אם אתם יוצרים פונקציה חדשה, תוכלו להיעזר במאמר מדריך למתחילים לשימוש במסוף ב-Cloud Run. התוכן בדף הזה רלוונטי רק לפונקציות קיימות מדור קודם שנוצרו באמצעות Cloud Functions v1 API.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

חיבור לרשת VPC

בדף הזה מוסבר איך להשתמש ב-Serverless VPC Access כדי לחבר פונקציות של Cloud Run ישירות לרשת ה-VPC, וכך לאפשר גישה למכונות וירטואליות ב-Compute Engine, למופעים של Memorystore ולכל משאב אחר עם כתובת IP פנימית.

לפני שמתחילים

אם עדיין אין לכם רשת VPC בפרויקט, צרו רשת כזו.
אם משתמשים ב-VPC משותף, צריך לתת גישה למחבר. אפשר לעיין במאמר התחברות לרשת VPC משותפת.
במסוף Google Cloud , מוודאים ש-Serverless VPC Access API מופעל בפרויקט.

הפעלת ה-API

יצירת מחבר לגישה לרשת VPC מאפליקציית serverless

כדי לשלוח בקשות לרשת ה-VPC ולקבל את התשובות המתאימות בלי להשתמש באינטרנט הציבורי, אפשר להשתמש במחבר של חיבור לרשת (VPC) מאפליקציית serverless.

אם המחבר נמצא באותו פרויקט כמו רשת ה-VPC שלו, אתם יכולים ליצור מחבר באמצעות רשת משנה קיימת או ליצור מחבר ורשת משנה חדשה.

אם המחבר שלכם נמצא בפרויקט שירות ומשתמש ברשת VPC משותפת, המחבר ורשת ה-VPC המשויכת שלו נמצאים בפרויקטים שונים. אם המחבר ורשת ה-VPC שלו נמצאים בפרויקטים שונים, אדמין של רשת VPC משותפת צריך ליצור את רשת המשנה של המחבר ברשת ה-VPC המשותפת לפני שיוצרים את המחבר, וצריך ליצור את המחבר באמצעות רשת משנה קיימת.

מידע נוסף על הדרישות לגבי רשתות משנה זמין במאמר בנושא דרישות לגבי רשתות משנה של מחברים.

כדי לקבל מידע על קצב העברת הנתונים של המחבר, כולל סוג המכונה וההתאמה לגודל, אפשר לעיין במאמר בנושא קצב העברת נתונים והתאמה לגודל.

אפשר ליצור מחבר באמצעות מסוף Google Cloud ,‏ Google Cloud CLI או Terraform.

המסוף

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

מעבר אל Serverless VPC Access
לוחצים על יצירת מחבר.
בשדה Name (שם), מזינים שם למחבר בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות שהשם צריך להיות באורך של פחות מ-21 תווים, ושהמקפים (-) נספרים כשני תווים.
בשדה Region (אזור), בוחרים אזור למחבר. האזור הזה צריך להיות זהה לאזור של השירות ללא שרתים.
בשדה רשת, בוחרים את רשת ה-VPC שאליה רוצים לצרף את המחבר.
בשדה Subnet, בוחרים באחת מהאפשרויות הבאות:
- כדי ליצור מחבר באמצעות רשת משנה קיימת: בוחרים את רשת המשנה הקיימת בשדה רשת משנה.
- ליצור מחבר ורשת משנה חדשה: בוחרים באפשרות טווח כתובות IP מותאם אישית בשדה רשת משנה. לאחר מכן, מזינים את הכתובת הראשונה ב-/28CIDR שלא נמצא בשימוש (לדוגמה, 10.8.0.0/28) כדי להשתמש בה כטווח הכתובות הראשי של IPv4 של רשת משנה חדשה ש Google Cloud נוצרת ברשת ה-VPC של המחבר. מוודאים שטווח כתובות ה-IP לא מתנגש עם נתיבים קיימים ברשת ה-VPC של המחבר. השם של רשת המשנה החדשה מתחיל בקידומת 'aet-'.
(אופציונלי) כדי להגדיר אפשרויות שינוי גודל לשליטה נוספת במחבר, לוחצים על הצגת הגדרות שינוי הגודל כדי להציג את טופס שינוי הגודל.
1. מגדירים את מספר המכונות המינימלי והמקסימלי למחבר, או משתמשים בערכי ברירת המחדל: 2 (מינימום) ו-10 (מקסימום). המחבר מתרחב עד למספר המקסימלי שצוין אם השימוש בתנועה דורש זאת. חובה להשתמש בערכים בין 2 ל-10.
2. בתפריט Instance Type (סוג האינסטנס), בוחרים את סוג המכונה שבה ישתמש המחבר, או משתמשים בברירת המחדל e2-micro. שימו לב לסרגל הצד של העלויות בצד שמאל כשבוחרים את סוג המופע. בסרגל מוצגים נתונים על רוחב הפס והערכות עלויות.
לוחצים על יצירה.
כשמחבר מוכן לשימוש, מופיע סימן וי ירוק ליד השם שלו.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
מעדכנים את הרכיבים של gcloud לגרסה האחרונה:
```
gcloud components update
```
מוודאים ש-Serverless VPC Access API מופעל בפרויקט:
```
gcloud services enable vpcaccess.googleapis.com
```
יוצרים את המחבר באחת מהדרכים הבאות:

פרטים נוספים וארגומנטים אופציונליים זמינים במאמר gcloud.
- יצירת מחבר באמצעות רשת משנה קיימת:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --subnet SUBNET_NAME \
 --subnet-project HOST_PROJECT_ID \
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  מחליפים את מה שכתוב בשדות הבאים:
  - ‫CONNECTOR_NAME: שם המחבר, בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות הבאות: השם צריך להיות באורך של פחות מ-21 תווים, ומקפים (-) נחשבים כשני תווים.
  - ‫REGION: אזור לחיבור, שזהה לאזור של השירות או המשימה ללא שרת.
  - ‫SUBNET_NAME: השם של תת-הרשת הקיימת.
  - ‫HOST_PROJECT_ID: מזהה הפרויקט המארח של ה-VPC המשותף. אם המחבר ורשת המשנה הקיימת נמצאים באותו פרויקט, משמיטים את הדגל --subnet-project.
  - ‫MIN: מספר המינימום של המופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 2(ברירת המחדל) לבין 9.
  - ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10 (ברירת המחדל).
  - ‫MACHINE_TYPE: צריך להיות אחד מהערכים הבאים: f1-micro,‏ e2-micro או e2-standard-4.
- יצירת מחבר ורשת משנה חדשה:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --network VPC_NETWORK \
 --range IP_RANGE
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  מחליפים את מה שכתוב בשדות הבאים:
  - ‫CONNECTOR_NAME: שם המחבר, בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות הבאות: השם צריך להיות באורך של פחות מ-21 תווים, ומקפים (-) נחשבים כשני תווים.
  - ‫REGION: אזור לחיבור, שזהה לאזור של השירות או המשימה ללא שרת.
  - ‫VPC_NETWORK: השם של רשת ה-VPC שאליה רוצים לצרף את המחבר. המחבר ורשת ה-VPC צריכים להיות באותו הפרויקט.
  - ‫IP_RANGE: צריך לספק CIDR‏ /28 שלא נמצא בשימוש (לדוגמה, 10.8.0.0/28) כדי להשתמש בו כטווח הכתובות הראשי של IPv4 ברשת משנה חדשה שנוצרת ברשת ה-VPC של המחבר Google Cloud . מוודאים שטווח כתובות ה-IP לא מתנגש עם נתיבים קיימים ברשת ה-VPC של המחבר. השם של רשת המשנה החדשה מתחיל בקידומת aet-.
  - ‫MIN: מספר המינימום של המופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 2(ברירת המחדל) לבין 9.
  - ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10 (ברירת המחדל). אם המחבר מתרחב למספר המקסימלי של מופעים, הוא לא יצטמצם בחזרה.
  - ‫MACHINE_TYPE: צריך להיות אחד מהערכים הבאים: f1-micro,‏ e2-micro או e2-standard-4.
לפני שמשתמשים במחבר, צריך לוודא שהוא במצב READY:
```
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region REGION
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CONNECTOR_NAME: השם של המחבר. זה השם שציינתם בשלב הקודם.
- ‫REGION: האזור של המחבר. זהו האזור שציינתם בשלב הקודם.
הפלט צריך לכלול את השורה state: READY.

Terraform

אפשר להשתמש במשאב של Terraform כדי להפעיל את vpcaccess.googleapis.com API.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

אתם יכולים להשתמש במודולים של Terraform כדי ליצור רשת VPC ותת-רשת, ואז ליצור את המחבר.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 18.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 18.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

הגדרת הפונקציה להתחברות לרשת VPC

כדי לשלוח תנועת יציאה, צריך להגדיר כל פונקציה כך שתשתמש במחבר של חיבור לרשת (VPC) מאפליקציית serverless כדי להתחבר לרשת ה-VPC. אפשר להגדיר פונקציה לשימוש במחבר דרך מסוף Google Cloud או Google Cloud CLI:

המסוף

כניסה לדף Cloud Run functions
אם אתם מגדירים פונקציה חדשה, לוחצים על יצירת פונקציה. אם אתם מגדירים פונקציה קיימת, לוחצים על הפונקציה ואז על עריכה.
אם אתם מגדירים פונקציה חדשה, ממלאים את דף ההגדרות הראשוניות של הפונקציה לפי הצורך, ואז לוחצים על Runtime, build...‎ כדי להרחיב את דף ההגדרות של הפונקציה.
לוחצים על הכרטיסייה Connections (קישורים) ובתפריט VPC Network (רשת VPC) שבקטע Egress settings (הגדרות יציאה), בוחרים באחת מהאפשרויות הבאות:
- כדי לנתק את הפונקציה מרשת VPC, בוחרים באפשרות ללא.
- כדי להשתמש במחבר קיים, בוחרים אותו מהרשימה הנפתחת או בוחרים באפשרות Custom (מותאם אישית) כדי להשתמש במחבר קיים שלא מופיע ברשימה הנפתחת.
- כדי ליצור מחבר חדש, בוחרים באפשרות Add new VPC connector (הוספת מחבר VPC חדש). (תצוגה מקדימה)
פרטים על יצירת מחבר מופיעים במאמר בנושא יצירת מחבר Serverless VPC Access.
לוחצים על הבא.

gcloud

משתמשים בפקודה gcloud functions deploy כדי לפרוס את הפונקציה ומציינים את הדגל --vpc-connector:

gcloud functions deploy FUNCTION_NAME \
--vpc-connector CONNECTOR_NAME \
FLAGS...

where:

‫FUNCTION_NAME הוא השם של הפונקציה.
‫CONNECTOR_NAME הוא השם של המחבר.
