Questa pagina è stata tradotta dall'API Cloud Translation.

VPC con connettori

Puoi abilitare il servizio o il job Cloud Run per inviare traffico a una rete VPC configurando un connettore di accesso VPC serverless.

Prima di iniziare

Se non hai già una rete VPC nel progetto, creane una.
Se utilizzi un VPC condiviso, consulta Connettersi a una rete VPC condivisa.
Nella console Google Cloud, assicurati che l'API Accesso VPC serverless sia abilitata per il tuo progetto.

Abilita API
Ogni connettore di accesso VPC serverless richiede la propria subnet /28 in cui posizionare le istanze del connettore. Questa subnet non deve contenere altre risorse oltre al connettore. Se non utilizzi il VPC condiviso, puoi creare una subnet per il connettore o specificare un intervallo IP personalizzato non utilizzato per il connettore, in modo da creare una subnet da utilizzare. Se scegli un intervallo IP personalizzato, la subnet creata è nascosta e non può essere utilizzata nelle regole firewall e nelle configurazioni NAT.

Crea connettore

Per inviare richieste alla tua rete VPC e ricevere le risposte corrispondenti senza utilizzare la rete internet pubblica, puoi utilizzare un connettore di accesso VPC serverless.

Se il connettore si trova nello stesso progetto della rete VPC, puoi creare un connettore utilizzando una subnet esistente o creare un connettore e una nuova subnet.

Se il connettore si trova in un progetto di servizio e utilizza una rete VPC condiviso, il connettore e la rete VPC associata si trovano in progetti diversi. Quando un connettore e la relativa rete VPC si trovano in progetti diversi, un amministratore di rete VPC condiviso deve creare la subnet del connettore nella rete VPC condivisa prima di poter creare il connettore e devi creare il connettore utilizzando una subnet esistente.

Per ulteriori informazioni sui requisiti delle subnet, consulta i requisiti delle subnet del connettore.

Per ulteriori informazioni sulla velocità effettiva del connettore, inclusi il tipo di macchina e la scalabilità, consulta Velocità effettiva e scalabilità.

Puoi creare un connettore utilizzando la console Google Cloud, Google Cloud CLI o Terraform.

Console

Vai alla pagina di riepilogo Accesso VPC serverless.

Vai all'accesso VPC serverless
Fai clic su Crea connettore.
Nel campo Nome, inserisci un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi, ovvero che il nome non superi i 21 caratteri e che i trattini (-) siano conteggiati come due caratteri.
Nel campo Regione, seleziona una regione per il connettore. Deve corrispondere alla regione del tuo servizio serverless.

Se il tuo servizio o job si trova nella regione us-central o europe-west, utilizza us-central1 o europe-west1.
Nel campo Rete, seleziona la rete VPC a cui collegare il connettore.
Nel campo Subnet, seleziona una delle seguenti opzioni:
- Crea un connettore utilizzando una subnet esistente:seleziona la subnet esistente nel campo Subnet.
- Crea un connettore e una nuova subnet: seleziona Intervallo IP personalizzato nel campo Subnet. Quindi, inserisci il primo indirizzo in un CIDR /28 inutilizzato (ad esempio 10.8.0.0/28) da utilizzare come intervallo di indirizzi IPv4 principale di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con le route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".
(Facoltativo) Per impostare le opzioni di scalabilità per un ulteriore controllo sul connettore, fai clic su Mostra impostazioni di scalabilità per visualizzare il modulo di scalabilità.
1. Imposta il numero minimo e massimo di istanze per il connettore oppure utilizza i valori predefiniti, ovvero 2 (min) e 10 (max). Il connettore esegue lo scale up fino al massimo specificato se l'utilizzo del traffico lo richiede, ma il connettore non esegue lo scale down quando il traffico diminuisce. Devi utilizzare valori compresi tra 2 e 10.
2. Nel menu Tipo di istanza, scegli il tipo di macchina da utilizzare per il connettore oppure usa il valore predefinito e2-micro. Nota la barra laterale dei costi a destra quando scegli il tipo di istanza, che visualizza la larghezza di banda e le stime dei costi.
Fai clic su Crea.
Quando il connettore è pronto per l'uso, accanto al nome del connettore verrà visualizzato un segno di spunta verde.

gcloud

Nella console Google Cloud, attiva Cloud Shell.

Attiva Cloud Shell

Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Aggiorna i componenti di gcloud alla versione più recente:
```
gcloud components update
```
Assicurati che l'API Serverless VPC Access sia abilitata per il tuo progetto:
```
gcloud services enable vpcaccess.googleapis.com
```
Crea il connettore utilizzando una delle seguenti opzioni:

Per ulteriori dettagli e argomenti facoltativi, consulta il riferimento di gcloud.
- Crea un connettore utilizzando una subnet esistente:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --subnet SUBNET_NAME \
 --subnet-project HOST_PROJECT_ID \
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  Sostituisci quanto segue:
  - CONNECTOR_NAME: un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi secondo cui il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.
  - REGION: una regione per il connettore, corrispondente a quella del servizio o del job serverless. Se il tuo servizio o job si trova in us-central o europe-west, utilizza us-central1 o europe-west1.
  - SUBNET_NAME: il nome della subnet esistente.
  - HOST_PROJECT_ID: l'ID del progetto host del VPC condiviso. Se il connettore e la subnet esistente si trovano nello stesso progetto, ometti il flag --subnet-project.
  - MIN: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 2(valore predefinito) e 9.
  - MAX: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 3 e 10 (valore predefinito). Se il connettore fa lo scale up fino al numero massimo di istanze, non esegue lo scale down.
  - MACHINE_TYPE: deve essere uno dei seguenti: f1-micro, e2-micro o e2-standard-4.
- Crea un connettore e una nuova subnet:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --network VPC_NETWORK \
 --range IP_RANGE
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  Sostituisci quanto segue:
  - CONNECTOR_NAME: un nome per il connettore, corrispondente alle convenzioni di denominazione di Compute Engine, con i requisiti aggiuntivi secondo cui il nome deve contenere meno di 21 caratteri e che i trattini (-) vengono conteggiati come due caratteri.
  - REGION: una regione per il connettore, corrispondente a quella del servizio o del job serverless. Se il tuo servizio o job si trova in us-central o europe-west, utilizza us-central1 o europe-west1.
  - VPC_NETWORK: il nome della rete VPC a cui collegare il connettore. Il connettore e la rete VPC devono trovarsi nello stesso progetto.
  - IP_RANGE: fornisci un CIDR /28 inutilizzato (ad esempio 10.8.0.0/28) da utilizzare come intervallo di indirizzi IPv4 principali di una nuova subnet che Google Cloud crea nella rete VPC del connettore. Assicurati che l'intervallo IP non sia in conflitto con eventuali route esistenti nella rete VPC del connettore. Il nome della nuova subnet inizia con il prefisso "aet-".
  - MIN: il numero minimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 2(valore predefinito) e 9.
  - MAX: il numero massimo di istanze da utilizzare per il connettore. Utilizza un numero intero compreso tra 3 e 10 (valore predefinito). Se il connettore fa lo scale up fino al numero massimo di istanze, non esegue lo scale down.
  - MACHINE_TYPE: deve essere uno dei seguenti: f1-micro, e2-micro o e2-standard-4.
Verifica che il connettore sia nello stato READY prima di utilizzarlo:
```
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region REGION
```
Sostituisci quanto segue:
- CONNECTOR_NAME: il nome del connettore; si tratta del nome specificato nel passaggio precedente.
- REGION: la regione del connettore; è quella specificata nel passaggio precedente.
L'output deve contenere la riga state: READY.

Terraform

Puoi utilizzare una risorsa Terraform per abilitare l'API vpcaccess.googleapis.com.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

Puoi utilizzare i moduli Terraform per creare una rete VPC e una subnet e quindi creare il connettore.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 9.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

Configura il tuo servizio

Puoi configurare il servizio Cloud Run per utilizzare un connettore di accesso VPC serverless per l'invio del traffico in uscita. Puoi farlo utilizzando la console Google Cloud, Google Cloud CLI o il file YAML quando crei un nuovo servizio o esegui il deployment di una nuova revisione:

Console

Nella console Google Cloud, vai a Cloud Run:

Vai a Cloud Run
Fai clic su Crea servizio se stai configurando un nuovo servizio in cui stai eseguendo il deployment. Se stai configurando un servizio esistente, fai clic sul servizio e poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio come preferisci, poi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Networking.
- Nel campo Rete, scegli una delle seguenti opzioni dal menu:
  - Per disconnettere il servizio da una rete VPC, seleziona Nessuno.
  - Per utilizzare un connettore esistente, selezionalo dall'elenco a discesa o seleziona Personalizzato per utilizzare un connettore esistente non visualizzato nell'elenco a discesa.
  - Per creare un nuovo connettore, seleziona Aggiungi nuovo connettore VPC. Consulta Creare un connettore di accesso VPC serverless per i dettagli sulla creazione di un connettore.
  - Per Routing del traffico, seleziona una delle seguenti opzioni:
    - Instrada al VPC solo le richieste a IP privati per inviare solo il traffico agli indirizzi interni attraverso la rete VPC.
    - Instrada tutto il traffico al VPC per inviare tutto il traffico in uscita attraverso la rete VPC.
Fai clic su Crea o Esegui il deployment.

gcloud

Per specificare un connettore durante il deployment, utilizza il flag --vpc-connector:

gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Sostituisci:

SERVICE con il nome del tuo servizio.
IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la forma LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
CONNECTOR_NAME con il nome del connettore.

Per collegare, aggiornare o rimuovere un connettore per un servizio esistente, utilizza il comando gcloud run services update con uno dei seguenti flag a seconda delle esigenze:

Ad esempio, per collegare o aggiornare un connettore:

gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME

Sostituisci:

SERVICE con il nome del tuo servizio.
CONNECTOR_NAME con il nome del connettore.

