Ausgehender Direct VPC-Traffic mit einem freigegebenen VPC-Netzwerk

Sie können Ihren Cloud Run-Dienst oder -Job aktivieren, um Traffic an ein freigegebenes VPC-Netzwerk zu senden. Verwenden Sie dazu ausgehenden Direct VPC-Traffic; dabei ist kein Connector für serverlosen VPC-Zugriff erforderlich.

Auf dieser Seite wird beschrieben, wie Sie die IAM-Berechtigungen von Cloud Run konfigurieren, um das Subnetz des freigegebenen VPC-Netzwerks zu verwenden. darauf können Sie Ihren Dienst oder Job im freigegebenen Subnetz platzieren.

Hinweise

Achten Sie bei Verwendung des direkten VPC-Traffics (Vorschau) darauf, dass Ihrem Subnetz mindestens hunderte IP-Adressen zur Verfügung stehen. Wenn die Gesamtzahl der Instanzen für alle Cloud Run-Dienste und -Jobs über 100 ansteigt, empfehlen wir, mindestens das Vierfache (4X) der Gesamtzahl der verfügbaren Instanzen anzulegen.

Beschränkungen

Die folgenden Einschränkungen gelten sowohl für Cloud Run-Dienste als auch für -Jobs:

• Cloud Run unterstützt einen Durchsatz von bis zu 1 Gbit/s pro einzelne Instanz. Das Überschreiten dieses Wertes führt zu einer Leistungsdrosselung.

• Ein Cloud Run-Nutzungskontingent begrenzt die maximale Anzahl von Instanzen, die Sie für die Verwendung von ausgehendem Direct VPC-Traffic konfigurieren können. Die maximale Anzahl wird pro Cloud Run-Überarbeitung oder Jobausführung konfiguriert. Informationen zum Erhöhen der Standardlimits finden Sie unter Kontingente erhöhen. Sie können Ihr Kontingent in der Google Cloud Console prüfen.

• Bei Cloud Run-Diensten und -Jobs kann es bei Wartungsarbeiten an der Netzwerkinfrastruktur zu Verbindungsunterbrechungen kommen. Wir empfehlen die Verwendung von Clientbibliotheken, bei denen gelegentlich Verbindungen zurückgesetzt werden können ohne dass es Probleme gibt.

Die folgenden Einschränkungen gelten nur für Cloud Run-Jobs und nicht für Dienste:

• Ausgehender Direct VPC-Traffic für Cloud Run-Jobs ist nur in der Vorschau verfügbar.
• Für eine ordnungsgemäße Jobausführung sollten Sie nur ausgehenden VPC-Traffic für Jobs verwenden, die nicht mehr als acht gleichzeitige Instanzen benötigen und mindestens 1.024 IP-Adressen reservieren.

Die folgenden Elemente werden vom ausgehendem Direct VPC-Traffic nicht unterstützt:

• VPC-Flusslogs geben nicht den Namen des Cloud Run-Dienstes oder der Cloud Run-Überarbeitung an.
• VPC-Flusslogs werden nicht von Nicht-VM-Ressourcen wie Cloud Run oder lokalen Maschinen gemeldet.
• Logging von Firewallregeln
• Paketspiegelung
• Network Intelligence Center
• IPv6-Traffic
• Verwendung von Netzwerktags in Firewallregeln für eingehenden Traffic, die auf die Zielressource angewendet werden.
• Verwendung der Dienstidentität als Quelldienstkonto in Firewallregeln für eingehenden Traffic, die auf die Zielressource angewendet werden.
• Firewallregeln können Resource Manager-Tags, die mit Cloud Run-Arbeitslasten verknüpft sind, nicht verwenden.
• Bei Cloud Run-Jobs, die länger als eine Stunde ausgeführt werden, kann es zu Verbindungsunterbrechungen kommen. Diese können während Wartungsereignissen auftreten, bei denen der Job von einer Maschine zu einer anderen migriert wird. Der Container erhält 10 Sekunden vor dem Ereignis ein SIGTSTP-Signal, Nach dem Ereignis erhält er ein SIGCONT-Signal. Nachdem der Container das SIGCONT-Signal erhalten hat, wiederholen Sie die Verbindung.

