使用连接器的 VPC

您可以配置无服务器 VPC 访问通道连接器，以允许 Cloud Run 服务或作业将流量发送到 VPC 网络。

注意：无服务器 VPC 访问通道连接器按月收费。如需了解详情，请参阅无服务器 VPC 访问通道价格。

准备工作

• 如果您的项目中还没有 VPC 网络，请创建一个 VPC 网络。

• 如果您使用共享 VPC，请参阅连接到共享 VPC 网络。

• 在 Google Cloud 控制台中，确保已为您的项目启用 Serverless VPC Access API：

  启用 API

• 每个无服务器 VPC 访问通道连接器都需要有自己的 /28 子网来放置连接器实例：该子网不得具有连接器以外的任何其他资源。如果您不使用共享 VPC，则可以创建供连接器使用的子网，也可以指定未使用的自定义 IP 范围以供连接器创建其使用的子网。如果您选择自定义 IP 范围，则创建的子网会被隐藏，并且无法在防火墙规则和 NAT 配置中使用。

创建连接器

如需在不使用公共互联网的情况下向您的 VPC 网络发送请求并接收相应的响应，您可以使用无服务器 VPC 访问通道连接器。

如果连接器与其 VPC 网络位于同一项目中，您可以使用现有子网创建连接器，也可以创建连接器和新子网。

如果连接器位于服务项目中并使用共享 VPC 网络，则连接器与其关联的 VPC 网络位于不同的项目中。如果连接器与其 VPC 网络位于不同的项目中，则共享 VPC 网络管理员必须先在共享 VPC 网络中创建连接器的子网，然后您才能创建连接器，并且您必须使用现有子网创建该连接器。

如需详细了解子网要求，请参阅连接器子网要求。

如需了解连接器吞吐量，包括机器类型和扩缩，请参阅吞吐量和扩缩。

您可以使用 Google Cloud 控制台、Google Cloud CLI 或 Terraform 创建连接器。

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   打开“无服务器 VPC 访问通道”页面

2. 点击创建连接器。

3. 在名称字段中，为连接器输入一个名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。

4. 在区域字段中，选择连接器的区域。此区域必须与您的无服务器服务的区域相匹配。

   如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。

5. 在网络字段中，选择要将连接器连接到的 VPC 网络。

6. 在子网字段中，选择以下选项之一：

   • 使用现有子网创建连接器：在“子网”字段中选择现有子网。

   • 创建连接器和新子网：在“子网”字段中选择自定义 IP 范围。然后，输入未使用的 /28 CIDR 中的第一个地址（例如 10.8.0.0/28），用作 Google Cloud 在连接器的 VPC 网络中创建的新子网的主要 IPv4 地址范围。确保此 IP 范围与连接器的 VPC 网络中的所有现有路由都不冲突。新子网的名称以“aet-”前缀开头。

7. （可选）如需设置扩缩选项以更好地控制连接器，请点击显示扩缩设置以显示扩缩表单。

   1. 设置连接器的实例数下限和上限，或使用默认值 2（下限）和 10（上限）。如果流量需要，连接器会扩容到指定的上限，但流量下降时，连接器实例数量不会缩减回来。您必须使用介于 2 和 10 之间的值。
   2. 在实例类型菜单中，选择要用于连接器的机器类型，或者使用默认的 e2-micro。当您选择实例类型时，请注意右侧的费用边栏，其中显示带宽和费用估算值。

8. 点击创建。

9. 准备就绪后，连接器名称旁边会出现绿色的对勾标记。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 将 gcloud 组件更新到最新版本：

   gcloud components update

3. 确保已为您的项目启用 Serverless VPC Access API：

   gcloud services enable vpcaccess.googleapis.com

4. 使用以下任一选项创建连接器：

   如需了解详情和可选的参数，请参阅 gcloud 参考文档。

   • 使用现有子网创建连接器：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --subnet SUBNET_NAME \
      --subnet-project HOST_PROJECT_ID \
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     请替换以下内容：

     • CONNECTOR_NAME：连接器的名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。
     • REGION：连接器的区域，与无服务器服务或作业的区域相匹配。如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。
     • SUBNET_NAME：现有子网的名称。
     • HOST_PROJECT_ID：共享 VPC 宿主项目 ID。如果连接器和现有子网位于同一项目中，请省略 --subnet-project 标志。
     • MIN：用于连接器的实例数下限。请使用介于 2（默认值）到 9 之间的整数。
     • MAX：用于连接器的实例数上限。请使用介于 3 到 10（默认值）之间的整数。如果连接器扩容到实例数上限，便不会再缩减回来。
     • MACHINE_TYPE：必须是以下值之一：f1-micro、e2-micro 或 e2-standard-4。

   • 创建连接器和新子网：

     gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
      --region REGION \
      --network VPC_NETWORK \
      --range IP_RANGE
      --min-instances MIN \
      --max-instances MAX \
      --machine-type MACHINE_TYPE

     请替换以下内容：

     • CONNECTOR_NAME：连接器的名称，该名称遵循 Compute Engine 命名惯例，但还需注意，其长度必须少于 21 个字符，且连字符 (-) 计为 2 个字符。
     • REGION：连接器的区域，与无服务器服务或作业的区域相匹配。如果您的服务或作业位于 us-central 或 europe-west 区域，请使用 us-central1 或 europe-west1。
     • VPC_NETWORK：要将连接器连接到的 VPC 网络的名称。连接器和 VPC 网络必须位于同一项目中。
     • IP_RANGE：提供一个未使用的 /28 CIDR（例如 10.8.0.0/28），用作 Google Cloud 在连接器的 VPC 网络中创建的新子网的主要 IPv4 地址范围。确保此 IP 范围与连接器的 VPC 网络中的所有现有路由都不冲突。新子网的名称以“aet-”前缀开头。
     • MIN：用于连接器的实例数下限。请使用介于 2（默认值）到 9 之间的整数。
     • MAX：用于连接器的实例数上限。请使用介于 3 到 10（默认值）之间的整数。如果连接器扩容到实例数上限，便不会再缩减回来。
     • MACHINE_TYPE：必须是以下值之一：f1-micro、e2-micro 或 e2-standard-4。

