הגדרת מחברים בפרויקט המארח של ה-VPC המשותף

אם בארגון שלכם משתמשים ב-VPC משותף, אתם יכולים להגדיר מחברי חיבור לרשת (VPC) מאפליקציית serverless בפרויקט השירות או בפרויקט המארח. במדריך הזה מוסבר איך להגדיר מחבר בפרויקט המארח.

אם אתם צריכים להגדיר מחבר בפרויקט שירות, תוכלו לעיין במאמר הגדרת מחברים בפרויקטים של שירותים. במאמר התחברות לרשת VPC משותפת מוסבר על היתרונות של כל שיטה.

לפני שמתחילים

  1. בדקו את התפקידים בניהול הזהויות והרשאות הגישה (IAM) בחשבון שבו אתם משתמשים כרגע. לחשבון הפעיל צריכים להיות התפקידים הבאים בפרויקט המארח:

  2. בוחרים את פרויקט המארח בסביבה המועדפת.

המסוף

  1. פותחים את לוח הבקרה במסוף Google Cloud .

    כניסה ללוח הבקרה של המסוף Google Cloud

  2. בסרגל התפריטים בחלק העליון של לוח הבקרה, לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

gcloud

מגדירים את פרויקט ברירת המחדל ב-CLI של gcloud לפרויקט המארח על ידי הרצת הפקודה הבאה במסוף: 

gcloud config set project HOST_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף

יצירת מחבר של חיבור לרשת (VPC) מאפליקציית serverless

כדי לשלוח בקשות לרשת ה-VPC ולקבל את התגובות המתאימות, צריך ליצור מחבר של חיבור לרשת (VPC) מאפליקציית serverless. אפשר ליצור מחבר באמצעות מסוף Google Cloud , Google Cloud CLI או Terraform:

המסוף

  1. מפעילים בפרויקט את Serverless VPC Access API.

    הפעלת ה-API

  2. עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

    מעבר אל חיבור לרשת (VPC) מאפליקציית serverless

  3. לוחצים על יצירת מחבר.

  4. בשדה Name, מזינים שם למחבר. השם צריך להיות בהתאם למוסכמות למתן שמות ב-Compute Engine, ואורכו צריך להיות פחות מ-21 תווים. מקפים (-) נספרים כשני תווים.

  5. בשדה Region (אזור), בוחרים אזור למחבר. האזור הזה צריך להיות זהה לאזור של השירות ללא שרתים.

    אם השירות שלכם נמצא באזור us-central או europe-west, אתם צריכים להשתמש ב-us-central1 או ב-europe-west1.

  6. בשדה רשת, בוחרים את רשת ה-VPC שאליה רוצים לצרף את המחבר.

  7. לוחצים על התפריט הנפתח רשת משנה:

    בוחרים רשת משנה /28 שלא נמצאת בשימוש.

    • רשתות המשנה צריכות לשמש אך ורק את המחבר. אי אפשר להשתמש בהם במשאבים אחרים כמו מכונות וירטואליות, Private Service Connect או מאזני עומסים.
    • כדי לוודא שלא נעשה שימוש ברשת המשנה עבור Private Service Connect או Cloud Load Balancing, מריצים את הפקודה הבאה ב-CLI של gcloud כדי לבדוק שהרשת המשנה purpose היא PRIVATE:
      ‫
      gcloud compute networks subnets describe SUBNET_NAME
      מחליפים את SUBNET_NAME בשם של רשת המשנה.

  8. (אופציונלי) כדי להגדיר אפשרויות שינוי גודל לשליטה נוספת במחבר, לוחצים על הצגת הגדרות שינוי גודל כדי להציג את טופס שינוי הגודל.

    1. מגדירים את מספר המכונות המינימלי והמקסימלי למחבר, או משתמשים בערכי ברירת המחדל: 2 (מינימום) ו-10 (מקסימום). המחבר מתרחב עד למקסימום שצוין ככל שהתנועה גדלה, אבל הוא לא מצטמצם כשהתנועה פוחתת. הערכים צריכים להיות בין 2 ל-10, והערך של MIN צריך להיות קטן מהערך של MAX.
    2. בתפריט הנפתח Instance Type, בוחרים את סוג המכונה שבה ישמש המחבר, או משתמשים בברירת המחדל e2-micro. שימו לב לסרגל הצד של העלויות משמאל כשבוחרים את סוג המופע. בסרגל מוצגים אומדנים של רוחב הפס והעלויות.

  9. לוחצים על יצירה.