IAM-Berechtigungen einrichten

Bevor Cloud Run im Dienstprojekt einer freigegebenen VPC auf ein freigegebenes VPC-Netzwerk zugreifen kann, müssen Sie prüfen, ob der Cloud Run-Dienst-Agent ausreichende Berechtigungen zur Verwendung des Subnetzes hat.

1. Um auf das freigegebene VPC-Netzwerk zuzugreifen,müssen Sie dem Cloud Run-Dienst-Agent ausreichende Berechtigungen erteilen. Dazu fügen Sie eine der folgenden Rollen hinzu:

   • Compute-Netzwerknutzer (compute.networkUser) im Hostprojekt der freigegebenen VPC.

     Führen Sie dazu beispielsweise den folgenden Befehl aus:

     gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
     --member "serviceAccount:[e-mail]" \
     --role "roles/compute.networkUser"

     Ersetzen Sie Folgendes:

     • HOST_PROJECT_ID: Die ID Ihres freigegebenen VPC-Hostprojekts.
     • SERVICE_PROJECT_NUMBER: Die Projektnummer der freigegebenen VPC-Dienstes, in dem Sie den Cloud Run-Dienst oder -Job bereitstellen.

   • Compute-Netzwerkbetrachter (compute.networkViewer) für das Hostprojekt der freigegebenen VPC und die Rolle Compute-Netzwerknutzer (compute.networkUser) im Subnetz der freigegebenen VPC.

     Beispiel: Führen Sie folgenden Befehl aus, um die Rolle "Compute-Netzwerkbetrachter" im Subnetz zuzuweisen:

     gcloud compute networks subnets add-iam-policy-binding SUBNET_NAME \
       --region REGION \
       --member "serviceAccount:[e-mail]" \
       --role "roles/compute.networkUser" \
       --project HOST_PROJECT_ID

     Ersetzen Sie Folgendes:

     • SUBNET_NAME: der voll qualifizierte Ressourcenname des Subnetzes, in dem Sie Ihre Cloud Run-Dienste ausführen möchten.
     • REGION durch die Region für Ihren Cloud Run-Dienst; diese muss der Region Ihres Subnetzes entsprechen.
     • SERVICE_PROJECT_NUMBER: Die Projektnummer der freigegebenen VPC-Dienstes, in dem Sie den Cloud Run-Dienst oder -Job bereitstellen.
     • HOST_PROJECT_ID: Die ID Ihres freigegebenen VPC-Hostprojekts.

2. Der Cloud Run-Dienst-Agent erfordert die Rolle Cloud Run-Dienst-Agent in Ihrem Cloud Run-Projekt. Mit folgendem Befehl können Sie prüfen, ob die Rolle manuell entfernt wurde:

   gcloud projects get-iam-policy SERVICE_PROJECT_ID \
     --flatten bindings \
     --filter "bindings.role:roles/run.serviceAgent"

   Ersetzen Sie SERVICE_PROJECT_ID durch die Projekt-ID Ihres Cloud Run-Dienstes oder -Jobs.

Für eine genauere Kontrolle muss der Cloud Run-Dienst-Agent folgende Berechtigungen haben:

• compute.networks.get für das freigegebene VPC-Hostprojekt
• compute.subnetworks.get für das Hostprojekt oder das spezifische Subnetz
• compute.subnetworks.use für das Hostprojekt oder das spezifische Subnetz
• compute.addresses.get für das freigegebene VPC-Dienstprojekt
• compute.addresses.list für das freigegebene VPC-Dienstprojekt
• compute.addresses.createInternal für das freigegebene VPC-Dienstprojekt
• compute.addresses.deleteInternal für das freigegebene VPC-Dienstprojekt

Zuweisung von IP-Adressen

Sie müssen ein Netzwerk und ein Subnetz angeben, um Ihren Cloud Run-Dienst oder -Job in einem VPC-Netzwerk zu platzieren. Cloud Run weist IP-Adressen aus Ihrem Subnetz zu.

