このページでは、サーバーレス VPC アクセスを使用して App Engine スタンダード環境アプリを VPC ネットワークに直接接続し、Compute Engine VM インスタンス、Memorystore インスタンスなどの内部 IP アドレスを持つリソースにアクセスできるようにする方法について説明します。
始める前に
プロジェクトに VPC ネットワークがない場合は作成します。
共有 VPC を使用する場合は、共有 VPC ネットワークへの接続をご覧ください。
サーバーレス VPC アクセス コネクタを作成する
公共のインターネットを使用せずに VPC ネットワークにリクエストを送信して対応するレスポンスを受信するには、サーバーレス VPC アクセス コネクタを使用する必要があります。
コネクタは、Google Cloud コンソール、Google Cloud CLI、または Terraform を使用して作成できます。
コンソール
プロジェクトで Serverless VPC Access API が有効になっていることを確認します。
サーバーレス VPC アクセスの概要ページに移動します。
[コネクタを作成] をクリックします。
[名前] フィールドに、コネクタの名前を入力します。これは Compute Engine の命名規則に従う必要がありますが、ハイフン(-)は 2 文字とカウントし、21 文字未満にする必要があります。
[リージョン] フィールドで、コネクタのリージョンを選択します。これは、サーバーレス サービスのリージョンと一致する必要があります。
サービスが
us-central
またはeurope-west
リージョンにある場合は、us-central1
またはeurope-west1
を使用します。[ネットワーク] フィールドで、コネクタを接続する VPC ネットワークを選択します。
[サブネットワーク] プルダウン メニューをクリックします。
独自のサブネットを必要とする共有 VPC を使用している場合は、未使用の
/28
サブネットを選択します。- サブネットはコネクタ専用にする必要があります。VM、Private Service Connect、内部 HTTP(S) ロード バランシングなどの他のリソースでは使用できません。
- サブネットが Private Service Connect や内部 HTTP(S) ロード バランシングに使用されていないことを確認するには、gcloud CLI で次のコマンドを実行して、サブネット
purpose
がPRIVATE
であることを確認します。gcloud compute networks subnets describe SUBNET_NAME
次のように置き換えます。- SUBNET_NAME: サブネットの名前
共有 VPC を使用していない場合、サブネットを明示的に作成するのではなく、コネクタでサブネットを作成するようにしたい場合は、プルダウンから [カスタム IP 範囲] を選択して、予約されていない CIDR
/28
内部 IP 範囲の最初のアドレスを [IP 範囲] フィールドに入力します。この IP 範囲は、VPC ネットワーク内の既存の IP アドレス予約と重複してはいけません。たとえば、10.8.0.0
(/28
)はほとんどの新しいプロジェクトで機能します。
(省略可)コネクタを詳細に制御するためのスケーリング オプションを設定するには、[スケーリング設定を表示] をクリックしてスケーリング フォームを表示します。
- コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値(最小 2、最大 10)を使用します。コネクタは、トラフィックの使用量に応じて指定された最大値にスケールアウトしますが、トラフィックが減少してもスケールインしません。
2
~10
の範囲の値を使用する必要があります。 - [インスタンス タイプ] プルダウン メニューで、コネクタに使用するマシンタイプを選択するか、デフォルトの
e2-micro
を使用します。インスタンス タイプを選択すると、右側にコスト サイドバーが表示され、帯域幅とコストの見積もりが表示されます。
- コネクタのインスタンスの最小数と最大数を設定するか、デフォルト値(最小 2、最大 10)を使用します。コネクタは、トラフィックの使用量に応じて指定された最大値にスケールアウトしますが、トラフィックが減少してもスケールインしません。
[作成] をクリックします。
コネクタの使用準備が整うと、コネクタ名の横に緑色のチェックマークが表示されます。
gcloud
gcloud
コンポーネントを最新バージョンに更新します。gcloud components update
プロジェクトで Serverless VPC Access API が有効になっていることを確認します。
gcloud services enable vpcaccess.googleapis.com
独自のサブネットを必要とする共有 VPC を使用している場合は、次のコマンドでコネクタを作成します。
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region REGION \ --subnet SUBNET \ # If you are not using Shared VPC, omit the following line. --subnet-project HOST_PROJECT_ID \ # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max. --min-instances MIN \ --max-instances MAX \ # Optional: specify machine type, default is e2-micro --machine-type MACHINE_TYPE
