共有 VPC ホスト プロジェクトでコネクタを構成する

組織で共有 VPC を使用している場合は、サーバーレス VPC アクセス コネクタをサービス プロジェクトかホスト プロジェクトのいずれかで設定できます。このガイドでは、ホスト プロジェクトでコネクタを設定する方法について説明します。

サービス プロジェクトでコネクタを設定する必要がある場合は、サービス プロジェクトでコネクタを構成するをご覧ください。各方法の利点については、共有 VPC ネットワークへの接続をご覧ください。

始める前に

1. 現在使用しているアカウントの Identity and Access Management（IAM）ロールを確認します。アクティブ アカウントには、ホスト プロジェクトで次のロールが必要です。

   • Compute ネットワーク閲覧者（compute.networkViewer）
   • プロジェクト IAM 管理者（resourcemanager.projectIamAdmin）
   • Service Usage 管理者（serviceuseage.serviceUsageAdmin）
   • サーバーレス VPC アクセス管理者（vpcaccess.admin）

2. 目的の環境でホスト プロジェクトを選択します。

コンソール

1. Google Cloud コンソール ダッシュボードに移動します。

   Google Cloud コンソール ダッシュボードに移動

2. ダッシュボードの上部にあるメニューバーで、プロジェクトのプルダウン メニューをクリックし、ホスト プロジェクトを選択します。

gcloud

ターミナルで次のコマンドを実行して、gcloud CLI のデフォルト プロジェクトをホスト プロジェクトに設定します。

gcloud config set project HOST_PROJECT_ID

次のように置き換えます。

• HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトの ID。

サーバーレス VPC アクセス コネクタを作成する

VPC ネットワークにリクエストを送信して対応するレスポンスを受信するには、サーバーレス VPC アクセス コネクタを作成する必要があります。コネクタは、Google Cloud コンソール、Google Cloud CLI、または Terraform を使用して作成できます。

Console

1. プロジェクトでサーバーレス VPC アクセスの API を有効にします。

   API を有効にする

2. サーバーレス VPC アクセスの概要ページに移動します。

   サーバーレス VPC アクセスに移動

3. [コネクタを作成] をクリックします。

4. [名前] フィールドに、コネクタの名前を入力します。名前は Compute Engine の命名規則に従い、21 文字未満にする必要があります。ハイフン（-）は 2 文字としてカウントされます。

5. [リージョン] フィールドで、コネクタのリージョンを選択します。これは、サーバーレス サービスのリージョンと一致する必要があります。

   サービスが us-central または europe-west リージョンにある場合は、us-central1 または europe-west1 を使用します。

6. [ネットワーク] フィールドで、コネクタを接続する VPC ネットワークを選択します。

7. [サブネットワーク] プルダウン メニューをクリックします。

   /28 の未使用のサブネットを選択します。

   • サブネットはコネクタ専用にする必要があります。VM、Private Service Connect、ロードバランサなどの他のリソースでは使用できません。
   • サブネットが Private Service Connect または Cloud Load Balancing で使用されていないことを確認するには、gcloud CLI で次のコマンドを実行して、サブネットの purpose が PRIVATE であることを確認します。

     gcloud compute networks subnets describe SUBNET_NAME
     

     SUBNET_NAME はサブネットの名前に置き換えます。

8. （省略可）コネクタを詳細に制御するためのスケーリング オプションを設定するには、[スケーリング設定を表示] をクリックしてスケーリング フォームを表示します。

   1. コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値（最小 2、最大 10）を使用します。コネクタは、トラフィックが増加すると、指定された最大値までスケールアウトしますが、トラフィックが減少してもスケールインしません。2～10 の値を使用し、MIN は MAX よりも小さい値にする必要があります。
   2. [インスタンスのタイプ] プルダウン メニューで、コネクタに使用するマシンタイプを選択するか、デフォルトの e2-micro を使用します。インスタンス タイプを選択すると、右側にコスト サイドバーが表示され、帯域幅とコストの見積もりが表示されます。

