Halaman ini menjelaskan cara menggunakan setelan traffic masuk untuk membatasi akses jaringan ke
layanan Cloud Run Anda. Di tingkat jaringan, secara default, resource apa pun di
internet dapat menjangkau layanan Cloud Run Anda di
URL run.app
atau di domain kustom yang disiapkan di Cloud Run. Anda dapat mengubah
setelan default ini dengan menentukan setelan yang berbeda untuk traffic masuk. Semua jalur traffic masuk,
termasuk URL run.app
default, tunduk pada setelan ingress Anda.
Traffic masuk ditetapkan di tingkat layanan.
Setelan traffic masuk dan metode autentikasi IAM adalah dua cara untuk mengelola akses ke layanan. Keduanya tidak saling bergantung. Untuk pendekatan berlapis guna mengelola akses, gunakan keduanya.
Setelan masuk yang tersedia
Berikut adalah setelan yang tersedia:
Setelan | Deskripsi |
---|---|
Internal |
Batasan maksimum. Mengizinkan permintaan dari sumber berikut:
Permintaan dari sumber ini tetap berada dalam jaringan Google, meskipun jika sumber tersebut mengakses layanan Anda di URL run.app . Permintaan
dari sumber lain, termasuk internet, tidak dapat menjangkau layanan Anda di
URL run.app atau domain kustom.Untuk permintaan dari Cloud Scheduler, Cloud Tasks, Eventarc, Pub/Sub, BigQuery, dan Workflows ke layanan internal, Anda harus menggunakan URL run.app default Cloud Run untuk layanan tersebut. Anda tidak dapat menggunakan domain kustom.
|
Cloud Load Balancing dan Internal | Setelan ini mengizinkan permintaan dari resource berikut:
Catatan: Untuk mengaktifkan setelan ini di gcloud CLI, gunakan internal-and-cloud-load-balancing .
Untuk mengaktifkan setelan ini di Konsol Google Cloud, pilih Internal > Allow traffic from external Application Load Balancer.
|
Semua |
Batasan minimum. Mengizinkan semua permintaan, termasuk permintaan langsung dari
internet ke URL run.app .
|
Mengakses layanan internal
Pertimbangan tambahan berikut berlaku:
Saat mengakses layanan internal, panggil layanan seperti yang biasa Anda lakukan menggunakan URL publiknya, baik URL
run.app
default atau domain kustom yang disiapkan di Cloud Run.Untuk permintaan dari instance VM Compute Engine, tidak diperlukan penyiapan lebih lanjut untuk mesin yang memiliki alamat IP eksternal atau yang menggunakan Cloud NAT. Jika tidak, lihat Menerima permintaan dari jaringan VPC.
Saat melakukan panggilan dari Cloud Run, App Engine, atau Cloud Functions ke layanan Cloud Run yang ditetapkan ke "Internal" atau "Internal dan Cloud Load Balancing", traffic harus dirutekan melalui jaringan VPC yang dianggap internal. Lihat Menerima permintaan dari layanan Cloud Run, App Engine, dan Cloud Functions lainnya.
Permintaan dari resource dalam jaringan VPC dalam project yang sama bersifat "internal" meskipun resource asalnya memiliki alamat IP eksternal.
Permintaan dari resource lokal yang terhubung ke jaringan VPC menggunakan Cloud VPN dan Cloud Interconnect bersifat "internal".
Setelan masuk
Anda dapat menyetel traffic masuk menggunakan salah satu metode yang didukung di tab:
Konsol
Jika Anda mengonfigurasi layanan baru, klik Create service, lalu isi halaman setelan layanan awal sesuai keinginan.
Jika Anda mengonfigurasi layanan yang ada, klik layanan, lalu klik tab Networking.
Pilih traffic masuk yang ingin Anda izinkan:
Klik Buat atau Simpan.
gcloud
Jika Anda men-deploy layanan baru, deploy layanan dengan flag
--ingress
:gcloud run deploy SERVICE --image IMAGE_URL --ingress INGRESS
Ganti
INGRESS
dengan salah satu setelan masuk yang tersedia:all
internal
internal-and-cloud-load-balancing
SERVICE
dengan nama layanan Anda- IMAGE_URL dengan referensi ke image container, misalnya,
us-docker.pkg.dev/cloudrun/container/hello:latest
. Jika Anda menggunakan Artifact Registry, repositori REPO_NAME harus sudah dibuat. URL memiliki bentukLOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
Jika Anda mengubah layanan masuk yang sudah ada:
gcloud run services update SERVICE --ingress INGRESS
Ganti
INGRESS
dengan salah satu setelan masuk yang tersedia:all
internal
internal-and-cloud-load-balancing
SERVICE
dengan nama layanan Anda
YAML
Jika Anda membuat layanan baru, lewati langkah ini. Jika Anda mengupdate layanan yang sudah ada, download konfigurasi YAML:
gcloud run services describe SERVICE --format export > service.yaml
Update anotasi
run.googleapis.com/ingress:
:apiVersion: serving.knative.dev/v1 kind: Service metadata: annotations: run.googleapis.com/ingress: INGRESS name: SERVICE spec: template: metadata: name: REVISION
Ganti
- SERVICE dengan nama Cloud Run Anda.
- INGRESS dengan salah satu
setelan masuk yang tersedia:
all
internal
internal-and-cloud-load-balancing
- REVISION dengan nama revisi baru atau hapus (jika ada). Jika Anda memberikan nama revisi baru, nama tersebut harus memenuhi kriteria berikut:
- Dimulai dengan
SERVICE-
- Hanya berisi huruf kecil, angka, dan
-
- Tidak diakhiri dengan
-
- Tidak melebihi 63 karakter
- Dimulai dengan
Ganti layanan dengan konfigurasi barunya menggunakan perintah berikut:
gcloud run services replace service.yaml
Terraform
Untuk mempelajari cara menerapkan atau menghapus konfigurasi Terraform, lihat Perintah dasar Terraform.
Tambahkan berikut ini ke file main.tf
:
Langkah selanjutnya
- Pelajari setelan keluar
- Siapkan Load Balancer Aplikasi internal untuk Cloud Run.
- Siapkan Load Balancer Aplikasi eksternal dengan Cloud Run.
- Konfigurasikan metode autentikasi IAM untuk mengakses layanan.