IP-Adressen sind sitzungsspezifisch. Erstellen Sie also keine Richtlinien, die auf einzelnen IP-Adressen basieren. Wenn Sie eine Richtlinie anhand von IP-Adressen erstellen müssen, z. B. in Firewallregeln, müssen Sie den IP-Adressbereich des gesamten Subnetzes verwenden.

Wenn Sie das von Ihrem Dienst oder Job verwendete Netzwerk oder Subnetz ändern möchten, stellen Sie eine neue Dienstüberarbeitung bereit oder führen Sie eine neue Jobaufgabe aus, die die neuen Netzwerk- und Subnetzwerte verwendet.

Hochskalieren

Damit bei einem Trafficanstieg schnell eine vertikale Skalierung möglich ist, weist Cloud Run IP-Adressen zu, bevor sie benötigt werden.

Es sind wahrscheinlich immer mehr IP-Adressen zugewiesen als die Anzahl der vorhandenen Instanzen. Achten Sie darauf, dass Ihr Subnetz mindestens einige hundert IP-Adressen hat, damit Cloud Run genügend IP-Adressen abrufen kann. Wenn die Gesamtzahl der Instanzen für alle Cloud Run-Dienste und -Jobs über 100 steigt, empfehlen wir mindestens das 4-Fache (4X) der Gesamtzahl. Wenn Cloud Run keine weiteren IP-Adressen zuweisen kann, kann es keine weiteren Dienstinstanzen oder Jobaufgaben starten, bis mehr IP-Adressen verfügbar sind. Wenn Ihr IP-Adressbereich begrenzt ist, finden Sie weitere Optionen unter Unterstützte IP-Bereiche. Für eine effiziente IP-Zuordnung und einfachere Verwaltung platzieren Sie mehrere Dienste oder Jobs im selben Subnetz.

Herunterskalieren

Auch wenn alle Dienste oder Jobs auf null herunterskaliert werden, reserviert Cloud Run einige IP-Adressen aus dem Subnetz bis zu 20 Minuten lang, falls Dienste oder Jobs schnell wieder hochskaliert werden müssen. Jede Instanz benötigt eine IP-Adresse, aber Cloud Run reserviert am Anfang mindestens eine /28-Subnetzmaske. Wenn alle 16 Instanzen aufgebraucht sind, erstellt Cloud Run ein neues Subnetz.

Wenn Sie das Subnetz löschen möchten, müssen Sie zuerst Ihre Cloud Run-Dienste oder -Jobs löschen oder noch einmal bereitstellen, um das Subnetz nicht mehr zu verwenden. Warten Sie dann 1–2 Stunden.

Unterstützte IP-Bereiche

Cloud Run unterstützt die folgenden IPv4-Bereiche für Ihr Subnetz:

• RFC 1918 (empfohlen)
  • 10.0.0.0/8
  • 172.16.0.0/12
  • 192.168.0.0/16
• RFC 6598
  • 100.64.0.0/10
• Klasse E (nicht für lokale Konfigurationen empfohlen)
  • 240.0.0.0/4

Hinweis: Testen Sie Konfigurationen außerhalb von RFC 1918, um mögliche Kompatibilitätsprobleme mit Nicht-Google Cloud-Ressourcen oder Hardware zu ermitteln. Weitere Informationen zum Erstellen von Subnetzen mit IP-Bereichen außerhalb von RFC 1918

Service bereitstellen

Durch ausgehenden Direct VPC-Traffic kann Ihr Cloud Run-Dienst Traffic ohne Connector für serverlosen VPC-Zugriff an ein freigegebenes VPC-Netzwerk senden. Die Netzwerkkosten werden wie der Dienst selbst auf null skaliert. Sie können Netzwerk-Tags auch direkt zu Cloud Run-Dienstüberarbeitungen hinzufügen, um eine detailliertere Netzwerksicherheit zu erhalten, z. B. durch Anwenden von VPC-Firewallregeln.

Sie können ausgehenden Direct VPC-Traffic mit einem Dienst über die Google Cloud Console, die Google Cloud CLI oder YAML konfigurieren.

Console

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud Run.

