‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

התחברות לרשת VPC

אנחנו ממליצים להשתמש בDirect VPC egress כדי לשלוח תעבורת נתונים לרשת VPC, בלי צורך במחבר.

עם זאת, אם Direct VPC egress לא מתאים לכם, אתם יכולים להגדיר במקום זאת מחבר Serverless VPC Access. בדף הזה מוסבר איך לקשר שירות או משימה של Cloud Run לרשת ה-VPC באמצעות מחבר, כדי לאפשר תעבורת נתונים יוצאת (egress) מ-Cloud Run למכונות וירטואליות ב-Compute Engine, למופעים של Memorystore ולכל משאב אחר עם כתובת IP פנימית.

לפני שמתחילים

אם עדיין אין לכם רשת VPC בפרויקט, צרו רשת כזו.
אם אתם משתמשים ב-VPC משותף, כדאי לעיין במסמכים שמתייחסים ספציפית להגדרת חיבור לרשת (VPC) מאפליקציית serverless עבור המוצר שלכם.
- ‫Cloud Run: התחברות לרשת VPC משותפת
- פונקציות Cloud Run: התחברות לרשת VPC משותפת
- ‫App Engine: ‏ התחברות לרשת VPC משותפת
אם יש לכם אילוץ במדיניות הארגון שמונע את השימוש ב-Cloud Deployment Manager, לא תוכלו ליצור או למחוק מחברים של Serverless VPC Access. כדי ליצור או למחוק מחבר, צריך להשתמש בפונקציונליות של Deployment Manager.
אם הגדרתם מדיניות בנושא קובצי אימג' מהימנים לפרויקט, הקפידו לאפשר את הפרויקט serverless-vpc-access-images במדיניות הארגון constraints/compute.trustedimageProjects.

הדרישות לגבי רשתות משנה של מחברים
כל מחבר צריך תת-רשת ייעודית משלו, PRIVATE-purpose, עם טווח כתובות IPv4 ראשי /28. אי אפשר להשתמש בתת-הרשת הזו למשאבים אחרים, כמו מכונות וירטואליות, Private Service Connect או מאזני עומסים. אחרי שיוצרים את מחבר, אי אפשר להרחיב את רשת המשנה. הערך חייב להישאר /28.
כדי ליצור מחבר בפרויקט שירות שמשתמש ברשת VPC משותפת בפרויקט מארח, מנהל רשת של רשת ה-VPC המשותפת צריך ליצור ידנית את תת-הרשת של המחבר לפני שיוצרים את המחבר.
כדי לקבוע אם אפשר להשתמש במחבר ברשת משנה קיימת שנוצרה באופן ידני, צריך לתאר את רשת המשנה:
```
gcloud compute networks subnets describe SUBNET --region=REGION
```
מחליפים את SUBNET בשם של רשת המשנה ואת REGION באזור שכולל את רשת המשנה.

בפלט, בודקים את הפרטים הבאים:
- רשת המשנה היא רשת משנה רגילה. ב-Google Cloud CLI, המשמעות היא שהערך של purpose הוא PRIVATE.
- טווח כתובות ה-IPv4 הראשי של רשת המשנה, ipCidrRange, הוא /28.
הערה: תת-רשת רגילה היא סוג ברירת המחדל של תת-רשת. לרשתות משנה רגילות יש מטרה PRIVATE ב-gcloud או ב-API. המטרה None מופיעה במסוף Google Cloud .
אם אתם צריכים ליצור חיבור לרשת (VPC) מאפליקציית serverless באותו פרויקט שמכיל את רשת ה-VPC שבה המחבר משתמש, אתם יכולים ליצור את רשת המשנה של המחבר באופן ידני לפני שאתם יוצרים את המחבר, או Google Cloud ליצור את רשת המשנה של המחבר באופן אוטומטי.

כש- Google Cloud יוצר תת-רשת למחבר, חשוב לשים לב לנקודות הבאות:
- רשתות משנה שנוצרות באופן אוטומטי עבור מחברים לא מוצגות כשמציגים רשימה של רשתות משנה, לא משנה אם משתמשים במסוף Google Cloud , ב-Google Cloud CLI או ב-Compute Engine API.
- אי אפשר לתאר רשתות משנה שנוצרו באופן אוטומטי עבור מחברים.
- תת-רשתות שנוצרות באופן אוטומטי נכללות ברשימת תת-הרשתות שמוצגת כשאתם מתארים רשת VPC.