‫FLAGS... מתייחס לדגלים אחרים שמעבירים במהלך פריסת הפונקציה.

כדי לנתק את הפונקציה מרשת VPC, משתמשים בדגל --clear-vpc-connector:

gcloud functions deploy FUNCTION_NAME \
--clear-vpc-connector \
FLAGS...

כדי לקבל שליטה רבה יותר על הבקשות שמועברות דרך המחבר, אפשר לעיין במאמר בנושא הגדרות יציאה.

גישה למשאבי VPC

כללי חומת אש שנדרשים למחברים בפרויקטים של שירותים

אם יוצרים מחבר ברשת VPC עצמאית או בפרויקט המארח של רשת VPC משותפת, Google Cloud יוצר את כל כללי חומת האש שנדרשים להפעלת המחבר. מידע נוסף זמין במאמר כללי חומת אש למחברים ברשתות VPC עצמאיות או בפרויקטים מארחים של VPC משותף.

עם זאת, אם יוצרים מחבר בפרויקט שירות והמחבר מכוון לרשת VPC משותפת בפרויקט המארח, צריך להוסיף כללי חומת אש כדי לאפשר את התעבורה הדרושה לפעולת המחבר מהטווחים הבאים:

טווח כתובות ה-IP של התשתית ללא שרתים: 35.199.224.0/19
טווח כתובות ה-IP של בדיקת תקינות: ‫35.191.0.0/16, 35.191.192.0/18 ו-130.211.0.0/22

הטווחי כתובות האלה משמשים את התשתית של Google שעליה מבוססים Cloud Run, פונקציות Cloud Run וסביבת ברירת המחדל ב-App Engine. כל הבקשות מכתובות ה-IP האלה מגיעות מהתשתית של Google, כדי לוודא שכל משאב ללא שרת מתקשר רק עם המחבר שאליו הוא מקושר.

בנוסף, צריך לאפשר תנועה מרשת המשנה של המחבר למשאבים ברשת ה-VPC.

כדי לבצע את השלבים האלה, צריך להיות לכם אחד מהתפקידים הבאים בפרויקט המארח:

תפקיד הבעלים (roles/owner)
התפקיד 'אדמין אבטחה ב-Compute' (roles/compute.securityAdmin)
תפקיד ניהול זהויות והרשאות גישה (IAM) בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת

בהגדרה בסיסית, מחילים את הכללים כדי לאפשר למשאבים בלי שרתים בכל פרויקט שירות שמחובר לרשת ה-VPC המשותפת לשלוח בקשות לכל משאב ברשת.

כדי להחיל את הכללים האלה, מריצים את הפקודות הבאות בפרויקט המארח:

יוצרים כללים של חומת אש שמאפשרים לבקשות מהתשתית חסרת השרתים של Google ולבדיקות תקינות להגיע לכל המחברים ברשת. בפקודות האלה, יציאות UDP ו-TCP משמשות כשרתי proxy ולבדיקות תקינות של HTTP, בהתאמה. אל תשנו את היציאות שצוינו.

gcloud compute firewall-rules create serverless-to-vpc-connector \
    --allow tcp:667,udp:665-666,icmp \
    --source-ranges=35.199.224.0/19 \
    --direction=INGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

gcloud compute firewall-rules create vpc-connector-to-serverless \
    --allow tcp:667,udp:665-666,icmp \
    --destination-ranges=35.199.224.0/19 \
    --direction=EGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

gcloud compute firewall-rules create vpc-connector-health-checks \
    --allow tcp:667 \
    --source-ranges=35.191.0.0/16,35.191.192.0/18,130.211.0.0/22 \
    --direction=INGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

מחליפים את VPC_NETWORK בשם של רשת ה-VPC שאליה רוצים לצרף את המחבר.

יוצרים כלל חומת אש לתעבורת נתונים נכנסת ברשת ה-VPC כדי לאפשר בקשות ממחברים שמכוונים לרשת הזו:
```
gcloud compute firewall-rules create vpc-connector-requests \
    --allow tcp,udp,icmp \
    --direction=INGRESS \
    --source-tags vpc-connector \
    --network=VPC_NETWORK
```
הכלל הזה מעניק למחבר גישה לכל משאב ברשת. כדי להגביל את המשאבים שאליהם סביבת ה-serverless יכולה להגיע באמצעות חיבור לרשת (VPC) מאפליקציית serverless, אפשר לעיין במאמר בנושא הגבלת הגישה של מכונת ה-VM של המחבר למשאבי רשת VPC.

יצירת כללים לחומת אש למחברים ספציפיים

אם פועלים לפי התהליך שמתואר במאמר כללי חומת אש שנדרשים למחברים בפרויקטים של שירותים, כללי חומת האש יחולו על כל המחברים, גם על אלה שקיימים וגם על אלה שייווצרו בעתיד. אם אתם לא רוצים את זה, אלא רוצים ליצור כללים רק למחברים ספציפיים, אתם יכולים להגדיר את היקף הכללים כך שהם יחולו רק על המחברים האלה.

כדי להגביל את היקף הכללים למחברים ספציפיים, אפשר להשתמש באחד מהמנגנונים הבאים:

תגי רשת: לכל מחבר יש שני תגי רשת: vpc-connector ו-vpc-connector-REGION-CONNECTOR_NAME. כדי להגביל את ההיקף של כללי חומת האש למחבר ספציפי, צריך להשתמש בפורמט השני.
טווח כתובות IP: אפשר להשתמש באפשרות הזו רק בכללי יציאה, כי היא לא פועלת בכללי כניסה. אתם יכולים להשתמש בטווח כתובות ה-IP של רשת המשנה של המחבר כדי להגביל את ההיקף של כללי חומת האש למחבר VPC יחיד.

הגבלת הגישה של מכונות וירטואליות של מחברים למשאבי רשת VPC

אתם יכולים להגביל את הגישה של המחבר למשאבים ברשת ה-VPC של היעד באמצעות כללי חומת אש של VPC או כללים במדיניות חומת אש. אפשר להגדיר את ההגבלות האלה באמצעות אחת מהאסטרטגיות הבאות:

