Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

エクスプレスリンクを構成する

アンビエントネットワーキングのエクスプレスリンクを使用すると、アプリケーションに認証コードを記述したり、サービスメッシュを構成したりすることなく、同じプロジェクトとリージョン内の宛先 Cloud Run サービスにソース Cloud Run サービスを接続できます。

Cloud Run サービスが別の Identity and Access Management（IAM）で保護された Cloud Run サービスを呼び出す場合、リクエストには OpenID Connect（OIDC）ID トークンが含まれている必要があります。これにより、宛先は呼び出し元の ID と権限を確認できます。エクスプレスリンクがない場合は、アプリケーションにサービス間認証コードを記述してメタデータサーバーからトークンを取得してアタッチするか、Virtual Private Cloud（VPC）ネットワーク、バックエンドサービス、ルーティングルールなどの Cloud Service Mesh リソースを構成する必要があります。エクスプレスリンクは、この認証とルーティングの作業をフルマネージドのアンビエントサイドカーコンテナにオフロードします。これにより、アプリケーションコードのポータビリティを維持し、ビジネスロジックに集中できます。

ユースケース

エクスプレスリンクは、次のような場合に使用できます。

アプリケーションコードからサービス間認証をオフロードする: 呼び出し元の Cloud Run サービスを、IAM で保護された宛先の Cloud Run サービスに、プレーン HTTP 経由で接続します。アンビエントサイドカーは、ソースサービスの OIDC ID トークンを自動的に取得して挿入し、HTTPS 経由でリクエストを暗号化します。
カスタムホスト名を使用してリンク先 URL を抽象化する: --matches-hostname フラグを使用してエクスプレスリンクにカスタムホスト名を構成します。これにより、ソースアプリケーションは、リンク先の決定論的 URL をハードコードするのではなく、http://my-backend などの論理アドレスにリクエストを送信します。宛先サービスが変更された場合は、ソースアプリケーションコードを変更または再デプロイすることなく、新しい宛先を指すようにエクスプレスリンクを再作成できます。
サービスメッシュを使用せずにポイントツーポイントサービス呼び出しを簡素化する: Cloud Service Mesh に必要な VPC ネットワーク、ネットワークエンドポイントグループ、バックエンドサービス、Cloud DNS レコードをプロビジョニングすることなく、Cloud Run サービス間で認証情報を自動的に挿入します。

次の表は、エクスプレスリンクを使用する場合と使用しない場合の、認証されたサービス間通信を設定する手順を比較したものです。

ステップ	エクスプレスリンクなし	エクスプレスリンクを使用する
1. 宛先サービスをデプロイする	IAM 認証が必要な宛先 Cloud Run サービスをデプロイします（`--no-allow-unauthenticated`）。	同じです。
2. 起動元権限を付与する	宛先サービスに対する Cloud Run 起動元（`roles/run.invoker`）ロールを、ソースサービスのサービスアカウントに付与します。	同じです。
3. アウトバウンドリクエストを構成する	ソースアプリケーションで、リンク先 URL の OIDC ID トークンを取得し、HTTPS 経由で `Authorization: Bearer` ヘッダーに添付するコードを記述します。	ソースアプリケーションで認証コードを使用せずに、リンク先 URL またはカスタムホスト名にプレーンな `http://` リクエストを送信します。
4. ソースサービスをデプロイする	ソース Cloud Run サービスをデプロイします。	アンビエントネットワーキングを有効にしてソース Cloud Run サービスをデプロイし、デプロイされたソースサービスと宛先サービスの間にエクスプレスリンクを作成します。

アーキテクチャ

ソース Cloud Run サービスでアンビエントネットワーキングを有効にしてエクスプレスリンクを作成すると、Cloud Run は、各コンテナインスタンスでアプリケーションコンテナとともに実行されるフルマネージド Envoy サイドカーコンテナを構成します。

アプリケーションが宛先サービスの決定論的 URL またはエクスプレスリンクで構成したカスタムホスト名にプレーンな HTTP リクエストを送信すると、アンビエントサイドカーコンテナは自動的に次の処理を行います。

ターゲットサービス宛てのアウトバウンド HTTP リクエストをインターセプトします。
ソースサービスのサービスアカウントの OIDC ID トークンを取得し、Authorization ヘッダーに挿入します。
リクエストを暗号化し、HTTPS（一方向 TLS）経由で宛先の Cloud Run サービスに転送します。このサービスは、呼び出し元の IAM 権限を検証します。