YAML

Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:
```
gcloud run services describe SERVICE --format export > service.yaml
```
Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-connector nell'attributo annotations sotto l'attributo spec di primo livello:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
      name: REVISION
```
Sostituisci:
- SERVICE con il nome del tuo servizio Cloud Run.
- CONNECTOR_NAME con il nome del connettore.
- REVISION con un nuovo nome di revisione o eliminala (se presente). Se fornisci un nuovo nome per la revisione, deve soddisfare i seguenti criteri:
  - Inizia con SERVICE-
  - Contiene solo lettere minuscole, numeri e -
  - Non termina con -
  - Non deve superare i 63 caratteri
Crea o aggiorna il servizio utilizzando il comando seguente:
```
gcloud run services replace service.yaml
```

Terraform

Puoi utilizzare una risorsa Terraform per creare un servizio e configurarlo in modo che utilizzi il tuo connettore.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  provider = google-beta
  location = "us-west1"

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

Configura il job

Dopo aver creato un connettore di accesso VPC serverless, puoi configurare il job Cloud Run per utilizzare il connettore. Puoi farlo utilizzando la console Google Cloud, Google Cloud CLI o YAML quando crei un nuovo job:

Console

Nella console Google Cloud, vai alla pagina dei job Cloud Run:

Vai a Cloud Run
Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina iniziale delle impostazioni del job come preferisci. Se stai configurando un job esistente, fai clic sul job e poi su Modifica.
Fai clic su Contenitore, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.
Fai clic sulla scheda Connessioni.
- Nel campo Rete, scegli una delle seguenti opzioni dal menu:
  - Per disconnettere il job da una rete VPC, seleziona Nessuno.
  - Per utilizzare un connettore esistente, selezionalo dall'elenco a discesa o seleziona Personalizzato per utilizzare un connettore esistente non visualizzato nell'elenco a discesa.
  - Per creare un nuovo connettore, seleziona Aggiungi nuovo connettore VPC.
    Consulta Creare un connettore di accesso VPC serverless per i dettagli sulla creazione di un connettore.
Fai clic su Crea o Aggiorna.

gcloud

Per specificare un connettore durante il deployment del job, utilizza il flag --vpc-connector:

gcloud run jobs create JOB --image IMAGE_URL --vpc-connector CONNECTOR_NAME

Sostituisci:

JOB con il nome del tuo job.
IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la forma LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
CONNECTOR_NAME con il nome del connettore.

Per collegare, aggiornare o rimuovere un connettore per un servizio esistente, utilizza il comando gcloud run jobs update con uno dei seguenti flag a seconda delle esigenze:

Ad esempio, per collegare o aggiornare un connettore:

gcloud run jobs update JOB --vpc-connector CONNECTOR_NAME

Sostituisci:

JOB con il nome del tuo job.
CONNECTOR_NAME con il nome del connettore.

YAML

Puoi scaricare e visualizzare una configurazione di job esistente utilizzando il comando gcloud run jobs describe --format export, che restituisce risultati puliti in formato YAML. Puoi quindi modificare i campi descritti di seguito e caricare il file YAML modificato utilizzando il comando gcloud run jobs replace. Assicurati di modificare solo i campi come documentato.

Per visualizzare e scaricare la configurazione:

gcloud run jobs describe JOB --format export > job.yaml

Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-connector nell'attributo annotations sotto l'attributo spec di primo livello:
```
apiVersion: serving.knative.dev/v1
  kind: Job
  metadata:
    name: JOB
  spec:
    template:
      metadata:
        annotations:
          run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
```
Sostituisci:
- JOB con il nome del tuo job Cloud Run.
- CONNECTOR_NAME con il nome del tuo connettore. L'attributo run.googleapis.com/vpc-access-connector è obbligatorio quando si specifica un'impostazione in uscita.
Sostituisci il job con la nuova configurazione utilizzando il seguente comando:
```
gcloud run jobs replace job.yaml
```

Accesso alle risorse VPC

Puoi limitare l'accesso dal tuo connettore utilizzando regole e criteri firewall e puoi aggiungere ulteriori limitazioni configurando le impostazioni di traffico in uscita e in entrata.

Regole firewall e impostazioni dei criteri

Consenti il traffico in entrata dall'infrastruttura serverless al connettore

Le VM del connettore devono essere in grado di ricevere pacchetti dall'intervallo di indirizzi IP esterni di Google Cloud 35.199.224.0/19. Questo intervallo è utilizzato dall'infrastruttura serverless di Google sottostante per garantire che i servizi di Cloud Run, Cloud Functions e App Engine possano inviare pacchetti al connettore.

L'accesso VPC serverless crea una regola firewall di autorizzazione in entrata che si applica alle VM del connettore consentendo i pacchetti da 35.199.224.0/19 quando il connettore si trova nello stesso progetto della rete VPC che ha come target. Il connettore e la relativa rete VPC di destinazione si trovano nello stesso progetto se il connettore o ha come target una rete VPC autonoma o se il connettore ha come target una rete VPC condiviso e il connettore si trova nel progetto host.

Se crei un connettore in un progetto di servizio del VPC condiviso, un amministratore sicurezza o un proprietario del progetto per il progetto host del VPC condiviso deve creare una regola firewall di autorizzazione in entrata applicabile alle VM del connettore che consenta i pacchetti da 35.199.224.0/19. Di seguito è riportato un esempio di regola firewall di autorizzazione VPC in entrata:

gcloud compute firewall-rules create RULE_NAME \
--action=ALLOW \
--rules=TCP \
--source-ranges=35.199.224.0/19 \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY \
--project=PROJECT_ID

Sostituisci quanto segue:

RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-ingress.
VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale vpc-connector può essere utilizzato per applicare la regola a tutti i connettori nella rete VPC. In alternativa, puoi usare un tag di rete specifico del connettore. Il tag di rete specifico assume il seguente formato: vpc-connector-REGION-CONNECTOR_NAME dove REGION è la regione Google Cloud del connettore e CONNECTOR_NAME è il nome.
VPC_NETWORK: il nome della rete VPC scelta come target dal connettore.
PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
PROJECT_ID: l'ID del progetto che contiene la rete VPC target del connettore.

Limita le risorse di rete VPC di accesso alle VM del connettore

Puoi limitare l'accesso del connettore alle risorse nella sua rete VPC di destinazione utilizzando le regole firewall VPC o le regole nei criteri firewall. Puoi applicare queste restrizioni utilizzando una delle seguenti strategie:

Crea regole in entrata le cui destinazioni rappresentano le risorse a cui vuoi limitare l'accesso alle VM del connettore e le cui origini rappresentano le VM del connettore.
Crea regole in uscita le cui destinazioni rappresentano le VM del connettore e le cui destinazioni rappresentano le risorse a cui vuoi limitare l'accesso alle VM del connettore.

I seguenti esempi illustrano ciascuna strategia.

Limita l'accesso mediante regole in entrata

Scegli tag di rete o intervalli CIDR per controllare il traffico in entrata verso la rete VPC.

Tag di rete

