Questa pagina è stata tradotta dall'API Cloud Translation.

Configura i connettori nel progetto host del VPC condiviso

Se la tua organizzazione utilizza un VPC condiviso, puoi configurare un Connettore di accesso VPC serverless nel progetto di servizio progetto host. Questa guida mostra come configurare un connettore nel progetto host.

Se devi configurare un connettore in un progetto di servizio, consulta Configurare i connettori nei progetti di servizio. Per conoscere i vantaggi di ciascun metodo, consulta Connessione a una VPC condiviso condivisa

Prima di iniziare

Controlla i ruoli Identity and Access Management (IAM) per l'account che stai utilizzando. L'account attivo deve avere i seguenti ruoli sul progetto host:
Seleziona il progetto host nell'ambiente che preferisci.

Console

Apri la dashboard della console Google Cloud.

Vai alla dashboard della console Google Cloud
Nella barra dei menu nella parte superiore della dashboard, fai clic sul menu a discesa del progetto e seleziona il progetto host.

gcloud

Imposta il progetto predefinito nell'interfaccia a riga di comando gcloud sul progetto host eseguendo quanto segue nel terminale:

gcloud config set project HOST_PROJECT_ID

Sostituisci quanto segue:

HOST_PROJECT_ID: l'ID del VPC condiviso progetto host

Crea un connettore di accesso VPC serverless

Per inviare richieste alla tua rete VPC e ricevere le risposte corrispondenti, devi creare un connettore di accesso VPC serverless. Puoi creare un connettore utilizzando la console Google Cloud, Google Cloud CLI, o Terraform:

Console

Abilita l'API Serverless VPC Access per il tuo progetto.

Abilita API
Vai alla pagina di riepilogo Accesso VPC serverless.

Vai all'accesso VPC serverless
Fai clic su Crea connettore.
Nel campo Nome, inserisci un nome per il connettore. Il nome deve rispettare la convezione di denominazione di Compute Engine e deve contenere meno di 21 caratteri. I trattini (-) vengono conteggiati come due caratteri.
Nel campo Regione, seleziona una regione per il connettore. Deve corrispondere alla regione del servizio serverless.

Se il tuo servizio si trova nella regione us-central o europe-west, utilizza us-central1 o europe-west1.
Nel campo Rete, seleziona la rete VPC a cui collegare il connettore.
Fai clic sul menu a discesa Subnet:

Seleziona una subnet /28 inutilizzata.
- Le subnet devono essere utilizzate esclusivamente dal connettore. Non possono essere utilizzati da altre risorse come VM, Private Service Connect o bilanciatori del carico.
- Per verificare che la subnet non sia utilizzata Private Service Connect o Cloud Load Balancing, verifica che la subnet purpose è PRIVATE eseguendo questo comando nel gcloud CLI:
```
gcloud compute networks subnets describe SUBNET_NAME
```
  Sostituisci SUBNET_NAME con il nome della subnet.
(Facoltativo) Per impostare le opzioni di ridimensionamento per un maggiore controllo sul connettore, fai clic su Mostra impostazioni di ridimensionamento per visualizzare il modulo di ridimensionamento.
1. Imposta il numero minimo e massimo di istanze per il connettore oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (max). La fa lo scale out del connettore al massimo specificato man mano che il traffico aumenta, ma il connettore non ridimensiona quando il traffico diminuisce. Tu deve utilizzare valori compresi tra 2 e 10 e Il valore MIN deve essere inferiore a MAX valore.
2. Nel menu a discesa Tipo di istanza, scegli il tipo di macchina da utilizzare per o utilizza il valore predefinito e2-micro. Quando scegli il tipo di istanza, noterai la barra laterale dei costi sulla destra, che mostra le stime di larghezza di banda e costi.
Fai clic su Crea.
Un segno di spunta verde verrà visualizzato accanto al nome del connettore quando pronto per l'uso.