ソース Cloud Run サービス内のアプリケーションコンテナが、アンビエントサイドカーコンテナにプレーン HTTP リクエストを送信します。アンビエントサイドカーコンテナは、リクエストをインターセプトし、OIDC ID トークンを挿入して、ID トークンとペイロードを HTTPS 経由でエクスプレスリンクを介して宛先 Cloud Run サービスに転送します。 — **図 1.** アンビエントサイドカーコンテナは、ソースサービスからの送信リクエストをインターセプトし、OIDC ID トークンを挿入して、HTTPS（一方向 TLS）経由で宛先サービスにリクエストを転送します。

ネットワーク接続とデータプレーン

エクスプレスリンクは、アンビエントサイドカーでアウトバウンドリクエストのインターセプトと認証情報の挿入を構成しますが、サービス間の基盤となるネットワークパスを置き換えるものではありません。ソースサービスが宛先サービスの Ingress パスに到達できることを確認する必要があります。

宛先の上り（内向き）が [すべて] に設定されている場合: ソースサービスで VPC ネットワークまたはアウトバウンドの下り（外向き）構成は必要ありません。
宛先の上り（内向き）が [内部] または [内部ロードバランサと Cloud Load Balancer] に設定されている場合: ダイレクト VPC 下り（外向き）またはサーバーレス VPC アクセスコネクタを使用して、プライベート Google アクセスが有効になっている承認済みの VPC ネットワーク経由で、ソースサービスからのアウトバウンドトラフィックを転送する必要があります。詳細については、他の Cloud Run サービスからリクエストを受信するをご覧ください。

始める前に

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、アカウントを作成して、実際のシナリオで Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Cloud Run、Network Services、Traffic Director の各 API がまだ有効になっていない場合は、有効にします。
API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法を確認する。
API を有効にする

同じプロジェクトとリージョンに、既存のソース Cloud Run サービスと既存の宛先 Cloud Run サービスがあることを確認します。
ソース Cloud Run サービスで global スコープを使用してアンビエントネットワーキングが有効になっていることを確認します。たとえば、gcloud beta run services update SOURCE_SERVICE --ambient-networking --ambient-scope=global --region=REGION を実行します。最初にサービスの CPU とメモリの上限を増やす必要があります。
アンビエントネットワーキングサイドカーの使用量については、Cloud Run の料金ページをご覧ください。プレビュー期間中は、アンビエント機能の課金は適用されません。

必要なロール

エクスプレスリンクの構成に必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

エクスプレスリンクを構成する: プロジェクトに対する Cloud Run デベロッパー（roles/run.developer）とサービスアカウントユーザー（roles/iam.serviceAccountUser）
エクスプレスリンクリソースを管理する: プロジェクトに対するネットワークサービス管理者（roles/networkservices.admin）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

ソース Cloud Run サービスのサービス ID には、プロジェクトに対する次のロールも付与されている必要があります。

Traffic Director クライアント（roles/trafficdirector.client）
Cloud Trace エージェント（roles/cloudtrace.agent）

これらのロールをサービス ID に付与するには、gcloud を使用します。

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:RUN_CLIENT_SA@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/trafficdirector.client"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:RUN_CLIENT_SA@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/cloudtrace.agent"

次のように置き換えます。

PROJECT_ID: 実際の Google Cloud プロジェクト ID。
RUN_CLIENT_SA: ソース Cloud Run サービスに接続されているサービスアカウントの名前。

Cloud Run サービス ID にこれらのロールがない場合でも、Cloud Run サービスはデプロイされますが、アンビエントネットワーキングに依存する機能は動作しません。この動作は Cloud Service Mesh とは異なります。Cloud Service Mesh では、必要なロールがないと Cloud Run サービスのデプロイに失敗します。

