualize os componentes do gcloud para a versão mais recente:

   gcloud components update

3. Certifique-se de que a API Serverless VPC Access está ativada para o seu projeto:

   gcloud services enable vpcaccess.googleapis.com

4. Crie o conetor através de uma das seguintes opções:

   Para mais detalhes e argumentos opcionais, consulte a gcloud referência.

   • Crie um conetor com uma sub-rede existente:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Substitua o seguinte:

     • CONNECTOR_NAME: um nome para o conector, que corresponda às convenções de nomenclatura> do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífens (-) contam como dois carateres.
     • REGION: uma região para o conetor, correspondente à região do seu serviço ou tarefa sem servidor. Se o seu serviço ou trabalho for em us-central ou europe-west, use us-central1 ou europe-west1.
     • SUBNET_NAME: o nome da sub-rede existente.
     • HOST_PROJECT_ID: o ID do projeto anfitrião da VPC partilhada. Se o conetor e a sub-rede existente estiverem localizados no mesmo projeto, omita a flag --subnet-project.
     • MIN: o número mínimo de instâncias a usar para o conector. Use um número inteiro entre 2(o valor predefinido) e 9.
     • MAX: o número máximo de instâncias a usar para o conector. Use um número inteiro entre 3 e 10 (o valor predefinido). Se o conetor for dimensionado até ao número máximo de instâncias, não é redimensionado novamente.
     • MACHINE_TYPE: tem de ser um dos seguintes: f1-micro, e2-micro ou e2-standard-4.

   • Crie um conetor e uma nova sub-rede:

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     Substitua o seguinte:

     • CONNECTOR_NAME: um nome para o conector, que corresponda às convenções de nomenclatura> do Compute Engine, com os requisitos adicionais de que o nome tem de ter menos de 21 carateres e que os hífens (-) contam como dois carateres.
     • REGION: uma região para o conetor, correspondente à região do seu serviço ou tarefa sem servidor. Se o seu serviço ou trabalho for em us-central ou europe-west, use us-central1 ou europe-west1.
     • VPC_NETWORK: o nome da rede VPC à qual anexar o conetor. O conetor e a rede VPC têm de estar localizados no mesmo projeto.
     • IP_RANGE: forneça um CIDR /28 não usado (por exemplo, 10.8.0.0/28) para usar como o intervalo de endereços IPv4 principal de uma nova sub-rede que Google Cloud cria na rede VPC do conector. Certifique-se de que o intervalo de IP não entra em conflito com nenhuma rota existente na rede VPC do conector. O nome da nova sub-rede começa com o prefixo "aet-".
     • MIN: o número mínimo de instâncias a usar para o conector. Use um número inteiro entre 2(o valor predefinido) e 9.
     • MAX: o número máximo de instâncias a usar para o conector. Use um número inteiro entre 3 e 10 (o valor predefinido). Se o conetor for dimensionado até ao número máximo de instâncias, não é redimensionado novamente.
     • MACHINE_TYPE: tem de ser um dos seguintes: f1-micro, e2-micro ou e2-standard-4.

5. Verifique se o conetor está no estado READY antes de o usar:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   Substitua o seguinte:

   • CONNECTOR_NAME: o nome do conector; este é o nome que especificou no passo anterior.
   • REGION: a região do seu conector. Esta é a região que especificou no passo anterior.

   A saída deve conter a linha state: READY.

Terraform

Pode usar um recurso do Terraform para ativar a API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Pode usar módulos do Terraform para criar uma rede VPC e uma sub-rede e, em seguida, criar o conetor.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 10.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 10.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Consola

1. Na Google Cloud consola, aceda ao Cloud Run:

   Aceda ao Cloud Run

2. Selecione Serviços no menu e clique em Implementar contentor para configurar um novo serviço. Se estiver a configurar um serviço existente, clique no serviço e, de seguida, em Editar e implementar nova revisão.

3. Se estiver a configurar um novo serviço, preencha a página de definições iniciais do serviço e, de seguida, clique em Contentores, volumes, rede, segurança para expandir a página de configuração do serviço.