5. 在使用之前，验证连接器处于 READY 状态：

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region REGION

   替换以下内容：

   • CONNECTOR_NAME：连接器的名称；这是您在上一步中指定的名称。
   • REGION：连接器的区域；这是您在上一步中指定的区域。

   输出应包含 state: READY 行。

Terraform

您可以使用 Terraform 资源启用 vpcaccess.googleapis.com API。

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

您可以使用 Terraform 模块创建 VPC 网络和子网，然后创建连接器。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

配置服务

您可以将 Cloud Run 服务配置为使用无服务器 VPC 访问通道连接器来发送出站流量。您可以在创建新服务或部署新修订版本时使用 Google Cloud 控制台、Google Cloud CLI 或 YAML 文件来执行此操作：

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Run：

   转到 Cloud Run

2. 点击部署容器，然后选择服务以配置新服务。如果您要配置现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、网络、安全性以展开服务配置页面。

4. 点击网络标签页。

   

   • 在网络字段中，从菜单中选择以下选项之一：
     • 如需断开服务与 VPC 网络的连接，请选择无。
     • 如需使用现有连接器，请从下拉列表中选择它，或者选择自定义以使用下拉列表中未显示的现有连接器。
     • 如需创建新的连接器，请选择添加新的 VPC 连接器。 如需详细了解如何创建连接器，请参阅创建无服务器 VPC 访问通道连接器。
     • 在流量路由部分，选择以下选项之一：
       • 仅将请求路由到 VPC 的专用 IP，以便通过 VPC 网络将流量仅发送到内部地址。
       • 将所有流量路由到 VPC，以便通过 VPC 网络发送所有出站流量。

5. 点击创建或部署。

gcloud

要在部署期间指定连接器，请使用 --vpc-connector 标志：

gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

您需要进行如下替换：

• 将 SERVICE 替换为您的服务名称。
• 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• 将 CONNECTOR_NAME 替换为连接器的名称。

要挂接、更新或移除现有服务的连接器，请根据需要使用 gcloud run services update 命令并添加以下任一标志：

• --vpc-connector
• --clear-vpc-connector

例如，要挂接或更新连接器，请使用以下命令：

gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

您需要进行如下替换：

• 将 SERVICE 替换为您的服务名称。
• 将 CONNECTOR_NAME 替换为连接器的名称。

YAML

1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

   gcloud run services describe SERVICE --format export > service.yaml

2. 在顶级 spec 特性下的 annotations 特性下添加或更新 run.googleapis.com/vpc-access-connector 特性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
         name: REVISION

   您需要进行如下替换：

   • 将 SERVICE 替换为您的 Cloud Run 服务的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。
   • 将 REVISION 替换为新的修订版本名称或者将其删除（如果存在）。如果您提供新的修订版本名称，则该名称必须满足以下条件：
     • 开头为 SERVICE-
     • 仅包含小写字母、数字和 -
     • 不以 - 结尾
     • 不超过 63 个字符

3. 使用以下命令创建或更新服务：

   gcloud run services replace service.yaml

Terraform

您可以使用 Terraform 资源创建服务，并将其配置为使用您的连接器。

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

配置作业

创建无服务器 VPC 访问通道连接器后，您可以将 Cloud Run 作业配置为使用该连接器。您可以在创建新作业时使用 Google Cloud 控制台、Google Cloud CLI 或 YAML 执行此操作：

控制台

1. 在 Google Cloud 控制台中，进入 Cloud Run 作业页面：

   转到 Cloud Run

2. 点击部署容器，然后选择作业以填写初始作业设置页面。如果要配置现有作业，请点击作业，然后点击修改。

3. 点击容器、变量和 Secret、连接、安全性以展开作业属性页面。

4. 点击连接标签页。

   

   • 在网络字段中，从菜单中选择以下选项之一：
     • 如需断开作业与 VPC 网络的连接，请选择无。
     • 如需使用现有连接器，请从下拉列表中选择它，或者选择自定义以使用下拉列表中未显示的现有连接器。
     • 如需创建新的连接器，请选择添加新的 VPC 连接器。
       如需详细了解如何创建连接器，请参阅创建无服务器 VPC 访问通道连接器。

5. 点击创建或更新。

gcloud

如需在作业部署期间指定连接器，请使用 --vpc-connector 标志：

gcloud run jobs create JOB --image IMAGE_URL --vpc-connector CONNECTOR_NAME

您需要进行如下替换：

• 将 JOB 替换为作业的名称。
• 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• 将 CONNECTOR_NAME 替换为连接器的名称。

要挂接、更新或移除现有服务的连接器，请根据需要使用 gcloud run jobs update 命令并添加以下任一标志：

• --vpc-connector
• --clear-vpc-connector

例如，要挂接或更新连接器，请使用以下命令：

gcloud run jobs update JOB --vpc-connector CONNECTOR_NAME

您需要进行如下替换：

• 将 JOB 替换为作业的名称。
• 将 CONNECTOR_NAME 替换为连接器的名称。

YAML

您可以使用 gcloud run jobs describe --format export 命令下载并查看现有作业配置，该命令会生成清理后的 YAML 格式的结果。然后按照后续说明修改字段，最后使用 gcloud run jobs replace 命令上传修改后的 YAML。请务必严格按照说明修改字段。