מידע נוסף על רשתות משנה, כולל איך לראות רשימה של רשתות משנה קיימות כדי לקבוע אילו טווחי כתובות IP כבר נמצאים בשימוש, זמין במאמר בנושא עבודה עם רשתות משנה.

מגבלות

אין תמיכה בתעבורת IPv6.
אין תמיכה ביצירת מחברים של Serverless VPC Access באזור asia-southeast3.
יצירת מחברים של חיבור לרשת (VPC) מאפליקציית serverless נכשלת בסביבות של עומסי עבודה מאובטחים. כדי לעקוף את הבעיה, אפשר להגדיר Direct VPC egress למשאבים בלי שרת (serverless).

יצירת מחבר

כדי לשלוח בקשות לרשת ה-VPC ולקבל את התשובות המתאימות בלי להשתמש באינטרנט הציבורי, אפשר להשתמש במחבר של חיבור לרשת (VPC) מאפליקציית serverless.

אם המחבר נמצא באותו פרויקט כמו רשת ה-VPC שלו, אתם יכולים ליצור מחבר באמצעות רשת משנה קיימת או ליצור מחבר ורשת משנה חדשה.

אם המחבר שלכם נמצא בפרויקט שירות ומשתמש ברשת VPC משותפת, המחבר ורשת ה-VPC המשויכת שלו נמצאים בפרויקטים שונים. כשהמחבר ורשת ה-VPC שלו נמצאים בפרויקטים שונים, מנהל רשת ה-VPC המשותפת צריך ליצור את רשת המשנה של המחבר ברשת ה-VPC המשותפת לפני שתוכלו ליצור את המחבר, וגם תצטרכו ליצור את המחבר באמצעות רשת משנה קיימת.

מידע נוסף על הדרישות של רשתות משנה מופיע במאמר דרישות של רשתות משנה למחברים.

במאמר תפוקה ושינוי קנה מידה מוסבר על התפוקה של המחבר, כולל סוג המכונה ושינוי קנה המידה.

אפשר ליצור מחבר באמצעות מסוף Google Cloud ,‏ Google Cloud CLI או Terraform.

המסוף

נכנסים לדף הסקירה הכללית של Serverless VPC Access.

כניסה לדף Serverless VPC Access
לוחצים על יצירת מחבר.
בשדה Name (שם), מזינים שם למחבר בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות שהשם צריך להיות באורך של פחות מ-21 תווים, ושהמקפים (-) נספרים כשני תווים.
בשדה Region (אזור), בוחרים אזור למחבר. האזור הזה צריך להיות זהה לאזור של השירות ללא שרתים.
בשדה רשת, בוחרים את רשת ה-VPC שאליה רוצים לצרף את המחבר.
בשדה Subnet, בוחרים באחת מהאפשרויות הבאות:
- יצירת מחבר באמצעות רשת משנה קיימת: בוחרים את רשת המשנה הקיימת בשדה Subnet.
- ליצור מחבר ורשת משנה חדשה: בוחרים באפשרות טווח כתובות IP מותאם אישית בשדה רשת משנה. לאחר מכן, מזינים את הכתובת הראשונה ב-/28CIDR שלא נמצא בשימוש (לדוגמה, 10.8.0.0/28) כדי להשתמש בה כטווח הכתובות הראשי של IPv4 של רשת משנה חדשה ש Google Cloud נוצרת ברשת ה-VPC של המחבר. מוודאים שטווח כתובות ה-IP לא מתנגש עם נתיבים קיימים ברשת ה-VPC של המחבר. השם של רשת המשנה החדשה מתחיל בקידומת 'aet-'.
(אופציונלי) כדי להגדיר אפשרויות שינוי גודל לשליטה נוספת במחבר, לוחצים על הצגת הגדרות שינוי הגודל כדי להציג את טופס שינוי הגודל.
1. מגדירים את מספר המכונות המינימלי והמקסימלי למחבר, או משתמשים בערכי ברירת המחדל: 2 (מינימום) ו-10 (מקסימום). המחבר מתרחב אנכית בהתאם לעומס (scale up) עד למקסימום שצוין, אם השימוש בתעבורת הנתונים דורש זאת. חובה להשתמש בערכים בין 2 ל-10.
2. בתפריט Instance Type (סוג האינסטנס), בוחרים את סוג המכונה שבה ישתמש המחבר, או משתמשים בברירת המחדל e2-micro. שימו לב לסרגל הצד של העלויות בצד שמאל כשבוחרים את סוג המופע. בסרגל מוצגים נתונים על רוחב הפס והערכות עלויות.
לוחצים על יצירה.
כשמחבר מוכן לשימוש, מופיע סימן וי ירוק ליד השם שלו.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
מעדכנים את הרכיבים של gcloud לגרסה העדכנית:
```
gcloud components update
```
מוודאים ש-Serverless VPC Access API מופעל בפרויקט:
```
gcloud services enable vpcaccess.googleapis.com
```
יוצרים את המחבר באחת מהאפשרויות הבאות:

