Connectors im freigegebenen VPC-Hostprojekt konfigurieren

Wenn Ihre Organisation eine freigegebene VPC verwendet, können Sie einen Connector für den serverlosen VPC-Zugriff entweder im Dienstprojekt oder im Hostprojekt einrichten. In dieser Anleitung wird beschrieben, wie ein Connector im Hostprojekt eingerichtet wird.

Informationen zum Einrichten eines Connectors in einem Dienstprojekt finden Sie unter Connectors in Dienstprojekten konfigurieren. Weitere Informationen zu den Vorteilen der einzelnen Methoden finden Sie unter Verbindung zu einem freigegebenen VPC-Netzwerk herstellen.

Hinweis

Prüfen Sie die IAM-Rollen (Identity and Access Management) für das Konto, das Sie derzeit verwenden. Das aktive Konto muss die folgenden Rollen für das Hostprojekt haben:
Wählen Sie das Hostprojekt in Ihrer bevorzugten Umgebung aus.

Console

Rufen Sie das Google Cloud Console-Dashboard auf.

Zum Google Cloud Console-Dashboard
Klicken Sie in der Menüleiste oben im Dashboard auf das Projekt-Drop-down-Menü und wählen Sie das Hostprojekt aus.

gcloud

Legen Sie das Standardprojekt in der gcloud CLI auf das Hostprojekt fest. Führen Sie dazu im Terminal Folgendes aus:

gcloud config set project HOST_PROJECT_ID

Dabei gilt:

HOST_PROJECT_ID: die ID des freigegebenen VPC-Hostprojekts

Erstellen eines Connectors für Serverless VPC Access

Damit Sie Anfragen an Ihr VPC-Netzwerk senden und die entsprechenden Antworten empfangen können, müssen Sie einen Connector für serverlosen VPC-Zugriff erstellen. Sie können einen Connector mit der Google Cloud Console, der Google Cloud CLI oder Terraform erstellen:

Console

Aktivieren Sie die Serverless VPC Access API für Ihr Projekt.

API aktivieren
Rufen Sie die Übersichtsseite für serverlosen VPC-Zugriff auf:

Zur Seite „Serverloser VPC-Zugriff“
Klicken Sie auf Connector erstellen.
Geben Sie im Feld Name einen Namen für den Connector ein. Der Name muss der Compute Engine-Namenskonvention entsprechen und weniger als 21 Zeichen umfassen. Bindestriche (-) zählen als zwei Zeichen.
Wählen Sie im Feld Region eine Region für den Connector aus. Sie muss mit der Region des serverlosen Dienstes übereinstimmen.

Wenn sich Ihr Dienst in der Region us-central oder europe-west befindet, verwenden Sie us-central1 oder europe-west1.
Wählen Sie im Feld Netzwerk das VPC-Netzwerk aus, an das der Connector angehängt werden soll.
Klicken Sie auf das Drop-down-Menü Subnetzwerk:

Wählen Sie ein nicht verwendetes /28-Subnetz aus.
- Subnetze müssen ausschließlich vom Connector verwendet werden. Sie können nicht von anderen Ressourcen wie VMs, Private Service Connect oder internem HTTP(S)-Load-Balancing verwendet werden.
- Wenn Ihr Subnetz nicht für Private Service Connect oder internes HTTP(S)-Load-Balancing verwendet wird, prüfen Sie, ob das purpose-Subnetz PRIVATE ist. Führen Sie dazu den folgenden Befehl in der gcloud CLI aus:
```
gcloud compute networks subnets describe SUBNET_NAME
```
  Ersetzen Sie SUBNET_NAME durch den Namen Ihres Subnetzes.
(Optional) Wenn Sie Skalierungsoptionen für zusätzliche Kontrolle über den Connector festlegen möchten, klicken Sie auf Skalierungseinstellungen anzeigen, um das Skalierungsformular anzuzeigen:
1. Legen Sie die minimale und maximale Anzahl von Instanzen für den Connector fest oder verwenden Sie die Standardwerte von 2 (Min.) und 10 (Max.). Der Connector wird bei steigendem Traffic horizontal auf das angegebene Maximum hochskaliert, bei sinkendem Traffic wird der Connector jedoch nicht zurückskaliert. Sie müssen Werte zwischen 2 und 10 verwenden und der MIN-Wert muss kleiner als der MAX-Wert sein.
2. Wählen Sie im Drop-down-Menü Instanztyp den Maschinentyp aus, der für den Connector verwendet werden soll, oder verwenden Sie den Standardwert e2-micro. Beachten Sie die Seitenleiste zu den Kosten auf der linken Seite, wenn Sie den Instanztyp auswählen, der die Bandbreiten- und Kostenschätzungen anzeigt:
Klicken Sie auf Erstellen.
Neben dem Namen des Connectors wird ein grünes Häkchen angezeigt, sobald er verwendet werden kann.