gcloud

Aggiorna i componenti di gcloud alla versione più recente:
```
gcloud components update
```
Abilita l'API Serverless VPC Access per il tuo progetto:
```
gcloud services enable vpcaccess.googleapis.com
```
Crea un connettore di accesso VPC serverless:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
--region=REGION \
--subnet=SUBNET \
--subnet-project=HOST_PROJECT_ID \
# Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
--min-instances=MIN \
--max-instances=MAX \
# Optional: specify machine type, default is e2-micro
--machine-type=MACHINE_TYPE
```
Sostituisci quanto segue:
- CONNECTOR_NAME: un nome per il connettore. Il nome devono rispettare le Compute Engine convenzione di denominazione e avere meno di 21 caratteri. I trattini (-) vengono conteggiati come due caratteri.
- REGION: una regione per il connettore; Questo deve corrispondere alla regione del tuo servizio serverless. Se il tuo servizio si trova nella regione us-central o europe-west, utilizza us-central1 o europe-west1.
- SUBNET: il nome di una subnet /28 non utilizzata.
  - Le subnet devono essere utilizzate esclusivamente dal connettore. Non possono essere utilizzati da altre risorse come VM, Private Service Connect o bilanciatori del carico.
  - Per verificare che la subnet non sia utilizzata per Private Service Connect o il bilanciamento del carico Cloud, controlla che la subnet purpose sia PRIVATE eseguendo il seguente comando in gcloud CLI:
```
gcloud compute networks subnets describe SUBNET_NAME
```
    Sostituisci quanto segue:
    - SUBNET_NAME: il nome della subnet
- HOST_PROJECT_ID: l'ID del progetto host
- MIN: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 2 e 9. Il valore predefinito è 2. Per informazioni sulla scalabilità dei connettori, consulta Throughput e scalabilità.
- MAX: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 3 e 10. Il valore predefinito è 10. Se il traffico lo richiede, il connettore esegue lo scale out fino a [MAX] istanze, ma non lo scale out. Per informazioni sulla scalabilità dei connettori, consulta Throughput e scalabilità.
- MACHINE_TYPE: f1-micro, e2-micro o e2-standard-4. Per informazioni sulla velocità effettiva del connettore, inclusi il tipo di macchina e la scalabilità, consulta Velocità effettiva e scalabilità.
Per maggiori dettagli e argomenti facoltativi, consulta le informazioni di riferimento su gcloud.
Verifica che il connettore sia nello stato READY prima di utilizzarlo:
```
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region=REGION
```
Sostituisci quanto segue:
- CONNECTOR_NAME: il nome del connettore, ovvero il nome specificato nel passaggio precedente
- REGION: la regione del connettore, ovvero la regione specificata nel passaggio precedente
L'output deve contenere la riga state: READY.

Terraform

Puoi utilizzare una risorsa Terraform per abilitare l'API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puoi utilizzare i moduli Terraform per creare una rete e una subnet VPC, quindi creare il connettore.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Abilita Cloud Run per il progetto di servizio

Abilita l'API Cloud Run per il progetto di servizio. Questo è necessario per aggiungere i ruoli IAM nei passaggi successivi e per consentire al progetto di servizio di utilizzare Cloud Run.

Console

Apri la pagina dell'API Cloud Run.

API Cloud Run
Nella barra dei menu nella parte superiore della dashboard, fai clic sul menu a discesa del progetto e seleziona il progetto di servizio.
Fai clic su Attiva.

gcloud

Esegui il seguente comando nel terminale:

gcloud services enable run.googleapis.com --project=SERVICE_PROJECT_ID

Sostituisci quanto segue:

SERVICE_PROJECT_ID: l'ID del progetto di servizio

Fornire l'accesso al connettore

Fornisci l'accesso al connettore concedendo al progetto di servizio Agente di servizio Cloud Run il ruolo IAM Utente di accesso VPC serverless nel progetto host.

Console

Apri la pagina IAM.

Vai a IAM
Fai clic sul menu a discesa del progetto e seleziona il progetto host.
Fai clic su Aggiungi.
Nel campo Nuove entità, inserisci l'indirizzo email Agente di servizio Cloud Run per Cloud Run servizio:
```
service-SERVICE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com
```
Sostituisci quanto segue:
- SERVICE_PROJECT_NUMBER: il numero del progetto associato al progetto di servizio. È diverso dal progetto ID. Puoi trovare il numero di progetto nella pagina Impostazioni progetto del progetto di servizio nella console Google Cloud.
Nel campo Ruolo, seleziona Utente con accesso VPC serverless.
Fai clic su Salva.

gcloud

Esegui il seguente comando nel terminale:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=serviceAccount:service-SERVICE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com \
--role=roles/vpcaccess.user

Sostituisci quanto segue:

HOST_PROJECT_ID: l'ID del Progetto host VPC condiviso
SERVICE_PROJECT_NUMBER: il numero del progetto associato all'account di servizio. È diverso dall'ID progetto. Puoi trovare il numero del progetto eseguendo questo comando:
```
gcloud projects describe SERVICE_PROJECT_ID
```

Rendi rilevabile il connettore

Nel criterio IAM del progetto host, devi concedere i seguenti due ruoli predefiniti alle entità che eseguono il deployment dei servizi Cloud Run:

Serverless VPC Access Viewer (vpcaccess.viewer): obbligatorio.