次のように置き換えます。
CONNECTOR_NAME
: コネクタの名前。これは Compute Engine の命名規則に従う必要がありますが、ハイフン(-)は 2 文字とカウントして、21 文字未満にする必要があります。REGION
: コネクタのリージョン。これは、サーバーレス サービスのリージョンと一致する必要があります。サービスがus-central
またはeurope-west
リージョンにある場合は、us-central1
またはeurope-west1
を使用します。SUBNET
: 未使用の/28
サブネットの名前。- サブネットはコネクタ専用にする必要があります。VM、Private Service Connect、内部 HTTP(S) ロード バランシングなどの他のリソースでは使用できません。
- サブネットが Private Service Connect や内部 HTTP(S) ロード バランシングに使用されていないことを確認するには、gcloud CLI で次のコマンドを実行して、サブネット
purpose
がPRIVATE
であることを確認します。gcloud compute networks subnets describe SUBNET_NAME
次のように置き換えます。- SUBNET_NAME: サブネットの名前
HOST_PROJECT_ID
: ホスト プロジェクトの ID。共有 VPC を使用する場合にのみ指定します。MIN
: コネクタに使用するインスタンスの最小数。2
~9
の整数を使用してください。デフォルトは2
です。コネクタのスケーリングの詳細については、スループットとスケーリングをご覧ください。MAX
: コネクタに使用するインスタンスの最大数。3
~10
の整数を使用してください。デフォルトは10
です。トラフィックで必要な場合、コネクタは[MAX]
インスタンスにスケールアウトしますが、再スケーリングは行われません。コネクタのスケーリングの詳細については、スループットとスケーリングをご覧ください。MACHINE_TYPE
:f1-micro
、e2-micro
、またはe2-standard-4
。マシンタイプやスケーリングなど、コネクタのスループットの詳細については、スループットとスケーリングをご覧ください。
より詳しい情報とオプションの引数については、
gcloud
のリファレンスをご覧ください。共有 VPC を使用していない場合、サブネットを使用せずにカスタム IP 範囲を指定するには、次のコマンドでコネクタを作成します。
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --network VPC_NETWORK \ --region REGION \ --range IP_RANGE
次のように置き換えます。
CONNECTOR_NAME
: コネクタの名前。これは Compute Engine の命名規則に従う必要がありますが、ハイフン(-
)を 2 文字とカウントして、21 文字未満にする必要があります。VPC_NETWORK
: コネクタを接続する VPC ネットワークREGION
: コネクタのリージョン。これは、サーバーレス サービスのリージョンと一致する必要があります。サービスがus-central
またはeurope-west
リージョンにある場合は、us-central1
またはeurope-west1
を使用します。IP_RANGE
: 予約されていない内部 IP ネットワーク。未割り振りスペースの/28
が必要です。指定された値は、CIDR 表記(10.8.0.0/28
)で示されたネットワークです。この IP 範囲は、VPC ネットワーク内の既存の IP アドレス予約と重複してはいけません。たとえば、10.8.0.0/28
はほとんどの新しいプロジェクトで機能します。
スループット制御などの詳細とオプションの引数については、
gcloud
のリファレンスをご覧ください。使用する前に、コネクタが
READY
状態になっていることを確認します。gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \ --region REGION
次のように置き換えます。
CONNECTOR_NAME
: コネクタの名前。これは、前のステップで指定した名前です。REGION
: コネクタのリージョン。これは、前の手順で指定したリージョンです。
出力には、
state: READY
という行が含まれます。
Terraform
Terraform リソースを使用して、vpcaccess.googleapis.com
API を有効にできます。
Terraform モジュールを使用して VPC ネットワークとサブネットを作成し、コネクタを作成できます。
コネクタを使用するサービスを構成する
サーバーレス VPC アクセス コネクタを作成したら、VPC ネットワークに接続する App Engine アプリ内の各サービスを構成する必要があります。
アプリ内のサービスのコネクタを指定するには:
サービスの
app.yaml
ファイルにvpc_access_connector
フィールドを追加します。vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
ここで、
PROJECT_ID
は Cloud プロジェクト ID、REGION
はコネクタが存在するリージョン、CONNECTOR_NAME
はコネクタの名前です。サービスをデプロイします。