4. Clique no separador Rede.

   

   • No campo Rede, escolha uma das seguintes opções no menu:
     • Para desassociar o seu serviço de uma rede de VPC, selecione Nenhum.
     • Para usar um conector existente, selecione-o na lista pendente ou selecione Personalizado para usar um conector existente que não é apresentado na lista pendente.
     • Para criar um novo conector, selecione Adicionar novo conector de VPC. Consulte o artigo Crie um conetor do Acesso a VPC sem servidor para ver detalhes sobre como criar um conetor.
     • Para Encaminhamento de tráfego, selecione uma das seguintes opções:
       • Encaminhe apenas pedidos para IPs privados para a VPC para enviar apenas tráfego para endereços internos através da rede VPC.
       • Encaminhe todo o tráfego para a VPC para enviar todo o tráfego de saída através da rede de VPC.

5. Clique em Criar ou Implementar.

gcloud

Para especificar um conetor durante a implementação, use a flag --vpc-connector:

gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Substitua o seguinte:

• SERVICE: o nome do seu serviço.
• IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se usar o Artifact Registry, o repositório REPO_NAMEtem de já estar criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: o nome do seu conetor.

Para anexar, atualizar ou remover um conector para um serviço existente, use o comando gcloud run services update com qualquer uma das seguintes flags, conforme necessário:

• --vpc-connector
• --clear-vpc-connector

Por exemplo, para anexar ou atualizar um conetor:

gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

Substitua o seguinte:

• SERVICE: o nome do seu serviço.
• CONNECTOR_NAME: o nome do seu conetor.

YAML

1. Se estiver a criar um novo serviço, ignore este passo. Se estiver a atualizar um serviço existente, transfira a respetiva configuração YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Adicione ou atualize o atributo run.googleapis.com/vpc-access-connector no atributo annotations no atributo spec de nível superior:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
         name: REVISION

   Substitua o seguinte:

   • SERVICE: o nome do seu serviço do Cloud Run.
   • CONNECTOR_NAME: o nome do seu conetor.
   • REVISION com um novo nome de revisão ou elimine-o (se existir). Se fornecer um novo nome de revisão, este tem de cumprir os seguintes critérios:
     • Começa com SERVICE-
     • Contém apenas letras minúsculas, números e -
     • Não termina com um -
     • Não exceder 63 carateres

3. Crie ou atualize o serviço com o seguinte comando:

   gcloud run services replace service.yaml

Terraform

Pode usar um recurso do Terraform para criar um serviço e configurá-lo para usar o seu conector.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Consola

1. Na Google Cloud consola, aceda à página Tarefas do Cloud Run:

   Aceda ao Cloud Run

2. Selecione Tarefas no menu e clique em Implementar contentor para preencher a página de definições iniciais da tarefa. Se estiver a configurar uma tarefa existente, selecione a tarefa e, de seguida, clique em Editar.

3. Clique em Recipientes, volumes, ligações, segurança para expandir a página de propriedades da tarefa.

4. Clique no separador Ligações.

   

   • No campo Rede, escolha uma das seguintes opções no menu:
     • Para desassociar a tarefa de uma rede VPC, selecione Nenhum.
     • Para usar um conector existente, selecione-o na lista pendente ou selecione Personalizado para usar um conector existente que não é apresentado na lista pendente.
     • Para criar um novo conector, selecione Adicionar novo conector de VPC.
       Consulte o artigo Crie um conetor do Acesso a VPC sem servidor para ver detalhes sobre como criar um conetor.

5. Clique em Criar ou Atualizar.

gcloud

Para especificar um conector durante a implementação da tarefa, use a flag --vpc-connector:

gcloud run jobs create JOB --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Substitua o seguinte:

• JOB: o nome da sua profissão.
• IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se usar o Artifact Registry, o repositório REPO_NAMEtem de já estar criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: o nome do seu conetor.

Para anexar, atualizar ou remover um conector para um serviço existente, use o comando gcloud run jobs update com qualquer uma das seguintes flags, conforme necessário:

• --vpc-connector
• --clear-vpc-connector

Por exemplo, para anexar ou atualizar um conetor:

gcloud run jobs update JOB --vpc-connector CONNECTOR_NAME

Substitua o seguinte:

• JOB: o nome da sua profissão.
• CONNECTOR_NAME: o nome do seu conetor.

YAML

Pode transferir e ver uma configuração de tarefa existente através do comando gcloud run jobs describe --format export, que produz resultados limpos no formato YAML. Em seguida, pode modificar os campos descritos abaixo e carregar o YAML modificado através do comando gcloud run jobs replace. Certifique-se de que modifica apenas os campos conforme documentado.