  10. כשמחבר מוכן לשימוש, יופיע סימן וי ירוק ליד השם שלו.

gcloud

  1. מעדכנים את הרכיבים של gcloud לגרסה האחרונה:

    gcloud components update

  2. מפעילים בפרויקט את Serverless VPC Access API:

    gcloud services enable vpcaccess.googleapis.com

  3. יוצרים מחבר של חיבור לרשת (VPC) מאפליקציית serverless:

    gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
--region=REGION \
--subnet=SUBNET \
--subnet-project=HOST_PROJECT_ID \
# Optional: specify minimum and maximum instance values between 2 and 10, default is 2 min, 10 max.
--min-instances=MIN \
--max-instances=MAX \
# Optional: specify machine type, default is e2-micro
--machine-type=MACHINE_TYPE

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫CONNECTOR_NAME: שם לחיבור. השם צריך לעמוד במוסכמות למתן שמות ב-Compute Engine, והאורך שלו צריך להיות פחות מ-21 תווים. מקפים (-) נספרים כשני תווים.
    • ‫REGION: אזור לחיבור. האזור הזה צריך להיות זהה לאזור של שירות ללא שרת. אם השירות שלכם נמצא באזור us-central או europe-west, צריך להשתמש ב-us-central1 או ב-europe-west1.
    • ‫SUBNET: השם של תת-רשת /28 שלא נמצאת בשימוש.
      • רשתות המשנה צריכות לשמש אך ורק את המחבר. אי אפשר להשתמש בהם במשאבים אחרים כמו מכונות וירטואליות, Private Service Connect או מאזני עומסים.
      • כדי לוודא שרשת המשנה לא משמשת ל-Private Service Connect או ל-Cloud Load Balancing, מריצים את הפקודה הבאה ב-CLI של gcloud כדי לבדוק שרשת המשנה purpose היא PRIVATE: 
        gcloud compute networks subnets describe SUBNET_NAME
        מחליפים את מה שכתוב בשדות הבאים:
        • ‫SUBNET_NAME: השם של תת-הרשת
    • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח
    • ‫MIN: מספר המינימום של המופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 2 ל-9. ערך ברירת המחדל הוא 2. מידע על שינוי גודל המחבר זמין במאמר קצב העברת נתונים ושינוי גודל.
    • ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10. ערך ברירת המחדל הוא 10. אם התנועה דורשת זאת, המחבר מתרחב ל-[MAX] מופעים, אבל לא מצטמצם. מידע על שינוי גודל המחבר זמין במאמר קצב העברת נתונים ושינוי גודל.
    • MACHINE_TYPE: f1-micro,‏ e2-micro או e2-standard-4. מידע על קצב העברת הנתונים של המחבר, כולל סוג המכונה והתאמת קנה מידה, זמין במאמר קצב העברת נתונים והתאמת קנה מידה.

    פרטים נוספים וארגומנטים אופציונליים מופיעים במאמר gcloud.

  4. לפני שמשתמשים במחבר, מוודאים שהוא במצב READY:

    gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region=REGION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫CONNECTOR_NAME: השם של מחבר הנתונים. זהו השם שציינתם בשלב הקודם
    • ‫REGION: האזור של המחבר. זהו האזור שציינתם בשלב הקודם

    הפלט צריך לכלול את השורה state: READY.

Terraform

אפשר להשתמש במשאב של Terraform כדי להפעיל את vpcaccess.googleapis.com API.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

אתם יכולים להשתמש במודולים של Terraform כדי ליצור רשת VPC ותת-רשת, ואז ליצור את המחבר.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 16.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 16.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

הפעלת פונקציות של Cloud Run בפרויקט השירות

מפעילים את Cloud Run functions API בפרויקט השירות. הפעולה הזו נדרשת כדי להוסיף תפקידי IAM בשלבים הבאים וכדי שפרויקט השירות יוכל להשתמש בפונקציות Cloud Run.

המסוף

  1. פותחים את הדף של Cloud Run functions API.

    ‫Cloud Run functions API

  2. בסרגל התפריטים בחלק העליון של לוח הבקרה, לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט השירות.

  3. לוחצים על Enable.

gcloud

מריצים את הפקודה הבאה בטרמינל:

gcloud services enable cloudfunctions.googleapis.com --project=SERVICE_PROJECT_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות

מתן גישה למחבר

כדי לתת גישה למחבר, צריך להקצות לפרויקט השירות בפרויקט המארח את תפקיד ה-IAM‏ Cloud Run functions Service Agent‏ Serverless VPC Access User.

המסוף

  1. פותחים את דף IAM.

    כניסה לדף IAM

  2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

  3. לוחצים על הענקת גישה.

  4. בשדה New principals, מזינים את כתובת האימייל של סוכן השירות של Cloud Run functions עבור פרויקט השירות: 

    service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫SERVICE_PROJECT_NUMBER: מספר הפרויקט שמשויך לפרויקט השירות. זה שונה ממזהה הפרויקט. אפשר לראות את מספר הפרויקט בדף Project Settings של פרויקט השירות במסוףGoogle Cloud .