I passaggi seguenti mostrano come creare regole in entrata che limitano l'accesso di un connettore alla rete VPC in base ai tag di rete del connettore.

Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione compute.firewalls.create abilitata
Nega il traffico del connettore nella rete VPC.

Crea una regola firewall in entrata con priorità inferiore a 1000 nella rete VPC per negare il traffico in entrata dal tag di rete del connettore. Questa sostituisce la regola firewall implicita creata per impostazione predefinita dall'accesso VPC serverless sulla tua rete VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, deny-vpc-connector.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
  
  Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati: ah, all, esp, icmp, ipip e sctp.
- VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico.
  - Tag di rete universale: vpc-connector
  - Tag di rete univoco: vpc-connector-REGION-CONNECTOR_NAME
    
    Sostituisci:
    - REGION: la regione del connettore che vuoi limitare
    - CONNECTOR_NAME: il nome del connettore che vuoi limitare
  Per ulteriori informazioni sui tag di rete del connettore, consulta Tag di rete.
- VPC_NETWORK: il nome della tua rete VPC
- PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico del connettore alla risorsa che dovrebbe riceverlo.

Utilizza i flag allow e target-tags per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-for-select-resources.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
- VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore universale se vuoi limitare l'accesso per tutti i connettori (inclusi quelli creati in futuro) o il tag di rete univoco se vuoi limitare l'accesso per un connettore specifico. Deve corrispondere al tag di rete specificato nel passaggio precedente.
  - Tag di rete universale: vpc-connector
  - Tag di rete univoco: vpc-connector-REGION-CONNECTOR_NAME
    
    Sostituisci:
    - REGION: la regione del connettore che vuoi limitare
    - CONNECTOR_NAME: il nome del connettore che vuoi limitare
  Per ulteriori informazioni sui tag di rete del connettore, consulta Tag di rete.
- VPC_NETWORK: il nome della tua rete VPC
- RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che il connettore VPC acceda
- PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.

Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create.

Intervallo CIDR

I passaggi seguenti mostrano come creare regole in entrata che limitano l'accesso di un connettore alla rete VPC in base all'intervallo CIDR del connettore.

Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione compute.firewalls.create abilitata
Nega il traffico del connettore nella rete VPC.

Crea una regola firewall in entrata con priorità inferiore a 1000 nella rete VPC per negare il traffico in entrata dall'intervallo CIDR del connettore. Questa sostituisce la regola firewall implicita creata per impostazione predefinita dall'accesso VPC serverless sulla tua rete VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, deny-vpc-connector.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
  
  Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati: ah, all, esp, icmp, ipip e sctp.
- VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR del connettore per il quale limiti l'accesso
- VPC_NETWORK: il nome della tua rete VPC
- PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico del connettore alla risorsa che dovrebbe riceverlo.

Utilizza i flag allow e target-tags per creare una regola firewall in entrata che abbia come target la risorsa nella tua rete VPC a cui vuoi che il connettore VPC acceda. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-for-select-resources.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
- VPC_CONNECTOR_CIDR_RANGE: l'intervallo CIDR del connettore di cui stai limitando l'accesso
- VPC_NETWORK: il nome della tua rete VPC
- RESOURCE_TAG: il tag di rete per la risorsa VPC a cui vuoi che il connettore VPC acceda
- PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.

Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione relativa a gcloud compute firewall-rules create.

Limitare l'accesso mediante regole in uscita

I passaggi seguenti mostrano come creare regole in uscita per limitare l'accesso ai connettori.

Assicurati di disporre delle autorizzazioni necessarie per inserire le regole firewall. Devi disporre di uno dei seguenti ruoli di Identity and Access Management (IAM):
- Ruolo Amministratore sicurezza Compute
- Ruolo IAM personalizzato con l'autorizzazione compute.firewalls.create abilitata
Rifiutare il traffico in uscita dal connettore.

Crea una regola firewall in uscita sul connettore di accesso VPC serverless per impedirgli di inviare traffico in uscita, ad eccezione delle risposte stabilite, a qualsiasi destinazione.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--direction=EGRESS \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--network=VPC_NETWORK \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, deny-vpc-connector.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
  
  Per motivi di sicurezza e convalida, puoi anche configurare regole di negazione per bloccare il traffico per i seguenti protocolli non supportati: ah, all, esp, icmp, ipip e sctp.
- VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore VPC universale se vuoi che la regola venga applicata a tutti i connettori VPC esistenti e a eventuali connettori VPC creati in futuro. Oppure, il tag di rete univoco del connettore VPC se vuoi controllare un connettore specifico.
- VPC_NETWORK: il nome della tua rete VPC
- PRIORITY: un numero intero compreso tra 0 e 65535. Ad esempio, 0 imposta la priorità più alta.
Consenti il traffico in uscita quando la destinazione è nell'intervallo CIDR a cui vuoi che il connettore acceda.

Utilizza i flag allow e destination-ranges per creare una regola firewall che consenta il traffico in uscita dal connettore per un intervallo di destinazione specifico. Imposta l'intervallo di destinazione sull'intervallo CIDR della risorsa della rete VPC a cui vuoi che il connettore possa accedere. Imposta la priorità per questa regola in modo che sia un valore inferiore rispetto alla priorità della regola creata nel passaggio precedente.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--destination-ranges=RESOURCE_CIDR_RANGE \
--direction=EGRESS \
--network=VPC_NETWORK \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--priority=PRIORITY
```
Sostituisci quanto segue:
- RULE_NAME: il nome della nuova regola firewall. Ad esempio, allow-vpc-connector-for-select-resources.
- PROTOCOL: uno o più protocolli che vuoi consentire dal tuo connettore VPC. I protocolli supportati sono tcp o udp. Ad esempio, tcp:80,udp consente il traffico TCP tramite la porta 80 e il traffico UDP. Per ulteriori informazioni, consulta la documentazione relativa al flag allow.
- RESOURCE_CIDR_RANGE: l'intervallo CIDR del connettore di cui applichi limitazioni all'accesso
- VPC_NETWORK: il nome della tua rete VPC
- VPC_CONNECTOR_NETWORK_TAG: il tag di rete del connettore VPC universale se vuoi che la regola venga applicata a tutti i connettori VPC esistenti e a eventuali connettori VPC creati in futuro. Oppure, il tag di rete univoco del connettore VPC se vuoi controllare un connettore specifico. Se hai utilizzato il tag di rete univoco nel passaggio precedente, utilizza il tag di rete univoco.
- PRIORITY: un numero intero inferiore alla priorità impostata nel passaggio precedente. Ad esempio, se imposti la priorità per la regola creata nel passaggio precedente su 990, prova 980.