1. Para ver e transferir a configuração:

   gcloud run jobs describe JOB --format export > job.yaml

2. Adicione ou atualize o atributo run.googleapis.com/vpc-access-connector no atributo annotations no atributo spec de nível superior:

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   Substitua o seguinte:

   • JOB: o nome da sua tarefa do Cloud Run.
   • CONNECTOR_NAME: o nome do conector. O atributo run.googleapis.com/vpc-access-connector é obrigatório quando especifica uma definição de saída.

3. Substitua a tarefa pela respetiva nova configuração através do seguinte comando:

   gcloud run jobs replace job.yaml

Etiquetas de rede

Os passos seguintes mostram como criar regras de entrada que restringem o acesso de um conector à sua rede VPC com base nas etiquetas de rede do conector.

1. Certifique-se de que tem as autorizações necessárias para inserir regras de firewall. Tem de ter uma das seguintes funções de gestão de identidade e de acesso (IAM):

   • Função de administrador de segurança de computação
   • Função IAM personalizada com a autorização compute.firewalls.create ativada

2. Recuse o tráfego do conector na sua rede de VPC.

   Crie uma regra de firewall de entrada com uma prioridade inferior a 1000 na sua rede da VPC para recusar a entrada da etiqueta da rede do conector. Isto substitui a regra de firewall implícita que o acesso a VPC sem servidor cria na sua rede VPC por predefinição.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, deny-vpc-connector.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

     Para fins de segurança e validação, também pode configurar regras de recusa para bloquear o tráfego dos seguintes protocolos não suportados: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_NETWORK_TAG: a etiqueta de rede do conetor universal se quiser restringir o acesso a todos os conetores (incluindo quaisquer conetores criados no futuro) ou a etiqueta de rede exclusiva se quiser restringir o acesso a um conetor específico.

     • Etiqueta de rede universal: vpc-connector

     • Etiqueta de rede exclusiva: vpc-connector-REGION-CONNECTOR_NAME

       Substituir:

       • REGION: a região do conector que quer restringir
       • CONNECTOR_NAME: o nome do conector que quer restringir

     Para saber mais acerca das etiquetas de rede de conetores, consulte o artigo Etiquetas de rede.

   • VPC_NETWORK: o nome da sua rede VPC

   • PRIORITY: um número inteiro entre 0 e 65535. Por exemplo, 0 define a prioridade mais elevada.

3. Permita o tráfego do conetor para o recurso que deve receber o tráfego do conetor.

   Use as flags allow e target-tags para criar uma regra de firewall de entrada que segmenta o recurso na sua rede VPC ao qual quer que o conetor VPC aceda. Defina a prioridade desta regra para um valor inferior à prioridade da regra criada no passo anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

   • VPC_CONNECTOR_NETWORK_TAG: a etiqueta de rede do conetor universal, se quiser restringir o acesso a todos os conetores (incluindo quaisquer conetores criados no futuro), ou a etiqueta de rede exclusiva, se quiser restringir o acesso a um conetor específico. Tem de corresponder à etiqueta de rede que especificou no passo anterior.

     • Etiqueta de rede universal: vpc-connector

     • Etiqueta de rede exclusiva: vpc-connector-REGION-CONNECTOR_NAME

       Substituir:

       • REGION: a região do conector que quer restringir
       • CONNECTOR_NAME: o nome do conector que quer restringir

     Para saber mais acerca das etiquetas de rede de conetores, consulte o artigo Etiquetas de rede.

   • VPC_NETWORK: o nome da sua rede VPC

   • RESOURCE_TAG: a etiqueta de rede para o recurso de VPC ao qual quer que o conetor de VPC aceda

   • PRIORITY: um número inteiro inferior à prioridade que definiu no passo anterior. Por exemplo, se definir a prioridade da regra criada no passo anterior como 990, experimente 980.

Para mais informações sobre as flags obrigatórias e opcionais para criar regras de firewall, consulte a documentação do gcloud compute firewall-rules create.

Intervalo CIDR

Os passos seguintes mostram como criar regras de entrada que restringem o acesso de um conector à sua rede VPC com base no intervalo CIDR do conector.

1. Certifique-se de que tem as autorizações necessárias para inserir regras de firewall. Tem de ter uma das seguintes funções de gestão de identidade e de acesso (IAM):

   • Função de administrador de segurança de computação
   • Função IAM personalizada com a autorização compute.firewalls.create ativada

2. Recuse o tráfego do conector na sua rede de VPC.

   Crie uma regra de firewall de entrada com uma prioridade inferior a 1000 na sua rede da VPC para negar a entrada a partir do intervalo CIDR do conector. Isto substitui a regra de firewall implícita que o acesso a VPC sem servidor cria na sua rede VPC por predefinição.

