Mengonfigurasi konektor di project host VPC Bersama
Jika organisasi Anda menggunakan VPC Bersama, Anda dapat menyiapkan konektor Akses VPC Serverless di project layanan atau project host. Panduan ini menunjukkan cara menyiapkan konektor di project host.
Jika Anda perlu menyiapkan konektor di project layanan, lihat Mengonfigurasi konektor di project layanan. Untuk mempelajari keuntungan dari setiap metode, lihat Menghubungkan ke jaringan VPC Bersama.
Sebelum memulai
Periksa peran Identity and Access Management (IAM) untuk akun yang Anda gunakan. Akun aktif harus memiliki peran berikut di project host:
Pilih project host di lingkungan pilihan Anda.
Tetapkan project default di gcloud CLI ke project host dengan menjalankan perintah berikut di terminal Anda:
gcloud config set project HOST_PROJECT_ID
Ganti kode berikut:
HOST_PROJECT_ID
: ID project host VPC Bersama
Membuat konektor Akses VPC Serverless
Untuk mengirim permintaan ke jaringan VPC dan menerima respons yang sesuai, Anda harus membuat konektor Akses VPC Serverless. Anda dapat membuat konektor menggunakan Google Cloud CLI atau Terraform:
gcloud
Update komponen
gcloud
ke versi terbaru:gcloud components update
Aktifkan API Akses VPC Serverless untuk project Anda:
gcloud services enable vpcaccess.googleapis.com
Buat konektor Akses VPC Serverless:
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \ --region=REGION \ --subnet=SUBNET \ --subnet-project=HOST_PROJECT_ID \ # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max. --min-instances=MIN \ --max-instances=MAX \ # Optional: specify machine type, default is e2-micro --machine-type=MACHINE_TYPE
Ganti kode berikut:
CONNECTOR_NAME
: nama untuk konektor Anda. Nama ini harus mengikuti konvensi penamaan Compute Engine dan kurang dari 21 karakter. Tanda hubung (-
) dihitung sebagai dua karakter.REGION
: region untuk konektor Anda; region ini harus cocok dengan region layanan serverless Anda. Jika layanan Anda berada di regionus-central
ataueurope-west
, gunakanus-central1
ataueurope-west1
.SUBNET
: nama subnet/28
yang tidak digunakan.- Subnet harus digunakan secara eksklusif oleh konektor. Subnet tidak dapat digunakan oleh resource lain seperti VM, Private Service Connect, atau load balancer.
- Untuk mengonfirmasi bahwa subnet Anda tidak digunakan untuk
Private Service Connect atau Cloud Load Balancing, pastikan
subnet
purpose
adalahPRIVATE
dengan menjalankan perintah berikut di gcloud CLI: Ganti kode berikut:gcloud compute networks subnets describe SUBNET_NAME
SUBNET_NAME
: nama subnet Anda
HOST_PROJECT_ID
: ID project hostMIN
: jumlah minimum instance yang akan digunakan untuk konektor. Gunakan bilangan bulat antara2
dan9
. Default-nya adalah2
. Untuk mempelajari penskalaan konektor, lihat Throughput dan penskalaan.MAX
: jumlah maksimum instance yang akan digunakan untuk konektor. Gunakan bilangan bulat antara3
dan10
. Default-nya adalah10
. Jika traffic memerlukannya, konektor akan diskalakan ke instance[MAX]
, tetapi tidak diskalakan balik. Untuk mempelajari penskalaan konektor, lihat Throughput dan penskalaan.MACHINE_TYPE
:f1-micro
,e2-micro
, ataue2-standard-4
. Untuk mempelajari throughput konektor, termasuk jenis mesin dan penskalaan, lihat Throughput dan penskalaan.
Untuk detail selengkapnya dan argumen opsional, lihat referensi
gcloud
.Pastikan konektor Anda berstatus
READY
sebelum menggunakannya:gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \ --region=REGION
Ganti kode berikut:
CONNECTOR_NAME
: nama konektor Anda; ini adalah nama yang Anda tentukan di langkah sebelumnyaREGION
: region konektor Anda; ini adalah region yang Anda tentukan di langkah sebelumnya
Output harus berisi baris
state: READY
.
Terraform
Anda dapat menggunakan resource Terraform
untuk mengaktifkan API vpcaccess.googleapis.com
.
Anda dapat menggunakan modul Terraform untuk membuat jaringan VPC dan subnet, lalu membuat konektor.