יוצרים כללי תעבורה נכנסת שהיעדים שלהם מייצגים את המשאבים שרוצים להגביל את הגישה של מכונות וירטואליות של מחברים אליהם, והמקורות שלהם מייצגים את המכונות הווירטואליות של המחברים.
יוצרים כללי יציאה שהיעדים שלהם מייצגים את המכונות הווירטואליות של המחבר, והיעדים שלהם מייצגים את המשאבים שרוצים להגביל את הגישה של המכונות הווירטואליות של המחבר אליהם.

הדוגמאות הבאות ממחישות כל אסטרטגיה.

הגבלת הגישה באמצעות כללי כניסה

בוחרים תגי רשת או טווחי CIDR כדי לשלוט בתעבורה הנכנסת לרשת ה-VPC.

תגים של רשתות

השלבים הבאים מראים איך ליצור כללי כניסה שמגבילים את הגישה של מחבר לרשת VPC על סמך תגי הרשת של המחבר.

מוודאים שיש לכם את ההרשאות הנדרשות להוספת כללי חומת אש. אתם צריכים להיות בעלי אחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- תפקיד Security Admin של Compute
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת
דחיית תעבורת נתונים של מחבר ברשת ה-VPC.

יוצרים כלל חומת אש לדחיית תעבורת נתונים נכנסת (ingress) עם עדיפות נמוכה מ-1,000 ברשת ה-VPC כדי לדחות תעבורת נתונים נכנסת מהתג של רשת המחבר. הפעולה הזו מבטלת את כלל חומת האש המרומז שנוצר כברירת מחדל על ידי Serverless VPC Access ברשת ה-VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אפשר גם להגדיר כללי דחייה כדי לחסום תנועה עבור הפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של המחבר האוניברסלי אם רוצים להגביל את הגישה לכל המחברים (כולל מחברים שייווצרו בעתיד), או תג הרשת הייחודי אם רוצים להגביל את הגישה למחבר ספציפי.
  - תג רשת אוניברסלי: vpc-connector
  - תג רשת ייחודי: vpc-connector-REGION-CONNECTOR_NAME
    
    מחליפים את:
    - ‫REGION: האזור של המחבר שרוצים להגביל
    - ‫CONNECTOR_NAME: השם של מחבר שרוצים להגביל
  מידע נוסף על תגי רשת של מחברים
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים לתנועה של מחברים להגיע למשאב שאליו אמורה להגיע התנועה של המחברים.

משתמשים בדגלים allow ו-target-tags כדי ליצור כלל חומת אש לתעבורה נכנסת שמכוון למשאב ברשת ה-VPC שרוצים שהמחבר לרשת ה-VPC יקבל אליו גישה. מגדירים את העדיפות של הכלל הזה לערך נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של המחבר האוניברסלי אם רוצים להגביל את הגישה לכל המחברים (כולל מחברים שייווצרו בעתיד), או תג הרשת הייחודי אם רוצים להגביל את הגישה למחבר ספציפי. התג הזה צריך להיות זהה לתג הרשת שציינתם בשלב הקודם.
  - תג רשת אוניברסלי: vpc-connector
  - תג רשת ייחודי: vpc-connector-REGION-CONNECTOR_NAME
    
    מחליפים את:
    - ‫REGION: האזור של המחבר שרוצים להגביל
    - ‫CONNECTOR_NAME: השם של מחבר שרוצים להגביל
  מידע נוסף על תגי רשת של מחברים
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫RESOURCE_TAG: תג הרשת של משאב ה-VPC שרוצים שמחבר ה-VPC יקבל אליו גישה
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו להגדיר אותה ל-980.

למידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללים של חומת אש, אפשר לעיין במאמרי העזרה בנושא gcloud compute firewall-rules create.

טווח CIDR

השלבים הבאים מראים איך ליצור כללי תעבורה נכנסת שמגבילים את הגישה של מחבר לרשת VPC על סמך טווח ה-CIDR של המחבר.

מוודאים שיש לכם את ההרשאות הנדרשות להוספת כללי חומת אש. אתם צריכים להיות בעלי אחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- התפקיד Compute Security Admin
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת
דחיית תעבורת נתונים של מחבר ברשת ה-VPC.

יוצרים כלל חומת אש לתעבורה נכנסת עם עדיפות נמוכה מ-1000 ברשת ה-VPC כדי לחסום תעבורה נכנסת מטווח ה-CIDR של המחבר. הפעולה הזו מבטלת את כלל חומת האש המרומז שנוצר כברירת מחדל על ידי Serverless VPC Access ברשת ה-VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אפשר גם להגדיר כללי דחייה כדי לחסום תנועה עבור הפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים לתנועה של מחברים להגיע למשאב שאליו אמורה להגיע התנועה של המחברים.

משתמשים בדגלים allow ו-target-tags כדי ליצור כלל חומת אש לתעבורה נכנסת שמכוון למשאב ברשת ה-VPC שרוצים שהמחבר לרשת ה-VPC יקבל אליו גישה. מגדירים את העדיפות של הכלל הזה לערך נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫VPC_CONNECTOR_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫RESOURCE_TAG: תג הרשת של משאב ה-VPC שרוצים שמחבר ה-VPC יקבל אליו גישה
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו להגדיר אותה ל-980.

למידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללים של חומת אשgcloud compute firewall-rules create

הגבלת הגישה באמצעות כללים לתעבורת נתונים יוצאת

בשלבים הבאים מוסבר איך ליצור כללי יציאה כדי להגביל את הגישה למחבר.