   Zu Cloud Run

2. Klicken Sie auf Container bereitstellen und wählen Sie Dienst aus, wenn Sie einen neuen Dienst konfigurieren. Wenn Sie einen vorhandenen Dienst konfigurieren und bereitstellen, klicken Sie auf den Dienst und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

3. Wenn Sie einen neuen Dienst konfigurieren, füllen Sie die Seite mit den anfänglichen Diensteinstellungen wie gewünscht aus und klicken Sie dann auf Container, Netzwerk, Sicherheit, um die Seite zur Dienstkonfiguration zu maximieren.

4. Klicken Sie auf den Tab Netzwerk.

5. Klicken Sie auf Mit einer VPC für ausgehenden Traffic verbinden.

6. Klicken Sie auf Traffic direkt an eine VPC senden.

7. Wählen Sie Für mich freigegebene Netzwerke aus.

8. Wählen Sie im Feld Netzwerk das freigegebene VPC-Netzwerk aus, an das Sie Traffic senden möchten.

9. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Dienst IP-Adressen empfängt.

10. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie Ihrem Dienst oder Ihren Diensten zuordnen möchten. Netzwerktags werden auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

11. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

    • Nur Anfragen an private IPs an die VPC weiterleiten, um nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk zu senden.
    • Gesamten Traffic an die VPC weiterleiten, um den gesamten ausgehenden Traffic über das VPC-Netzwerk zu senden.

12. Klicken Sie auf Erstellen oder Bereitstellen.

13. Klicken Sie auf den Dienst und dann auf den Tab Netzwerk, um zu prüfen, ob sich der Dienst in Ihrem freigegebenen VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC aufgeführt.

Sie können nun Anfragen von Ihrem Cloud Run-Dienst an eine beliebige Ressource im freigegebenen VPC-Netzwerk senden, je nach Ihren Firewallregeln.

gcloud

Geben Sie zum Platzieren Ihres Dienstes im freigegebenen Subnetz die vollständig qualifizierten Ressourcennamen für das freigegebene VPC-Netzwerk und das Subnetz über folgenden Befehl an:

gcloud run deploy SERVICE_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  --max-instances MAX
  

Ersetzen Sie Folgendes:

• SERVICE_NAME: Der Name Ihres Cloud Run-Dienstes.
• IMAGE_URL: Die Image-URL des Dienstes.
• HOST_PROJECT_ID: Die ID Ihres freigegebenen VPC-Projekts.
• VPC_NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
• REGION durch die Region für Ihren Cloud Run-Dienst; diese muss der Region Ihres Subnetzes entsprechen.
• SUBNET_NAME: der voll qualifizierte Ressourcenname Ihres Subnetzes.
• Optional: NETWORK_TAG_NAMES durch die durch Kommas getrennten Namen der Netzwerk-Tags ersetzen, die Sie mit einem Dienst verknüpfen möchten. Bei Diensten werden Netzwerk-Tags auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
• EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
  • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
  • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.
• MAX: Die maximale Anzahl an Instanzen, die für das freigegebene VPC-Netzwerk verwendet werden sollen. Die maximale Anzahl von Instanzen für Dienste beträgt 100.

Weitere Informationen und optionale Argumente finden Sie in der gcloud-Referenz.

YAML

1. Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:

   gcloud run services describe SERVICE --format export > service.yaml

2. Aktualisieren Sie die folgenden Attribute:

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE_NAME
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   Ersetzen Sie:

   • SERVICE_NAME durch den Namen Ihres Cloud Run-Dienstes. Dienstnamen dürfen maximal 49 Zeichen lang sein und pro Region und Projekt nur einmal vorkommen.
   • REGION durch die Region für Ihren Cloud Run-Dienst; diese muss der Region Ihres Subnetzes entsprechen.
   • NETWORK durch den voll qualifizierten Ressourcennamen Ihres freigegebenen VPC-Netzwerks.
   • SUBNET_NAME durch den voll qualifizierten Ressourcennamen Ihres Subnetzes.
   • Optional: Ersetzen Sie NETWORK_TAG_NAMES durch die Namen der Netzwerk-Tags, die Sie einem Dienst zuordnen möchten. Bei Diensten werden Netzwerk-Tags auf Versionsebene angegeben. Jede Dienstversion kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.
   • IMAGE durch die URL Ihres Dienst-Container-Images.

