将 VPC Service Controls 与批处理搭配使用

本文档介绍了如何将 VPC Service Controls 与 Batch 搭配使用。借助 VPC Service Controls，您可以将特定资源隔离到服务边界中，从而保护 Google Cloud 服务的资源和数据。服务边界会阻止与边界外的 Google Cloud 服务的连接，以及未明确允许的来自互联网的任何连接。

• 如需配置 VPC Service Controls 服务边界以使用 Batch，请参阅本文档中的为 Batch 配置服务边界。
• 如果您的项目或网络使用 VPC Service Controls 来限制 Batch 的网络访问权限，您必须将 Batch 作业配置为在所需的服务边界内运行。如需了解具体操作方法，请参阅本文档中的创建在服务边界内运行的作业。

如需详细了解网络概念以及何时配置网络，请参阅批量网络概览。

注意： Batch 不保证对使用自定义虚拟机操作系统映像的作业提供 VPC Service Controls 支持。建议仅将默认 Batch 虚拟机操作系统映像用于使用 VPC Service Controls 的作业。如需详细了解虚拟机操作系统映像以及如何限制虚拟机操作系统映像，请参阅虚拟机操作系统环境概览。

准备工作

1. 如果您之前未使用过 Batch，请查看开始使用 Batch 并完成项目和用户的前提条件，以启用 Batch。

2. 如需获得将 VPC Service Controls 与 Batch 搭配使用所需的权限，请让您的管理员为您授予以下 IAM 角色：

   • 如需配置服务边界： 项目的 Access Context Manager Editor (roles/accesscontextmanager.policyEditor)
   • 如需创建作业，请执行以下操作：
     • 项目的 Batch Job Editor (roles/batch.jobsEditor)
     • 作业的服务账号（默认情况下为默认 Compute Engine 服务账号）的 Service Account User (roles/iam.serviceAccountUser)
   • 如需确定项目或网络的服务边界，请为项目授予 Access Context Manager Reader (roles/accesscontextmanager.policyReader) 角色
   • 确定作业的网络和子网：项目的 Compute Network Viewer (roles/compute.networkViewer) 角色

   如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

   您也可以通过自定义角色或其他预定义角色来获取所需的权限。

3. 如果您创建的作业在服务边界内运行，则需要确定要用于该作业的网络。为在服务边界内运行的作业指定的网络必须满足以下要求：
   • 该网络是与作业位于同一项目中的 Virtual Private Cloud (VPC) 网络，或者是作业项目托管或共享的共享 VPC 网络。
   • 网络包含您要运行作业的位置中的子网。
   • 相应网络位于所需的服务边界内，并使用专用 Google 访问通道来允许访问作业所使用的 API 和服务的网域。如需了解详情，请参阅本文档中的为 Batch 配置服务边界。
   如需了解详情，请参阅创建和管理 VPC 网络。

为 Batch 配置服务边界

如需为 Batch 配置服务边界，请执行以下操作：

1. 规划服务边界的配置。如需大致了解服务边界的配置阶段，请参阅 VPC Service Controls 文档中的服务边界详情和配置。

   如需使用 Batch，服务边界必须满足以下要求：

   • 受限服务：如需在服务边界内保护 Batch，您必须在该边界内添加 Batch 作业所需的 Google Cloud 服务，例如以下服务：

     • Batch API (batch.googleapis.com)
     • Cloud Logging API (logging.googleapis.com)：如果您希望作业将日志写入 Cloud Logging，则必须指定此权限。（推荐）
     • Container Registry API (containerregistry.googleapis.com)：如果您提交的作业使用了任何包含 Container Registry 映像的容器，则必须启用此 API。
     • Artifact Registry API (artifactregistry.googleapis.com)：如果您提交的作业使用任何包含 Artifact Registry 映像的容器，则必须启用此 API。
     • Filestore API (file.googleapis.com)：如果作业使用 Filestore 文件共享，则为必需。
     • Cloud Storage API (storage.googleapis.com)：对于使用 Cloud Storage 存储桶的某些作业，此权限是必需的。 如果您为 Batch 作业使用的映像未预安装 Batch 服务代理，则必须指定此参数。

     如需了解如何在服务边界中启用这些服务，请参阅 VPC 可访问服务。

     注意： 如需让 Batch 作业受到服务边界的全面保护，您必须指定计划使用的所有服务。

     对于您包含的除 Batch 之外的每项服务，您还需要验证服务边界是否满足 VPC Service Controls 支持的产品和限制文档中针对相应服务列出的要求。

   • VPC 网络：每个 Batch 作业都需要一个 VPC 网络，因此您的服务边界必须包含一个可供 Batch 作业运行的 VPC 网络。如需了解如何配置可在服务边界内运行 Batch 作业的 VPC 网络，请参阅以下文档：

     • 如需大致了解如何在服务边界中使用 VPC 网络，请参阅服务边界中的 VPC 网络管理。
     • 如需了解如何将专用 Google 访问通道与 VPC Service Controls 搭配使用，以配置对 Batch 作业所需 Google Cloud服务的访问权限，请参阅设置与 Google API 和服务的专用连接。
     • 如需详细了解批处理作业的网络要求，请参阅作业联网概览。

2. 创建新的服务边界或更新现有服务边界，以满足这些要求。

创建在服务边界中运行的作业

创建在服务边界内运行的作业时，您还必须阻止作业运行的所有虚拟机的外部访问权限，并指定允许作业访问所需 API 的网络和子网。

如需创建在服务边界内运行的作业，请按照创建阻止所有虚拟机进行外部访问的作业文档中的步骤操作，并指定满足在服务边界内运行的作业的网络要求的网络。

后续步骤

• 如果您在创建或运行作业时遇到问题，请参阅问题排查。
• 详细了解网络。
• 详细了解如何创建作业。
• 了解如何查看作业和任务。