gcloud

Aktualisieren Sie die Komponenten von gcloud auf die neueste Version:
```
gcloud components update
```
Aktivieren Sie die Serverless VPC Access API für Ihr Projekt:
```
gcloud services enable vpcaccess.googleapis.com
```
Erstellen Sie einen Connector für serverlosen VPC-Zugriff:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
--region=REGION \
--subnet=SUBNET \
--subnet-project=HOST_PROJECT_ID \
# Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
--min-instances=MIN \
--max-instances=MAX \
# Optional: specify machine type, default is e2-micro
--machine-type=MACHINE_TYPE
```
Dabei gilt:
- CONNECTOR_NAME: Name des Connectors. Der Name muss der Compute Engine-Namenskonvention entsprechen und weniger als 21 Zeichen umfassen. Bindestriche (-) zählen als zwei Zeichen.
- REGION: Region für den Connector. Dies muss der Region Ihres serverlosen Dienstes entsprechen. Wenn sich Ihr Dienst in der Region us-central oder europe-west befindet, verwenden Sie us-central1 oder europe-west1.
- SUBNET: der Name eines nicht verwendeten /28-Subnetzes.
  - Subnetze müssen ausschließlich vom Connector verwendet werden. Sie können nicht von anderen Ressourcen wie VMs, Private Service Connect oder internem HTTP(S)-Load-Balancing verwendet werden.
  - Wenn Ihr Subnetz nicht für Private Service Connect oder internes HTTP(S)-Load-Balancing verwendet wird, prüfen Sie, ob das purpose-Subnetz PRIVATE ist. Führen Sie dazu den folgenden Befehl in der gcloud CLI aus:
```
gcloud compute networks subnets describe SUBNET_NAME
```
    Dabei gilt:
    - SUBNET_NAME: der Name Ihres Subnetzes
- HOST_PROJECT_ID: die ID des Hostprojekts
- MIN: Die Mindestanzahl der Instanzen, die für den Connector verwendet werden sollen. Verwenden Sie eine Ganzzahl zwischen 2 und 9. Der Standardwert ist 2. Weitere Informationen zur Skalierung von Connectors finden Sie unter Durchsatz und Skalierung.
- MAX: Die maximale Anzahl von Instanzen, die für den Connector verwendet werden sollen. Verwenden Sie eine Ganzzahl zwischen 3 und 10. Der Standardwert ist 10. Wenn es der Traffic erfordert, wird der Connector auf [MAX] Instanzen skaliert, nicht jedoch wieder herunterskaliert. Weitere Informationen zur Skalierung von Connectors finden Sie unter Durchsatz und Skalierung.
- MACHINE_TYPE: f1-micro, e2-micro oder e2-standard-4. Weitere Informationen zum Connector-Durchsatz, einschließlich Maschinentyp und Skalierung, finden Sie unter Durchsatz und Skalierung.
Weitere Informationen und optionale Argumente finden Sie in der gcloud-Referenz.
Prüfen Sie vor der Verwendung des Connectors, ob sein Status READY lautet:
```
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region=REGION
```
Dabei gilt:
- CONNECTOR_NAME: Der Name Ihres Connectors; dies ist der Name, den Sie im vorherigen Schritt angegeben haben
- REGION: Region Ihres Connectors; dies ist die Region, die Sie im vorherigen Schritt angegeben haben
Die Ausgabe sollte die Zeile state: READY enthalten.

Terraform

Sie können eine Terraform-Ressource verwenden, um die vpcaccess.googleapis.com API zu aktivieren.

examples/submodule_vpc_serverless_connector/main.tf

Auf GitHub ansehen

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Sie können Terraform-Module verwenden, um ein VPC-Netzwerk und ein Subnetz zu erstellen. Danach können Sie den Connector erstellen.

examples/submodule_vpc_serverless_connector/main.tf

Auf GitHub ansehen

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 3.3.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Zugriff auf den Connector gewähren

Gewähren Sie Zugriff auf den Connector, indem Sie dem Hauptkonto, das Ihren App Engine-Dienst bereitstellt, die IAM-Rolle Nutzer von serverlosem VPC-Zugriff im Hostprojekt zuweisen.

Console

Öffnen Sie die IAM-Seite.

Seite „IAM“
Klicken Sie auf das Projekt-Drop-down-Menü und wählen Sie das Hostprojekt aus.
Klicken Sie auf Add.
Fügen Sie im Feld Neue Hauptkonten das Hauptkonto hinzu, das Ihren App Engine-Dienst bereitstellt.