1. 如需查看和下载配置，请运行以下命令：

   gcloud run jobs describe JOB --format export > job.yaml

2. 在顶级 spec 特性下的 annotations 特性下添加或更新 run.googleapis.com/vpc-access-connector 特性：

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME

   您需要进行如下替换：

   • 将 JOB 替换为 Cloud Run 作业的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。 指定出站流量设置时，run.googleapis.com/vpc-access-connector 特性是必需的。

3. 使用以下命令将作业替换为其新配置：

   gcloud run jobs replace job.yaml

访问 VPC 资源

您可以使用防火墙规则和政策来对通过连接器访问加以限制，也可以通过配置出站流量和入站流量设置来添加其他限制。

防火墙规则和政策设置

服务项目中的连接器的必需防火墙规则

如果您在独立 VPC 网络或共享 VPC 网络的宿主项目中创建连接器，Google Cloud 会为连接器的操作创建所有必需的防火墙规则。如需了解详情，请参阅适用于独立 VPC 网络或共享 VPC 主机项目中的连接器的防火墙规则。

但是，如果您在服务项目中创建连接器，并且该连接器连接宿主项目中的共享 VPC 网络，则必须添加防火墙规则，以允许来自以下范围的连接器操作所需的流量：

• 无服务器基础设施 IP 范围：35.199.224.0/19
• 健康检查探测 IP 范围：35.191.0.0/16、35.191.192.0/18 和 130.211.0.0/22

这些范围由 Google 基础设施底层 Cloud Run、Cloud Run functions 和 App Engine 标准环境使用。来自这些 IP 地址的所有请求都来自 Google 基础设施，以确保每个无服务器资源仅与其所连接的连接器进行通信。

您还必须允许从连接器的子网到 VPC 网络中的资源的流量。

要执行这些步骤，您必须在宿主项目上拥有以下角色之一：

• Owner 角色 (roles/owner)
• Compute Security Admin 角色 (roles/compute.securityAdmin)
• 启用了 compute.firewalls.create 权限的自定义 Identity and Access Management (IAM) 角色

对于基本配置，请应用规则，以允许连接到共享 VPC 网络的任何服务项目中的无服务器资源将请求发送到网络中的任何资源。

重要提示：按照以下过程创建的规则会应用于连接给定共享 VPC 网络的现有和未来的连接器。如果要限定这些规则的范围，使其仅应用于指定的连接器，请参阅为特定连接器创建防火墙规则。

如需应用这些规则，请在宿主项目中运行以下命令：

1. 创建防火墙规则，以允许来自 Google 无服务器基础设施的请求和健康检查探测到达网络中的所有连接器。在这些命令中，UDP 端口和 TCP 端口分别用作代理和用于 HTTP 健康检查。请勿更改指定的端口。

   gcloud compute firewall-rules create serverless-to-vpc-connector \
       --allow tcp:667,udp:665-666,icmp \
       --source-ranges=35.199.224.0/19 \
       --direction=INGRESS \
       --target-tags vpc-connector \
       --network=VPC_NETWORK

   gcloud compute firewall-rules create vpc-connector-to-serverless \
       --allow tcp:667,udp:665-666,icmp \
       --destination-ranges=35.199.224.0/19 \
       --direction=EGRESS \
       --target-tags vpc-connector \
       --network=VPC_NETWORK

   gcloud compute firewall-rules create vpc-connector-health-checks \
       --allow tcp:667 \
       --source-ranges=35.191.0.0/16,35.191.192.0/18,130.211.0.0/22 \
       --direction=INGRESS \
       --target-tags vpc-connector \
       --network=VPC_NETWORK

   将 VPC_NETWORK 替换为要将连接器连接到的 VPC 网络的名称。

2. 在 VPC 网络上创建入站流量防火墙规则，以允许来自连接此网络的连接器的请求：

   gcloud compute firewall-rules create vpc-connector-requests \
       --allow tcp,udp,icmp \
       --direction=INGRESS \
       --source-tags vpc-connector \
       --network=VPC_NETWORK

   此规则授予连接器对网络中每个资源的访问权限。如需限制您的无服务器环境可以使用无服务器 VPC 访问通道访问的资源，请参阅限制连接器虚拟机对 VPC 网络资源的访问权限。

为特定连接器创建防火墙规则

按照服务项目中连接器的必需防火墙规则中的过程操作会使防火墙规则应用于所有连接器，包括当前连接器和将来创建的连接器。如果您不希望这样，而是希望仅为特定的连接器创建规则，您可以限制规则的范围，使其仅应用于这些连接器。

要将规则的范围限制为特定连接器，您可以使用以下机制之一：

• 网络标记：每个连接器都有两个网络标记：vpc-connector 和 vpc-connector-REGION-CONNECTOR_NAME。使用后一种格式将防火墙规则的范围限制为特定的连接器。
• IP 范围：仅用于出站流量规则，因为它不适用于入站流量规则。您可以使用连接器子网的 IP 范围将防火墙规则范围限制为单个 VPC 连接器。

限制连接器虚拟机对 VPC 网络资源的访问权限

您可以使用 VPC 防火墙规则或防火墙政策中的规则来限制连接器对其目标 VPC 网络中的资源的访问权限。您可以使用以下策略之一实施这些限制：

• 创建入站流量规则，其目的地表示您要限制连接器虚拟机访问权限的资源，并且其来源表示连接器虚拟机。
• 创建出站流量规则，其目标表示连接器虚拟机，其目的地表示要限制连接器虚拟机访问权限的资源。