gcloud app deploy
サービスをデプロイすると、内部 IP アドレスへのリクエストを送信して VPC ネットワーク内のリソースにアクセスできるようになります。
VPC リソースへのアクセスを制限する
ファイアウォール ルールを使用して、コネクタによる VPC ネットワークへのアクセスを制限できます。
サービス プロジェクトでコネクタを使用して共有 VPC ネットワークに接続する場合、ファイアウォール ルールは自動的に作成されません。ホスト プロジェクトのネットワーク管理者ロールを持つユーザーが、ホスト プロジェクトの構成時にファイアウォール ルールを設定します。
スタンドアロン VPC ネットワーク、またはコネクタがホスト プロジェクトにある共有 VPC ネットワークに接続すると、優先度 1000 の暗黙のファイアウォール ルールが VPC ネットワークに自動的に作成されます。これにより、コネクタのサブネットまたはカスタム IP 範囲から VPC ネットワーク内のすべての宛先への上り(内向き)が許可されます。暗黙的なファイアウォール ルールは Google Cloud コンソールに表示はされませんが、関連するコネクタが存在する限り Google Cloud コンソールに存在します。コネクタが VPC ネットワーク内のすべての宛先に到達できないようにするには、コネクタのアクセスを制限します。
宛先リソースに上り(内向き)ルールを作成するか、VPC コネクタで下り(外向き)ルールを作成することで、コネクタのアクセスを制限できます。
上り(内向き)ルールを使用してアクセスを制限する
ネットワーク タグまたは CIDR 範囲を選択して、VPC ネットワークへの受信トラフィックを制御します。
ネットワーク タグ
次の手順は、コネクタのネットワーク タグに基づいて、VPC ネットワークへのアクセスを制限する上り(内向き)ルールを作成する方法を示しています。
ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management(IAM)ロールを付与されている必要があります。
- Compute セキュリティ管理者のロール
compute.firewalls.create
権限が有効にされているカスタム IAM ロール
VPC ネットワーク間のコネクタのトラフィックを拒否します。
コネクタのネットワーク タグからの上り(内向き)を拒否するには、VPC ネットワークで優先度 1000 未満の上り(内向き)ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=PROTOCOL \ --source-tags=VPC_CONNECTOR_NETWORK_TAG \ --direction=INGRESS \ --network=VPC_NETWORK \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
deny-vpc-connector
。 - PROTOCOL: VPC コネクタから許可するプロトコル。
ah
、all
、esp
、icmp
、ipip
、sctp
、tcp
、udp
、または IP プロトコル番号(0~255)の 1 つ以上を指定する必要があります。たとえば、tcp:80,icmp
は、ポート 80 経由の TCP トラフィックと ICMP トラフィックを許可します。詳細については、allow
フラグのドキュメントをご覧ください。 VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ(今後作成されるコネクタを含む)のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。
- ユニバーサル ネットワーク タグ:
vpc-connector
一意のネットワーク タグ:
vpc-connector-REGION-CONNECTOR_NAME
次のように置き換えます。
- REGION: 制限するコネクタのリージョン
- CONNECTOR_NAME: 制限するコネクタの名前
コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。
- ユニバーサル ネットワーク タグ:
VPC_NETWORK: VPC ネットワークの名前
PRIORITY: 1~999 の整数(両端の値を含む)。例: 990
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。
allow
フラグとtarget-tags
フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り(内向き)ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --source-tags=VPC_CONNECTOR_NETWORK_TAG \ --direction=INGRESS \ --network=VPC_NETWORK \ --target-tags=RESOURCE_TAG \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
allow-vpc-connector-for-select-resources
。 - PROTOCOL: VPC コネクタから許可するプロトコル。
ah
、all
、esp
、icmp
、ipip
、sctp
、tcp
、udp
、または IP プロトコル番号(0~255)の 1 つ以上を指定する必要があります。たとえば、tcp:80,icmp