  5. בשדה תפקיד, בוחרים באפשרות משתמש של חיבור לרשת (VPC) מאפליקציית serverless.

  6. לוחצים על Save.

gcloud

  1. מריצים את הפקודה הבאה בטרמינל:

    gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=serviceAccount:service-SERVICE_PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com \
--role=roles/vpcaccess.user

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף

    • ‫SERVICE_PROJECT_NUMBER: מספר הפרויקט שמשויך לפרויקט השירות. זה שונה ממזהה הפרויקט. כדי למצוא את מספר הפרויקט, מריצים את הפקודה הבאה:

      gcloud projects describe SERVICE_PROJECT_ID

הגדרת המחבר כך שיהיה ניתן לגלות אותו

במדיניות ה-IAM של פרויקט המארח, צריך להקצות את שני התפקידים המוגדרים מראש הבאים לחשבונות הראשיים שמבצעים פריסה של שירותי Cloud Run:

לחלופין, אפשר להשתמש בתפקידים בהתאמה אישית או בתפקידים מוגדרים מראש אחרים שכוללים את כל ההרשאות של התפקיד 'צפייה בחיבור לרשת (VPC) מאפליקציית serverless' (vpcaccess.viewer).

המסוף

  1. פותחים את דף IAM.

    כניסה לדף IAM

  2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט המארח.

  3. לוחצים על הענקת גישה.

  4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש שצריכה להיות לו אפשרות לראות את המחבר מפרויקט השירות. אפשר להזין כמה כתובות אימייל בשדה הזה.

  5. בשדה תפקיד, בוחרים את שני התפקידים הבאים:

    • בעל הרשאת צפייה בחיבור לרשת (VPC) מאפליקציית serverless
    • צפייה ברשת Compute

  6. לוחצים על Save.

gcloud

מריצים את הפקודות הבאות בטרמינל:

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/vpcaccess.viewer

gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
--member=PRINCIPAL \
--role=roles/compute.networkViewer

מחליפים את מה שכתוב בשדות הבאים:

  • ‫HOST_PROJECT_ID: המזהה של פרויקט המארח של ה-VPC המשותף
  • ‫PRINCIPAL: חשבון המשתמש שפורס שירותים של Cloud Run. מידע נוסף על הדגל --member

הגדרת הפונקציה לשימוש במחבר

לכל פונקציה שנדרשת לה גישה ל-VPC המשותף, צריך לציין את המחבר של הפונקציה. בשלבים הבאים מוסבר איך להגדיר את הפונקציה כך שתשתמש במחבר.

המסוף

  1. פותחים את דף הסקירה הכללית של Cloud Run functions.

    כניסה לדף Cloud Run functions

  2. לוחצים על התפריט הנפתח של הפרויקט ובוחרים את פרויקט השירות.

  3. לוחצים על יצירת פונקציה. לחלופין, לוחצים על פונקציה קיימת כדי לעבור לדף הפרטים שלה, ואז לוחצים על עריכה.

  4. לוחצים על Runtime, build...‎ כדי להרחיב את ההגדרות המתקדמות.

  5. בכרטיסייה Connections בקטע Egress settings, בוחרים את המחבר בשדה VPC connector.

gcloud

  1. מגדירים את ה-CLI של gcloud לשימוש בפרויקט שמכיל את הפונקציה: 

    gcloud config set project PROJECT_ID
     מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט שמכיל את הפונקציה שנדרשת לה גישה ל-VPC המשותף. אם הפונקציה נמצאת בפרויקט המארח, זהו מזהה הפרויקט המארח. אם הפונקציה נמצאת בפרויקט שירות, זהו מזהה פרויקט השירות.

  2. משתמשים בדגל --vpc-connector ופורסים את הפונקציה:

    gcloud functions deploy FUNCTION_NAME --vpc-connector=CONNECTOR_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫FUNCTION_NAME: השם של הפונקציה
  • ‫CONNECTOR_NAME: השם של המחבר. משתמשים בשם המוגדר במלואו כשמבצעים פריסה מפרויקט שירות של VPC משותף (בניגוד לפרויקט המארח), לדוגמה:
    ‫
    projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
     כאשר HOST_PROJECT_ID הוא מזהה פרויקט המארח, CONNECTOR_REGION הוא האזור של המחבר ו-CONNECTOR_NAME הוא השם שנתתם למחבר.

כדי לקבל שליטה רבה יותר בבקשות שמועברות דרך המחבר, אפשר לעיין במאמר בנושא הגדרות יציאה.

השלבים הבאים