Wählen Sie im Feld Rolle die Option Nutzer von serverlosem VPC-Zugriff aus.
Klicken Sie auf Speichern.

gcloud

Führen Sie im Terminal folgenden Befehl aus:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.user

Dabei gilt:

HOST_PROJECT_ID: die ID des freigegebenen VPC-Hostprojekts
PRINCIPAL: das Hauptkonto, das Ihren App Engine-Dienst bereitstellt. Weitere Informationen zum Flag --member

Connector sichtbar machen

Zum Aufrufen des Connectors benötigen Hauptkonten bestimmte Anzeigerollen für das Hostprojekt und das Dienstprojekt. Damit Ihr Connector angezeigt wird, wenn sich Hauptkonten die verfügbaren Connectors in der Google Cloud Console oder über ihr Terminal ansehen, fügen Sie IAM-Rollen für Hauptkonten hinzu, die App Engine-Dienste bereitstellen.

IAM-Rollen im Hostprojekt zuweisen

Weisen Sie Hauptkonten, die App Engine-Dienste bereitstellen, im Hostprojekt die Rolle Betrachter von serverlosem VPC-Zugriff (vpcaccess.viewer) zu.

Console

Öffnen Sie die IAM-Seite.

Seite „IAM“
Klicken Sie auf das Projekt-Drop-down-Menü und wählen Sie das Hostprojekt aus.
Klicken Sie auf Add.
Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Hauptkontos ein, das den Connector aus dem Dienstprojekt sehen soll. In diesem Feld können Sie mehrere E-Mail-Adressen eingeben.
Wählen Sie im Feld Rolle die Option Betrachter von serverlosem VPC-Zugriff aus.
Klicken Sie auf Speichern.

gcloud

Führen Sie im Terminal folgenden Befehl aus:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

Dabei gilt:

HOST_PROJECT_ID: die ID des freigegebenen VPC-Hostprojekts
PRINCIPAL: das Hauptkonto, das App Engine-Dienste bereitstellt. Weitere Informationen zum Flag --member.

IAM-Rollen im Dienstprojekt zuweisen

Weisen Sie Hauptkonten, die App Engine-Dienste bereitstellen, im Dienstprojekt die Rolle Compute-Netzwerkbetrachter (compute.networkViewer) zu.

Console

Öffnen Sie die IAM-Seite.

Seite „IAM“
Klicken Sie auf das Projekt-Drop-down-Menü und wählen Sie das Dienstprojekt aus.
Klicken Sie auf Add.
Geben Sie im Feld Neue Hauptkonten die E-Mail-Adresse des Hauptkontos ein, das den Connector aus dem Dienstprojekt sehen soll. In diesem Feld können Sie mehrere E-Mail-Adressen eingeben.
Wählen Sie im Feld Rolle die Option Compute-Netzwerkbetrachter aus.
Klicken Sie auf Speichern.

gcloud

Führen Sie im Terminal folgenden Befehl aus:

gcloud projects add-iam-policy-binding SERVICE_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

Dabei gilt:

SERVICE_PROJECT_ID: die ID des Dienstprojekts
PRINCIPAL: das Hauptkonto, das App Engine-Dienste bereitstellt. Weitere Informationen zum Flag --member.

Dienst für die Verwendung eines Connectors konfigurieren

Für jeden App Engine-Dienst, der Zugriff auf Ihre freigegebene VPC benötigt, müssen Sie den Connector für den Dienst angeben. In den folgenden Schritten wird gezeigt, wie Sie Ihren Dienst für die Verwendung eines Connectors konfigurieren.

Fügen Sie der Datei app.yaml Ihres Dienstes den vpc_access_connector hinzu:
```
vpc_access_connector:
name: projects/HOST_PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
```
Dabei gilt:
- HOST_PROJECT_ID: die ID des freigegebenen VPC-Hostprojekts
- REGION: die Region des Connectors
- CONNECTOR_NAME: der Name des Connectors
Stellen Sie den Dienst bereit:
```
gcloud app deploy
```

Nach der Bereitstellung kann Ihr Dienst Anfragen an Ihr freigegebenes VPC-Netzwerk senden und die entsprechenden Antworten empfangen.

Weitere Informationen

Administratoraktivitäten mit dem Audit-Logging für den serverlosen VPC-Zugriff überwachen.
Schützen Sie Ressourcen und Daten, indem Sie mit VPC Service Controls einen Dienstperimeter erstellen.
Mehr über die IAM-Rollen (Identity and Access Management) für den serverlosen VPC-Zugriff erfahren. Unter Rollen für serverlosen VPC-Zugriff in der IAM-Dokumentation finden Sie eine Liste der Berechtigungen, die mit jeder Rolle verknüpft sind.
Verbindung zu Memorystore aus der App Engine-Standardumgebung herstellen