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, deny-vpc-connector.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

     Para fins de segurança e validação, também pode configurar regras de recusa para bloquear o tráfego dos seguintes protocolos não suportados: ah, all, esp, icmp, ipip e sctp.

   • VPC_CONNECTOR_CIDR_RANGE: o intervalo CIDR do conector cujo acesso está a restringir

   • VPC_NETWORK: o nome da sua rede VPC

   • PRIORITY: um número inteiro entre 0 e 65535. Por exemplo, 0 define a prioridade mais elevada.

3. Permita o tráfego do conetor para o recurso que deve receber o tráfego do conetor.

   Use as flags allow e target-tags para criar uma regra de firewall de entrada que segmenta o recurso na sua rede VPC ao qual quer que o conetor VPC aceda. Defina a prioridade desta regra para um valor inferior à prioridade da regra criada no passo anterior.

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   Substitua o seguinte:

   • RULE_NAME: o nome da nova regra de firewall. Por exemplo, allow-vpc-connector-for-select-resources.

   • PROTOCOL: um ou mais protocolos que quer permitir a partir do conector da VPC. Os protocolos suportados são tcp ou udp. Por exemplo, tcp:80,udp permite o tráfego TCP através da porta 80 e o tráfego UDP. Para mais informações, consulte a documentação da flag allow.

   • VPC_CONNECTOR_CIDR_RANGE: o intervalo CIDR do conector cujo acesso está a restringir

   • VPC_NETWORK: o nome da sua rede VPC

   • RESOURCE_TAG: a etiqueta de rede para o recurso de VPC ao qual quer que o conetor de VPC aceda

   • PRIORITY: um número inteiro inferior à prioridade que definiu no passo anterior. Por exemplo, se definir a prioridade da regra criada no passo anterior como 990, experimente 980.

Para mais informações sobre as flags obrigatórias e opcionais para criar regras de firewall, consulte a documentação do gcloud compute firewall-rules create.

Consola

1. Na Google Cloud consola, aceda ao Cloud Run:

   Aceda ao Cloud Run

2. Selecione Serviços no menu e clique em Implementar contentor para configurar um novo serviço. Se estiver a configurar um serviço existente, clique no serviço e, de seguida, em Editar e implementar nova revisão.

3. Se estiver a configurar um novo serviço, preencha a página de definições iniciais do serviço e, de seguida, clique em Contentores, volumes, rede, segurança para expandir a página de configuração do serviço.

4. Clique no separador Rede.

   

   • Depois de selecionar um conector da VPC, selecione Encaminhar apenas pedidos para IPs privados para a VPC ou Encaminhar todo o tráfego para a VPC.

5. Clique em Criar ou Implementar.

gcloud

Para especificar uma definição de saída, use a flag --vpc-egress. Pode especificar uma definição de saída durante a implementação:

gcloud run deploy SERVICE \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Substitua o seguinte:

• SERVICE: o nome do seu serviço.
• IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se usar o Artifact Registry, o repositório REPO_NAMEtem de já estar criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: o nome do seu conetor.
• EGRESS_SETTING: um valor de definição de saída:
  • all-traffic: envia todo o tráfego de saída através do conetor.
  • private-ranges-only: envia apenas tráfego para endereços internos através do conetor de VPC.

Também pode atualizar um serviço existente e alterar a definição de saída:

gcloud run services update SERVICE --vpc-egress EGRESS_SETTING

Substitua o seguinte:

• SERVICE: o nome do seu serviço.
• EGRESS_SETTING: um valor de definição de saída conforme indicado acima.

YAML

1. Se estiver a criar um novo serviço, ignore este passo. Se estiver a atualizar um serviço existente, transfira a respetiva configuração YAML:

   gcloud run services describe SERVICE --format export > service.yaml

2. Adicione ou atualize o atributo run.googleapis.com/vpc-access-egress no atributo annotations no atributo spec de nível superior:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         name: REVISION

   Substitua o seguinte:

   • SERVICE: o nome do seu serviço do Cloud Run.
   • CONNECTOR_NAME: o nome do conector. O atributo run.googleapis.com/vpc-access-connector é obrigatório quando especifica uma definição de saída.
   • EGRESS_SETTING: uma das seguintes opções:
     • all-traffic: envia todo o tráfego de saída através do conetor.
     • private-ranges-only: envia apenas tráfego para endereços internos através do conetor de VPC.
     • REVISION com um novo nome de revisão ou elimine-o (se existir). Se fornecer um novo nome de revisão, este tem de cumprir os seguintes critérios:
       • Começa com SERVICE-
       • Contém apenas letras minúsculas, números e -
       • Não termina com um -
       • Não exceder 63 carateres

3. Crie ou atualize o serviço com o seguinte comando:

   gcloud run services replace service.yaml

Consola

1. Na Google Cloud consola, aceda à página Tarefas do Cloud Run:

   Aceda ao Cloud Run

2. Selecione Tarefas no menu e clique em Implementar contentor para preencher a página de definições iniciais da tarefa. Se estiver a configurar uma tarefa existente, selecione a tarefa e, de seguida, clique em Editar.

3. Clique em Recipientes, volumes, ligações, segurança para expandir a página de propriedades da tarefa.

4. Clique no separador Ligações.

   

   • Depois de selecionar um conector, selecione Encaminhar apenas pedidos para IPs privados para a VPC ou Encaminhar todo o tráfego para a VPC.

5. Clique em Criar ou Atualizar.

gcloud

Para especificar uma definição de saída, use a flag --vpc-egress. Pode especificar uma definição de saída durante o processo de implementação do trabalho:

gcloud run jobs create JOB \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Substitua o seguinte:

• JOB: o nome da sua profissão.
• IMAGE_URL: uma referência à imagem do contentor, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se usar o Artifact Registry, o repositório REPO_NAMEtem de já estar criado. O URL segue o formato LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
• CONNECTOR_NAME: o nome do seu conetor.
• EGRESS_SETTING: um valor de definição de saída:
  • all-traffic: envia todo o tráfego de saída através do conetor.
  • private-ranges-only: envia apenas tráfego para endereços internos através do conetor de VPC.

Também pode atualizar uma tarefa existente e alterar a definição de saída:

gcloud run jobs update JOB --vpc-egress EGRESS_SETTING

Substitua o seguinte:

• JOB: o nome da sua profissão.
• EGRESS_SETTING: um valor de definição de saída conforme indicado acima.

YAML

Pode transferir e ver uma configuração de tarefa existente através do comando gcloud run jobs describe --format export, que produz resultados limpos no formato YAML. Em seguida, pode modificar os campos descritos abaixo e carregar o YAML modificado através do comando gcloud run jobs replace. Certifique-se de que modifica apenas os campos conforme documentado.

1. Substitua a tarefa pela respetiva nova configuração através do seguinte comando:

   gcloud run jobs replace job.yaml

2. Adicione ou atualize o atributo run.googleapis.com/vpc-access-egress no atributo annotations no atributo spec de nível superior:

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING

   Substitua o seguinte:

   • JOB: o nome da sua tarefa do Cloud Run.
   • CONNECTOR_NAME: o nome do conector. O atributo run.googleapis.com/vpc-access-connector é obrigatório quando especifica uma definição de saída.
   • EGRESS_SETTING: uma das seguintes opções:
     • all-traffic: envia todo o tráfego de saída através do conetor.
     • private-ranges-only: envia apenas tráfego para endereços internos através do conetor de VPC.

3. Substitua a tarefa pela respetiva nova configuração através do seguinte comando:

   gcloud run jobs replace job.yaml

Consola

1. Aceda ao Cloud Run

2. Clique no serviço ou no trabalho que lhe interessa para abrir a página de detalhes.

   • Para um serviço, clique no separador Revisões.

   • Para um trabalho, clique no separador Configuração.

A definição do conetor de acesso a VPC sem servidor está listada no separador Rede.

gcloud

1. Use o seguinte comando para ver as definições do seu serviço:

   gcloud run services describe SERVICE

2. Use o seguinte comando para ver as definições da sua tarefa:

   gcloud run jobs describe JOB

3. Localize a definição do conetor de acesso a VPC sem servidor na configuração devolvida.

Consola

1. Na Google Cloud consola, aceda ao Cloud Run:

   Aceda ao Cloud Run

2. Selecione Serviços no menu e clique em Implementar contentor para configurar um novo serviço. Se estiver a configurar um serviço existente, clique no serviço e, de seguida, em Editar e implementar nova revisão.