מוודאים שיש לכם את ההרשאות הנדרשות להוספת כללי חומת אש. אתם צריכים לקבל הקצאה לאחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- התפקיד Compute Security Admin
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת
דחיית תנועת יציאה מהמחבר.

יוצרים כלל חומת אש לתעבורת נתונים יוצאת במחבר של Serverless VPC Access כדי למנוע ממנו לשלוח תעבורת נתונים יוצאת לכל יעד, למעט תגובות שנוצרו.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--direction=EGRESS \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אפשר גם להגדיר כללי דחייה כדי לחסום תנועה עבור הפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של מחבר ה-VPC האוניברסלי, אם רוצים שהכלל יחול על כל מחברי ה-VPC הקיימים ועל כל מחברי ה-VPC שייווצרו בעתיד. או תג הרשת הייחודי של מחבר ה-VPC אם רוצים לשלוט במחבר ספציפי.
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים תנועת יציאה כשהיעד נמצא בטווח ה-CIDR שרוצים שהמחבר יקבל אליו גישה.

משתמשים בדגלים allow ו-destination-ranges כדי ליצור כלל של חומת אש שמאפשר תעבורת נתונים יוצאת מהמחבר לטווח יעד ספציפי. מגדירים את טווח היעד לטווח ה-CIDR של המשאב ברשת ה-VPC שרוצים שהמחבר יוכל לגשת אליו. מגדירים את העדיפות של הכלל הזה לערך נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--destination-ranges=RESOURCE_CIDR_RANGE \
--direction=EGRESS \
--network=VPC_NETWORK \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫RESOURCE_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של מחבר ה-VPC האוניברסלי, אם רוצים שהכלל יחול על כל מחברי ה-VPC הקיימים ועל כל מחברי ה-VPC שייווצרו בעתיד. או תג הרשת הייחודי של מחבר ה-VPC אם רוצים לשלוט במחבר ספציפי. אם השתמשתם בתג הרשת הייחודי בשלב הקודם, השתמשו בתג הרשת הייחודי.
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו להגדיר אותה ל-980.

מידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללים של חומת אש זמין במאמרי העזרה בנושא gcloud compute firewall-rules create.

ניהול המחבר

ניתוק פונקציה מרשת VPC

אפשר לנתק פונקציה מרשת ה-VPC באמצעות מסוףGoogle Cloud או Google Cloud CLI:

המסוף

נכנסים לדף הסקירה הכללית של Cloud Run functions במסוףGoogle Cloud :

כניסה לדף Cloud Run functions
לוחצים על פונקציה קיימת כדי לעבור לדף הפרטים שלה, ואז לוחצים על עריכה.
לוחצים על Runtime, build...‎ כדי להרחיב את ההגדרות המתקדמות.
בכרטיסייה Connections בקטע Egress settings, מזינים את השם של המחבר בשדה VPC connector, או מוחקים את השדה כדי לנתק את הפונקציה מרשת VPC.

gcloud

כדי לנתק את הפונקציה מרשת ה-VPC, משתמשים בדגל --clear-vpc-connector:

gcloud functions deploy FUNCTION_NAME \
--clear-vpc-connector \
FLAGS...

where:

‫FUNCTION_NAME הוא השם של הפונקציה.
‫CONNECTOR_NAME הוא השם של המחבר.
‫FLAGS... מתייחס לדגלים אחרים שמעבירים במהלך פריסת הפונקציה.

המחברים ממשיכים לצבור חיובים גם אם אין בהם תנועה והם מנותקים. פרטים נוספים זמינים במאמר בנושא תמחור. אם אין לכם יותר צורך במחבר, הקפידו למחוק אותו כדי למנוע חיובים נוספים.

עדכון מחבר

אתם יכולים לעדכן ולנטר את המאפיינים הבאים של המחבר באמצעות Google Cloud המסוף, Google Cloud CLI או ה-API:

סוג המכונה (המופע)
מספר המופעים המינימלי והמקסימלי
התפוקה האחרונה, מספר המופעים וניצול המעבד

עדכון סוג המכונה

המסוף

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

מעבר אל Serverless VPC Access
בוחרים את כלי הקישור שרוצים לערוך ולוחצים על עריכה.
ברשימה Instance type, בוחרים את סוג המכונה (המופע) המועדף. מידע על סוגי המכונות הזמינים מופיע במאמר בנושא תפוקה ושינוי גודל.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי לעדכן את סוג המכונה של המחבר, מריצים את הפקודה הבאה במסוף:
```
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE
```
מחליפים את הערכים בשדות הבאים:
- ‫CONNECTOR_NAME: השם של המחבר
- ‫REGION: השם של האזור של המחבר
- ‫MACHINE_TYPE: סוג המכונה המועדף. מידע על סוגי המכונות שזמינים מופיע במאמר בנושא תפוקה ושינוי גודל.

הקטנת המספר המינימלי והמקסימלי של מופעים

כדי להקטין את מספר המינימום והמקסימום של המופעים, צריך לבצע את הפעולות הבאות:

יוצרים מחבר חדש עם הערכים המועדפים.
מעדכנים את השירות או הפונקציה כדי להשתמש במחבר החדש.
אחרי שמעבירים את התנועה של המחבר הישן, מוחקים אותו.

הגדלת המספר המינימלי והמקסימלי של מופעים

המסוף

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

מעבר אל Serverless VPC Access
בוחרים את כלי הקישור שרוצים לערוך ולוחצים על עריכה.
בשדה Minimum instances (מינימום מופעים), בוחרים את מספר המופעים המינימלי המועדף.

