Se la tua organizzazione utilizza un VPC condiviso, puoi configurare un connettore di accesso VPC serverless nel progetto di servizio o nel progetto host. Questa guida mostra come configurare un connettore nel progetto host.
Se devi configurare un connettore in un progetto di servizio, consulta Configurare i connettori nei progetti di servizio. Per scoprire i vantaggi di ciascun metodo, consulta Connessione a una VPC condiviso condivisa.
Prima di iniziare
Controlla i ruoli Identity and Access Management (IAM) per l'account in uso. L'account attivo deve avere i seguenti ruoli nel progetto host:
Seleziona il progetto host nell'ambiente che preferisci.
Console
Vai alla dashboard della console Google Cloud.
Nella barra dei menu nella parte superiore della dashboard, fai clic sul menu a discesa del progetto e seleziona il progetto host.
gcloud
Imposta il progetto predefinito in gcloud CLI sul progetto host eseguendo questo comando nel terminale:
gcloud config set project HOST_PROJECT_ID
Sostituisci quanto segue:
HOST_PROJECT_ID
: l'ID del progetto host del VPC condiviso
Crea un connettore di accesso VPC serverless
Per inviare richieste alla tua rete VPC e ricevere le risposte corrispondenti, devi creare un connettore di accesso VPC serverless. Puoi creare un connettore utilizzando la console Google Cloud, Google Cloud CLI o Terraform:
Console
Abilita l'API Serverless VPC Access per il tuo progetto.
Vai alla pagina di riepilogo dell'accesso VPC serverless.
Fai clic su Crea connettore.
Nel campo Nome, inserisci un nome per il connettore. Il nome deve seguire la convenzione di denominazione di Compute Engine e contenere meno di 21 caratteri. I trattini (
-
) vengono conteggiati come due caratteri.Nel campo Regione, seleziona una regione per il connettore. Deve corrispondere alla regione del servizio serverless.
Se il servizio è nella regione
us-central
oeurope-west
, utilizzaus-central1
oeurope-west1
.Nel campo Rete, seleziona la rete VPC a cui collegare il connettore.
Fai clic sul menu a discesa Subnet:
Seleziona una subnet
/28
inutilizzata.- Le subnet devono essere utilizzate esclusivamente dal connettore. Non possono essere utilizzate da altre risorse come VM, Private Service Connect o bilanciatori del carico.
- Per confermare che la subnet non sia utilizzata per Private Service Connect o Cloud Load Balancing, verifica che la subnet
purpose
siaPRIVATE
eseguendo questo comando nellgcloud CLI: Sostituiscigcloud compute networks subnets describe SUBNET_NAME
SUBNET_NAME
con il nome della tua subnet.
(Facoltativo) Per impostare le opzioni di scalabilità per un controllo aggiuntivo sul connettore, fai clic su Mostra impostazioni di scalabilità per visualizzare il modulo di scalabilità.
- Imposta il numero minimo e massimo di istanze per il connettore oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (massimo). Il connettore fa lo scale out al massimo specificato all'aumento del traffico, ma non viene fatto lo scale back quando il traffico diminuisce. Devi
utilizzare valori compresi tra
2
e10
e il valoreMIN
deve essere inferiore al valoreMAX
. - Nel menu a discesa Tipo di istanza, scegli il tipo di macchina da utilizzare per il connettore oppure utilizza il valore predefinito
e2-micro
. Osserva la barra laterale dei costi sulla destra quando scegli il tipo di istanza, che mostra le stime relative a larghezza di banda e costi.
- Imposta il numero minimo e massimo di istanze per il connettore oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (massimo). Il connettore fa lo scale out al massimo specificato all'aumento del traffico, ma non viene fatto lo scale back quando il traffico diminuisce. Devi
utilizzare valori compresi tra
Fai clic su Crea.
