ID regione
REGION_ID
è un codice abbreviato assegnato da Google in base alla regione selezionata al momento della creazione dell'app. Non corrisponde a un paese o a una provincia, anche se alcuni ID regione possono apparire simili ai codici di paese e provincia di uso comune. Per le app create dopo febbraio 2020, REGION_ID.r
è incluso negli URL di App Engine. Per le app esistenti create prima di questa data, l'ID regione è facoltativo nell'URL.
Scopri di più sugli ID regione.
Questa sezione descrive come utilizzare le impostazioni di traffico in entrata per limitare l'accesso di rete alla tua app App Engine. A livello di rete, per impostazione predefinita, qualsiasi risorsa su internet può raggiungere la tua app App Engine tramite il relativo URL appspot o su un dominio personalizzato configurato in App Engine. Ad esempio, l'URL appspot.com
può avere il seguente formato: SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
.
Puoi modificare questa impostazione predefinita specificando
un'impostazione diversa per il traffico in entrata. Tutti i percorsi in entrata, incluso l'URL appspot.com
predefinito, sono soggetti all'impostazione del traffico in entrata. Il traffico in entrata è impostato
a livello di servizio.
Impostazioni di traffico in entrata disponibili
Sono disponibili le seguenti impostazioni:
Impostazione | Descrizione |
---|---|
Interna |
Livello massimo di restrizioni. Consente le richieste da risorse collegate alle
reti VPC del progetto, ad esempio:
appspot.com .
Le richieste provenienti da altre origini, tra cui internet, non possono raggiungere il tuo servizio all'URL appspot.com o in domini personalizzati. Non
è supportato l'architettura multi-tenancy, ovvero più domini di attendibilità
all'interno dello stesso progetto.
|
Interno e Cloud Load Balancing | Consente le richieste dalle seguenti risorse:
appspot.com ignorano il bilanciatore del carico delle applicazioni esterno, perciò questa impostazione impedisce alle richieste esterne di raggiungere l'URL appspot.com .
|
Tutti |
Livello minimo di restrizioni. Consente tutte le richieste, incluse quelle direttamente da internet all'URL appspot.com .
|
Accesso ai servizi interni
Si applicano le seguenti considerazioni:
Per le richieste da un VPC condiviso, il traffico è considerato interno solo se il deployment dell'app App Engine è stato eseguito nel progetto host del VPC condiviso. Se viene eseguito il deployment dell'app App Engine in un progetto di servizio VPC condiviso, solo il traffico proveniente dalle reti di proprietà del progetto dell'app è interno. Tutto il resto del traffico, compreso quello da altri VPC condivisi, è esterno.
Quando accedi ai servizi interni, chiamali come faresti normalmente utilizzando i loro URL pubblici, l'URL
appspot.com
predefinito o un dominio personalizzato configurato in App Engine.Per le richieste da istanze VM di Compute Engine o da altre risorse in esecuzione all'interno di una rete VPC nello stesso progetto, non sono necessarie ulteriori configurazioni.
Le richieste provenienti da risorse all'interno di reti VPC nello stesso progetto sono classificate come interne anche se la risorsa da cui hanno origine ha un indirizzo IP pubblico.
Le richieste da risorse on-premise connesse alla rete VPC tramite Cloud VPN sono considerate
internal
.
- Per le richieste da altri servizi App Engine o da Cloud Run o Cloud Functions nello stesso progetto, connetti il servizio o la funzione a una rete VPC e instrada tutto il traffico in uscita attraverso il connettore, come descritto in Connessione a una VPC condiviso condivisa.
Visualizza impostazioni di traffico in entrata
Console
Vai alla pagina Servizi di App Engine.
Individua la colonna In entrata. Per ogni servizio, il valore in questa colonna mostra l'impostazione del traffico in entrata come Tutti (impostazione predefinita), Interno + bilanciamento del carico o Interno.
gcloud
Per visualizzare l'impostazione del traffico in entrata per un servizio utilizzando gcloud CLI:
gcloud app services describe SERVICE
Sostituisci SERVICE con il nome del tuo servizio.
Ad esempio, per visualizzare le impostazioni di traffico in entrata e altre informazioni per l'esecuzione del servizio predefinito:
gcloud app services describe default
Modifica impostazioni di traffico in entrata
Console
Vai alla pagina Servizi di App Engine.
Seleziona il servizio che vuoi modificare.
Fai clic su Modifica impostazione traffico in entrata.
Seleziona l'impostazione di traffico in entrata che ti interessa dal menu e fai clic su Salva.
gcloud
Per aggiornare l'impostazione del traffico in entrata per un servizio utilizzando gcloud CLI:
gcloud app services update SERVICE --ingress=INGRESS
Sostituisci:
- SERVICE: il nome del tuo servizio.
- INGRESS: il controllo in entrata da applicare. Uno tra
all
,internal-only
ointernal-and-cloud-load-balancing
.
Ad esempio:
Per aggiornare il servizio predefinito di un'app App Engine in modo che accetti il traffico solo da Cloud Load Balancing e da reti VPC che si trovano nello stesso progetto:
gcloud app services update default --ingress=internal-and-cloud-load-balancing
Per aggiornare un servizio denominato "internal-requests" in modo che accetti il traffico solo dalle reti VPC che si trovano nello stesso progetto:
gcloud app services update internal-requests --ingress=internal-only
Impostazioni traffico in uscita
Se utilizzi l'accesso VPC serverless, puoi specificare l'impostazione in uscita per il servizio App Engine.
Per impostazione predefinita, solo le richieste indirizzate a indirizzi IP interni e a nomi DNS interni vengono instradate tramite un connettore di accesso VPC serverless. Puoi specificare l'impostazione per il traffico in uscita per il servizio nel file app.yaml
.
Le impostazioni in uscita non sono compatibili con il servizio di recupero degli URL.
L'utilizzo della libreria urlfetch
ignora le impostazioni in uscita e le richieste non verranno instradate tramite un connettore di accesso VPC serverless.
Per configurare il comportamento in uscita del servizio App Engine:
Aggiungi l'attributo
egress_setting
al campovpc_access_connector
del fileapp.yaml
del tuo servizio:vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME egress_setting: EGRESS_SETTING
Sostituisci:
PROJECT_ID
con l'ID progetto Google CloudREGION
con la regione in cui si trova il connettoreCONNECTOR_NAME
con il nome del connettoreEGRESS_SETTING
con una delle seguenti opzioni:- Valore predefinito:
private-ranges-only
. Solo le richieste a RFC 1918 e RFC 6598 intervalli di indirizzi IP o nomi DNS interni vengono instradati alla rete VPC. Tutte le altre richieste vengono instradate direttamente a internet. all-traffic
Tutte le richieste in uscita dal tuo servizio vengono instradate alla tua rete VPC. Le richieste sono quindi soggette alle regole firewall, DNS e di routing della rete VPC. Tieni presente che il routing di tutte le richieste in uscita alla rete VPC aumenta la quantità di traffico in uscita gestito dal connettore di accesso VPC serverless e può sospendere addebiti.
- Valore predefinito:
Esegui il deployment del servizio:
gcloud app deploy