将 VPC Service Controls 与 Batch 搭配使用

本文档介绍了如何将 VPC Service Controls 与 Batch 配合使用。借助 VPC Service Controls，您可以将特定资源隔离到服务边界内，从而保护 Google Cloud 服务的资源和数据。服务边界会阻止与边界外的 Google Cloud 服务的连接以及来自互联网但未明确允许的任何连接。

• 如需将 VPC Service Controls 服务边界配置为使用 Batch，请参阅本文档中的为 Batch 配置服务边界。
• 如果您的项目或网络使用 VPC Service Controls 限制 Batch 的网络访问权限，您必须将 Batch 作业配置为在所需的服务边界内运行。如需了解具体方法，请参阅本文档中的创建在服务边界内运行的作业。

如需详细了解网络概念以及何时配置网络，请参阅批量网络概览。

准备工作

• 如果您之前未使用过 Batch，请查看开始使用 Batch，然后完成项目和用户需满足的前提条件以启用 Batch。

• 如需获取在 Batch 中使用 VPC Service Controls 所需的权限，请让管理员授予您以下 IAM 角色：

  • 如需配置服务边界，请执行以下操作： 在项目上配置 Access Context Manager Editor (roles/accesscontextmanager.policyEditor)
  • 如需创建作业，请执行以下操作：
    • 项目的 Batch Job Editor (roles/batch.jobsEditor)
    • 服务帐号的服务帐号上的服务帐号用户 (roles/iam.serviceAccountUser)，该帐号默认为默认 Compute Engine 服务帐号
  • 如需确定项目或网络的服务边界，请执行以下操作： 针对项目的 Access Context Manager 读取者 (roles/accesscontextmanager.policyReader)
  • 如需确定某个作业的网络和子网，请针对项目运行 Compute Network Viewer (roles/compute.networkViewer)

  如需详细了解如何授予角色，请参阅管理访问权限。

  您也可以通过自定义角色或其他预定义角色来获取所需的权限。

• 如果您创建在服务边界中运行的作业，则需要确定该作业要使用的网络。您为在服务边界中运行的作业指定的网络必须满足以下要求：
  • 该网络是与作业位于同一项目中的 Virtual Private Cloud (VPC) 网络，或者由作业托管或与项目共享的共享 VPC 网络。
  • 网络会在您要运行作业的位置包含一个子网（子网）。
  • 网络位于所需的服务边界内，并使用专用 Google 访问通道来允许访问作业所用 API 和服务的网域。如需了解详情，请参阅本文档中的为 Batch 配置服务边界。
  如需了解详情，请参阅创建和管理 VPC 网络。

为 Batch 配置服务边界

如需为 Batch 配置服务边界，请执行以下操作：

1. 规划服务边界的配置。如需简要了解服务边界的配置阶段，请参阅关于服务边界详情和配置的 VPC Service Controls 文档。

   如需使用 Batch，服务边界必须满足以下要求：

   • 受限服务：如需在服务边界内保护 Batch，您必须添加该边界内 Batch 作业所需的 Google Cloud 服务，例如以下服务：

     • Batch API (batch.googleapis.com)
     • Cloud Logging API (logging.googleapis.com)：如果您希望作业将日志写入 Cloud Logging，则必须提供。（推荐）
     • Container Registry API (containerregistry.googleapis.com)：如果您提交的作业使用了任何具有 Container Registry 映像的容器，则此项是必需的。
     • Artifact Registry API (artifactregistry.googleapis.com)：如果您提交的作业使用了包含 Artifact Registry 中映像的容器，则此项是必需的。
     • Filestore API (file.googleapis.com)：如果您的作业使用 Filestore 文件共享，则必须使用该 API。
     • Cloud Storage API (storage.googleapis.com)：某些使用 Cloud Storage 存储桶的作业需要此 API。

     如需了解如何在服务边界内启用这些服务，请参阅 VPC 可访问服务。

     注意 ：为了让您的 Batch 作业完全受服务边界保护，您必须指定您计划使用的所有服务。

     对于除了 Batch 之外的每项服务，您还需要验证服务边界是否满足 VPC Service Controls 支持的产品和限制文档中针对该服务列出的要求。

   • VPC 网络：每个 Batch 作业都需要一个 VPC 网络，因此您的服务边界必须包含 Batch 作业可以在其中运行的 VPC 网络。如需了解如何配置可在服务边界内运行 Batch 作业的 VPC 网络，请参阅以下文档：

     • 如需简要了解如何在服务边界中使用 VPC 网络，请参阅服务边界内的 VPC 网络管理。
     • 如需了解如何将专用 Google 访问通道与 VPC Service Controls 搭配使用，以配置对批量作业所需的 Google Cloud 服务的访问权限，请参阅设置与 Google API 和服务的专用连接。
     • 如需详细了解批量作业的网络要求，请参阅作业网络概览。

2. 创建新的服务边界或更新现有服务边界以满足这些要求。

创建在服务边界内运行的作业

创建在服务边界内运行的作业时，您还必须为作业运行的所有虚拟机阻止外部访问，并指定允许作业访问所需 API 的网络和子网。

如需创建在服务边界内运行的作业，请按照创建阻止所有虚拟机访问外部作业的文档中的步骤操作，并指定符合在服务边界内运行的作业的网络要求的网络。

后续步骤

• 如果您在创建或运行作业时遇到问题，请参阅问题排查。
• 详细了解网络。
• 详细了解如何创建作业。
• 了解如何查看作业和任务。