הגדרת מחברים בפרויקט המארח של VPC משותף

אם הארגון שלכם משתמש ב-VPC משותף, אתם יכולים להגדיר מחבר Serverless VPC Access בפרויקט השירות או בפרויקט המארח. במדריך הזה מוסבר איך להגדיר מחבר בפרויקט המארח.

אם אתם צריכים להגדיר מחבר בפרויקט שירות, תוכלו לעיין במאמר הגדרת מחברים בפרויקטים של שירותים. במאמר התחברות לרשת VPC משותפת מוסבר על היתרונות של כל שיטה.

לפני שמתחילים

1. בדקו את התפקידים בניהול הזהויות והרשאות הגישה (IAM) בחשבון שבו אתם משתמשים כרגע. לחשבון הפעיל צריכים להיות התפקידים הבאים בפרויקט המארח:

   • צפייה ברשת Compute‏ (compute.networkViewer)
   • אדמין IAM בפרויקט (resourcemanager.projectIamAdmin)
   • אדמין של שימוש בשירות (serviceuseage.serviceUsageAdmin)
   • אדמין של גישה ל-VPC ללא שרת (vpcaccess.admin)

2. בוחרים את פרויקט המארח בסביבה המועדפת.

המסוף

1. עוברים אל מרכז הבקרה של מסוף Google Cloud .

   כניסה ללוח הבקרה של Google Cloud המסוף

2. בסרגל התפריטים בחלק העליון של לוח הבקרה, לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

gcloud

כדי להגדיר את פרויקט המארח כפרויקט ברירת המחדל ב-CLI של gcloud, מריצים את הפקודה הבאה במסוף:

gcloud config set project HOST_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף

יצירת מחבר של חיבור לרשת (VPC) מאפליקציית serverless

כדי לשלוח בקשות לרשת ה-VPC ולקבל את התגובות המתאימות, צריך ליצור מחבר של חיבור לרשת (VPC) מאפליקציית serverless. אפשר ליצור מחבר באמצעות מסוף Google Cloud , Google Cloud CLI או Terraform:

המסוף

1. מפעילים בפרויקט את Serverless VPC Access API.

   הפעלת ה-API

2. עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

   מעבר אל Serverless VPC Access

3. לוחצים על יצירת מחבר.

4. בשדה שם, מזינים שם למחבר. השם צריך להיות בהתאם למוסכמות למתן שמות ב-Compute Engine, ואורכו צריך להיות פחות מ-21 תווים. מקפים (-) נספרים כשני תווים.

5. בשדה Region (אזור), בוחרים אזור למחבר. האזור הזה צריך להיות זהה לאזור של השירות בלי שרת (serverless).

   אם השירות שלכם נמצא באזור us-central או europe-west, צריך להשתמש ב-us-central1 או ב-europe-west1.

6. בשדה רשת, בוחרים את רשת ה-VPC שאליה רוצים לצרף את המחבר.

7. לוחצים על התפריט הנפתח רשת משנה:

   בוחרים רשת משנה /28 שלא נמצאת בשימוש.

   • רשתות המשנה צריכות לשמש אך ורק את המחבר. אי אפשר להשתמש בהם במשאבים אחרים כמו מכונות וירטואליות, Private Service Connect או מאזני עומסים.
   • כדי לוודא שלא נעשה שימוש ברשת המשנה עבור Private Service Connect או Cloud Load Balancing, מריצים את הפקודה הבאה ב-CLI של gcloud כדי לבדוק שהרשת המשנה purpose היא PRIVATE:
     ‫

     gcloud compute networks subnets describe SUBNET_NAME
     

     מחליפים את SUBNET_NAME בשם של רשת המשנה.

8. (אופציונלי) כדי להגדיר אפשרויות שינוי גודל לשליטה נוספת במחבר, לוחצים על הצגת הגדרות שינוי גודל כדי להציג את טופס שינוי הגודל.

   1. מגדירים את מספר המכונות המינימלי והמקסימלי למחבר, או משתמשים בערכי ברירת המחדל: 2 (מינימום) ו-10 (מקסימום). המחבר מתרחב עד למקסימום שצוין ככל שהתנועה גדלה, אבל הוא לא מצטמצם כשהתנועה פוחתת. הערכים צריכים להיות בין 2 ל-10, והערך של MIN צריך להיות קטן מהערך של MAX.
   2. בתפריט הנפתח Instance Type, בוחרים את סוג המכונה שבה ישתמש המחבר, או משתמשים בברירת המחדל e2-micro. שימו לב לסרגל הצד של העלויות משמאל כשבוחרים את סוג המופע. בסרגל מוצגים אומדנים של רוחב הפס והעלויות.