Mengaktifkan fungsi Cloud Run untuk project layanan
Aktifkan Cloud Run functions API untuk project layanan. Hal ini diperlukan untuk menambahkan peran IAM pada langkah berikutnya dan agar project layanan dapat menggunakan fungsi Cloud Run.
Jalankan perintah berikut di terminal Anda:
gcloud services enable cloudfunctions.googleapis.com --project=SERVICE_PROJECT_ID
Ganti kode berikut:
SERVICE_PROJECT_ID
: ID project layanan
Memberikan akses ke konektor
Berikan akses ke konektor dengan memberikan peran IAM Agen Layanan fungsi Cloud Run Pengguna Akses VPC Serverless ke project layanan di project host. Anda juga harus memberikan peran yang sama kepada Agen Layanan Cloud Run.
Jalankan perintah berikut di terminal.
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com \ --role=roles/vpcaccess.user
Ganti kode berikut:
HOST_PROJECT_ID
: ID project host VPC BersamaSERVICE_PROJECT_NUMBER
: nomor project yang terkait dengan project layanan. ID ini berbeda dengan ID project. Anda dapat menemukan nomor project dengan menjalankan perintah berikut:gcloud projects describe SERVICE_PROJECT_ID
Berikan juga peran ke Agen Layanan Cloud Run dengan menjalankan perintah berikut:
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=serviceAccount:service-SERVICE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com \ --role=roles/vpcaccess.user
Membuat konektor dapat ditemukan
Pada kebijakan IAM project host, Anda harus memberikan dua peran yang telah ditetapkan berikut kepada akun utama yang men-deploy layanan Cloud Run:
- Serverless VPC Access V ewer (
vpcaccess.viewer
): Wajib. - Compute Network Viewer (
compute.networkViewer
): Opsional tetapi direkomendasikan. Memungkinkan akun utama IAM menghitung subnet di jaringan VPC Bersama.
Atau, Anda dapat menggunakan peran khusus atau peran lain yang
telah ditetapkan yang mencakup semua izin peran Serverless VPC Access Viewer (vpcaccess.viewer
).
Jalankan perintah berikut di terminal Anda:
gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=PRINCIPAL \ --role=roles/vpcaccess.viewer gcloud projects add-iam-policy-binding HOST_PROJECT_ID \ --member=PRINCIPAL \ --role=roles/compute.networkViewer
Ganti kode berikut:
HOST_PROJECT_ID
: ID project host VPC BersamaPRINCIPAL
: akun utama yang men-deploy layanan Cloud Run. Pelajari selengkapnya tentang flag--member
.
Mengonfigurasi layanan Anda menggunakan konektor
Untuk setiap fungsi yang memerlukan akses ke VPC Bersama, Anda harus menentukan konektor untuk fungsi tersebut. Langkah-langkah berikut menunjukkan cara mengonfigurasi layanan Anda agar dapat menggunakan konektor.
Tetapkan gcloud CLI untuk menggunakan project yang berisi fungsi:
Ganti kode berikut:gcloud config set project PROJECT_ID
PROJECT_ID
: ID project berisi fungsi yang memerlukan akses ke VPC Bersama. Jika fungsi ada dalam project host, ini adalah project ID host. Jika fungsi berada dalam project layanan, ini adalah project ID layanan.
Gunakan flag
--vpc-connector
dan deploy fungsi Anda:gcloud functions deploy FUNCTION_NAME --vpc-connector=CONNECTOR_NAME
Ganti kode berikut:
FUNCTION_NAME
: nama fungsi AndaCONNECTOR_NAME
: nama konektor Anda Gunakan nama yang sepenuhnya memenuhi syarat saat melakukan deployment dari project layanan VPC Bersama (bukan project host), misalnya: denganprojects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
HOST_PROJECT_ID
sebagai ID project host,CONNECTOR_REGION
adalah region konektor Anda, danCONNECTOR_NAME
adalah nama yang Anda berikan untuk konektor.
Untuk kontrol lebih lanjut atas permintaan yang dirutekan melalui konektor, lihat Setelan egress.
Langkah berikutnya
- Hubungkan ke Memorystore dari fungsi Cloud Run.
- Konfigurasikan setelan jaringan untuk fungsi Cloud Run.
- Pantau aktivitas admin dengan pembuatan log audit Akses VPC Serverless.
- Lindungi resource dan data dengan membuat perimeter layanan dengan Kontrol Layanan VPC.
- Pelajari peran Identity and Access Management (IAM) yang terkait dengan Akses VPC Serverless. Lihat peran Akses VPC Serverless dalam dokumentasi IAM untuk mengetahui daftar izin yang terkait dengan setiap peran.