3. Erstellen oder aktualisieren Sie den Dienst mit dem folgenden Befehl:

   gcloud run services replace service.yaml

Terraform

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.

1. Fügen Sie der Datei main.tf Folgendes hinzu:

   /**
    * Copyright 2024 Google LLC
    *
    * Licensed under the Apache License, Version 2.0 (the "License");
    * you may not use this file except in compliance with the License.
    * You may obtain a copy of the License at
    *
    *      http://www.apache.org/licenses/LICENSE-2.0
    *
    * Unless required by applicable law or agreed to in writing, software
    * distributed under the License is distributed on an "AS IS" BASIS,
    * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
    * See the License for the specific language governing permissions and
    * limitations under the License.
    */
   
   # Example configuration of a Cloud Run service with direct VPC
   
   resource "google_cloud_run_v2_service" "default" {
     name     = "cloudrun-service"
     location = "us-central1"
   
     deletion_protection = false # set to "true" in production
   
     template {
       containers {
         image = "us-docker.pkg.dev/cloudrun/container/hello"
       }
       vpc_access {
         network_interfaces {
           network    = "default"
           subnetwork = "default"
           tags       = ["tag1", "tag2", "tag3"]
         }
       }
     }
   }
   

Hinweis: Administratoren können die Einstellungen für ausgehenden Traffic einschränken, die Entwickler auswählen können, indem sie die run.allowedVPCEgress-Organisationsrichtlinien festlegen.

Optional: Veröffentlichen Sie Ihren Dienst, wenn Sie den nicht authentifizierten Zugriff auf den Dienst zulassen möchten.

Job erstellen

Vorschau — Direct VPC egress for Jobs

Diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Funktionen sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

Durch ausgehenden Direct VPC-Traffic kann Ihr Cloud Run-Job Traffic ohne Connector für serverlosen VPC-Zugriff an ein freigegebenes VPC-Netzwerk senden. Sie können auch Netzwerk-Tags direkt zu Cloud Run-Jobs hinzufügen, um eine detailliertere Netzwerksicherheit zu erhalten, z. B. durch Anwenden von VPC-Firewallregeln.

Sie können ausgehenden Direct VPC-Traffic mit einem Job über die Google Cloud Console, die Google Cloud CLI oder YAML konfigurieren.

Console

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud Run.

   Zu Cloud Run

2. Wenn Sie einen neuen Job konfigurieren, klicken Sie auf Container bereitstellen und wählen Sie Job aus, um das anfängliche Formular Job erstellen nach Bedarf auszufüllen. Wenn Sie einen vorhandenen Job konfigurieren, klicken Sie auf den Tab Jobs, wählen Sie einen Job aus und klicken Sie dann auf Bearbeiten.

3. Klicken Sie auf Container, Variablen und Secrets, Verbindungen, Sicherheit, um die Seite mit den Jobattributen zu maximieren.

4. Klicken Sie auf den Tab Verbindungen.

5. Klicken Sie auf Mit einer VPC für ausgehenden Traffic verbinden.

6. Klicken Sie auf Traffic direkt an eine VPC senden.

7. Wählen Sie Für mich freigegebene Netzwerke aus.

8. Wählen Sie im Feld Netzwerk das freigegebene VPC-Netzwerk aus, an das Sie Traffic senden möchten.

9. Wählen Sie im Feld Subnetz das Subnetz aus, von dem Ihr Job IP-Adressen empfängt.

10. Optional: Geben Sie die Namen der Netzwerk-Tags ein, die Sie einem Job zuordnen möchten. Für Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.

11. Wählen Sie für Traffic-Routing eine der folgenden Optionen:

    • Nur Anfragen an private IPs an die VPC weiterleiten, um nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk zu senden.
    • Gesamten Traffic an die VPC weiterleiten, um den gesamten ausgehenden Traffic über das VPC-Netzwerk zu senden.

12. Klicken Sie auf Erstellen oder Aktualisieren.

13. Klicken Sie auf den Job und dann auf den Tab Konfiguration, um zu prüfen, ob sich der Job in Ihrem freigegebenen VPC-Netzwerk befindet. Netzwerk und Subnetz werden auf der VPC aufgeführt.