9. [作成] をクリックします。

10. コネクタの使用準備が整うと、コネクタ名の横に緑色のチェックマークが表示されます。

gcloud

1. gcloud コンポーネントを最新バージョンに更新します。

   gcloud components update
   

2. プロジェクトでサーバーレス VPC アクセス API を有効にします。

   gcloud services enable vpcaccess.googleapis.com
   

3. サーバーレス VPC アクセス コネクタを作成します。

   gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
   --region=REGION \
   --subnet=SUBNET \
   --subnet-project=HOST_PROJECT_ID \
   # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
   --min-instances=MIN \
   --max-instances=MAX \
   # Optional: specify machine type, default is e2-micro
   --machine-type=MACHINE_TYPE
   

   次のように置き換えます。

   • CONNECTOR_NAME: コネクタの名前。名前は Compute Engine の命名規則に従い、21 文字未満にする必要があります。ハイフン（-）は 2 文字としてカウントされます。
   • REGION: コネクタのリージョン。これは、サーバーレス サービスのリージョンと一致する必要があります。サービスが us-central または europe-west リージョンにある場合は、us-central1 または europe-west1 を使用します。
   • SUBNET: 未使用の /28 サブネットの名前。
     • サブネットはコネクタ専用にする必要があります。VM、Private Service Connect、ロードバランサなどの他のリソースでは使用できません。
     • サブネットが Private Service Connect または Cloud Load Balancing で使用されていないことを確認するには、gcloud CLI で次のコマンドを実行して、サブネットの purpose が PRIVATE であることを確認します。

       gcloud compute networks subnets describe SUBNET_NAME
       

       次のように置き換えます。
       • SUBNET_NAME: サブネットの名前
   • HOST_PROJECT_ID: ホスト プロジェクトの ID
   • MIN: コネクタに使用するインスタンスの最小数。2～9 の整数を使用してください。デフォルトは 2 です。コネクタのスケーリングの詳細については、スループットとスケーリングをご覧ください。
   • MAX: コネクタに使用するインスタンスの最大数。3～10 の整数を使用してください。デフォルトは 10 です。トラフィックで必要な場合、コネクタは [MAX] インスタンスにスケールアウトしますが、再スケーリングは行われません。コネクタのスケーリングの詳細については、スループットとスケーリングをご覧ください。
   • MACHINE_TYPE: f1-micro、e2-micro、または e2-standard-4。マシンタイプやスケーリングなど、コネクタのスループットの詳細については、スループットとスケーリングをご覧ください。

   より詳しい情報とオプションの引数については、gcloud のリファレンスをご覧ください。

4. 使用する前に、コネクタが READY 状態になっていることを確認します。

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region=REGION
   

   次のように置き換えます。

   • CONNECTOR_NAME: コネクタの名前。これは、前のステップで指定した名前です。
   • REGION: コネクタのリージョン。これは、前の手順で指定したリージョンです。

   出力には、state: READY という行が含まれます。

Terraform

Terraform リソースを使用して、vpcaccess.googleapis.com API を有効にできます。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Terraform モジュールを使用して VPC ネットワークとサブネットを作成し、コネクタを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

コネクタへのアクセス権を設定する

コネクタへのアクセス権は、App Engine サービスをデプロイするプリンシパルに、ホスト プロジェクトのサーバーレス VPC アクセス ユーザーの IAM ロールを付与することで設定します。

Console

1. [IAM] ページを開きます。

   IAM に移動

2. プロジェクトのプルダウン メニューをクリックし、ホスト プロジェクトを選択します。

3. [Add] をクリックします。

4. [新しいプリンシパル] フィールドに、App Engine サービスをデプロイするプリンシパルを追加します。

5. [ロール] フィールドで、[サーバーレス VPC アクセス ユーザー] を選択します。

6. [保存] をクリックします。

gcloud

ターミナルで次のコマンドを実行します。

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.user

次のように置き換えます。

• HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトの ID。
• PRINCIPAL: App Engine サービスをデプロイするプリンシパル。詳細は、--member フラグをご覧ください。

