将 VPC Service Controls 与 Batch 搭配使用

本文档介绍了如何将 VPC Service Controls 与批处理搭配使用。借助 VPC Service Controls，您可以将特定资源隔离到服务边界中，从而保护 Google Cloud 服务的资源和数据。服务边界会阻止与边界之外的 Google Cloud 服务的连接，以及不明确允许的任何来自互联网的连接。

• 如需配置 VPC Service Controls 服务边界以使用批处理，请参阅本文档中的为批处理配置服务边界。
• 如果您的项目或网络使用 VPC Service Controls 限制了对批处理作业的网络访问权限，您必须将批处理作业配置为在所需的服务边界中运行。要了解具体方法，请参阅 创建在服务边界中运行的作业 。

如需详细了解网络概念和 何时配置网络，请参见 批量网络概览。

注意：批处理不保证 VPC Service Controls 支持使用自定义虚拟机操作系统映像的作业。仅默认批次 建议为使用 VPC Service Controls 的作业使用虚拟机操作系统映像。 如需详细了解虚拟机操作系统映像以及如何限制虚拟机操作系统映像，请参阅虚拟机操作系统环境概览。

准备工作

1. 如果您之前未使用过批处理功能，请参阅开始使用批处理，并完成适用于项目和用户的前提条件，以启用批处理功能。

2. 如需获取将 VPC Service Controls 与 Batch 搭配使用所需的权限， 请让管理员授予您 以下 IAM 角色：

   • 如需配置服务边界，请使用项目的 Access Context Manager Editor (roles/accesscontextmanager.policyEditor)
   • 如需创建作业，请执行以下操作：
     • 项目的 Batch Job Editor (roles/batch.jobsEditor)
     • Service Account User (roles/iam.serviceAccountUser) 服务账号用户 针对作业的服务账号，该账号默认为默认 Compute Engine 服务账号
   • 要确定项目或网络的服务边界，请执行以下操作： Access Context Manager 读取者 (roles/accesscontextmanager.policyReader) 针对项目
   • 如需识别作业的网络和子网，请执行以下操作： 项目的 Compute Network Viewer (roles/compute.networkViewer)

   如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

   您也可以通过自定义角色或其他预定义角色来获取所需的权限。

3. 如果您创建要在服务边界中运行的作业，则需要指定要为作业使用的网络。您为在服务边界中运行的作业指定的网络必须满足以下要求：
   • 该网络是与作业位于同一项目中的 Virtual Private Cloud (VPC) 网络，或者是托管作业项目或与作业项目共享的共享 VPC 网络。
   • 该网络在您要运行作业的位置包含一个子网。
   • 该网络位于所需的服务边界内，并使用专用 Google 访问通道来允许访问作业使用的 API 和服务的网域。如需了解详情，请参阅 为 Batch 配置服务边界 。
   如需了解详情，请参阅创建和管理 VPC 网络。

为 Batch 配置服务边界

如需为 Batch 配置服务边界，请执行以下操作：

1. 规划服务边界的配置。如需简要了解服务边界的配置阶段，请参阅 VPC Service Controls 文档中的服务边界详情和配置。

   如需使用批处理功能，服务边界必须满足以下要求：

   • 受限服务：如需在服务边界内保护 Batch，您必须在该边界中添加 Batch 作业所需的 Google Cloud 服务，例如以下服务：

     • Batch API (batch.googleapis.com)
     • Cloud Logging API (logging.googleapis.com)：如果需要，则必须使用此 API 将日志写入 Cloud Logging。（推荐）
     • Container Registry API (containerregistry.googleapis.com)：如果您提交的作业使用任何包含 Container Registry 中映像的容器，则必须提供此权限。
     • Artifact Registry API (artifactregistry.googleapis.com)： 如果您要提交的作业使用任何容器，且该作业使用来自以下来源的映像，则 Artifact Registry
     • Filestore API (file.googleapis.com)：如果作业使用 Filestore 文件共享，则必须提供此权限。
     • Cloud Storage API (storage.googleapis.com)：对于使用 Cloud Storage 存储桶的某些作业，此权限是必需的。如果您使用 批处理作业的容器映像 批处理服务代理 。

     如需了解如何在服务边界中启用上述各项服务，请参阅 VPC 可访问服务。

     注意 ：为了让您的 Batch 作业受到 服务边界，则必须指定计划使用的所有服务。

     对于您添加的每个服务（除了批处理之外），您还需要验证您的服务边界是否符合 VPC Service Controls 支持的产品和限制文档中针对该服务列出的要求。

   • VPC 网络：每个批处理作业都需要一个 VPC 网络，因此您的服务边界必须包含可运行批处理作业的 VPC 网络。如需了解如何配置可在服务边界内运行批处理作业的 VPC 网络，请参阅以下文档：

     • 简要介绍如何在服务中使用 VPC 网络 请参见 服务边界中的 VPC 网络管理。
     • 了解如何将专用 Google 访问通道与 使用 VPC Service Controls 配置对 Google Cloud 的访问权限 批处理作业所需的全部服务，请参见 设置与 Google API 和服务的专用连接。
     • 如需详细了解 批处理作业，请参见 职位网络概览。

2. 创建新的服务边界或更新现有服务边界，以满足这些要求。

创建在服务边界中运行的作业

创建在服务边界中运行的作业时，您还必须 禁止外部访问运行作业的所有虚拟机，并指定网络和 允许作业访问所需 API 的子网。

如需创建在服务边界中运行的作业，请按照创建会屏蔽所有虚拟机的外部访问的作业文档中的步骤操作，并指定符合在服务边界中运行的作业的网络要求的网络。

后续步骤

• 如果您在创建或运行作业时遇到问题，请参阅问题排查。
• 详细了解网络。
• 详细了解如何创建作业。
• 了解如何查看作业和任务。