サーバーレス

Cloud Run でダイレクト VPC 下り（外向き）の提供を開始: パフォーマンス向上と費用削減を実現

2023年8月18日

https://storage.googleapis.com/gweb-cloudblog-publish/images/serverless_2022_wgtWBxs.max-2500x2500.jpg

Google Cloud Japan Team

※この投稿は米国時間 2023 年 8 月 15 日に、Google Cloud blog に投稿されたものの抄訳です。

このたび、Cloud Run のダイレクト VPC 下り（外向き）のプレビュー版がリリースされました。この機能を使用すると、サーバーレス VPC アクセスコネクタを設定せずに、トラフィックを VPC ネットワークに送信できるようになります。ダイレクト VPC 下り（外向き）は高速で、簡単に設定でき、大量のトラフィックを低費用で処理することが可能です。

これは Cloud Run における大きなアップデートです。詳細をご説明する前に、ダイレクト VPC 下り（外向き）をすでにご利用の Paack でどのような効果が得られたのか、その声をご紹介します。

「Paack は Cloud Run をいくつかのミッションクリティカルなアプリケーションに使用しています。その多くは、Cloud SQL データベースへの接続や倉庫で使用するロボットへの接続などの VPC アクセスに依存しています。これまでは、VPC コネクタを利用してきました。ダイレクト VPC 下り（外向き）を使えば、運用効率が大幅に向上し、チームで行う作業の独立性を高められるようになります。また、DevSecOps チームと NetOps チームがツールを使って、セキュリティを強化し、ネットワーク通信の管理を改善できるようになります。」 - Paack、クラウドアーキテクト Miguel F. Nuñez Burguera 氏

https://storage.googleapis.com/gweb-cloudblog-publish/images/vpc.max-500x500.jpg

VPC へのトラフィックの送信が必要になるケース

VPC にトラフィックを送信する一般的なユースケースとして、内部 IP アドレスに接続する場合や、ファイアウォールルールなどのネットワークポリシーに沿ってトラフィックを制御する場合などがあります。

内部 IP アドレスを持ち、Cloud Run から接続が頻繁に行われるリソースとして、次のような例があります。

Memorystore インスタンス。（Redis または Memcach を使用したマネージドインスタンス）。
（セキュリティ強化のために）パブリック IP を持たない Cloud SQL インスタンス。
オンプレミスリソース。
Compute Engine 仮想マシン。
Google Kubernetes Engine の内部ロードバランサを使用したサービス（TCP / UDP または HTTP）。

ダイレクト VPC 下り（外向き）とは

https://storage.googleapis.com/gweb-cloudblog-publish/images/1_vpc_blog.max-1000x1000.png

ダイレクト VPC 下り（外向き）を Cloud Run サービスで有効にすると、VPC ネットワーク上で Cloud Run インスタンスに内部 IP アドレスが割り当てられます。この新たなインターフェースを使用できるのは TCP / UDP の下り（外向き）のみです。これは、Cloud Run インスタンスを囲むファイアウォールと捉えることもできます。このファイアウォールは外向きの接続を許可しますが、VPC から Cloud Run インスタンスへ向かう接続の確立は許可しません。

重要なのは、Cloud Run サービスの HTTPS エンドポイントに対するウェブリクエストやイベントが、これまでと同じように Cloud Run インスタンスに向けてルーティングされるという点です。これはダイレクト VPC 下り（外向き）を有効化しても変わりません。

サーバーレス VPC アクセスコネクタとの比較

https://storage.googleapis.com/gweb-cloudblog-publish/images/2_vpc_blog.max-1100x1100.png

VPC コネクタとダイレクト VPC 下り（外向き）との違いを理解するには、VPC コネクタがマネージドコネクタインスタンスの集まりであるという点に気付く必要があります。すべてのコネクタインスタンスは内部 IP アドレスを持ち、Cloud Run からの外向きの接続に対するプロキシとして機能します。これによりネットワークパスにステップが新たに追加されます。

VPC コネクタは従量課金制ではありません。コネクタインスタンスは仮想マシンと捉えることができます。両者は、使用していなくても、有効化するだけで費用が発生するという点でとてもよく似ています。ダイレクト VPC 下り（外向き）にはコネクタインスタンスが不要なため、必要な費用はネットワーク料金のみということになります。このため、ダイレクト VPC 下り（外向き）の方が費用が低くなります。これは、Carrefour がダイレクト VPC 下り（外向き）の評価を行った際に見出した主要な利点の一つです。

「Carrefour は、当社グループの財務データウェアハウスを BigQuery に保存し、そのデータの取り込み、変換、読み込みに Cloud Run を使用しています。Cloud Run はシンプルで使いやすいため、エンジニアが素早く作業できます。しかも従量課金制なので、プロビジョニングの過不足を心配する必要がありません。これまでダイレクト VPC 下り（外向き）を試験的に使用して、プライベートネットワーク上にホストされている SAP データベースにアクセスしてきましたが、結果はまさに私たちが求めていたとおりのものでした。アーキテクチャが簡潔になり、従量課金制モデルとの整合性が確保され、パイプラインの総所有コストに関する状況が改善されたのです。」 - Carrefour、グループデータアーキテクト Guillaume Blaquiere 氏

ダイレクト VPC 下り（外向き）では新たなダイレクトネットワークパスが使われるため、コネクタインスタンスは必要ありません。この新たなパスは高速で、VPC コネクタよりも多くのトラフィックを処理することができるため、レイテンシが低減され、スループットが向上します。