以下示例说明了每种策略。

使用入站规则限制访问权限

选择网络标记或 CIDR 范围来控制传入您的 VPC 网络的流量。

网络标记

以下步骤介绍了如何创建入站规则，以根据连接器网络标记限制对 VPC 网络的访问权限。

1. 确保您拥有插入防火墙规则所需的权限。您必须拥有以下 Identity and Access Management (IAM) 角色之一：

   • Compute Security Admin 角色
   • 启用了 compute.firewalls.create 权限的自定义 IAM 角色

2. 拒绝您的 VPC 网络中的连接器流量。

   在您的 VPC 网络上创建优先级低于 1000 的入站防火墙规则，以拒绝来自连接器网络标记的入站流量。这会替换无服务器 VPC 访问通道默认情况下在您的 VPC 网络中创建的隐式防火墙规则。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 deny-vpc-connector。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

     出于安全和验证目的，您还可以配置拒绝规则来阻止以下不受支持的协议的流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_NETWORK_TAG：通用连接器网络标记（如果要限制对所有连接器的访问，包括将来创建的任何连接器）或唯一网络标记（如果要限制对特定连接器的访问）。

     • 通用网络标记：vpc-connector

     • 唯一网络标记：vpc-connector-REGION-CONNECTOR_NAME

       您需要进行如下替换：

       • REGION：您要限制的连接器所在的区域
       • CONNECTOR_NAME：您要限制的连接器的名称

     如需详细了解连接器网络标记，请参阅网络标记。

   • VPC_NETWORK：您的 VPC 网络的名称

   • PRIORITY：介于 0 到 65535 之间的整数。例如，0 设置最高优先级。

3. 允许应接收连接器流量的资源接收连接器流量。

   使用 allow 和 target-tags 标志创建一条入站防火墙规则，用于定位您的 VPC 网络中您希望 VPC 连接器访问的资源。将此规则的优先级设置为低于您在上一步中创建的规则的优先级值。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-tags=VPC_CONNECTOR_NETWORK_TAG \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 allow-vpc-connector-for-select-resources。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

   • VPC_CONNECTOR_NETWORK_TAG：通用连接器网络标记（如果要限制对所有连接器的访问，包括将来创建的任何连接器）或唯一网络标记（如果要限制对特定连接器的访问）。必须与您在上一步中指定的网络标记相匹配。

     • 通用网络标记：vpc-connector

     • 唯一网络标记：vpc-connector-REGION-CONNECTOR_NAME

       您需要进行如下替换：

       • REGION：您要限制的连接器所在的区域
       • CONNECTOR_NAME：您要限制的连接器的名称

     如需详细了解连接器网络标记，请参阅网络标记。

   • VPC_NETWORK：您的 VPC 网络的名称

   • RESOURCE_TAG：您希望 VPC 连接器访问的 VPC 资源的网络标记

   • PRIORITY：小于您在上一步中设置的优先级值的整数。例如，如果您将在上一步中创建的规则的优先级设置为 990，请尝试 980。

如需详细了解用于创建防火墙规则的必需和可选标志，请参阅 gcloud compute firewall-rules create 的文档。

CIDR 范围

以下步骤介绍了如何创建入站规则，以根据连接器的 CIDR 范围限制对 VPC 网络的访问权限。

1. 确保您拥有插入防火墙规则所需的权限。您必须拥有以下 Identity and Access Management (IAM) 角色之一：

   • Compute Security Admin 角色
   • 启用了 compute.firewalls.create 权限的自定义 IAM 角色

2. 拒绝您的 VPC 网络中的连接器流量。

   在您的 VPC 网络上创建优先级低于 1000 的入站防火墙规则，以拒绝来自连接器的 CIDR 范围的入站流量。这会替换无服务器 VPC 访问通道默认情况下在您的 VPC 网络中创建的隐式防火墙规则。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 deny-vpc-connector。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

     出于安全和验证目的，您还可以配置拒绝规则来阻止以下不受支持的协议的流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制其访问权限的连接器的 CIDR 范围

   • VPC_NETWORK：您的 VPC 网络的名称

   • PRIORITY：介于 0 到 65535 之间的整数。例如，0 设置最高优先级。

3. 允许应接收连接器流量的资源接收连接器流量。

   使用 allow 和 target-tags 标志创建一条入站防火墙规则，用于定位您的 VPC 网络中您希望 VPC 连接器访问的资源。将此规则的优先级设置为低于您在上一步中创建的规则的优先级值。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --source-ranges=VPC_CONNECTOR_CIDR_RANGE \
   --direction=INGRESS \
   --network=VPC_NETWORK \
   --target-tags=RESOURCE_TAG \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 allow-vpc-connector-for-select-resources。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

   • VPC_CONNECTOR_CIDR_RANGE：您要限制其访问权限的连接器的 CIDR 范围

   • VPC_NETWORK：您的 VPC 网络的名称

   • RESOURCE_TAG：您希望 VPC 连接器访问的 VPC 资源的网络标记

   • PRIORITY：小于您在上一步中设置的优先级值的整数。例如，如果您将在上一步中创建的规则的优先级设置为 990，请尝试 980。

如需详细了解用于创建防火墙规则的必需和可选标志，请参阅 gcloud compute firewall-rules create 的文档。

使用出站规则限制访问权限

以下步骤介绍了如何创建出站规则以限制连接器的访问权限。

1. 确保您拥有插入防火墙规则所需的权限。您必须拥有以下 Identity and Access Management (IAM) 角色之一：

   • Compute Security Admin 角色
   • 启用了 compute.firewalls.create 权限的自定义 IAM 角色

2. 拒绝连接器的出站流量。

   在无服务器 VPC 访问通道连接器上创建出站防火墙规则，以防止其将传出流量（已建立的响应除外）发送到任何目的地。

   gcloud compute firewall-rules create RULE_NAME \
   --action=DENY \
   --rules=PROTOCOL \
   --direction=EGRESS \
   --target-tags=VPC_CONNECTOR_NETWORK_TAG \
   --network=VPC_NETWORK \
   --priority=PRIORITY