Per ulteriori informazioni sui flag obbligatori e facoltativi per la creazione di regole firewall, consulta la documentazione per gcloud compute firewall-rules create.

Gestisci il tuo connettore

Per impostazione predefinita, solo le richieste a determinate destinazioni di indirizzi IPv4 interni (incluse le destinazioni IPv4 interne risolte dalle risposte DNS) vengono instradate tramite un connettore di accesso VPC serverless. In alcuni casi, tuttavia, è possibile che tutte le richieste in uscita dal servizio o dal job siano instradate alla rete VPC.

L'accesso VPC serverless supporta solo il routing del traffico IPv4. Il traffico IPv6 non è supportato, anche se hai route IPv6 nella rete VPC.

Per controllare il routing delle richieste in uscita dal servizio o dal job, puoi impostare il traffico VPC in uscita su una delle seguenti opzioni:

Instrada al VPC solo richieste a IP privati: impostazione predefinita. Il traffico viene instradato attraverso la rete VPC solo se i pacchetti che lo inviano hanno destinazioni corrispondenti:
I pacchetti verso qualsiasi altra destinazione vengono instradati da Cloud Run a internet (non attraverso alcuna rete VPC).

Nota: non associare subnet Cloud Run a Public NAT. Ti viene addebitato il costo di Cloud NAT anche se il traffico verso indirizzi IP esterni non passa tramite Cloud NAT utilizzando il connettore.
Instrada tutto il traffico al VPC: il traffico viene sempre instradato attraverso la rete VPC associata al connettore, per tutte le destinazioni dei pacchetti. Devi utilizzare questa opzione nelle seguenti circostanze:
- Se devi inviare traffico a intervalli di subnet VPC con intervalli di indirizzi IP esterni utilizzati privatamente. Per ulteriori informazioni sugli intervalli di subnet VPC, consulta Intervalli IPv4 validi nella panoramica delle subnet.
- Se devi inviare traffico a un endpoint Private Service Connect per le API di Google il cui indirizzo è un indirizzo IP esterno utilizzato privatamente. Per ulteriori informazioni sugli endpoint Private Service Connect per le API di Google, vedi Accedere alle API di Google tramite endpoint.
- Se devi inviare il traffico a qualsiasi altra destinazione di indirizzi IP esterni utilizzati privatamente e instradabili all'interno della rete VPC del connettore. Esempi di altre destinazioni che coprono indirizzi IP esterni utilizzati privatamente potrebbero includere intervalli di subnet di peering (e intervalli di subnet di peering creati da Intervalli di indirizzi IP allocati per servizi) e le destinazioni accessibili tramite route personalizzate nel breve VPC.
Se la tua rete VPC include una route predefinita, i pacchetti possono comunque essere instradati a internet dopo essere stati elaborati dal connettore se configuri un gateway Cloud NAT per fornire servizi NAT alla subnet utilizzata dal connettore. Questi pacchetti sono soggetti alle route nella rete VPC e alle regole firewall che si applicano alla rete VPC. Puoi utilizzare la configurazione della route e del firewall per controllare il traffico in uscita da internet per tutte le richieste in uscita inviate dalla tua funzione tramite un connettore di accesso VPC serverless.

Nota: la fatturazione dell'accesso VPC serverless scala in proporzione alla quantità di traffico che passa attraverso il connettore. Consulta i prezzi dell'accesso VPC serverless per comprendere le implicazioni in termini di costi.

Controlla il traffico dei servizi in uscita

Puoi specificare un'impostazione VPC di traffico in uscita utilizzando la console Google Cloud, Google Cloud CLI o il file YAML quando crei un nuovo servizio o esegui il deployment di una nuova revisione:

Console

Nella console Google Cloud, vai a Cloud Run:

Vai a Cloud Run
Fai clic su Crea servizio se stai configurando un nuovo servizio in cui stai eseguendo il deployment. Se stai configurando un servizio esistente, fai clic sul servizio e poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio come preferisci, poi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Networking.
- Dopo aver selezionato un connettore VPC, seleziona Instrada al VPC solo richieste a IP privati o Instrada tutto il traffico al VPC.
Fai clic su Crea o Esegui il deployment.

gcloud

Per specificare un'impostazione in uscita, utilizza il flag --vpc-egress. Puoi specificare un'impostazione di traffico in uscita durante il deployment:

gcloud run deploy SERVICE \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Sostituisci:

SERVICE con il nome del tuo servizio.
IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la forma LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
CONNECTOR_NAME con il nome del connettore.
EGRESS_SETTING con un valore di impostazione del traffico in uscita:
- all-traffic: invia tutto il traffico in uscita attraverso il connettore.
- private-ranges-only: invia solo traffico agli indirizzi interni tramite il connettore VPC.

Puoi anche aggiornare un servizio esistente e modificare l'impostazione del traffico in uscita:

gcloud run services update SERVICE --vpc-egress EGRESS_SETTING

Sostituisci:

SERVICE con il nome del tuo servizio.
EGRESS_SETTING con un valore di impostazione del traffico in uscita come elencato sopra.