制限事項

エクスプレスリンクには次の制限が適用されます。

ソースリソースと宛先リソースとしてサポートされているのは、Cloud Run サービスのみです。Cloud Run ジョブ、ワーカープール、インスタンスはサポートされていません。
プロジェクト間およびリージョン間の構成はサポートされていません。ソース Cloud Run サービスと宛先 Cloud Run サービスは、同じプロジェクトとリージョンに存在する必要があります。
エクスプレスリンクには、ソースサービスに global スコープを持つアンビエントネットワーキングが必要です。ソースサービスが regional スコープを使用している場合、エクスプレスリンクの作成は成功しますが、トラフィックはルーティングされません。
エクスプレスリンクを作成する前に、ソースと宛先の Cloud Run サービスを作成する必要があります。順序外の作成はサポートされていません。宛先サービスを削除すると、エクスプレスリンクを削除または再作成するまで、エクスプレスリンクは古い構成を表示して提供し続ける可能性があります。
既存のエクスプレスリンクのソースサービス、宛先サービス、カスタムホスト名をインプレースで更新することはできません。gcloud beta network-services express-links update コマンドは、エクスプレスリンクの説明のみを更新します。ルーティング構成を変更するには、エクスプレスリンクを削除して再作成します。
カスタム URL、カスタムドメイン、または --matches-hostname フラグを使用してカスタムホスト名を構成する場合でも、宛先の Cloud Run サービスでデフォルトの run.app URL を有効にする必要があります。
宛先の非決定論的 URL に送信されたリクエストはインターセプトされず、403 Forbidden エラーで失敗します。サービス名とプロジェクト番号の組み合わせが 63 文字を超えているため、宛先サービスに決定的 URL がない場合は、--matches-hostname を指定する必要があります。指定しないと、エクスプレスリンクの作成が Cloud Run Service name is too long エラーで失敗します。
エクスプレスリンクの完全なステータスを表示すると、宛先サービスの情報のみが返されます。ソースの Cloud Run リビジョンとネゴシエートされた認証の詳細が欠落しているか、古いデータが表示されている可能性があります。これは、エクスプレスリンクがトラフィックをルーティングまたは認証する方法には影響しません。
エージェント ID と mTLS バインドトークンで構成されたソース Cloud Run サービスはサポートされていません。
Cloud Run の Agent Gateway と Secure Web Proxy を介してアウトバウンドトラフィックをルーティングするように構成されたソース Cloud Run サービスはサポートされていません。エクスプレスリンクにはグローバルアンビエントネットワーキングスコープが必要ですが、Agent Gateway にはリージョンスコープが必要です。
ソースサービスからのアウトバウンドリクエストにすでに Authorization ヘッダーが含まれている場合、エクスプレスリンクはそのヘッダーを変更せずにリクエストを転送し、トークンを挿入しません。X-Serverless-Authorization ヘッダーへのトークンの自動挿入はサポートされていません。
Cloud Run サンドボックスコンテナから生成されたトラフィックはサポートされていません。
エクスプレスリンクを使用して、Identity-Aware Proxy で保護されている宛先の Cloud Run サービスにトラフィックを転送することはできません。
各エクスプレスリンクは 1 つの宛先 Cloud Run サービスをサポートし、プロジェクトごとに最大 5,000 個のエクスプレスリンクを作成できます。

エクスプレスリンクを構成する

Cloud Run サービスを接続するには、ソースサービスと宛先サービスを指定するエクスプレスリンクを作成し、宛先サービスに Cloud Run 起動元のロールを付与します。

別の Cloud Run サービスに接続する

ソース Cloud Run サービスを宛先 Cloud Run サービスに接続するには、gcloud または YAML を使用してエクスプレスリンクを作成します。

gcloud

gcloud beta network-services express-links create コマンドを使用して、エクスプレスリンクを作成します。

gcloud beta network-services express-links create EXPRESS_LINK_NAME \
    --location=global \
    --source-services=//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/SOURCE_SERVICE \
    --destination-services=//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/DESTINATION_SERVICE

次のように置き換えます。

EXPRESS_LINK_NAME: エクスプレスリンクの名前。
PROJECT_ID: 実際の Google Cloud プロジェクト ID。
REGION: Cloud Run サービスがデプロイされているリージョン。
SOURCE_SERVICE: ソース Cloud Run サービスの名前。
DESTINATION_SERVICE: 宛先の Cloud Run サービスの名前。

コマンドが完了してから、ルーティング構成が実行中のソースサービスインスタンスに反映されるまでに最大 2 分かかることがあります。

デフォルトでは、エクスプレスリンクは、宛先サービスの非決定論的 URL ではなく、決定論的 URL に送信されたリクエストのみをインターセプトします。カスタムホスト名を使用するには、--matches-hostname="HOSTNAME" フラグでスキームなしのホスト名（--matches-hostname="DESTINATION_SERVICE" など）を渡し、ソースアプリケーションから http://HOSTNAME にリクエストを送信します。--matches-hostname を指定すると、決定論的 URL が追加されるのではなく、置き換えられます。