   请替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 deny-vpc-connector。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

     出于安全和验证目的，您还可以配置拒绝规则来阻止以下不受支持的协议的流量：ah、all、esp、icmp、ipip 和 sctp。

   • VPC_CONNECTOR_NETWORK_TAG：通用 VPC 连接器网络标记 - 如果您希望将此规则应用于所有现有 VPC 连接器和未来的任何 VPC 连接器。或者，如果要控制特定连接器，则是唯一的 VPC 连接器网络标记。

   • VPC_NETWORK：您的 VPC 网络的名称

   • PRIORITY：介于 0 到 65535 之间的整数。例如，0 设置最高优先级。

3. 当目的地位于您希望连接器访问的 CIDR 范围内时，允许出站流量。

   使用 allow 和 destination-ranges 标志可创建一条防火墙规则，以允许来自连接器的出站流量进入特定目的地范围。将目的地范围设置为您的 VPC 网络中您希望连接器访问的资源的 CIDR 范围。将此规则的优先级设置为低于您在上一步中创建的规则的优先级值。

   gcloud compute firewall-rules create RULE_NAME \
   --allow=PROTOCOL \
   --destination-ranges=RESOURCE_CIDR_RANGE \
   --direction=EGRESS \
   --network=VPC_NETWORK \
   --target-tags=VPC_CONNECTOR_NETWORK_TAG \
   --priority=PRIORITY

   替换以下内容：

   • RULE_NAME：新防火墙规则的名称。例如 allow-vpc-connector-for-select-resources。

   • PROTOCOL：您希望 VPC 连接器允许使用的一个或多个协议。支持的协议为 tcp 或 udp。例如，tcp:80,udp 允许流经端口 80 的 TCP 流量，以及 UDP 流量。如需了解详情，请参阅 allow 标志的文档。

   • RESOURCE_CIDR_RANGE：您要限制其访问权限的连接器的 CIDR 范围

   • VPC_NETWORK：您的 VPC 网络的名称

   • VPC_CONNECTOR_NETWORK_TAG：通用 VPC 连接器网络标记 - 如果您希望将此规则应用于所有现有 VPC 连接器和未来的任何 VPC 连接器。或者，如果要控制特定连接器，则是唯一的 VPC 连接器网络标记。如果您在上一步中使用了唯一的网络标记，请使用该唯一的网络标记。

   • PRIORITY：小于您在上一步中设置的优先级值的整数。例如，如果您将在上一步中创建的规则的优先级设置为 990，请尝试 980。

如需详细了解用于创建防火墙规则的必需和可选标志，请参阅 gcloud compute firewall-rules create 的文档。

管理连接器

默认情况下，只有发送到某些内部 IPv4 地址目的地（包括由 DNS 响应解析的内部 IPv4 目的地）的请求会通过无服务器 VPC 访问通道连接器进行路由。但在某些情况下，您可能希望将来自服务或作业的所有出站请求路由到 VPC 网络。

无服务器 VPC 访问通道仅支持路由 IPv4 流量。它不支持 IPv6 流量，即使 VPC 网络中存在 IPv6 路由也是如此。

如需控制服务或作业的出站请求的路由，您可以将 VPC 出站流量设置为以下选项之一：

• 仅将请求路由到 VPC 的专用 IP：默认。仅当承载流量的数据包具有以下目标时，流量才会通过 VPC 网络路由：

  • RFC 1918
  • RFC 6598
  • 199.36.153.4/30 和 199.36.153.8/30

  发送到任何其他目的地的数据包会从 Cloud Run 路由到互联网（而不是通过任何 VPC 网络）。

  注意：请勿将任何 Cloud Run 子网与公共 NAT 相关联。即使发送到外部 IP 地址的流量不通过连接器流经 Cloud NAT，您也需要为 Cloud NAT 付费。

• 将所有流量路由到 VPC：对于所有数据包目标位置，流量始终通过与连接器关联的 VPC 网络进行路由。在以下情况下，您必须使用此选项：

  • 您需要将流量发送到具有以非公开方式使用的外部 IP 地址范围的 VPC 子网范围。如需详细了解 VPC 子网范围，请参阅“子网概览”中的有效 IPv4 范围。
  • 您需要将流量发送到 Google API 的 Private Service Connect 端点，其地址是以非公开方式使用的外部 IP 地址。如需详细了解 Google API 的 Private Service Connect 端点，请参阅通过端点访问 Google API。
  • 您需要将流量发送到任何其他可在连接器的 VPC 网络中路由的以非公开方式使用的外部 IP 地址。涵盖以非公开方式使用的公共 IP 地址的其他目的地示例可能包括对等互连子网范围（通过为服务分配的 IP 地址范围创建的对等互连子网范围），以及可使用 VPC 网络中的自定义路由访问的目的地。

  如果 VPC 网络包括默认路由，并且您配置了 Cloud NAT 网关以向连接器使用的子网提供 NAT 服务，则数据包在被连接器处理后仍可以路由到互联网。这些数据包受 VPC 网络中的路由以及应用于 VPC 网络的防火墙规则的约束。您可以使用路由和防火墙配置来控制您的函数通过无服务器 VPC 访问通道连接器发送的所有出站请求的互联网出站流量。