YAML

Se stai creando un nuovo servizio, salta questo passaggio. Se stai aggiornando un servizio esistente, scarica la relativa configurazione YAML:
```
gcloud run services describe SERVICE --format export > service.yaml
```
Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-egress nell'attributo annotations sotto l'attributo spec di primo livello:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
        run.googleapis.com/vpc-access-egress: EGRESS_SETTING
      name: REVISION
```
Sostituisci:
- SERVICE con il nome del tuo servizio Cloud Run.
- CONNECTOR_NAME con il nome del tuo connettore. L'attributo run.googleapis.com/vpc-access-connector è obbligatorio quando si specifica un'impostazione in uscita.
- EGRESS_SETTING con uno dei seguenti requisiti:
  - all-traffic: invia tutto il traffico in uscita attraverso il connettore.
  - private-ranges-only: invia solo traffico agli indirizzi interni tramite il connettore VPC.
  - REVISION con un nuovo nome di revisione o eliminala (se presente). Se fornisci un nuovo nome per la revisione, deve soddisfare i seguenti criteri:
    - Inizia con SERVICE-
    - Contiene solo lettere minuscole, numeri e -
    - Non termina con -
    - Non deve superare i 63 caratteri
Crea o aggiorna il servizio utilizzando il comando seguente:
```
gcloud run services replace service.yaml
```

Controlla il traffico dei job in uscita

Puoi specificare un'impostazione VPC di traffico in uscita utilizzando la console Google Cloud, Google Cloud CLI o il file YAML quando crei o aggiorni un job:

Console

Nella console Google Cloud, vai alla pagina dei job Cloud Run:

Vai a Cloud Run
Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina iniziale delle impostazioni del job come preferisci. Se stai configurando un job esistente, fai clic sul job e poi su Modifica.
Fai clic su Contenitore, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.
Fai clic sulla scheda Connessioni.
- Dopo aver selezionato un connettore, scegli Instrada al VPC solo richieste a IP privati o Instrada tutto il traffico al VPC.
Fai clic su Crea o Aggiorna.

gcloud

Per specificare un'impostazione in uscita, utilizza il flag --vpc-egress. Puoi specificare un'impostazione di traffico in uscita durante il processo di deployment del job:

gcloud run jobs create JOB \
--image IMAGE_URL \
--vpc-connector CONNECTOR_NAME \
--vpc-egress EGRESS_SETTING

Sostituisci:

JOB con il nome del tuo job.
IMAGE_URL con un riferimento all'immagine container, ad esempio us-docker.pkg.dev/cloudrun/container/hello:latest. Se utilizzi Artifact Registry, il repository REPO_NAME deve essere già creato. L'URL ha la forma LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
CONNECTOR_NAME con il nome del connettore.
EGRESS_SETTING con un valore di impostazione del traffico in uscita:
- all-traffic: invia tutto il traffico in uscita attraverso il connettore.
- private-ranges-only: invia solo traffico agli indirizzi interni tramite il connettore VPC.

Puoi anche aggiornare un job esistente e modificare l'impostazione del traffico in uscita:

gcloud run jobs update JOB --vpc-egress EGRESS_SETTING

Sostituisci:

JOB con il nome del tuo job.
EGRESS_SETTING con un valore di impostazione del traffico in uscita come elencato sopra.

YAML

Sostituisci il job con la nuova configurazione utilizzando il seguente comando:
```
gcloud run jobs replace job.yaml
```
Aggiungi o aggiorna l'attributo run.googleapis.com/vpc-access-egress nell'attributo annotations sotto l'attributo spec di primo livello:
```
apiVersion: serving.knative.dev/v1
  kind: Job
  metadata:
    name: JOB
  spec:
    template:
      metadata:
        annotations:
          run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
          run.googleapis.com/vpc-access-egress: EGRESS_SETTING
```
Sostituisci:
- JOB con il nome del tuo job Cloud Run.
- CONNECTOR_NAME con il nome del tuo connettore. L'attributo run.googleapis.com/vpc-access-connector è obbligatorio quando si specifica un'impostazione in uscita.
- EGRESS_SETTING con uno dei seguenti requisiti:
  - all-traffic: invia tutto il traffico in uscita attraverso il connettore.
  - private-ranges-only: invia solo traffico agli indirizzi interni tramite il connettore VPC.
Sostituisci il job con la nuova configurazione utilizzando il seguente comando:
```
gcloud run jobs replace job.yaml
```

Visualizza le impostazioni del connettore

Puoi visualizzare le impostazioni attuali del connettore di accesso VPC serverless per il tuo servizio o job utilizzando la console Google Cloud o lo strumento a riga di comando gcloud:

Console

Vai a Cloud Run
Fai clic sul servizio o sul job che ti interessa per aprire la pagina dei dettagli.
- Per un servizio, fai clic sulla scheda Revisioni.
- Per un job, fai clic sulla scheda Configurazione.

L'impostazione del connettore di accesso VPC serverless è elencata nella scheda Networking.

gcloud

Utilizza il comando seguente per visualizzare le impostazioni per il tuo servizio:
```
gcloud run services describe SERVICE
```
Utilizza il seguente comando per visualizzare le impostazioni per il tuo job:
```
gcloud run jobs describe JOB
```
Individua l'impostazione del connettore di accesso VPC serverless nella configurazione restituita.

Disconnettiti da una rete VPC

Scollegare un servizio

Puoi disconnettere un servizio dalla tua rete VPC utilizzando la console Google Cloud o Google Cloud CLI:

Console

Nella console Google Cloud, vai a Cloud Run:

Vai a Cloud Run
Fai clic su Crea servizio se stai configurando un nuovo servizio in cui stai eseguendo il deployment. Se stai configurando un servizio esistente, fai clic sul servizio e poi su Modifica ed esegui il deployment di una nuova revisione.
Se stai configurando un nuovo servizio, compila la pagina iniziale delle impostazioni del servizio come preferisci, poi fai clic su Container, volumi, networking, sicurezza per espandere la pagina di configurazione del servizio.
Fai clic sulla scheda Networking.