Quando il connettore è pronto per essere utilizzato, accanto al nome del connettore viene visualizzato un segno di spunta verde.
gcloud
Aggiorna i componenti di
gcloud
alla versione più recente:gcloud components update
Abilita l'API Serverless VPC Access per il tuo progetto:
gcloud services enable vpcaccess.googleapis.com
Crea un connettore di accesso VPC serverless:
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region=REGION \ --subnet=SUBNET \ --subnet-project=HOST_PROJECT_ID \ # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max. --min-instances=MIN \ --max-instances=MAX \ # Optional: specify machine type, default is e2-micro --machine-type=MACHINE_TYPE
Sostituisci quanto segue:
CONNECTOR_NAME
: un nome per il connettore. Il nome deve seguire la convenzione di denominazione di Compute Engine e contenere meno di 21 caratteri. I trattini (-
) vengono conteggiati come due caratteri.REGION
: una regione per il connettore; deve corrispondere a quella del servizio serverless. Se il servizio si trova nella regioneus-central
oeurope-west
, utilizzaus-central1
oeurope-west1
.SUBNET
: il nome di una subnet/28
inutilizzata.- Le subnet devono essere utilizzate esclusivamente dal connettore. Non possono essere utilizzate da altre risorse come VM, Private Service Connect o bilanciatori del carico.
- Per confermare che la subnet non sia utilizzata per Private Service Connect o Cloud Load Balancing, verifica che la subnet
purpose
siaPRIVATE
eseguendo questo comando nellgcloud CLI: Sostituisci quanto segue:gcloud compute networks subnets describe SUBNET_NAME
SUBNET_NAME
: il nome della subnet
HOST_PROJECT_ID
: l'ID del progetto hostMIN
: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra2
e9
. Il valore predefinito è2
. Per scoprire di più sulla scalabilità dei connettori, consulta Velocità effettiva e scalabilità.MAX
: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra3
e10
. Il valore predefinito è10
. Se il traffico lo richiede, il connettore esegue lo scale out a[MAX]
istanze, ma non lo scale back. Per scoprire di più sulla scalabilità dei connettori, consulta Velocità effettiva e scalabilità.MACHINE_TYPE
:f1-micro
,e2-micro
oe2-standard-4
. Per saperne di più sulla velocità effettiva del connettore, inclusi il tipo di macchina e la scalabilità, consulta Velocità effettiva e scalabilità.
Per ulteriori dettagli e argomenti facoltativi, consulta la documentazione di riferimento di
gcloud
.Verifica che il connettore sia nello stato
READY
prima di utilizzarlo:gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \ --region=REGION
Sostituisci quanto segue:
CONNECTOR_NAME
: il nome del connettore; si tratta del nome specificato nel passaggio precedenteREGION
: la regione del connettore; si tratta della regione specificata nel passaggio precedente
L'output dovrebbe contenere la riga
state: READY
.
Terraform
Puoi utilizzare una risorsa Terraform per abilitare l'API vpcaccess.googleapis.com
.
Puoi utilizzare i moduli Terraform per creare una rete e una subnet VPC, quindi creare il connettore.
Fornisci l'accesso al connettore
Fornisci l'accesso al connettore concedendo il ruolo IAM Utente accesso VPC serverless nel progetto host all'entità che esegue il deployment del servizio App Engine.
Console
Apri la pagina IAM.
Fai clic sul menu a discesa del progetto e seleziona il progetto host.
Fai clic su Aggiungi.
Nel campo Nuove entità, aggiungi l'entità che esegue il deployment del servizio App Engine.
Nel campo Ruolo, seleziona Utente accesso VPC serverless.
Fai clic su Salva.
gcloud
Esegui questo comando nel tuo terminale:
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=PRINCIPAL \ --role=roles/vpcaccess.user
Sostituisci quanto segue:
HOST_PROJECT_ID
: l'ID del progetto host del VPC condivisoPRINCIPAL
: l'entità che esegue il deployment del servizio App Engine. Scopri di più sul flag--member
.