  注意：无服务器 VPC 访问通道按通过连接器传递的流量成比例计费。请查看无服务器 VPC 访问通道价格，了解费用含义。

控制出站流量服务流量

当您创建新服务或部署新的修订版本时，您可以使用 Google Cloud 控制台、Google Cloud CLI 或 YAML 文件指定 VPC 出站流量设置：

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Run：

   转到 Cloud Run

2. 点击部署容器，然后选择服务以配置新服务。如果您要配置现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、网络、安全性以展开服务配置页面。

4. 点击网络标签页。

   

   • 选择 VPC 连接器后，选择仅将请求路由到 VPC 的专用 IP 或将所有流量路由到 VPC。

5. 点击创建或部署。

gcloud

要指定出站流量设置，请使用 --vpc-egress 标志。您可以在部署期间指定出站流量设置：

gcloud run deploy SERVICE \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

您需要进行如下替换：

• 将 SERVICE 替换为您的服务名称。
• 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• 将 CONNECTOR_NAME 替换为连接器的名称。
• 将 EGRESS_SETTING 替换为出站流量设置值：
  • all-traffic：发送通过连接器的所有出站流量。
  • private-ranges-only：仅发送通过 VPC 连接器发送到内部地址的流量。

您还可以更新现有服务并更改出站流量设置：

gcloud run services update SERVICE --vpc-egress EGRESS_SETTING

您需要进行如下替换：

• 将 SERVICE 替换为您的服务名称。
• 将 EGRESS_SETTING 替换为上面列出的出站流量设置值。

YAML

1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

   gcloud run services describe SERVICE --format export > service.yaml

2. 在顶级 spec 特性下的 annotations 特性下添加或更新 run.googleapis.com/vpc-access-egress 特性：

   apiVersion: serving.knative.dev/v1
   kind: Service
   metadata:
     name: SERVICE
   spec:
     template:
       metadata:
         annotations:
           run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
           run.googleapis.com/vpc-access-egress: EGRESS_SETTING
         name: REVISION

   您需要进行如下替换：

   • 将 SERVICE 替换为您的 Cloud Run 服务的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。 指定出站流量设置时，run.googleapis.com/vpc-access-connector 特性是必需的。
   • 将 EGRESS_SETTING 替换为以下项之一：
     • all-traffic：发送通过连接器的所有出站流量。
     • private-ranges-only：仅发送通过 VPC 连接器发送到内部地址的流量。
     • 将 REVISION 替换为新的修订版本名称或者将其删除（如果存在）。如果您提供新的修订版本名称，则该名称必须满足以下条件：
       • 开头为 SERVICE-
       • 仅包含小写字母、数字和 -
       • 不以 - 结尾
       • 不超过 63 个字符

3. 使用以下命令创建或更新服务：

   gcloud run services replace service.yaml

注意：管理员可以通过设置 run.allowedVPCEgress 组织政策来限制开发者可以选择的出站流量设置。

控制出站流量作业流量

您可以在创建或更新作业时使用 Google Cloud 控制台、Google Cloud CLI 或 YAML 文件指定 VPC 出站流量设置：

控制台

1. 在 Google Cloud 控制台中，进入 Cloud Run 作业页面：

   转到 Cloud Run

2. 点击部署容器，然后选择作业以填写初始作业设置页面。如果要配置现有作业，请点击作业，然后点击修改。

3. 点击容器、变量和 Secret、连接、安全性以展开作业属性页面。

4. 点击连接标签页。

   

   • 选择连接器后，选择仅将请求路由到 VPC 的专用 IP 或将所有流量路由到 VPC。

5. 点击创建或更新。

gcloud

要指定出站流量设置，请使用 --vpc-egress 标志。您可以在作业部署期间指定出站流量设置：

gcloud run jobs create JOB \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

您需要进行如下替换：

• 将 JOB 替换为作业的名称。
• 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG。
• 将 CONNECTOR_NAME 替换为连接器的名称。
• 将 EGRESS_SETTING 替换为出站流量设置值：
  • all-traffic：发送通过连接器的所有出站流量。
  • private-ranges-only：仅发送通过 VPC 连接器发送到内部地址的流量。

您还可以更新现有作业并更改出站流量设置：

gcloud run jobs update JOB --vpc-egress EGRESS_SETTING

您需要进行如下替换：

• 将 JOB 替换为作业的名称。
• 将 EGRESS_SETTING 替换为上面列出的出站流量设置值。

YAML

您可以使用 gcloud run jobs describe --format export 命令下载并查看现有作业配置，该命令会生成清理后的 YAML 格式的结果。然后按照后续说明修改字段，最后使用 gcloud run jobs replace 命令上传修改后的 YAML。请务必严格按照说明修改字段。

1. 使用以下命令将作业替换为其新配置：

   gcloud run jobs replace job.yaml

2. 在顶级 spec 特性下的 annotations 特性下添加或更新 run.googleapis.com/vpc-access-egress 特性：

   apiVersion: serving.knative.dev/v1
     kind: Job
     metadata:
       name: JOB
     spec:
       template:
         metadata:
           annotations:
             run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
             run.googleapis.com/vpc-access-egress: EGRESS_SETTING

   您需要进行如下替换：

   • 将 JOB 替换为 Cloud Run 作业的名称。
   • 将 CONNECTOR_NAME 替换为连接器的名称。 指定出站流量设置时，run.googleapis.com/vpc-access-connector 特性是必需的。
   • 将 EGRESS_SETTING 替换为以下项之一：
     • all-traffic：发送通过连接器的所有出站流量。
     • private-ranges-only：仅发送通过 VPC 连接器发送到内部地址的流量。

