Auf dieser Seite wird beschrieben, wie Sie den eingehenden Zugriff auf den Cloud Run-Dienst mithilfe von Einstellungen für eingehenden Traffic steuern. Auf Netzwerkebene kann standardmäßig jede Ressource im Internet Ihren Cloud Run-Dienst über die URL run.app
oder eine in Cloud Run eingerichtete benutzerdefinierte Domain erreichen. Sie können diese Standardeinstellung ändern, indem Sie eine andere Einstellung für eingehenden Traffic festlegen. Alle Ingress-Pfade, einschließlich der Standard-URL run.app
, unterliegen der Einstellung für eingehenden Traffic.
Eingehender Traffic wird auf Dienstebene festgelegt.
Ingress-Einstellungen und IAM-Authentifizierungsmethoden sind zwei Möglichkeiten, um den Zugriff auf einen Dienst zu verwalten. Sie sind unabhängig voneinander. Verwenden Sie für einen mehrstufigen Ansatz die Zugriffsverwaltung.
Verfügbare Einstellungen für eingehenden Traffic
Diese Einstellungen sind verfügbar:
Einstellung | Beschreibung |
---|---|
Intern |
Stärkste Einschränkung. Sie lässt Anfragen aus den folgenden Quellen zu:
Anfragen von diesen Quellen verbleiben im Google-Netzwerk, auch wenn sie über die URL run.app auf Ihren Dienst zugreifen. Anfragen aus anderen Quellen, einschließlich des Internets, können Ihren Dienst nicht über die URL run.app oder benutzerdefinierte Domains erreichen.Für Anfragen von Cloud Scheduler, Cloud Tasks, Eventarc, Pub/Sub, BigQuery und Workflows an einen internen Dienst müssen Sie die Standard-URL run.app von Cloud Run für diesen Dienst verwenden. Sie können keine benutzerdefinierte Domain verwenden.
|
internes und Cloud-Load-Balancing | Mit dieser Einstellung werden Anfragen von den folgenden Ressourcen zugelassen: <ph type="x-smartling-placeholder">
Hinweis: Verwenden Sie internal-and-cloud-load-balancing , um diese Einstellung in der gcloud CLI zu aktivieren.
Um diese Einstellung in der Google Cloud Console zu aktivieren, wählen Sie
Intern > Traffic von externen Application Load Balancern zulassen.
|
Alle |
Geringste Einschränkung. Ermöglicht alle Anfragen, einschließlich Anfragen direkt aus dem Internet an die URL run.app .
|
Auf interne Dienste zugreifen
Weitere Überlegungen:
Wenn Sie auf interne Dienste zugreifen, rufen Sie sie so auf, wie Sie es auch mit ihren öffentlichen URLs tun würden, entweder die Standard-URL
run.app
oder eine in Cloud Run eingerichtete benutzerdefinierte Domain.Für Anfragen von Compute Engine-VM-Instanzen ist keine weitere Einrichtung für Maschinen erforderlich, die externe IP-Adressen haben oder Cloud NAT verwenden. Andernfalls finden Sie weitere Informationen unter Anfragen von VPC-Netzwerken empfangen.
Wenn Sie von Cloud Run, App Engine oder Cloud Functions einen Cloud Run-Dienst aufrufen, der auf „Intern“ oder „Intern und Cloud Load Balancing“ festgelegt ist, muss der Datenverkehr durch ein VPC-Netzwerk geleitet werden, das als intern gilt. Siehe Anfragen von anderen Cloud Run-Diensten, App Engine und Cloud Functions empfangen.
Anfragen von Ressourcen in VPC-Netzwerken im selben Projekt gelten als „intern“, auch wenn die Ressource, von der sie stammen, eine externe IP-Adresse hat.
Anfragen von lokalen Ressourcen, die mit Cloud VPN und Cloud Interconnect mit dem VPC-Netzwerk verbunden sind, gelten als „intern“.
Ingress wird eingerichtet
Sie können das Ingress mit einer der unterstützten Methoden auf den folgenden Tabs festlegen:
Console
Wenn Sie einen neuen Dienst konfigurieren, klicken Sie auf Dienst erstellen und füllen Sie die Seite mit den anfänglichen Diensteinstellungen nach Bedarf aus.
Wenn Sie einen vorhandenen Dienst konfigurieren, klicken Sie auf den Dienst und dann auf den Tab Netzwerk.
Wählen Sie den eingehenden Traffic aus, den Sie zulassen möchten:
Klicken Sie auf Erstellen oder Speichern.
gcloud
Wenn Sie einen neuen Dienst bereitstellen, stellen Sie den Dienst mit dem Flag
--ingress
bereit:gcloud run deploy SERVICE --image IMAGE_URL --ingress INGRESS
Ersetzen
INGRESS
durch eine der verfügbaren Einstellungen für eingehenden Traffic.all
internal
internal-and-cloud-load-balancing
SERVICE
durch den Dienstnamen- IMAGE_URL durch einen Verweis auf das Container-Image, z. B.
us-docker.pkg.dev/cloudrun/container/hello:latest
. Wenn Sie Artifact Registry verwenden, muss das Repository REPO_NAME bereits erstellt sein. Die URL hat die FormLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
.
Wenn Sie einen vorhandenen Ingress-Dienst ändern:
gcloud run services update SERVICE --ingress INGRESS
Ersetzen
INGRESS
durch eine der verfügbaren Einstellungen für eingehenden Traffic.all
internal
internal-and-cloud-load-balancing
SERVICE
durch den Dienstnamen
YAML
Wenn Sie einen neuen Dienst erstellen, überspringen Sie diesen Schritt. Wenn Sie einen vorhandenen Dienst aktualisieren, laden Sie die zugehörige YAML-Konfiguration herunter:
gcloud run services describe SERVICE --format export > service.yaml
Aktualisieren Sie die Annotation
run.googleapis.com/ingress:
:apiVersion: serving.knative.dev/v1 kind: Service metadata: annotations: run.googleapis.com/ingress: INGRESS name: SERVICE spec: template: metadata: name: REVISION
Ersetzen
- SERVICE durch den Namen Ihres Cloud Run
- INGRESS durch eine der verfügbaren Einstellungen für eingehenden Traffic.
all
internal
internal-and-cloud-load-balancing
- REVISION durch einen neuen Überarbeitungsnamen oder löschen (falls vorhanden). Wenn Sie einen neuen Überarbeitungsnamen angeben, muss er die folgenden Kriterien erfüllen:
- Beginnt mit
SERVICE-
- Enthält nur Kleinbuchstaben, Ziffern und
-
- Endet nicht mit
-
- Darf nicht mehr als 63 Zeichen enthalten
- Beginnt mit
Ersetzen Sie den Dienst mit dem folgenden Befehl durch die neue Konfiguration:
gcloud run services replace service.yaml
Terraform
Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.
Fügen Sie der Datei main.tf
Folgendes hinzu:
Nächste Schritte
- Weitere Informationen zu den Einstellungen für ausgehenden Traffic
- Internen Application Load Balancer für Cloud Run einrichten.
- Externen Application Load Balancer mit Cloud Run einrichten.
- IAM-Authentifizierungsmethoden für den Zugriff auf Dienste konfigurieren.