Sie können Ihren Cloud Run-Job jetzt ausführen und Anfragen vom Job an eine beliebige Ressource im freigegebenen VPC-Netzwerk senden, je nach Firewallregeln.

gcloud

Geben Sie zum Platzieren Ihres Jobs im freigegebenen Subnetz die vollständig qualifizierten Ressourcennamen für das freigegebene VPC-Netzwerk und das Subnetz über folgenden Befehl an:

gcloud run jobs create JOB_NAME \
  --image IMAGE_URL \
  --network projects/HOST_PROJECT_ID/global/networks/VPC_NETWORK \
  --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
  --network-tags NETWORK_TAG_NAMES \
  --vpc-egress=EGRESS_SETTING \
  --region REGION \
  

Ersetzen Sie Folgendes:

• JOB_NAME: Der Name Ihres Cloud Run-Jobs.
• IMAGE_URL: Die Image-URL des Jobs.
• HOST_PROJECT_ID: Die ID des freigegebenen VPC-Hostprojekts.
• VPC_NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
• REGION: Die Region für Ihren Cloud Run-Job, die der Region des Subnetzes entsprechen muss.
• SUBNET_NAME: der voll qualifizierte Ressourcenname des Namens Ihres Subnetzes.
• Optional: NETWORK_TAG_NAMES durch die durch Kommas getrennten Namen der Netzwerk-Tags ersetzen, die Sie mit einem Job verknüpfen möchten. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
• EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
  • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
  • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.

Weitere Informationen und optionale Argumente finden Sie in der gcloud-Referenz.

YAML

1. Wenn Sie einen neuen Job erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Job aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:

   gcloud run jobs describe JOB_NAME --format export > job.yaml

2. Aktualisieren Sie die folgenden Attribute:

   apiVersion: run.googleapis.com/v1
   kind: Job
   metadata:
     name: JOB_NAME
     annotations:
       run.googleapis.com/launch-stage: BETA
     labels:
       cloud.googleapis.com/location: REGION
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
       spec:
         containers:
         - image: IMAGE

   Ersetzen Sie:

   • JOB_NAME durch den Namen Ihres Cloud Run-Jobs. Jobnamen dürfen maximal 49 Zeichen lang sein und pro Region und Projekt nur einmal vorkommen.
   • REGION durch die Region für Ihren Cloud Run-Job; diese muss der Region Ihres Subnetzes entsprechen.
   • NETWORK durch den voll qualifizierten Ressourcennamen Ihres freigegebenen VPC-Netzwerks.
   • SUBNET durch den voll qualifizierten Ressourcennamen Ihres Subnetzes.
   • Optional: Ersetzen Sie NETWORK_TAG_NAMES durch die Namen der Netzwerk-Tags, die Sie einem Job zuordnen möchten. Für Jobs werden Netzwerk-Tags auf Ausführungsebene angegeben. Jede Jobausführung kann unterschiedliche Netzwerk-Tags haben, z. B. network-tag-2.
   • EGRESS_SETTING durch einen Wert für die Einstellung für ausgehenden Traffic:
     • all-traffic: Sendet den gesamten ausgehenden Traffic über das freigegebene VPC-Netzwerk.
     • private-ranges-only: Sendet nur Traffic an interne Adressen über das freigegebene VPC-Netzwerk.
   • IMAGE durch die URL Ihres Job-Container-Images.

3. Erstellen oder aktualisieren Sie den Dienst mit dem folgenden Befehl:

   gcloud run jobs replace job.yaml

Hinweis: Administratoren können die Einstellungen für ausgehenden Traffic einschränken, die Entwickler auswählen können, indem sie die run.allowedVPCEgress-Organisationsrichtlinien festlegen.

Dienst trennen

Console

• So entfernen Sie Ihren Dienst aus dem freigegebenen VPC-Netzwerk:

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud Run.

     Zu Cloud Run

  2. Klicken Sie auf den Dienst, den Sie entfernen möchten, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  3. Klicken Sie auf den Tab Netzwerk.