3. 使用以下命令将作业替换为其新配置：

   gcloud run jobs replace job.yaml

注意：管理员可以通过设置 run.allowedVPCEgress 组织政策来限制开发者可以选择的出站流量设置。

查看连接器设置

您可以使用 Google Cloud 控制台或 gcloud 命令行工具查看服务或作业的当前无服务器 VPC 访问通道连接器设置：

控制台

1. 转到 Cloud Run

2. 点击您感兴趣的服务或作业以打开详情页面。

   • 对于服务，点击修订版本标签页。

   • 对于作业，点击配置标签页。

无服务器 VPC 访问通道连接器设置列在“连接”标签页下。

gcloud

1. 使用以下命令查看服务的设置：

   gcloud run services describe SERVICE

2. 使用以下命令查看作业的设置：

   gcloud run jobs describe JOB

3. 在返回的配置中找到无服务器 VPC 访问通道连接器设置。

与 VPC 网络断开连接

断开服务连接

您可以使用 Google Cloud 控制台或 Google Cloud CLI 来断开服务与 VPC 网络的连接：

控制台

1. 在 Google Cloud 控制台中，前往 Cloud Run：

   转到 Cloud Run

2. 点击部署容器，然后选择服务以配置新服务。如果您要配置现有服务，请点击该服务，然后点击修改和部署新的修订版本。

3. 如果您要配置新服务，请根据需要填写初始服务设置页面，然后点击容器、网络、安全性以展开服务配置页面。

4. 点击网络标签页。

   

   • 在网络字段中，选择无以断开服务与 VPC 网络的连接。

5. 点击创建或部署。

gcloud

如需断开服务的连接，请结合使用 gcloud run services update 命令与以下标志：

• --clear-vpc-connector

gcloud run services update SERVICE --clear-vpc-connector

• 将 SERVICE 替换为服务的名称。

即使没有流量并断开连接，连接器也会继续产生费用。如需了解详情，请参阅价格。如果您不再需要连接器，请务必删除连接器，以避免继续计费。

断开连接作业

您可以使用 Google Cloud 控制台或 Google Cloud CLI 断开作业与 VPC 网络的连接：

控制台

1. 在 Google Cloud 控制台中，进入 Cloud Run 作业页面：

   转到 Cloud Run

2. 点击部署容器，然后选择作业以填写初始作业设置页面。如果要配置现有作业，请点击作业，然后点击修改。

3. 点击容器、变量和 Secret、连接、安全性以展开作业属性页面。

4. 点击连接标签页。

   

   • 在网络字段中，选择无以断开作业与 VPC 网络的连接。

5. 点击创建或更新。

gcloud

如需断开作业的连接，请结合使用 gcloud run jobs update 命令与以下标志：

--clear-vpc-connector

gcloud run jobs update JOB --clear-vpc-connector

将 JOB 替换为作业的名称。

即使没有流量并断开连接，连接器也会继续产生费用。如需了解详情，请参阅价格。如果您不再需要连接器，请务必删除连接器，以避免继续计费。

更新连接器

您可以使用 Google Cloud 控制台、Google Cloud CLI 或 API 更新和监控连接器的以下属性：

• 机器（实例）类型
• 实例数下限和上限
• 最近的吞吐量、实例数和 CPU 利用率

更新机器类型

注意：更改机器类型可能会导致一些长时间运行的连接断开。

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   转到无服务器 VPC 访问通道

2. 选择要修改的连接器，然后点击修改。

3. 在实例类型列表中，选择所需的机器（实例）类型。如需了解可用的机器类型，请参阅有关吞吐量和扩缩的文档。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如需更新连接器机器类型，请在终端中运行以下命令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE

   替换以下内容：
   • CONNECTOR_NAME：连接器的名称
   • REGION：连接器的区域名称
   • MACHINE_TYPE：所需的机器类型。如需了解可用的机器类型，请参阅有关吞吐量和扩缩的文档。

减少实例数下限和上限

注意：不支持减少现有连接器的实例数量。

如需减少实例数下限和上限，您必须执行以下操作：

1. 使用所需值创建一个新连接器。
2. 更新服务或函数以使用新的连接器。
3. 在迁移流量后删除旧连接器。

如需了解详情，请参阅创建无服务器 VPC 访问通道连接器。

增加实例数下限和上限

控制台

1. 打开无服务器 VPC 访问通道概览页面。

   转到无服务器 VPC 访问通道

2. 选择要修改的连接器，然后点击修改。

3. 在实例数下限字段中，选择所需的实例数下限。

   此字段的最小可能值为当前值。此字段的最大可能值是实例数上限字段中的当前值减去 1。例如，如果实例数上限字段的值为 8，则实例数下限字段的最大可能值为 7。

4. 在实例数上限字段中，选择所需的实例数上限。

   此字段的最小可能值为当前值。此字段的最大可能值为 10。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 如需增加连接器的实例数下限或上限，请在终端中运行以下命令：

   gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

   替换以下内容：

• CONNECTOR_NAME：连接器的名称
• REGION：连接器的区域名称
• MIN_INSTANCES：所需的实例数下限。
  • 此字段的最小可能值是 min_instances 的当前值。如需查找当前值，请参阅查找当前特性值。
  • 此字段的最大可能值是当前 max_instances 值减去 1，因为 min_instances 必须小于 max_instances。例如，如果 max_instances 为 8，则此字段的最大可能值为 7。如果您的连接器使用默认 max-instances 值 10，则此字段的最大可能值为 9。如需查找 max-instances 的值，请参阅查找当前特性值。