YAML

構成ファイル（express-link.yaml など）を作成します。
```
name: "projects/PROJECT_ID/locations/global/expressLinks/EXPRESS_LINK_NAME"
source:
  services:
    - "//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/SOURCE_SERVICE"
destination:
  services:
    - "//run.googleapis.com/projects/PROJECT_ID/locations/REGION/services/DESTINATION_SERVICE"
```
次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- REGION: サービスがデプロイされているリージョン。
- EXPRESS_LINK_NAME: エクスプレスリンクの名前。
- SOURCE_SERVICE: ソース Cloud Run サービスの名前。
- DESTINATION_SERVICE: 宛先の Cloud Run サービスの名前。
gcloud beta network-services express-links import コマンドを使用して YAML ファイルをインポートします。
```
gcloud beta network-services express-links import EXPRESS_LINK_NAME \
    --location=global \
    --source=YAML_FILENAME.yaml
```
次のように置き換えます。
- EXPRESS_LINK_NAME: エクスプレスリンクの名前。
- YAML_FILENAME: YAML ファイルの名前。

宛先サービスに対する起動元の権限を付与する

ソースサービスが IAM で保護された宛先サービスを呼び出せるようにするには、宛先の Cloud Run サービスでソースサービスのサービスアカウントに Cloud Run 起動元（roles/run.invoker）ロールを付与します。これは、データプレーンで認証が機能するために必要です。

gcloud run services add-iam-policy-binding DESTINATION_SERVICE \
    --member="serviceAccount:SOURCE_SA@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/run.invoker" \
    --region=REGION

次のように置き換えます。

DESTINATION_SERVICE: 宛先の Cloud Run サービスの名前。
SOURCE_SA: ソース Cloud Run サービスに接続されているサービスアカウントの名前。
PROJECT_ID: 実際の Google Cloud プロジェクト ID。
REGION: 宛先サービスがデプロイされているリージョン。

エクスプレスリンクのステータスを確認する

エクスプレスリンクの基本構成を表示するには、gcloud beta network-services express-links describe コマンドを使用します。

gcloud beta network-services express-links describe EXPRESS_LINK_NAME \
    --location=global

connectionStatus（アクティブなルートタイプ、一致したホスト名、ソースリビジョン URI）と cloudRunSourceInfo（構成された認証方法と VPC ネットワーク）を含むエクスプレスリンクの完全なステータスを表示するには、リソース名に ?view=EXPRESS_LINK_VIEW_FULL# を含めます。

gcloud beta network-services express-links describe 'EXPRESS_LINK_NAME?view=EXPRESS_LINK_VIEW_FULL#' \
    --location=global

EXPRESS_LINK_NAME は、エクスプレスリンクの名前に置き換えます。完全なビューをクエリする場合は、一重引用符と末尾の # 文字を保持します。

エクスプレスリンクを削除または再作成する

エクスプレスリンクを削除し、ソースサービスからの認証情報の自動挿入とトラフィックのインターセプトを停止するには、gcloud beta network-services express-links delete コマンドを使用します。

gcloud beta network-services express-links delete EXPRESS_LINK_NAME \
    --location=global

EXPRESS_LINK_NAME は、エクスプレスリンクの名前に置き換えます。

既存のエクスプレスリンクを別の宛先サービスに転送する場合、または --matches-hostname 設定を変更する場合は、上記のコマンドでエクスプレスリンクを削除してから、更新された構成で新しいエクスプレスリンクを作成します。

次のステップ

Cloud Run サービスにアンビエントネットワーキングを構成する方法を確認する。
Cloud Run の Agent Gateway について確認する。
Cloud Run のサービス間認証について学習する。
Cloud Run サービスのネットワークエンドポイントの上り（内向き）を制限する方法を確認する。

エクスプレス リンクを構成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

ユースケース

アーキテクチャ

ネットワーク接続とデータプレーン

始める前に

必要なロール

制限事項

エクスプレス リンクを構成する

別の Cloud Run サービスに接続する

gcloud

YAML

宛先サービスに対する起動元の権限を付与する

エクスプレス リンクのステータスを確認する

エクスプレス リンクを削除または再作成する

次のステップ

エクスプレスリンクを構成する

エクスプレスリンクを構成する

エクスプレスリンクのステータスを確認する

エクスプレスリンクを削除または再作成する