9. לוחצים על יצירה.

10. כשמחבר מוכן לשימוש, יופיע סימן וי ירוק ליד השם שלו.

gcloud

1. מעדכנים את הרכיבים של gcloud לגרסה האחרונה:

   gcloud components update
   

2. מפעילים בפרויקט את Serverless VPC Access API:

   gcloud services enable vpcaccess.googleapis.com
   

3. יוצרים מחבר של חיבור לרשת (VPC) מאפליקציית serverless:

   gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
   --region=REGION \
   --subnet=SUBNET \
   --subnet-project=HOST_PROJECT_ID \
   # Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
   --min-instances=MIN \
   --max-instances=MAX \
   # Optional: specify machine type, default is e2-micro
   --machine-type=MACHINE_TYPE

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CONNECTOR_NAME: שם המחבר. השם צריך לעמוד במוסכמות למתן שמות ב-Compute Engine, והאורך שלו צריך להיות פחות מ-21 תווים. מקפים (-) נספרים כשני תווים.
   • ‫REGION: אזור לחיבור. האזור הזה צריך להיות זהה לאזור של שירות ה-serverless. אם השירות שלכם נמצא באזור us-central או europe-west, צריך להשתמש ב-us-central1 או ב-europe-west1.
   • ‫SUBNET: השם של רשת משנה /28 שלא נמצאת בשימוש.
     • רשתות המשנה צריכות לשמש אך ורק את המחבר. אי אפשר להשתמש בהם במשאבים אחרים כמו מכונות וירטואליות, Private Service Connect או מאזני עומסים.
     • כדי לוודא שרשת המשנה לא משמשת ל-Private Service Connect או ל-Cloud Load Balancing, מריצים את הפקודה הבאה ב-CLI של gcloud כדי לבדוק שהערך של רשת המשנה purpose הוא PRIVATE:

       gcloud compute networks subnets describe SUBNET_NAME
       

       מחליפים את מה שכתוב בשדות הבאים:
       • ‫SUBNET_NAME: השם של רשת המשנה
   • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח
   • ‫MIN: מספר המינימום של המופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 2 ל-9. ברירת המחדל היא 2. מידע על שינוי גודל המחבר זמין במאמר Throughput and scaling.
   • ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10. ברירת המחדל היא 10. אם התנועה דורשת זאת, המחבר מתרחב ל-[MAX] מופעים, אבל לא מצטמצם. מידע על שינוי גודל המחבר זמין במאמר Throughput and scaling.
   • MACHINE_TYPE: f1-micro, e2-micro או e2-standard-4. מידע על קצב העברת הנתונים של המחבר, כולל סוג המכונה והתאמת קנה מידה, זמין במאמר קצב העברת נתונים והתאמת קנה מידה.

   פרטים נוספים וארגומנטים אופציונליים מופיעים במאמר gcloud.

4. לפני שמשתמשים במחבר, צריך לוודא שהוא במצב READY:

   gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
   --region=REGION

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫CONNECTOR_NAME: השם של מחבר הנתונים. זהו השם שציינתם בשלב הקודם
   • ‫REGION: האזור של המחבר. זהו האזור שציינתם בשלב הקודם

   הפלט צריך לכלול את השורה state: READY.

Terraform

אפשר להשתמש במשאב של Terraform כדי להפעיל את vpcaccess.googleapis.com API.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

אתם יכולים להשתמש במודולים של Terraform כדי ליצור רשת VPC ותת-רשת, ואז ליצור את המחבר.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 13.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 13.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

מתן גישה למחבר

כדי לספק גישה למחבר, צריך להעניק את תפקיד ה-IAM‏ Serverless VPC Access User (משתמש בגישה ל-VPC מאפליקציית serverless) בפרויקט המארח לחשבון הראשי שמבצע את הפריסה של שירות App Engine.

המסוף

1. פותחים את דף IAM.

   כניסה לדף IAM

2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

3. לוחצים על הוספה.