- Nel campo Rete, seleziona Nessuna per disconnettere il servizio da una rete VPC.
Fai clic su Crea o Esegui il deployment.

gcloud

Per disconnettere un servizio, utilizza il comando gcloud run services update con il seguente flag:

--clear-vpc-connector

gcloud run services update SERVICE --clear-vpc-connector

Sostituisci SERVICE con il nome del tuo servizio.

I connettori continuano a essere soggetti ad addebiti anche se non hanno traffico e sono disconnessi. Per i dettagli, consulta i pricing. Se non hai più bisogno del connettore, assicurati di eliminarlo per evitare che la fatturazione continui.

Scollega un job

Puoi disconnettere un job dalla tua rete VPC utilizzando la console Google Cloud o Google Cloud CLI:

Console

Nella console Google Cloud, vai alla pagina dei job Cloud Run:

Vai a Cloud Run
Se stai configurando un nuovo job, fai clic sulla scheda Job e compila la pagina iniziale delle impostazioni del job come preferisci. Se stai configurando un job esistente, fai clic sul job e poi su Modifica.
Fai clic su Contenitore, variabili e secret, connessioni, sicurezza per espandere la pagina delle proprietà del job.
Fai clic sulla scheda Connessioni.
- Nel campo Rete, seleziona Nessuna per disconnettere il job da una rete VPC.
Fai clic su Crea o Aggiorna.

gcloud

Per disconnettere un job, utilizza il comando gcloud run jobs update con il seguente flag:

--clear-vpc-connector

gcloud run jobs update JOB --clear-vpc-connector

Sostituisci JOB con il nome del tuo job.

Aggiorna un connettore

Puoi aggiornare e monitorare i seguenti attributi del connettore utilizzando la console Google Cloud, Google Cloud CLI o l'API:

Tipo di macchina (istanza)
Numero minimo e massimo di istanze
Velocità effettiva recente, numero di istanze e utilizzo della CPU

Aggiorna tipo di macchina

Console

Vai alla pagina di riepilogo Accesso VPC serverless.

Vai all'accesso VPC serverless
Seleziona il connettore da modificare e fai clic su Modifica.
Nell'elenco Tipo di istanza, seleziona il tipo di macchina (istanza) che preferisci. Per saperne di più sui tipi di macchine disponibili, consulta la documentazione su Velocità effettiva e scalabilità.

gcloud

Nella console Google Cloud, attiva Cloud Shell.

Attiva Cloud Shell

Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Per aggiornare il tipo di macchina del connettore, esegui questo comando nel terminale:
```
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE
```
Sostituisci quanto segue:
- CONNECTOR_NAME: il nome del tuo connettore
- REGION: il nome della regione del connettore
- MACHINE_TYPE: il tipo di macchina che preferisci. Per scoprire i tipi di macchine disponibili, consulta la documentazione su Velocità effettiva e scalabilità.

Riduci il numero minimo e massimo di istanze

Per diminuire il numero minimo e massimo di istanze, devi seguire questi passaggi:

Crea un nuovo connettore con i valori che preferisci.
Aggiorna il servizio o la funzione per utilizzare il nuovo connettore.
Elimina il vecchio connettore dopo aver spostato il relativo traffico.

Consulta Creare un connettore di accesso VPC serverless per ulteriori informazioni.

Aumenta il numero minimo e massimo di istanze

Console

Vai alla pagina di riepilogo Accesso VPC serverless.

Vai all'accesso VPC serverless
Seleziona il connettore da modificare e fai clic su Modifica.
Nel campo Numero minimo di istanze, seleziona il numero minimo di istanze che preferisci.

Il valore più piccolo possibile per questo campo è il valore corrente. Il valore più grande possibile per questo campo è il valore attuale nel campo Numero massimo di istanze meno 1. Ad esempio, se il valore nel campo Numero massimo di istanze è 8, il valore più grande possibile per il campo Numero minimo di istanze è 7.
Nel campo Numero massimo di istanze, seleziona il numero massimo di istanze che preferisci.

Il valore più piccolo possibile per questo campo è il valore corrente. Il valore massimo possibile per questo campo è 10.

gcloud

Nella console Google Cloud, attiva Cloud Shell.

Attiva Cloud Shell

Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.

Per aumentare il numero minimo o massimo di istanze per il connettore, esegui questo comando nel terminale:

gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES

Sostituisci quanto segue:

CONNECTOR_NAME: il nome del tuo connettore
REGION: il nome della regione del connettore
MIN_INSTANCES: il numero minimo di istanze che preferisci.
- Il valore più piccolo possibile per questo campo è il valore attuale di min_instances. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali.
- Il valore più grande possibile per questo campo è il valore attuale di max_instances meno 1, perché min_instances deve essere inferiore a max_instances. Ad esempio, se max_instances è 8, il valore più grande possibile per questo campo è 7. Se il connettore utilizza il valore predefinito di max-instances, pari a 10, il valore massimo possibile di questo campo è 9. Per trovare il valore di max-instances, consulta Trovare i valori degli attributi attuali.
MAX_INSTANCES:
- Il valore più piccolo possibile per questo campo è il valore attuale di max_instances. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali.
- Il valore massimo possibile per questo campo è 10.
Se vuoi aumentare solo il numero minimo di istanze, ma non quello massimo, devi comunque specificare il numero massimo di istanze. Al contrario, se vuoi aggiornare solo il numero massimo di istanze, ma non il minimo, devi comunque specificare il numero minimo di istanze. Per mantenere il valore attuale del numero minimo o massimo di istanze, specificane il valore attuale. Per trovare il valore corrente, consulta Trovare i valori degli attributi attuali.

Trovare i valori degli attributi correnti

Per trovare i valori degli attributi attuali per il connettore, esegui quanto segue nel terminale:

gcloud compute networks vpc-access connectors describe CONNECTOR_NAME --region=REGION --project=PROJECT

Sostituisci quanto segue:

CONNECTOR_NAME: il nome del tuo connettore
REGION: il nome della regione del connettore
PROJECT: il nome del tuo progetto Google Cloud

Monitorare l'utilizzo dei connettori

Il monitoraggio dell'utilizzo nel tempo può aiutarti a determinare quando modificare le impostazioni di un connettore. Ad esempio, in caso di picchi di utilizzo della CPU, potresti provare ad aumentare il numero massimo di istanze per ottenere risultati migliori. Se vuoi massimizzare la velocità effettiva, puoi decidere di passare a un tipo di macchina più grande.

Per visualizzare i grafici relativi a velocità effettiva del connettore, numero di istanze e metriche di utilizzo della CPU nel tempo con la console Google Cloud:

Vai alla pagina di riepilogo Accesso VPC serverless.

Vai all'accesso VPC serverless
Fai clic sul nome del connettore da monitorare.
Seleziona il numero di giorni che vuoi visualizzare tra 1 e 90.
Nel grafico Velocità effettiva, passa il mouse sopra il grafico per visualizzare la velocità effettiva recente del connettore.
Nel grafico Numero di istanze, passa il mouse sopra il grafico per visualizzare il numero di istanze utilizzate di recente dal connettore.
Nel grafico Utilizzo CPU, passa il mouse sopra il grafico per visualizzare l'utilizzo recente della CPU da parte del connettore. Il grafico mostra l'utilizzo della CPU distribuito tra le istanze per il 50°, 95° e 99° percentile.

Elimina un connettore

Prima di eliminare un connettore, assicurati che nessun servizio o job vi sia ancora connesso.

Per gli utenti della rete VPC condivisa che configurano i connettori nel progetto host del VPC condiviso, puoi utilizzare il comando gcloud compute networks vpc-access connectors describe per elencare i progetti in cui sono presenti servizi o job che utilizzano un determinato connettore.

Per eliminare un connettore, utilizza la console Google Cloud o Google Cloud CLI:

Console

Vai alla pagina di riepilogo Accesso VPC serverless nella console Google Cloud:

Vai all'accesso VPC serverless
Seleziona il connettore da eliminare.
Fai clic su Elimina.

gcloud

Nella console Google Cloud, attiva Cloud Shell.

Attiva Cloud Shell

Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
Utilizza il seguente comando gcloud per eliminare un connettore:
```
gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
```
Sostituisci quanto segue:
- CONNECTOR_NAME con il nome del connettore da eliminare
- REGION con la regione in cui si trova il connettore

Risoluzione dei problemi

Autorizzazioni account di servizio

Per eseguire operazioni nel progetto Google Cloud, l'accesso VPC serverless utilizza l'account di servizio Serverless VPC Access Service Agent. L'indirizzo email di questo account di servizio ha il seguente formato:

service-PROJECT_NUMBER@gcp-sa-vpcaccess.iam.gserviceaccount.com

Per impostazione predefinita, questo account di servizio ha il ruolo Agente di servizio per l'accesso VPC serverless (roles/vpcaccess.serviceAgent). Le operazioni di accesso VPC serverless potrebbero non riuscire se modifichi le autorizzazioni di questo account.

Errori

Errore del ruolo dell'agente di servizio richiesto per l'account di servizio

Se utilizzi il vincolo dei criteri dell'organizzazione Limita l'utilizzo del servizio risorse per bloccare Cloud Deployment Manager (deploymentmanager.googleapis.com), potresti visualizzare il seguente messaggio di errore:

Serverless VPC Access service account (service-<PROJECT_NUMBER>@gcp-sa-vpcaccess.iam.gserviceaccount.com) needs Serverless VPC Access Service Agent role in the project.

Imposta il criterio dell'organizzazione in modo da rimuovere Deployment Manager dalla lista bloccata o aggiungerlo alla lista consentita.

Errore di creazione del connettore

Se la creazione di un connettore genera un errore, prova a procedere nel seguente modo:

Specifica un intervallo IP interno RFC 1918 che non si sovrapponga ad alcuna prenotazione di indirizzi IP esistenti nella rete VPC.
Concedi al progetto l'autorizzazione per utilizzare le immagini VM di Compute Engine del progetto con ID serverless-vpc-access-images. Per ulteriori informazioni su come aggiornare di conseguenza i criteri dell'organizzazione, consulta Impostare i vincoli di accesso alle immagini.

Impossibile accedere alle risorse

Se hai specificato un connettore, ma non riesci comunque ad accedere alle risorse nella rete VPC, assicurati che sulla rete VPC non siano presenti regole firewall con priorità inferiore a 1000 che negano il traffico in entrata dall'intervallo di indirizzi IP del connettore.

Se configuri un connettore in un progetto di servizio del VPC condiviso, assicurati che le regole del firewall consentano il traffico in entrata dall'infrastruttura serverless al connettore.

Errore di connessione rifiutata

Se ricevi errori connection refused o connection timeout che riducono le prestazioni di rete, le connessioni potrebbero aumentare senza limiti per le chiamate alla tua applicazione serverless. Per limitare il numero massimo di connessioni utilizzate per istanza, utilizza una libreria client che supporta i pool di connessioni. Per esempi dettagliati di utilizzo dei pool di connessioni, consulta Gestire le connessioni di database.

Errore di risorsa non trovata

Quando elimini una rete VPC o una regola firewall, potresti visualizzare un messaggio simile al seguente: The resource "aet-uscentral1-subnet--1-egrfw" was not found.

Per informazioni su questo errore e sulla relativa soluzione, vedi Errore Risorsa non trovata nella documentazione sulle regole firewall VPC.

Passaggi successivi

Monitora l'attività di amministrazione con l'audit logging dell'accesso VPC serverless.
Proteggi risorse e dati creando un perimetro di servizio con Controlli di servizio VPC.
Utilizza i ruoli Identity and Access Management (IAM) associati all'accesso VPC serverless. Consulta i ruoli di accesso VPC serverless nella documentazione IAM per un elenco delle autorizzazioni associate a ciascun ruolo.
Connettiti a Memorystore.