限制 Cloud Run 的入站流量

本页面介绍了如何使用入站流量设置来限制对 Cloud Run 服务的网络访问。在网络级层，默认情况下，互联网上的任何资源都可通过 run.app 网址或在 Cloud Run 中设置的自定义网域来访问 Cloud Run 服务。您可以通过为入站流量指定不同的设置来更改此默认设置。所有入站流量路径（包括默认 run.app 网址）都受入站流量设置的约束。入站流量是在服务级层设置的。

入站流量设置和 IAM 身份验证方法是两种用于管理服务访问权限的方法。它们彼此独立。如需采用分层方法来管理访问权限，请同时使用这两种方法。

可用的入站流量设置

您可以使用以下设置：

设置 说明
内部 限制性最高。允许来自以下来源的请求：
  • 内部应用负载均衡器，包括通过内部应用负载均衡器路由的来自共享 VPC 网络的请求。
  • 任何包含 Cloud Run 服务的 VPC Service Controls 边界允许的资源。Cloud Run 必须配置为受限服务。
  • 与 Cloud Run 服务位于同一项目中的 VPC 网络
  • 共享 VPC 入站流量：您的修订版本配置为将流量发送到的共享 VPC 网络。如需了解共享 VPC 流量何时被识别为“内部”，请参阅共享 VPC 的特殊注意事项。
  • 以下 Google Cloud 产品（如果与 Cloud Run 服务位于同一项目或 VPC Service Controls 边界内，并且使用的是默认的 run.app 网址而非自定义网域）：
  • 内部应用负载均衡器，包括通过内部应用负载均衡器路由的来自共享 VPC 网络的请求。
  • VPC Service Controls 允许的请求。

来自这些来源的请求会保留在 Google 网络中，即使它们通过 run.app 网址访问您的服务也是如此。来自其他来源（包括互联网）的请求无法通过 run.app 网址或自定义网域访问您的服务。

对于从 Cloud Scheduler、Cloud Tasks、Eventarc、Pub/Sub、BigQuery 和 Workflows 发送到内部服务的请求，您必须使用该服务的 Cloud Run 默认 run.app 网址。您不能使用自定义域名。
内部和 Cloud Load Balancing 此设置允许来自以下资源的请求：
  • 限制性较高的“内部”设置允许的资源
  • 外部应用负载均衡器
使用此设置来执行以下操作：
  • 接受通过外部应用负载均衡器从互联网发出的请求。 不允许从互联网直接发送到 run.app 网址的请求。
  • 确保来自互联网的请求受外部应用负载均衡器功能（例如 Identity-Aware Proxy、Google Cloud Armor 和 Cloud CDN）的约束。

注意：如需在 gcloud CLI 中启用此设置，请使用 internal-and-cloud-load-balancing。 如需在 Google Cloud 控制台中启用此设置，请选择内部 > 允许来自外部应用负载均衡器的流量。
全部 限制性最低允许所有请求，包括直接从互联网发送到 run.app 网址的请求。

访问内部服务

需额外注意以下事项：

  • 访问内部服务时，请像平常一样使用它们的公开网址（即默认 run.app 网址或 Cloud Run 中设置的自定义网域）来调用它们。

  • 对于来自 Compute Engine 虚拟机实例的请求，具有外部 IP 地址或使用 Cloud NAT 的机器无需进一步设置。否则，请参阅接收来自 VPC 网络的请求。

  • 从 Cloud Run、App Engine 或 Cloud Functions 向设置为“内部”或“内部和 Cloud Load Balancing”的 Cloud Run 服务发出调用时，流量必须通过被视为内部的 VPC 网络进行路由。请参阅接收来自其他 Cloud Run 服务、App Engine 和 Cloud Functions 的请求。

  • 来自同一项目中 VPC 网络内资源的请求属于“内部”请求，即使这些资源具有外部 IP 地址也是如此。

  • 来自通过 Cloud VPN 和 Cloud Interconnect 连接到 VPC 网络的本地资源的请求是“内部”请求。

设置入站流量

您可以使用标签页中的任何受支持的方法来设置入站流量：

控制台

  1. 转到 Cloud Run

  2. 如果要配置新服务，请点击创建服务，然后根据需要填写初始服务设置页面。

  3. 如果您要配置现有服务，请点击该服务，然后点击网络标签页。

  4. 选择要允许的入站流量：

    图片

  5. 点击创建或保存。

gcloud

  1. 如果要部署新服务，请使用 --ingress 标志部署您的服务：

    gcloud run deploy SERVICE --image IMAGE_URL --ingress INGRESS

    替换

    • 将 INGRESS 替换为可用入站流量设置之一：
      • all
      • internal
      • internal-and-cloud-load-balancing
    • 将 SERVICE 替换为您的服务名称
    • 将 IMAGE_URL 替换为对容器映像的引用，例如 us-docker.pkg.dev/cloudrun/container/hello:latest。 如果您使用 Artifact Registry，则必须预先创建制品库 REPO_NAME。网址格式为 LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG

  2. 如果要更改现有服务入站流量，请执行以下操作：

    gcloud run services update SERVICE --ingress INGRESS

    替换

    • 将 INGRESS 替换为可用入站流量设置之一：
      • all
      • internal
      • internal-and-cloud-load-balancing
    • 将 SERVICE 替换为您的服务名称

YAML

  1. 如果您要创建新的服务，请跳过此步骤。如果您要更新现有服务，请下载其 YAML 配置：

    gcloud run services describe SERVICE --format export > service.yaml

  2. 更新 run.googleapis.com/ingress: 注释：

    apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  annotations:
    run.googleapis.com/ingress: INGRESS
  name: SERVICE
spec:
  template:
    metadata:
      name: REVISION

    替换

    • 将 SERVICE 替换为您的 Cloud Run 的名称
    • 将 INGRESS 替换为可用入站流量设置之一：
      • all
      • internal
      • internal-and-cloud-load-balancing
    • 将 REVISION 替换为新的修订版本名称或者将其删除（如果存在）。如果您提供新的修订版本名称，则该名称必须满足以下条件：
      • 开头为 SERVICE-
      • 仅包含小写字母、数字和 -
      • 不以 - 结尾
      • 不超过 63 个字符

  3. 使用以下命令将服务替换为其新配置：

    gcloud run services replace service.yaml

Terraform

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

请将以下内容添加到 main.tf 文件：

resource "google_cloud_run_v2_service" "default" {
  provider = google-beta
  name     = "ingress-service"
  location = "us-central1"

  # For valid annotation values and descriptions, see
  # https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/cloud_run_v2_service#ingress
  ingress = "INGRESS_TRAFFIC_INTERNAL_ONLY"

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello" #public image for your service
    }
  }
}

后续步骤