Freigegebene VPC mit Connectors im Hostprojekt konfigurieren

Wenn Sie in Ihrer Organisation eine freigegebene VPC eingerichtet haben, müssen Sie die folgenden Schritte ausführen, um serverlosen Umgebungen in Dienstprojekten einer freigegebenen VPC die Verbindung mit freigegebenen VPC-Netzwerken zu ermöglichen:

  1. Ein Administrator des Hostprojekts der freigegebenen VPC muss einen Connector für serverlosen VPC-Zugriff innerhalb des Hostprojekts erstellen und an das freigegebene VPC-Netzwerk anhängen.
  2. Der Administrator des Hostprojekts muss den folgenden Konten die IAM-Rolle Nutzer von serverlosem VPC-Zugriff für das Hostprojekt zuweisen:

    • Cloud Run: Der Cloud Run-Dienst-Agent des Dienstprojekts (service-SERVICE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com)
    • Cloud Functions: Der Cloud Functions-Dienst-Agent des Dienstprojekts (service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com)
    • App Engine: Die Person oder das Dienstkonto, die/das App Engine-Bereitstellungen im Dienstprojekt ausführt

    Mit dieser IAM-Rolle können serverlose Umgebungen in Dienstprojekten Connectors aus dem Hostprojekt verwenden.

    Console

    1. Rufen Sie im Hostprojekt der freigegebenen VPC die IAM-Seite auf:

      IAM aufrufen

    2. Klicken Sie auf Add.

    3. Geben Sie im Feld Neue Mitglieder die E-Mail-Adressen der entsprechenden Konten ein (siehe oben).

    4. Wählen Sie im Feld Rolle die Option Nutzer von serverlosem VPC-Zugriff aus.

    5. Klicken Sie auf Speichern.

    gcloud

    Mit dem folgenden Befehl gewähren Sie Berechtigungen für das Hostprojekt der freigegebenen VPC:

    gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
    --member MEMBER \
    --role roles/vpcaccess.user
    

    Dabei ist HOST_PROJECT_ID die ID des Hostprojekts der freigegebenen VPC und MEMBER die E-Mail-Adresse des entsprechenden Kontos (siehe oben). Denken Sie daran, MEMBER je nach Kontotyp user: oder serviceAccount: voranzustellen.

    Wiederholen Sie den Vorgang gegebenenfalls für mehrere Konten.

Nach die Einrichtung abgeschlossen ist, können die verknüpften serverlosen Umgebungen in freigegebenen VPC-Dienstprojekten den Connector des Hostprojekts angeben, um eine Verbindung zum freigegebenen VPC-Netzwerk herzustellen, wobei die plattformspezifischen Besonderheiten berücksichtigt werden müssen.

Connector für verschiedene serverlose Plattformen angeben

Geben Sie den Connector für Cloud Run, App Engine und Cloud Functions auf dem entsprechenden Tab an:

Cloud Run

Wenn Sie einen Cloud Run-Dienst (vollständig verwaltet) in Ihrem Dienstprojekt bereitstellen oder aktualisieren, müssen Sie den Connector des Hostprojekts mit dem vollständig qualifizierten Namen angeben. Beispiel:

gcloud run deploy SERVICE --image IMAGE_URL \
--vpc-connector projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME

Dadurch wird Ihr Dienst mit dem freigegebenen VPC-Netzwerk verbunden.

App Engine

Geben Sie für die App Engine-Standardumgebung den vollständig qualifizierten Connector-Namen in der Datei app.yaml an, wie auf der VPC-Verbindungsseite für Ihre Sprache beschrieben, z. B. mit Python.

Functions

Wenn Sie eine Funktion in Ihrem Dienstprojekt bereitstellen, müssen Sie den Connector des Hostprojekts mithilfe des vollqualifizierten Connectors angeben:

gcloud functions deploy FUNCTION_NAME \
--vpc-connector projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME \
FLAGS...

Dadurch wird Ihre Funktion mit dem freigegebenen VPC-Netzwerk verbunden.