  4. Heben Sie die Markierung von Mit einer VPC für ausgehenden Traffic verbinden auf.

  5. Klicken Sie auf Bereitstellen.

  6. Klicken Sie auf den Tab Netzwerk, um zu prüfen, dass sich der Dienst nicht mehr in Ihrem freigegebenen VPC-Netzwerk befindet. Netzwerk und Subnetz werden nicht mehr auf der VPC-Karte aufgeführt.

• So entfernen Sie nur die Netzwerk-Tags, während der Dienst mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  1. Klicken Sie auf den Dienst, der die zu entfernenden Netzwerk-Tags enthält, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  2. Klicken Sie auf den Tab Netzwerk.

  3. Löschen Sie die Namen der Netzwerk-Tags, die nicht mehr mit Ihrem Dienst verknüpfen sein sollen.

  4. Klicken Sie auf Bereitstellen.

gcloud

• Führen Sie folgenden Befehl aus, um Ihren Dienst aus dem freigegebenen VPC-Netzwerk zu entfernen:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network

• Führen Sie folgenden Befehl aus, um nur die Netzwerk-Tags zu entfernen, während der Dienst mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  gcloud run services update SERVICE_NAME --region=REGION \
  --clear-network-tags

  Ersetzen Sie Folgendes:

  • SERVICE_NAME: Der Name Ihres Cloud Run-Dienstes.
  • REGION: Die Region für Ihren Cloud Run-Dienst.

YAML

• So entfernen Sie Ihren Dienst aus dem freigegebenen VPC-Netzwerk:

  1. Laden Sie die YAML-Konfiguration des Dienstes herunter:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Entfernen Sie folgenden Inhalt aus der service.yaml-Datei:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Wo

     • NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
     • SUBNET: der voll qualifizierte Ressourcenname Ihres Subnetzes.
     • Optional: NETWORK_TAG_NAMES: die Namen der Netzwerktags, wenn Sie diese mit einem Dienst verknüpft haben.

  3. Aktualisieren Sie den Dienst mit dem folgenden Befehl:

     gcloud run services replace service.yaml

• So entfernen Sie nur die Netzwerk-Tags, während der Dienst mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  1. Laden Sie die YAML-Konfiguration des Dienstes herunter:

     gcloud run services describe SERVICE_NAME --format export > service.yaml

  2. Entfernen Sie die Variable tags aus dem Inhalt der service.yaml-Datei und lassen Sie die Variablen network und subnetwork an ihrem Ort, wie im folgenden Beispiel gezeigt:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET"}]'

     Ersetzen Sie Folgendes:

     • NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
     • SUBNET: der voll qualifizierte Ressourcenname Ihres Subnetzes.

  3. Aktualisieren Sie den Dienst mit dem folgenden Befehl:

     gcloud run services replace service.yaml

Job trennen

Vorschau — Direct VPC egress for Jobs

Diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Funktionen sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

Console

• So entfernen Sie Ihren Job aus dem freigegebenen VPC-Netzwerk:

  1. Wechseln Sie in der Google Cloud Console zur Seite Cloud Run.

     Zu Cloud Run

  2. Klicken Sie auf den Job, den Sie entfernen möchten, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  3. Klicken Sie auf den Tab Konfiguration.

  4. Heben Sie die Markierung von Mit einer VPC für ausgehenden Traffic verbinden auf.

  5. Klicken Sie auf Aktualisieren.

  6. Klicken Sie auf den Tab Konfiguration, um zu prüfen, dass sich der Job nicht mehr in Ihrem freigegebenen VPC-Netzwerk befindet. Netzwerk und Subnetz werden nicht mehr auf der VPC-Karte aufgeführt.

• So entfernen Sie nur die Netzwerk-Tags, während der Job mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  1. Klicken Sie auf den Job, der die zu entfernenden Netzwerk-Tags enthält, und dann auf Neue Überarbeitung bearbeiten und bereitstellen.