הערך הקטן ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי. הערך הגדול ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי בשדה מספר מופעים מקסימלי פחות 1. לדוגמה, אם הערך בשדה מספר מופעים מקסימלי הוא 8, הערך הגדול ביותר שאפשר להזין בשדה מספר מופעים מינימלי הוא 7.
בשדה מספר מופעים מקסימלי, בוחרים את המספר המקסימלי המועדף של מופעים.

הערך הקטן ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי. הערך המקסימלי האפשרי בשדה הזה הוא 10.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי להגדיל את מספר המינימום או המקסימום של המופעים של המחבר, מריצים את הפקודה הבאה בטרמינל:
```
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES
```
מחליפים את הערכים בשדות הבאים:

‫CONNECTOR_NAME: השם של מחבר הנתונים
‫REGION: השם של האזור של המחבר
‫MIN_INSTANCES: מספר המינימום המועדף של המופעים.
- הערך הקטן ביותר האפשרי בשדה הזה הוא הערך הנוכחי של min_instances. כדי למצוא את הערך הנוכחי, אפשר לעיין במאמר בנושא איך מוצאים את הערכים הנוכחיים של המאפיינים.
- הערך הכי גדול שאפשר להזין בשדה הזה הוא הערך הנוכחי של max_instances פחות 1, כי הערך של min_instances חייב להיות קטן מהערך של max_instances. לדוגמה, אם הערך של max_instances הוא 8, הערך המקסימלי האפשרי בשדה הזה הוא 7. אם המחבר משתמש בערך ברירת המחדל max-instances של 10, הערך המקסימלי האפשרי בשדה הזה הוא 9. כדי למצוא את הערך של max-instances, אפשר לעיין בקטע איך מוצאים את הערכים הנוכחיים של המאפיינים.
MAX_INSTANCES:
- הערך הקטן ביותר האפשרי בשדה הזה הוא הערך הנוכחי של max_instances. כדי למצוא את הערך הנוכחי, אפשר לעיין במאמר בנושא איך מוצאים את הערכים הנוכחיים של המאפיינים.
- הערך המקסימלי האפשרי בשדה הזה הוא 10.
אם רוצים להגדיל רק את המספר המינימלי של מופעים ולא את המספר המקסימלי, עדיין צריך לציין את המספר המקסימלי של מופעים. לעומת זאת, אם רוצים לעדכן רק את מספר המכונות המקסימלי ולא את מספר המכונות המינימלי, עדיין צריך לציין את מספר המכונות המינימלי. כדי להשאיר את מספר המכונות המינימלי או המקסימלי על הערך הנוכחי שלהם, מציינים את הערך הנוכחי. כדי לראות את הערך הנוכחי של המאפיין, אפשר לעיין במאמר בנושא איך מוצאים את הערכים הנוכחיים של המאפיינים.

חיפוש ערכי המאפיינים הנוכחיים

כדי למצוא את ערכי המאפיינים הנוכחיים של המחבר, מריצים את הפקודה הבאה במסוף:

gcloud compute networks vpc-access connectors describe CONNECTOR_NAME --region=REGION --project=PROJECT

מחליפים את הערכים בשדות הבאים:

‫CONNECTOR_NAME: השם של המחבר
‫REGION: השם של האזור של המחבר
‫PROJECT: השם של Google Cloud הפרויקט

מעקב אחר השימוש במתקני טעינה

מעקב אחרי השימוש לאורך זמן יכול לעזור לכם לקבוע מתי צריך לשנות את ההגדרות של מחבר. לדוגמה, אם השימוש במעבד עולה באופן חד, כדאי לנסות להגדיל את המספר המקסימלי של המופעים כדי לקבל תוצאות טובות יותר. או אם אתם מנצלים את מלוא נפח התפוקה, יכול להיות שתחליטו לעבור לסוג מכונה גדול יותר.

כדי להציג תרשימים של נתוני התפוקה, מספר המופעים והשימוש במעבד של המחבר לאורך זמן באמצעות Google Cloud המסוף:

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

מעבר אל Serverless VPC Access
לוחצים על השם של מחבר הנתונים שרוצים לעקוב אחריו.
בוחרים את מספר הימים שרוצים להציג, בין 1 ל-90 ימים.
בתרשים Throughput, מחזיקים את הסמן מעל התרשים כדי לראות את הנתונים האחרונים של קצב העברת הנתונים של המחבר.
בתרשים מספר המופעים, מעבירים את מצביע העכבר מעל התרשים כדי לראות את מספר המופעים שהמחבר השתמש בהם לאחרונה.
בתרשים CPU Utilization, מעבירים את מצביע העכבר מעל התרשים כדי לראות את השימוש האחרון במעבד של המחבר. בתרשים מוצג השימוש במעבד שמפוזר על פני מופעים באחוזונים ה-50, ה-95 וה-99.

מחיקת מחבר

לפני שמוחקים מחבר, צריך להסיר אותו מכל המשאבים ללא שרתים שעדיין משתמשים בו. אם מוחקים מחבר לפני שמסירים אותו מהמשאבים חסרי השרתים, אי אפשר למחוק את רשת ה-VPC בהמשך.

משתמשים ב-VPC משותף שהגדירו מחברים בפרויקט המארח של ה-VPC המשותף יכולים להשתמש בפקודה gcloud compute networks vpc-access connectors describe כדי להציג את רשימת הפרויקטים שבהם יש משאבים ללא שרתים שמשתמשים במחבר נתון.

כדי למחוק מחבר, משתמשים במסוף Google Cloud או ב-Google Cloud CLI:

המסוף

עוברים לדף הסקירה הכללית של Serverless VPC Access במסוףGoogle Cloud :

מעבר אל Serverless VPC Access
בוחרים את המחבר שרוצים למחוק.
לוחצים על Delete.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי למחוק מחבר, משתמשים בפקודה gcloud הבאה:
```
gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CONNECTOR_NAME עם השם של מחבר הנתונים שרוצים למחוק
- ‫REGION עם האזור שבו נמצא המחבר