• MAX_INSTANCES：

  • 此字段的最小可能值是 max_instances 的当前值。如需查找当前值，请参阅查找当前特性值。
  • 此字段的最大可能值为 10。

  如果您只想增加实例数下限而不增加实例数上限，则仍必须指定实例数上限。 反之，如果您只想更新实例数上限而不更新实例数下限，则仍必须指定实例数下限。如需将实例数下限或上限保持为当前值，请指定其当前值。如需查找它们的当前值，请参阅查找当前特性值。

查找当前特性值

如需查找连接器的当前特性值，请在终端中运行以下命令：

gcloud compute networks vpc-access connectors describe CONNECTOR_NAME --region=REGION --project=PROJECT

替换以下内容：

• CONNECTOR_NAME：连接器的名称
• REGION：连接器的区域名称
• PROJECT：您的 Google Cloud 项目的名称

监控连接器使用情况

监控一段时间内的使用情况可帮助您确定何时调整连接器的设置。例如，如果 CPU 利用率出现峰值，您可以尝试增加实例数上限以获得更好的结果。或者，如果您要达到吞吐量上限，则可能需要改用更大的机器类型。

如需使用 Google Cloud 控制台显示连接器的吞吐量、实例数和 CPU 利用率指标随时间变化的图表，请执行以下操作：

1. 打开无服务器 VPC 访问通道概览页面。

   转到无服务器 VPC 访问通道

2. 点击您要监控的连接器的名称。

3. 选择您要显示的天数（1 到 90 天之间）。

4. 在吞吐量图表中，将鼠标悬停在图表上以查看连接器的近期吞吐量。

5. 在实例数图表中，将鼠标悬停在图表上以查看连接器最近使用的实例数。

6. 在 CPU 利用率图表中，将鼠标悬停在图表上以查看连接器的近期 CPU 使用率。该图表显示了实例中第 50、第 95 和第 99 百分位的 CPU 使用率的分布情况。

删除连接器

在您删除连接器之前，请确保没有服务或作业仍与该连接器连接。

对于在共享 VPC 宿主项目中设置连接器的共享 VPC 用户，您可以使用 gcloud compute networks vpc-access connectors describe 命令列出其中存在使用给定连接器的服务或作业的项目。

如需删除连接器，请使用 Google Cloud 控制台或 Google Cloud CLI：

控制台

1. 转到 Google Cloud 控制台中的无服务器 VPC 访问通道概览页面：

   转到无服务器 VPC 访问通道

2. 选择要删除的连接器。

3. 点击删除。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 使用以下 gcloud 命令删除连接器：

   gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
   

   替换以下内容：

   • 将 CONNECTOR_NAME 替换为要删除的连接器的名称
   • 将 REGION 替换为连接器所在的区域

问题排查

服务账号权限

为了在 Google Cloud 项目中执行操作，无服务器 VPC 访问通道使用 Serverless VPC Access Service Agent 服务账号。此服务账号的电子邮件地址采用以下格式：

[e-mail]

默认情况下，此服务账号具有 Serverless VPC Access Service Agent 角色 (roles/vpcaccess.serviceAgent)。如果您更改此账号的权限，则无服务器 VPC 访问通道操作可能会失败。

网络性能不佳或高空闲 CPU 利用率

针对数千个实例使用单个连接器可能会导致性能下降以及空闲 CPU 利用率升高。如要解决此问题，请在多个连接器之间对服务进行分片。

错误

“服务账号需要 Service Agent 角色”错误

如果您使用限制资源服务使用组织政策限制条件来阻止 Cloud Deployment Manager (deploymentmanager.googleapis.com)，则您可能会看到以下错误消息：

Serverless VPC Access service account (service-<PROJECT_NUMBER>@gcp-sa-vpcaccess.iam.gserviceaccount.com) needs Serverless VPC Access Service Agent role in the project.

设置组织政策，以将 Deployment Manager 从拒绝名单中移除，或将其添加到许可名单中。

连接器创建错误

如果创建连接器发生错误，请尝试以下操作：

• 指定与 VPC 网络中预留的任何现有 IP 地址均不重叠的 RFC 1918 内部 IP 地址范围。
• 向您的项目授予权限，让它能使用 ID 为 serverless-vpc-access-images 的项目中的 Compute Engine 虚拟机映像。如需详细了解如何相应地更新组织政策，请参阅设置映像访问限制条件。

无法访问资源

如果您指定了连接器，但仍无法访问 VPC 网络中的资源，请确保 VPC 网络上没有优先级低于 1000 的防火墙规则会拒绝来自连接器 IP 地址范围的入站流量。

如果您在共享 VPC 服务项目中配置连接器，请确保防火墙规则允许从无服务器基础设施到连接器的入站流量。

“连接遭拒”错误

connection refused 或 connection timeout 错误会降低网络性能，如果您收到这些错误，则在调用无服务器应用的过程中，连接数量可能会不受限制地增长。如需限制每个实例使用的连接数上限，请使用支持连接池的客户端库。如需查看有关如何使用连接池的详细示例，请参阅管理数据库连接。

“找不到资源”错误

删除 VPC 网络或防火墙规则时，您可能会看到如下所示的消息：The resource "aet-uscentral1-subnet--1-egrfw" was not found.

如需了解此错误及其解决方案，请参阅 VPC 防火墙规则文档中的“找不到资源”错误。

后续步骤

• 使用无服务器 VPC 访问通道审核日志记录监控管理员活动。
• 使用 VPC Service Controls 创建服务边界来保护资源和数据。
• 使用与无服务器 VPC 访问通道关联的 Identity and Access Management (IAM) 角色。如需获取与每个角色关联的权限列表，请参阅 IAM 文档中的无服务器 VPC 访问通道角色。
• 连接到 Memorystore。