コネクタを検出可能にする

コネクタを表示するには、ホスト プロジェクトとサービス プロジェクトの両方で、プリンシパルに特定の表示ロールが必要です。プリンシパルが Google Cloud コンソールまたはターミナルで使用可能なコネクタを表示するときにご利用のコネクタが表示されるようにするには、App Engine サービスをデプロイするプリンシパルの IAM ロールを追加します。

ホスト プロジェクトで IAM ロールを付与する

ホスト プロジェクトで、App Engine サービスをデプロイするプリンシパルにサーバーレス VPC アクセス閲覧者（vpcaccess.viewer）のロールを付与します。

Console

1. [IAM] ページを開きます。

   IAM に移動

2. プロジェクトのプルダウン メニューをクリックし、ホスト プロジェクトを選択します。

3. [追加] をクリックします。

4. [新しいプリンシパル] フィールドに、サービス プロジェクトでコネクタを表示する必要があるプリンシパルのメールアドレスを入力します。このフィールドには複数のメールアドレスを入力できます。

5. [ロール] フィールドで、[サーバーレス VPC アクセス閲覧者] を選択します。

6. [保存] をクリックします。

gcloud

ターミナルで次のコマンドを実行します。

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

次のように置き換えます。

• HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトの ID。
• PRINCIPAL: App Engine サービスをデプロイするプリンシパル。詳細は、--member フラグをご覧ください。

サービス プロジェクトで IAM ロールを付与する

サービス プロジェクトで、App Engine サービスをデプロイするプリンシパルに Compute ネットワーク閲覧者（compute.networkViewer）ロールを付与します。

Console

1. [IAM] ページを開きます。

   IAM に移動

2. プロジェクトのプルダウン メニューをクリックし、サービス プロジェクトを選択します。

3. [追加] をクリックします。

4. [新しいプリンシパル] フィールドに、サービス プロジェクトでコネクタを表示する必要があるプリンシパルのメールアドレスを入力します。このフィールドには複数のメールアドレスを入力できます。

5. [ロール] フィールドで、[Compute ネットワーク閲覧者] を選択します。

6. [保存] をクリックします。

gcloud

ターミナルで次のコマンドを実行します。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

次のように置き換えます。

• SERVICE_PROJECT_ID: サービス プロジェクトの ID。
• PRINCIPAL: App Engine サービスをデプロイするプリンシパル。詳細は、--member フラグをご覧ください。

コネクタを使用するサービスを構成する

共有 VPC にアクセスする必要がある App Engine サービスごとに、サービス用のコネクタを指定する必要があります。次の手順では、コネクタを使用するようにサービスを構成する方法について説明します。

1. URL 取得のデフォルトを無効にし、urlfetch ライブラリの明示的な使用を中止します。サーバーレス VPC アクセスは、URL 取得サービスに対応していません。

2. vpc_access_connector をサービスの app.yaml ファイルに追加します。

   vpc_access_connector:
   name: projects/HOST_PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   次のように置き換えます。

   • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトの ID。
   • REGION: コネクタのリージョン。
   • CONNECTOR_NAME: コネクタの名前。

3. サービスをデプロイします。

   gcloud app deploy

デプロイ後、サービスでは共有 VPC ネットワークにリクエストを送信して、対応するレスポンスを受信できます。

次のステップ

• サーバーレス VPC アクセスの監査ロギングを使用して管理アクティビティをモニタリングする。
• VPC Service Controls を使用してサービス境界を作成して、リソースとデータを保護する。
• サーバーレス VPC アクセスに関連付けられている Identity and Access Management（IAM）のロールについて学習する。各ロールに関連付けられている権限の一覧については、IAM のドキュメントのサーバーレス VPC アクセスのロールをご覧ください。
• App Engine スタンダード環境から Memorystore に接続する方法を学習する。