設定共用虛擬私有雲網路

代管 Airflow (第 3 代) | 代管 Airflow (第 2 代) | 代管 Airflow (舊版第 1 代)

本頁面說明 Managed Airflow 的共用虛擬私人雲端網路和主專案要求。

Shared VPC 可讓機構在專案層級建立預算和存取控管邊界，同時確保透過私人 IP 進行的跨邊界通訊安全又有效率。在 Shared VPC 設定中，Managed Service for Apache Airflow 可以叫用同一個機構中其他專案託管的服務，而不會在公開網際網路上公開服務。 Google Cloud

Shared VPC 指南

圖 1. Managed Airflow (第 3 代) 的服務和主專案 (按一下即可放大)

• 如要使用 Shared VPC，您必須指定網路和子網路所屬的「主專案」，以及連結至主專案的「服務專案」。當 Managed Airflow 參與 Shared VPC 時，Managed Airflow 環境位在服務專案中。

• 請確認 Managed Airflow 環境的內部 IP 範圍和虛擬私有雲網路範圍沒有衝突。

• Managed Airflow (第 3 代) 有 1 個遞移 DNS hop 的限制，請確保 DNS 設定允許此限制。

• 代管 Airflow (第 3 代) 不支援使用者定義的 .internalDNS 區域。如果您為 .internal 建立 DNS 區域，就無法連線至該區域。

準備

1. 尋找下列專案 ID 和專案編號：

   • 主專案：包含共用虛擬私有雲網路的專案。
   • 服務專案：包含 Managed Airflow 環境的專案。
   重要事項： 如要使用 VPC Service Controls 保護環境，請確保主專案和服務專案位於同一個服務範圍。詳情請參閱「適用於 Shared VPC 和 CMEK 環境的範圍」。

2. 為貴機構進行準備。

設定服務專案

如果服務專案中從未建立 Managed Airflow 環境，請在服務專案中佈建 Composer 服務代理人帳戶：

gcloud beta services identity create --service=composer.googleapis.com

設定主專案

進一步瞭解如何設定主專案。

注意： 請在主專案中執行所有上述動作。舉例來說，如果您從服務專案將角色新增至服務帳戶，請在主專案的 IAM 設定中指派這些角色。

設定網路資源

您可以選擇下列其中一個選項：

• 選項 1。 建立新的虛擬私有雲網路和子網路。

• 選項 2。 在現有虛擬私有雲網路中建立子網路。

• 選項 3：使用現有的虛擬私有雲網路和子網路。

設定 Shared VPC 並附加服務專案

1. 如果尚未完成，請設定共用 VPC。如果已設定 Shared VPC，請跳至下一個步驟。

2. 附加服務專案，用於代管 Managed Airflow 環境。

   附加專案時，請保留預設的虛擬私有雲網路權限。

將權限授予 Composer 服務代理程式帳戶

警告： 在接下來的步驟中編輯權限時，請保留現有的帳戶角色。請為帳戶新增其他角色，而不是取代現有角色。

在主專案中：

1. 編輯 Composer 服務代理帳戶的權限， [e-mail])

2. 在專案層級新增另一個角色：Composer 共用虛擬私有雲代理 (composer.sharedVpcAgent)。

結論

完成上述步驟後，即可為服務專案和主專案設定好共用虛擬私人雲端網路。

現在，您可以將服務專案中的新環境和現有環境，連線至主專案的虛擬私有雲網路。您可以採用下列其中一種做法：

• 將環境連線至共用 VPC 網路。 Managed Airflow 會為環境建立新的網路連結。
• 在服務專案中建立網路連結，將其連線至共用虛擬私有雲網路，並將一或多個環境連線至這個網路連結。

如需操作說明，以及進一步瞭解上述兩種方法的差異，請參閱「將虛擬私有雲網路連線至您的環境」。

後續步驟

• 將虛擬私有雲網路連線至環境。
• 建立 Managed Airflow 環境。