は、ポート 80 経由の TCP トラフィックと ICMP トラフィックを許可します。詳細については、allow
フラグのドキュメントをご覧ください。 VPC_CONNECTOR_NETWORK_TAG: すべてのコネクタ(今後作成されるコネクタを含む)のアクセス権を制限する場合はユニバーサル コネクタ ネットワーク タグ。または、特定のコネクタのアクセス権を制限する場合は一意のネットワーク タグ。これは、前のステップで指定したネットワーク タグと一致する必要があります。
- ユニバーサル ネットワーク タグ:
vpc-connector
一意のネットワーク タグ:
vpc-connector-REGION-CONNECTOR_NAME
次のように置き換えます。
- REGION: 制限するコネクタのリージョン
- CONNECTOR_NAME: 制限するコネクタの名前
コネクタ ネットワーク タグの詳細については、ネットワーク タグをご覧ください。
- ユニバーサル ネットワーク タグ:
VPC_NETWORK: VPC ネットワークの名前
RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。
PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
ファイアウォール ルールの作成に必須のフラグとオプション フラグの詳細については、gcloud compute firewall-rules create
のドキュメントをご覧ください。
CIDR 範囲
次の手順は、コネクタの CIDR 範囲に基づいて、VPC ネットワークへのアクセスを制限する上り(内向き)ルールを作成する方法を示しています。
ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management(IAM)ロールを付与されている必要があります。
- Compute セキュリティ管理者のロール
compute.firewalls.create
権限が有効にされているカスタム IAM ロール
VPC ネットワーク間のコネクタのトラフィックを拒否します。
コネクタの CIDR 範囲からの上り(内向き)を拒否するには、VPC ネットワークで優先度 1000 未満の上り(内向き)ファイアウォール ルールを作成します。これによって、デフォルトでサーバーレス VPC アクセスが VPC ネットワークに作成する暗黙的なファイアウォール ルールがオーバーライドされます。
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=<_1, PROTOCOL> \ --source-ranges=VPC_CONNECTOR_CIDR_RANGE \ --direction=INGRESS \ --network=VPC_NETWORK \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
deny-vpc-connector
- VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲
- VPC_NETWORK: VPC ネットワークの名前
- PRIORITY: 1~999 の整数。例: 990
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
コネクタ トラフィックを受信する必要があるリソースに対するコネクタのトラフィックを許可します。
allow
フラグとtarget-tags
フラグを使用して、VPC コネクタでアクセスする VPC ネットワーク内のリソースに対して上り(内向き)ファイアウォール ルールを作成します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --source-ranges=VPC_CONNECTOR_CIDR_RANGE \ --direction=INGRESS \ --network=VPC_NETWORK \ --target-tags=RESOURCE_TAG \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
allow-vpc-connector-for-select-resources
。 - PROTOCOL: VPC コネクタから許可するプロトコル。
ah
、all
、esp
、icmp
、ipip
、sctp
、tcp
、udp
、または IP プロトコル番号(0~255)の 1 つ以上を指定する必要があります。たとえば、tcp:80,icmp
は、ポート 80 経由の TCP トラフィックと ICMP トラフィックを許可します。詳細については、allow
フラグのドキュメントをご覧ください。 - VPC_CONNECTOR_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲
- VPC_NETWORK: VPC ネットワークの名前
- RESOURCE_TAG: VPC コネクタがアクセスする VPC リソースのネットワーク タグ。
- PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
ファイアウォール ルールの作成に必要なフラグとオプション フラグの詳細については、gcloud compute firewall-rules create
のドキュメントをご覧ください。
下り(外向き)ルールを使用してアクセスを制限する
次の手順は、コネクタのアクセスを制限する下り(外向き)ルールを作成する方法を示しています。