  2. Klicken Sie auf den Tab Verbindungen.

  3. Löschen Sie die Namen der Netzwerk-Tags, die nicht mehr mit Ihrem Job verknüpfen sein sollen.

  4. Klicken Sie auf Aktualisieren.

gcloud

• Führen Sie folgenden Befehl aus, um Ihren Job aus dem freigegebenen VPC-Netzwerk zu entfernen:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network
    

• Führen Sie folgenden Befehl aus, um nur die Netzwerk-Tags zu entfernen, während der Job mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  gcloud run jobs update JOB_NAME --region=REGION \
    --clear-network-tags
    

  Ersetzen Sie Folgendes:

  • JOB_NAME: Der Name Ihres Cloud Run-Jobs.
  • REGION: Die Region für Ihren Cloud Run-Job.

YAML

• So entfernen Sie Ihren Job aus dem freigegebenen VPC-Netzwerk:

  1. Laden Sie die YAML-Konfiguration des Jobs herunter:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Entfernen Sie folgenden Inhalt aus der job.yaml-Datei:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Wo

     • NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
     • SUBNET: der voll qualifizierte Ressourcenname Ihres Subnetzes.
     • Optional: NETWORK_TAG_NAMES: die Namen der Netzwerktags, wenn Sie diese mit einem Job verknüpft haben.

  3. Aktualisieren Sie den Job mit dem folgenden Befehl:

     gcloud run jobs replace job.yaml

• So entfernen Sie nur die Netzwerk-Tags, während der Job mit dem freigegebenen VPC-Netzwerk verbunden bleibt:

  1. Laden Sie die YAML-Konfiguration des Jobs herunter:

     gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Entfernen Sie folgenden Inhalt aus der job.yaml-Datei:

     run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'

     Wo

     • NETWORK: der voll qualifizierte Ressourcenname des freigegebenen VPC-Netzwerks.
     • SUBNET: der voll qualifizierte Ressourcenname Ihres Subnetzes.
     • Optional: NETWORK_TAG_NAMES: die Namen der Netzwerktags, wenn Sie diese mit einem Job verknüpft haben.

  3. Aktualisieren Sie den Job mit dem folgenden Befehl:

     gcloud run jobs replace job.yaml

Fehlerbehebung

Subnetz kann nicht gelöscht werden

Bevor Sie ein Subnetz löschen müssen Sie zuerst alle Ressourcen löschen, die es verwenden. Wenn Cloud Run ein Subnetz verwendet, müssen Sie die Verbindung zu Cloud Run über das freigegebene VPC-Netzwerk trennen oder es in ein anderes Subnetz verschieben, bevor Sie das Subnetz löschen.

Hinweis: Nachdem Sie Ihre Cloud Run-Ressourcen gelöscht oder verschoben haben, müssen Sie ein bis zwei Stunden warten, bis Cloud Run die IP-Adressen freigegeben hat und Sie das Subnetz löschen können.

Freigegebenes VPC-Netzwerk kann nicht getrennt werden

Wenn Sie das freigegebene VPC-Netzwerk im Hostprojekt trennen möchten, führen Sie die Schritte zum Aufheben der Bereitstellung einer freigegebenen VPC aus und trennen auch die Cloud Run-Dienste oder -Jobs aus dem freigegebenen VPC-Netzwerk.

Führen Sie folgenden Befehl aus, um zu sehen, welche Cloud Run-Ressourcen das freigegebene VPC-Netzwerk verwenden:

gcloud compute shared-vpc list-associated-resources HOST_PROJECT_ID

Ersetzen Sie HOST_PROJECT_ID durch die ID Ihres freigegebenen VPC-Hostprojekts.

Direct VPC-Subnetz hat keine IP-Adressen mehr

Wenn das Subnetz des freigegebenen VPC-Netzwerks keine IP-Adressen mehr hat, wird dies von Cloud Logging protokolliert. In diesem Fall kann Cloud Run keine weiteren Dienstinstanzen oder Jobaufgaben mehr starten, bis weitere IP-Adressen verfügbar sind.

Zugewiesene IP-Adressen anzeigen

Um zu sehen, welche IP-Adressen Cloud Run zugewiesen hat, rufen Sie in der Google Cloud Console die Seite "IP-Adressen" auf oder führen folgenden Befehl über die Google Cloud CLI aus:

gcloud compute addresses list