Rendere il connettore rilevabile
Per visualizzare il connettore, le entità devono disporre di determinati ruoli di visualizzazione sia nel progetto host che nel progetto di servizio. Per visualizzare il connettore quando le entità visualizzano i connettori disponibili nella console Google Cloud o dal loro terminale, aggiungi i ruoli IAM per le entità che eseguono il deployment dei servizi App Engine.
Concedi ruoli IAM sul progetto host
Nel progetto host, concedi alle entità che eseguono il deployment dei servizi App Engine il ruolo Visualizzatore accesso VPC serverless (vpcaccess.viewer
).
Console
Apri la pagina IAM.
Fai clic sul menu a discesa del progetto e seleziona il progetto host.
Fai clic su Aggiungi.
Nel campo Nuove entità, inserisci l'indirizzo email dell'entità che dovrebbe essere in grado di vedere il connettore del progetto di servizio. In questo campo puoi inserire più indirizzi email.
Nel campo Ruolo, seleziona Visualizzatore accesso VPC serverless.
Fai clic su Salva.
gcloud
Esegui questo comando nel tuo terminale:
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=PRINCIPAL \ --role=roles/vpcaccess.viewer
Sostituisci quanto segue:
HOST_PROJECT_ID
: l'ID del progetto host del VPC condivisoPRINCIPAL
: l'entità che esegue il deployment dei servizi App Engine. Scopri di più sul flag--member
.
Concedi ruoli IAM sul progetto di servizio
Nel progetto di servizio, concedi il ruolo Visualizzatore rete Compute (compute.networkViewer
) alle entità che eseguono il deployment dei servizi App Engine.
Console
Apri la pagina IAM.
Fai clic sul menu a discesa del progetto e seleziona il progetto di servizio.
Fai clic su Aggiungi.
Nel campo Nuove entità, inserisci l'indirizzo email dell'entità che dovrebbe essere in grado di vedere il connettore del progetto di servizio. In questo campo puoi inserire più indirizzi email.
Nel campo Ruolo, seleziona Visualizzatore rete Compute.
Fai clic su Salva.
gcloud
Esegui questo comando nel tuo terminale:
gcloud projects add-iam-policy-binding SERVICE_PROJECT_ID \ --member=PRINCIPAL \ --role=roles/compute.networkViewer
Sostituisci quanto segue:
SERVICE_PROJECT_ID
: l'ID del progetto di servizioPRINCIPAL
: l'entità che esegue il deployment dei servizi App Engine. Scopri di più sul flag--member
.
Configura il servizio per l'utilizzo di un connettore
Per ogni servizio App Engine che richiede l'accesso al tuo VPC condiviso, devi specificare il connettore per il servizio. I passaggi seguenti mostrano come configurare il servizio per l'utilizzo di un connettore.
Aggiungi
vpc_access_connector
al fileapp.yaml
del tuo servizio:vpc_access_connector: name: projects/HOST_PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
Sostituisci quanto segue:
HOST_PROJECT_ID
: l'ID del progetto host del VPC condivisoREGION
: la regione del connettoreCONNECTOR_NAME
: il nome del connettore
Esegui il deployment del servizio:
gcloud app deploy
Dopo il deployment, il servizio è in grado di inviare richieste alla tua rete VPC condiviso e ricevere le risposte corrispondenti.
Passaggi successivi
- Monitora l'attività degli amministratori con l'audit logging dell'accesso VPC serverless.
- Proteggi risorse e dati creando un perimetro di servizio con i Controlli di servizio VPC.
- Scopri di più sui ruoli di Identity and Access Management (IAM) associati all'accesso VPC serverless. Consulta i ruoli di accesso VPC serverless nella documentazione IAM per un elenco delle autorizzazioni associate a ciascun ruolo.
- Scopri come connetterti a Memorystore dall'ambiente standard di App Engine.