ファイアウォール ルールを挿入するために必要な権限を付与されていることを確認してください。次のいずれかの Identity and Access Management(IAM)ロールを付与されている必要があります。
- Compute セキュリティ管理者のロール
compute.firewalls.create
権限が有効にされているカスタム IAM ロール
コネクタからの下り(外向き)トラフィックを拒否します。
サーバーレス VPC アクセス コネクタに下り(外向き)ファイアウォール ルールを作成し、送信トラフィックの送信を防ぎます。
gcloud compute firewall-rules create RULE_NAME \ --action=DENY \ --rules=PROTOCOL \ --direction=EGRESS \ --target-tags=VPC_CONNECTOR_NETWORK_TAG \ --network=VPC_NETWORK \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
deny-vpc-connector
。 - PROTOCOL: VPC コネクタから許可するプロトコル。
ah
、all
、esp
、icmp
、ipip
、sctp
、tcp
、udp
、または IP プロトコル番号(0~255)の 1 つ以上を指定する必要があります。たとえば、tcp:80,icmp
は、ポート 80 経由の TCP トラフィックと ICMP トラフィックを許可します。詳細については、allow
フラグのドキュメントをご覧ください。 - VPC_CONNECTOR_NETWORK_TAG: 既存のすべての VPC コネクタと今後作成される VPC コネクタにルールを適用する場合は、ユニバーサル VPC コネクタのネットワーク タグを使用します。または、特定のコネクタを制御する場合は、一意の VPC コネクタのネットワーク タグを使用します。
- VPC_NETWORK: VPC ネットワークの名前
- PRIORITY: 1~999 の整数。例: 990
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
コネクタがアクセスするように設定した CIDR 範囲内に宛先が存在する場合に、下り(外向き)トラフィックを許可します。
allow
フラグとdestination-ranges
フラグを使用して、特定の宛先範囲でコネクタからの下り(外向き)トラフィックを許可するファイアウォール ルールを作成します。宛先範囲には、コネクタにアクセスを許可する VPC ネットワーク内のリソースの CIDR 範囲を設定します。このルールの優先度は、前の手順で作成したルールの優先度よりも低い値に設定します。gcloud compute firewall-rules create RULE_NAME \ --allow=PROTOCOL \ --destination-ranges=RESOURCE_CIDR_RANGE \ --direction=EGRESS \ --network=VPC_NETWORK \ --target-tags=VPC_CONNECTOR_NETWORK_TAG \ --priority=PRIORITY
次のように置き換えます。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
allow-vpc-connector-for-select-resources
。 - PROTOCOL: VPC コネクタから許可するプロトコル。
ah
、all
、esp
、icmp
、ipip
、sctp
、tcp
、udp
、または IP プロトコル番号(0~255)の 1 つ以上を指定する必要があります。たとえば、tcp:80,icmp
は、ポート 80 経由の TCP トラフィックと ICMP トラフィックを許可します。詳細については、allow
フラグのドキュメントをご覧ください。 - RESOURCE_CIDR_RANGE: アクセスを制限するコネクタの CIDR 範囲
- VPC_NETWORK: VPC ネットワークの名前
- VPC_CONNECTOR_NETWORK_TAG: 既存のすべての VPC コネクタと今後作成される VPC コネクタにルールを適用する場合は、ユニバーサル VPC コネクタのネットワーク タグを使用します。または、特定のコネクタを制御する場合は、一意の VPC コネクタのネットワーク タグを使用します。前のステップで一意のネットワーク タグを使用した場合は、一意のネットワーク タグを使用します。
- PRIORITY: 前のステップで設定した優先度よりも小さい整数。たとえば、前のステップで作成したルールの優先度を 990 に設定した場合は、980 を試してください。
- RULE_NAME: 新しいファイアウォール ルールの名前。例:
ファイアウォール ルールの作成に必須のフラグとオプション フラグの詳細については、gcloud compute firewall-rules create
のドキュメントをご覧ください。
コネクタを管理する
サービスからの下り(外向き)トラフィックの制御
デフォルトでは、内部 IP アドレスと内部 DNS 名へのリクエストのみが、サーバーレス VPC アクセス コネクタ経由で転送されます。app.yaml
ファイルで、サービスの下り(外向き)設定を指定できます。
下り(外向き)設定には URL 取得サービスとの互換性がありません。urlfetch
ライブラリを使用すると、下り(外向き)設定は無視され、リクエストはサーバーレス VPC アクセス コネクタ経由でルーティングされません。