3. Se estiver a configurar um novo serviço, preencha a página de definições iniciais do serviço e, de seguida, clique em Contentores, volumes, rede, segurança para expandir a página de configuração do serviço.

4. Clique no separador Rede.

   

   • No campo Rede, selecione Nenhuma para desassociar o seu serviço de uma rede de VPC.

5. Clique em Criar ou Implementar.

gcloud

Para desassociar um serviço, use o comando gcloud run services update com a seguinte flag:

• --clear-vpc-connector

gcloud run services update SERVICE --clear-vpc-connector

• Substitua SERVICE pelo nome do seu serviço.

Consola

1. Na Google Cloud consola, aceda à página Tarefas do Cloud Run:

   Aceda ao Cloud Run

2. Selecione Tarefas no menu e clique em Implementar contentor para preencher a página de definições iniciais da tarefa. Se estiver a configurar uma tarefa existente, selecione a tarefa e, de seguida, clique em Editar.

3. Clique em Recipientes, volumes, ligações, segurança para expandir a página de propriedades da tarefa.

4. Clique no separador Ligações.

   

   • No campo Rede, selecione Nenhuma para desassociar a tarefa de uma rede de VPC.

5. Clique em Criar ou Atualizar.

gcloud

Para desligar uma tarefa, use o comando gcloud run jobs update com a seguinte flag:

--clear-vpc-connector

gcloud run jobs update JOB --clear-vpc-connector

Substitua JOB pelo nome da sua tarefa.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer editar e clique em Editar.

3. Na lista Tipo de instância, selecione o tipo de máquina (instância) preferido. Para saber mais sobre os tipos de máquinas disponíveis, consulte a documentação sobre débito e escalabilidade.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para atualizar o tipo de máquina do conetor, execute o seguinte comando no seu terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   Substitua o seguinte:
   • CONNECTOR_NAME: o nome do conetor
   • REGION: o nome da região do conector
   • MACHINE_TYPE: o seu tipo de máquina preferido. Para saber mais sobre os tipos de máquinas disponíveis, consulte a documentação sobre débito e escalabilidade.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor.

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer editar e clique em Editar.

3. No campo Instâncias mínimas, selecione o número mínimo de instâncias preferido.

   O valor mais pequeno possível para este campo é o valor atual. O maior valor possível para este campo é o valor atual no campo Máximo de instâncias menos 1. Por exemplo, se o valor no campo Máximo de instâncias for 8, o maior valor possível para o campo Mínimo de instâncias é 7.

4. No campo Máximo de instâncias, selecione o número máximo de instâncias preferido.

   O valor mais pequeno possível para este campo é o valor atual. O valor máximo possível para este campo é 10.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Para aumentar o número mínimo ou máximo de instâncias do conector, execute o seguinte comando no terminal:

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   Substitua o seguinte:

• CONNECTOR_NAME: o nome do conetor
• REGION: o nome da região do conector
• MIN_INSTANCES: o número mínimo preferencial de instâncias.
  • O valor mais pequeno possível para este campo é o valor atual de min_instances. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.
  • O maior valor possível para este campo é o valor atual de max_instances menos 1, porque min_instances tem de ser inferior a max_instances. Por exemplo, se max_instances for 8, o maior valor possível para este campo é 7. Se o conector usar o valor predefinido de max-instances 10, o maior valor possível deste campo é 9. Para encontrar o valor de max-instances, consulte Encontre os valores dos atributos atuais.

• MAX_INSTANCES:

  • O valor mais pequeno possível para este campo é o valor atual de max_instances. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.
  • O maior valor possível para este campo é 10.

  Se quiser apenas aumentar o número mínimo de instâncias, mas não o número máximo, tem de especificar o número máximo de instâncias. Por outro lado, se quiser atualizar apenas o número máximo de instâncias, mas não o mínimo, tem de especificar o número mínimo de instâncias. Para manter o número mínimo ou máximo de instâncias no respetivo valor atual, especifique o valor atual. Para encontrar o valor atual, consulte o artigo Encontre os valores dos atributos atuais.

Consola

1. Aceda à página de vista geral do Acesso a VPC sem servidor na Google Cloud consola:

   Aceda ao Acesso a VPC sem servidor

2. Selecione o conector que quer eliminar.

3. Clique em Eliminar.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Use o seguinte comando gcloud para eliminar um conetor:

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   Substitua o seguinte:

   • CONNECTOR_NAME com o nome do conetor que quer eliminar
   • REGION com a região onde o conetor está localizado