פתרון בעיות

הרשאות של חשבון שירות

סוכן שירות לגישה ל-VPC מאפליקציית serverless

כדי לבצע פעולות בפרויקט Google Cloud , שירות Serverless VPC Access משתמש בחשבון השירות Serverless VPC Access Service Agent. כתובת האימייל של חשבון השירות הזה היא בפורמט הבא:

service-PROJECT_NUMBER@gcp-sa-vpcaccess.iam.gserviceaccount.com

כברירת מחדל, לחשבון השירות הזה יש את התפקיד סוכן שירות לגישה לרשת (VPC) מאפליקציית serverless (roles/vpcaccess.serviceAgent). אם תשנו את ההרשאות של החשבון הזה, יכול להיות שפעולות של חיבור לרשת (VPC) מאפליקציית serverless ייכשלו.

סוכן שירות של Google APIs

‫Serverless VPC Access API תלוי ב-Deployment Manager לצורך הקצאת המשאבים הבסיסיים שמיישמים את המחבר. כדי לבצע פעולות בפרויקט Google Cloud , Deployment Manager משתמש ב-סוכן שירות של Google APIs. כתובת האימייל של חשבון השירות הזה היא בפורמט הבא:

PROJECT_NUMBER@cloudservices.gserviceaccount.com

כברירת מחדל, לחשבון השירות הזה יש את התפקיד 'עריכה' (roles/project.editor) או הרשאות של התפקיד 'עריכה'. אם רוצים להעניק לסוכן השירות של Google APIs הרשאות מוגבלות יותר, בלי להשפיע על הפונקציונליות של חיבור לרשת VPC, אפשר להעניק לחשבון השירות הזה את התפקיד סוכן שירות של Serverless VPC Access (roles/vpcaccess.serviceAgent) במקום זאת.