App Engine サービスの下り(外向き)動作を構成するには:
サービスの
app.yaml
ファイルのvpc_access_connector
フィールドにegress_setting
属性を追加します。vpc_access_connector: name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME egress_setting: EGRESS_SETTING
次のように置き換えます。
PROJECT_ID
は Cloud プロジェクト ID に置き換えます。REGION
は、コネクタが存在するリージョンに置き換えます。CONNECTOR_NAME
は、コネクタの名前に置き換えます。EGRESS_SETTING
は、次のいずれかに置き換えます。private-ranges-only
: デフォルト。IP アドレス範囲(RFC 1918 と RFC 6598)または内部 DNS 名へのリクエストのみが VPC ネットワークに転送されます。その他のリクエストはすべて直接インターネットに転送します。all-traffic
: サービスからの送信リクエストをすべて VPC ネットワークに転送します。その後、リクエストは VPC ネットワークのファイアウォール、DNS、ルーティングの各ルールに従って処理されます。すべての送信リクエストを VPC ネットワークに転送すると、サーバーレス VPC アクセス コネクタによって処理される下り(外向き)の量が増加し、料金が発生する可能性があります。
サービスをデプロイします。
gcloud app deploy
VPC ネットワークからサービスを接続解除する
VPC ネットワークからサービスの接続を切断するには、app.yaml
ファイルから vpc_access_connector
フィールドを削除し、サービスを再デプロイします。
トラフィックがなく、接続解除されている場合でも、コネクタの料金は引き続き発生します。詳細については、料金をご覧ください。不要になったコネクタは削除して、請求が発生しないようにしてください。
コネクタを削除する
コネクタを削除する前に、接続中のサービスがないことを確認してください。
共有 VPC ホスト プロジェクトでコネクタを設定した共有 VPC ユーザーの場合は、gcloud compute networks vpc-access connectors describe
コマンドを使用して、特定のコネクタを使用するサービスが存在するプロジェクトを一覧表示できます。
コネクタを削除するには、Google Cloud コンソールまたは Google Cloud CLI を使用します。
コンソール
Google Cloud コンソールで、サーバーレス VPC アクセスの概要ページに移動します。
削除するコネクタを選択します。
[削除] をクリックします。
gcloud
コネクタを削除するには、次の gcloud
コマンドを使用します。
gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
次のように置き換えます。
- CONNECTOR_NAME は、削除するコネクタの名前に置き換えます。
- REGION は、コネクタが配置されているリージョンに置き換えます。
トラブルシューティング
サービス アカウント権限
Cloud プロジェクトでオペレーションを実行するために、サーバーレス VPC アクセスはサーバーレス VPC アクセス サービス エージェントのサービス アカウントを使用します。このサービス アカウントのメールアドレスは、次の形式になります。
service-PROJECT_NUMBER@gcp-sa-vpcaccess.iam.gserviceaccount.com
このサービス アカウントには、デフォルトでサーバーレス VPC アクセス サービス エージェントのロール(roles/vpcaccess.serviceAgent
)が設定されています。このアカウントの権限を変更すると、サーバーレス VPC アクセスのオペレーションが失敗する可能性があります。
エラー
コネクタの作成でエラーが発生した場合は、次の方法をお試しください。
- VPC ネットワーク内で予約されている既存の IP アドレスと重複しない RFC 1918 の内部 IP 範囲を指定します。
- プロジェクトから ID
serverless-vpc-access-images
で Compute Engine VM イメージを使用できるように、プロジェクトに権限を付与します。これに合わせて組織ポリシーを更新する方法については、イメージ アクセスの制限の設定をご覧ください。
コネクタを指定しても、VPC ネットワーク内のリソースにアクセスできない場合は、次のようにします。
- コネクタの IP 範囲からの上り(内向き)を拒否する、優先度が 1000 よりも小さいファイアウォール ルールが、VPC ネットワーク上にないことを確認します。
次のステップ
- サーバーレス VPC アクセスの監査ロギングを使用して管理アクティビティをモニタリングする。
- VPC Service Controls を使用してサービス境界を作成して、リソースとデータを保護する。
- サーバーレス VPC アクセスに関連付けられている Identity and Access Management(IAM)のロールについて学習する。各ロールに関連付けられている権限の一覧については、IAM のドキュメントのサーバーレス VPC アクセスのロールをご覧ください。
- App Engine スタンダード環境から Memorystore に接続する方法を学習する。