Batch で VPC Service Controls を使用する

このドキュメントでは、Batch で VPC Service Controls を使用する方法について説明します。VPC Service Controls を使用すると、特定のリソースをサービス境界で分離することにより、Google Cloud サービスのリソースとデータを保護できます。サービス境界は、境界外の Google Cloud サービスとの接続と、明示的に許可されていないインターネットからの接続をブロックします。

  • VPC Service Controls サービス境界を構成して Batch を使用するには、このドキュメントの Batch のサービス境界を構成するをご覧ください。
  • プロジェクトまたはネットワークで VPC Service Controls を使用して Batch のネットワーク アクセスを制限する場合は、必要なサービス境界で実行されるように Batch ジョブを構成する必要があります。その方法については、このドキュメントのサービス境界で実行するジョブの作成をご覧ください。

ネットワーキングのコンセプトと、ネットワーキングを構成するタイミングについては、Batch ネットワーキングの概要をご覧ください。

準備

Batch のサービス境界を構成する

Batch のサービス境界を構成するには、次の手順を行います。

  1. サービス境界の構成を計画します。サービス境界の構成ステージの概要については、サービス境界の詳細と構成に関する VPC Service Controls のドキュメントをご覧ください。

    Batch を使用するには、サービス境界が次の要件を満たしている必要があります。

    • 制限付きサービス: サービス境界内で Batch を保護するには、その境界に Batch ジョブに必要な Google Cloud サービス(次のサービスなど)を含める必要があります。

      • Batch APIbatch.googleapis.com
      • Cloud Logging APIlogging.googleapis.com): ジョブで Cloud Logging にログを書き込む場合に必要です。(推奨)。
      • Container Registry APIcontainerregistry.googleapis.com): Container Registry のイメージを含むコンテナを使用するジョブを送信する場合に必要です。
      • Artifact Registry APIartifactregistry.googleapis.com): Artifact Registry のイメージを含むコンテナを使用するジョブを送信する場合に必要です。
      • Filestore APIfile.googleapis.com): ジョブが Filestore ファイル共有を使用する場合に必要です。
      • Cloud Storage APIstorage.googleapis.com): Cloud Storage バケットを使用する一部のジョブに必要です。 Batch ジョブに Batch サービス エージェントがプリインストールされていないバッチイメージを使用する場合は必須です。

      これらのサービスをサービス境界で有効にする方法については、VPC アクセス可能なサービスをご覧ください。

      また、Batch 以外に含める各サービスについては、サービス境界が、VPC Service Controls でサポートされているプロダクトと制限事項のドキュメントに記載されているサービスの要件を満たしていることも確認する必要があります。

    • VPC ネットワーク: 各 Batch ジョブには VPC ネットワークが必要なため、サービス境界には Batch ジョブを実行できる VPC ネットワークを含める必要があります。サービス境界内で Batch ジョブを実行できる VPC ネットワークを構成する方法については、次のドキュメントをご覧ください。

  2. これらの要件を満たすために、新しいサービス境界を作成するか、既存のサービス境界を更新します。

サービス境界内で実行するジョブを作成する

サービス境界で実行するジョブを作成する場合は、ジョブが実行されるすべての VM に対する外部アクセスをブロックし、ジョブが必要な API にアクセスできるネットワークとサブネットを指定する必要もあります。

サービス境界で実行するジョブを作成するには、ドキュメントすべての VM に対する外部アクセスをブロックするジョブを作成するの手順に沿って、サービス境界で実行するジョブのネットワーク要件を満たすネットワークを指定します。

次のステップ