שירותים מסוימים אחרים, מלבד Deployment Manager, מסתמכים גם על הרשאות התפקיד 'עריכה' שמוגדרות כברירת מחדל לסוכן שירות של Google APIs. הסרת התפקיד הזה עשויה להשפיע על שירותים ומשאבים אחרים מלבד Serverless VPC Access API. מידע נוסף על ההשלכות של הסרת תפקיד העריכה מסוכן השירות של Google APIs זמין במאמר סוכן השירות של Google APIs.

ביצועים חלשים ברשת או ניצול גבוה של המעבד בזמן שהוא לא פעיל

שימוש במחבר יחיד לאלפי מקרים עלול לגרום לירידה בביצועים ולעלייה בשימוש במעבד בזמן שהוא לא פעיל. כדי לפתור את הבעיה, צריך לפצל את השירותים בין כמה מחברים.

בעיות ב-MTU בהתאמה אישית

אם נתקלתם בבעיות עם MTU בהתאמה אישית, ודאו שאתם משתמשים בהגדרת ברירת המחדל של MTU ל-Cloud Run.

שגיאות

שגיאה: חשבון השירות צריך את התפקיד 'סוכן שירות'

אם משתמשים באילוץ מדיניות הארגון Restrict Resource Service Usage כדי לחסום את Cloud Deployment Manager ‏ (deploymentmanager.googleapis.com), יכול להיות שתופיע הודעת השגיאה הבאה:

Serverless VPC Access service account (service-<PROJECT_NUMBER>@gcp-sa-vpcaccess.iam.gserviceaccount.com) needs Serverless VPC Access Service Agent role in the project.

מגדירים את מדיניות הארגון כדי להסיר את Deployment Manager מהרשימה השחורה או להוסיף אותו לרשימת ההיתרים.

שגיאה ביצירת מחבר

אם יצירת מחבר מובילה לשגיאה, נסו את הפעולות הבאות:

מציינים טווח כתובות IP פנימיות מסוג RFC 1918 שלא חופף לאף כתובת IP קיימת ששמורה ברשת ה-VPC.
נותנים לפרויקט הרשאה להשתמש בתמונות של מכונות וירטואליות ב-Compute Engine מהפרויקט עם המזהה serverless-vpc-access-images. מידע נוסף על עדכון מדיניות הארגון בהתאם זמין במאמר בנושא הגדרת הגבלות על גישה לתמונות.

אין אפשרות לגשת למשאבים

אם ציינתם מחבר אבל עדיין אין לכם גישה למשאבים ברשת ה-VPC, ודאו שאין ברשת ה-VPC כללי חומת אש עם עדיפות נמוכה מ-1000 שחוסמים כניסה מטווח כתובות ה-IP של המחבר.

אם מגדירים מחבר בפרויקט שירות של VPC משותף, צריך לוודא שכללי חומת האש מאפשרים תעבורת נתונים נכנסת (ingress) מהתשתית ללא שרתים אל המחבר.

שגיאה מסוג 'החיבור נדחה'

אם אתם מקבלים שגיאות connection refused או connection timeout שפוגעות בביצועי הרשת, יכול להיות שהחיבורים שלכם גדלים ללא הגבלה בכל הפעלה של האפליקציה ללא שרת. כדי להגביל את המספר המקסימלי של חיבורים שנעשה בהם שימוש לכל מופע, צריך להשתמש בספריית לקוח שתומכת במאגרי חיבורים. דוגמאות מפורטות לשימוש במאגרי חיבורים מופיעות במאמר בנושא ניהול חיבורים למסדי נתונים.

השגיאה 'המשאב לא נמצא'

כשמוחקים רשת VPC או כלל חומת אש, יכול להיות שתוצג הודעה דומה להודעה הבאה: The resource "aet-uscentral1-subnet--1-egrfw" was not found.

מידע על השגיאה הזו ופתרון שלה זמין במאמר שגיאה: לא נמצא משאב במסמכי התיעוד בנושא כללים של חומת אש ב-VPC.

חסרה הרשאה נדרשת vpcaccess.connectors.use לחשבון השירות...

קודם כל, מוודאים שהתפקיד roles/vpcaccess.user מוקצה לחשבון השירות.

אם עדיין נתקלים בבעיות הרשאה עם מחבר ה-VPC, צריך לבדוק אם מדובר ב-VPC משותף. במקרה כזה, צריך לבצע הגדרה נוספת בפרויקט המארח.

השלבים הבאים

מתחברים ל-Memorystore מפונקציות Cloud Run.
הגדרת הגדרות רשת לפונקציות של Cloud Run.
מעקב אחרי פעילות אדמין באמצעות יומן ביקורת של חיבור לרשת (VPC) מאפליקציית serverless.
כדי להגן על משאבים ונתונים, אפשר ליצור גבול גזרה לשירות באמצעות VPC Service Controls.
תפקידים בניהול זהויות והרשאות גישה (IAM) שמשויכים לחיבור לרשת (VPC) מאפליקציית serverless במאמר תפקידים ב-Serverless VPC Access במסמכי התיעוד של IAM מפורטת רשימת ההרשאות שמשויכות לכל תפקיד.