Compute Network Viewer (compute.networkViewer): facoltativo, ma consigliato. Consente all'entità IAM di enumera le subnet nella rete VPC condiviso.

In alternativa, puoi utilizzare ruoli personalizzati o altri ruoli predefiniti che includono tutte le autorizzazioni del ruolo Visualizzatore Accesso VPC serverless (vpcaccess.viewer).

Console

Apri la pagina IAM.

Vai a IAM
Fai clic sul menu a discesa del progetto e seleziona il progetto host.
Fai clic su Aggiungi.
Nel campo Nuove entità, inserisci l'indirizzo email dell'entità che dovrebbe essere in grado di vedere il connettore dal progetto di servizio. Puoi inserisci più indirizzi email in questo campo.
Nel campo Ruolo, seleziona entrambi i ruoli seguenti:
- Visualizzatore Accesso VPC serverless
- Visualizzatore di rete Compute
Fai clic su Salva.

gcloud

Esegui i seguenti comandi nel tuo terminale:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

Sostituisci quanto segue:

HOST_PROJECT_ID: l'ID del Progetto host VPC condiviso
PRINCIPAL: l'entità che esegue il deployment dai servizi Cloud Run. Scopri di più sul flag --member.

Configura il servizio per utilizzare il connettore

Per ogni servizio Cloud Run che richiede l'accesso al tuo VPC condiviso, devi specificare il connettore per il servizio. Puoi specificare il connettore utilizzando la console Google Cloud, Google Cloud CLI YAML o Terraform durante il deployment di un nuovo servizio o l'aggiornamento di un completamente gestito di Google Cloud.

Console

Nella console Google Cloud, vai a Cloud Run:

Vai a Cloud Run
Fai clic su Esegui il deployment del container e seleziona Servizio per nuovo servizio. Se stai configurando un servizio esistente, fai clic sul servizio, poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio, quindi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Connessioni.
- Nel campo Connettore VPC, seleziona un connettore da utilizzare o seleziona Nessuno per disconnettere il servizio da una rete VPC.
Fai clic su Crea o Esegui il deployment.

gcloud

Imposta gcloud CLI per utilizzare il progetto contenente Risorsa Cloud Run:
```
gcloud config set project PROJECT_ID
```
Sostituisci quanto segue:
- PROJECT_ID: l'ID del progetto contenente la risorsa Cloud Run che richiede l'accesso al VPC condiviso. Se la risorsa Cloud Run si trova nel progetto host, questo è l'ID progetto host. Se La risorsa Cloud Run si trova in un progetto di servizio, dell'ID progetto di servizio di servizio.
Utilizza il flag --vpc-connector.

Per i servizi esistenti:

gcloud run services update SERVICE --vpc-connector=CONNECTOR_NAME

Per i nuovi servizi:
```
gcloud run deploy SERVICE --image=IMAGE_URL --vpc-connector=CONNECTOR_NAME
```
Sostituisci quanto segue:
- SERVICE: il nome del servizio
- IMAGE_URL: un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest
- CONNECTOR_NAME: il nome del connettore. Utilizza il nome completo durante il deployment da una progetto di servizio del VPC condiviso (anziché del progetto host), per esempio:
```
projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
```
  dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.

YAML

Imposta gcloud CLI in modo da utilizzare il progetto contenente la risorsa Cloud Run:

gcloud config set project PROJECT_ID

Sostituisci quanto segue:

PROJECT_ID: l'ID del progetto contenente la risorsa Cloud Run che richiede l'accesso al VPC condiviso. Se la risorsa Cloud Run si trova progetto host, si tratta dell'ID progetto host. Se La risorsa Cloud Run si trova in un progetto di servizio, dell'ID progetto di servizio di servizio.

Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:
```
gcloud run services describe SERVICE --format export > service.yaml
```
Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-connector nell'attributo annotations nell'attributo di primo livello spec:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
      name: REVISION
```
Sostituisci quanto segue:
- SERVICE: il nome del servizio Cloud Run.
- CONNECTOR_NAME: il nome del tuo di rete. Utilizza il nome completo durante il deployment da una progetto di servizio del VPC condiviso (anziché del progetto host), per esempio:
```
projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
```
  dove HOST_PROJECT_ID è l'ID del progetto host, CONNECTOR_REGION è la regione del connettore e CONNECTOR_NAME è il nome che hai assegnato al connettore.
- REVISION con un nuovo nome di revisione o eliminala (se presente). Se fornisci un nuovo nome di revisione, questo deve soddisfare i seguenti criteri:
  - Inizia con SERVICE-
  - Contiene solo lettere minuscole, numeri e -
  - Non termina con -
  - Non deve superare i 63 caratteri
Sostituisci il servizio con la nuova configurazione utilizzando il seguente comando:
```
gcloud run services replace service.yaml
```

Terraform

Puoi utilizzare una risorsa Terraform per creare un servizio e configurarlo in modo da utilizzare il connettore.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Passaggi successivi

Monitora le attività di amministrazione con gli audit log di accesso VPC serverless.
Proteggi le risorse e i dati creando un perimetro di servizio con Controlli di servizio VPC.
Scopri i ruoli Identity and Access Management (IAM) associati all'accesso VPC serverless. Consulta la sezione Ruoli di accesso VPC serverless nella documentazione IAM per un elenco delle autorizzazioni associate a ciascun ruolo.
Scopri come connetterti a Memorystore.