4. בשדה New principals, מוסיפים את חשבון המשתמש שפורס את שירות App Engine.

5. בשדה תפקיד, בוחרים באפשרות משתמש של חיבור לרשת (VPC) מאפליקציית serverless.

6. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה בטרמינל:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.user

מחליפים את מה שכתוב בשדות הבאים:

• ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף
• ‫PRINCIPAL: חשבון המשתמש שפרס את שירות App Engine. מידע נוסף על הדגל --member

הגדרת המחבר כך שיהיה ניתן לגלות אותו

כדי לראות את המחבר, לחשבונות המשתמשים צריכים להיות תפקידי צפייה מסוימים גם בפרויקט המארח וגם בפרויקט השירות. כדי שהמחבר יופיע כשחשבונות משתמשים יצפו במחברים הזמינים במסוף Google Cloud או מהטרמינל שלהם, צריך להוסיף תפקידי IAM לחשבונות משתמשים שמבצעים פריסה של שירותי App Engine.

הקצאת תפקידי IAM בפרויקט המארח

בפרויקט המארח, מעניקים לחשבונות משתמש שמבצעים פריסה של שירותי App Engine את התפקיד Serverless VPC Access Viewer (vpcaccess.viewer).

המסוף

1. פותחים את דף IAM.

   כניסה לדף IAM

2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

3. לוחצים על הוספה.

4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש שצריכה להיות לו אפשרות לראות את המחבר מפרויקט השירות. אפשר להזין כמה כתובות אימייל בשדה הזה.

5. בשדה Role (תפקיד), בוחרים באפשרות Serverless VPC Access Viewer (בעל הרשאת צפייה בחיבור לרשת (VPC) מאפליקציית serverless).

6. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה בטרמינל:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

מחליפים את מה שכתוב בשדות הבאים:

• ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף
• PRINCIPAL: חשבון המשתמש שפורס שירותי App Engine. מידע נוסף על הדגל --member

הקצאת תפקידי IAM בפרויקט השירות

בפרויקט השירות, מעניקים לחשבונות משתמש שמבצעים פריסה של שירותי App Engine את התפקיד צפייה ברשת Compute‏ (compute.networkViewer).

המסוף

1. פותחים את דף IAM.

   כניסה לדף IAM

2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט השירות.

3. לוחצים על הוספה.

4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש שצריכה להיות לו אפשרות לראות את המחבר מפרויקט השירות. אפשר להזין כמה כתובות אימייל בשדה הזה.

5. בשדה Role, בוחרים באפשרות Compute Network Viewer.

6. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה בטרמינל:

gcloud projects add-iam-policy-binding SERVICE_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

מחליפים את מה שכתוב בשדות הבאים:

• ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות
• ‫PRINCIPAL: חשבון המשתמש שפורס שירותי App Engine. מידע נוסף על הדגל --member

הגדרת השירות לשימוש במחבר

לכל שירות App Engine שנדרשת לו גישה ל-VPC המשותף, צריך לציין את המחבר של השירות. בשלבים הבאים מוסבר איך להגדיר את השירות כך שישתמש במחבר.

1. מוסיפים את vpc_access_connector לקובץ app.yaml של השירות:

   vpc_access_connector:
   name: projects/HOST_PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף
   • ‫REGION: האזור של המחבר
   • CONNECTOR_NAME: השם של המחבר

2. פורסים את השירות:

   gcloud app deploy

אחרי הפריסה, השירות יכול לשלוח בקשות לרשת ה-VPC המשותפת ולקבל את התשובות המתאימות.

השלבים הבאים

• אפשר לעקוב אחרי פעילות אדמין באמצעות רישום ביומן ביקורת של חיבור לרשת (VPC) מאפליקציית serverless.
• כדי להגן על משאבים ונתונים, אפשר ליצור גבול גזרה לשירות באמצעות VPC Service Controls.
• מידע על תפקידים בניהול זהויות והרשאות גישה (IAM) שמשויכים לחיבור לרשת (VPC) מאפליקציית serverless במאמר תפקידים ב-Serverless VPC Access במסמכי התיעוד של IAM מופיעה רשימת ההרשאות שמשויכות לכל תפקיד.
• איך מתחברים ל-Memorystore מסביבת App Engine סטנדרטית.