将 VPC Service Controls 与 Batch 搭配使用

本文档介绍如何将 VPC Service Controls 与 Batch 搭配使用。 借助 VPC Service Controls，您可以将特定资源隔离到多个服务边界内，从而保护 Google Cloud 服务的资源和数据。服务边界会阻止与边界外的 Google Cloud 服务的连接，以及来自互联网的任何未明确允许的连接。

• 如需将 VPC Service Controls 服务边界配置为使用 Batch，请参阅本文档中的为 Batch 配置服务边界。
• 如果您的项目或网络使用 VPC Service Controls 限制 Batch 的网络访问权限，您必须将 Batch 作业配置为在所需的服务边界内运行。 如需了解具体方法，请参阅本文档中的创建在服务边界内运行的作业。

如需详细了解网络概念以及何时配置网络，请参阅批量网络概览。

注意 ：Batch 不保证 VPC Service Controls 支持使用自定义虚拟机操作系统映像的作业。对于使用 VPC Service Controls 的作业，建议仅使用默认批处理虚拟机操作系统映像。如需详细了解虚拟机操作系统映像以及如何限制虚拟机操作系统映像，请参阅虚拟机操作系统环境概览。

准备工作

• 如果您之前未使用过 Batch，请查看 Batch 使用入门，并在满足项目和用户的前提条件以启用 Batch。

• 如需获取将 VPC Service Controls 与 Batch 搭配使用所需的权限，请让管理员向您授予以下 IAM 角色：

  • 如需配置服务边界，请对项目执行 Access Context Manager Editor (roles/accesscontextmanager.policyEditor) 操作
  • 如需创建任务，请执行以下操作：
    • 项目的 Batch Job Editor (roles/batch.jobsEditor)
    • 作业服务帐号的 Service Account User (roles/iam.serviceAccountUser)，默认为默认的 Compute Engine 服务帐号
  • 如需标识项目或网络的服务边界，请执行以下操作： 项目的 Access Context Manager Reader (roles/accesscontextmanager.policyReader)
  • 如需确定作业的网络和子网，请执行以下操作： 项目的 Compute Network Viewer (roles/compute.networkViewer)

  如需详细了解如何授予角色，请参阅管理访问权限。

  您也可以通过自定义角色或其他预定义角色来获取所需的权限。

• 如果您创建在服务边界内运行的作业，则需要标识该作业要使用的网络。您为在服务边界内运行的作业指定的网络必须满足以下要求：
  • 该网络是与作业位于同一项目中的虚拟私有云 (VPC) 网络，或者由该作业的项目托管或与其共享的共享 VPC 网络。
  • 该网络在您要运行作业的位置包含子网。
  • 该网络位于所需的服务边界内，并使用专用 Google 访问通道允许访问作业使用的 API 和服务的网域。如需了解详情，请参阅本文档中的为 Batch 配置服务边界。
  如需了解详情，请参阅创建和管理 VPC 网络。

为 Batch 配置服务边界

如需为 Batch 配置服务边界，请执行以下操作：

1. 规划服务边界的配置。如需简要了解服务边界的配置阶段，请参阅 VPC Service Controls 文档中的服务边界详情和配置。

   如需使用 Batch，服务边界必须满足以下要求：

   • 受限服务：如需在服务边界内保护 Batch，您必须包括该边界内 Batch 作业所需的 Google Cloud 服务，例如以下服务：

     • Batch API (batch.googleapis.com)
     • Cloud Logging API (logging.googleapis.com)：如果您希望作业将日志写入 Cloud Logging，则需要。（推荐）
     • Container Registry API (containerregistry.googleapis.com)：如果您提交的作业使用任何包含 Container Registry 映像的容器，则此 API 是必需的。
     • Artifact Registry API (artifactregistry.googleapis.com)：如果您提交的作业使用任何包含 Artifact Registry 映像的容器，则此 API 是必需的。
     • Filestore API (file.googleapis.com)：如果您的作业使用 Filestore 文件共享，则此 API 是必需的。
     • Cloud Storage API (storage.googleapis.com)：某些使用 Cloud Storage 存储桶的作业是必需的。如果为 Batch 作业使用未预安装 Batch 服务代理的映像，则为必需。

     如需了解如何在服务边界中启用所有这些服务，请参阅 VPC 可访问服务。

     注意 ：为了让您的 Batch 作业受服务边界的全面保护，您必须指定计划使用的所有服务。

     对于除 Batch 之外的每项服务，您还需要验证您的服务边界是否符合 VPC Service Controls 支持的产品和限制文档中针对该服务的要求。

   • VPC 网络：每个批量作业都需要一个 VPC 网络，因此您的服务边界必须包含一个可以运行批量作业的 VPC 网络。如需了解如何配置可在服务边界内运行批量作业的 VPC 网络，请参阅以下文档：

     • 如需简要了解如何在服务边界内使用 VPC 网络，请参阅服务边界中的 VPC 网络管理。
     • 如需了解如何将专用 Google 访问通道与 VPC Service Controls 结合使用，以配置对批量作业所需的 Google Cloud 服务的访问权限，请参阅设置与 Google API 和服务的专用连接。
     • 如需详细了解批量作业的网络要求，请参阅作业网络概览。

2. 创建新的服务边界或更新现有服务边界以满足这些要求。

创建在服务边界内运行的作业

创建在服务边界中运行的作业时，您还必须禁止该作业运行的所有虚拟机从外部访问，并指定允许该作业访问所需 API 的网络和子网。

如需创建在服务边界内运行的作业，请按照创建阻止所有虚拟机的外部访问的作业文档中的步骤进行操作，并指定符合在服务边界内运行的作业的网络要求的网络。

后续步骤

• 如果您在创建或运行作业时遇到问题，请参阅问题排查。
• 详细了解网络。
• 详细了解如何创建作业。
• 了解如何查看任务和任务。