לפרטים נוספים ולארגומנטים אופציונליים, עיינו במפרט של gcloud.
- יצירת מחבר באמצעות רשת משנה קיימת:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --subnet SUBNET_NAME \
 --subnet-project HOST_PROJECT_ID \
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  מחליפים את מה שכתוב בשדות הבאים:
  - ‫CONNECTOR_NAME: שם המחבר, בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות הבאות: השם צריך להיות באורך של פחות מ-21 תווים, ומקפים (-) נחשבים כשני תווים.
  - ‫REGION: אזור לחיבור, שזהה לאזור של השירות או המשימה ללא שרת.
  - ‫SUBNET_NAME: השם של תת-הרשת הקיימת.
  - ‫HOST_PROJECT_ID: מזהה הפרויקט המארח של ה-VPC המשותף. אם המחבר ורשת המשנה הקיימת נמצאים באותו פרויקט, משמיטים את הדגל --subnet-project.
  - ‫MIN: מספר המינימום של המופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 2(ברירת המחדל) לבין 9.
  - ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10 (ברירת המחדל).
  - ‫MACHINE_TYPE: צריך להיות אחד מהערכים הבאים: f1-micro,‏ e2-micro או e2-standard-4.
- יצירת מחבר ורשת משנה חדשה:
```
gcloud compute networks vpc-access connectors create CONNECTOR_NAME \
 --region REGION \
 --network VPC_NETWORK \
 --range IP_RANGE
 --min-instances MIN \
 --max-instances MAX \
 --machine-type MACHINE_TYPE
```
  מחליפים את מה שכתוב בשדות הבאים:
  - ‫CONNECTOR_NAME: שם המחבר, בהתאם למוסכמות למתן שמות ב-Compute Engine, עם הדרישות הנוספות הבאות: השם צריך להיות באורך של פחות מ-21 תווים, ומקפים (-) נחשבים כשני תווים.
  - ‫REGION: אזור למחבר, שתואם לאזור של השירות או המשימה ללא שרת.
  - ‫VPC_NETWORK: השם של רשת ה-VPC שאליה רוצים לצרף את המחבר. המחבר ורשת ה-VPC צריכים להיות באותו הפרויקט.
  - ‫IP_RANGE: צריך לספק CIDR‏ /28 שלא נמצא בשימוש (לדוגמה, 10.8.0.0/28) כדי להשתמש בו כטווח הכתובות הראשי של IPv4 ברשת משנה חדשה שנוצרת ברשת ה-VPC של המחבר Google Cloud . חשוב לוודא שטווח כתובות ה-IP לא מתנגש עם נתיבים קיימים ברשת ה-VPC של המחבר. השם של רשת המשנה החדשה מתחיל בקידומת aet-.
  - ‫MIN: המספר המינימלי של המכונות שבהן ישתמש המחבר. צריך להשתמש במספר שלם בין 2(ברירת המחדל) לבין 9.
  - ‫MAX: המספר המקסימלי של מופעים לשימוש במחבר. צריך להשתמש במספר שלם בין 3 ל-10 (ברירת המחדל). אם המחבר מתרחב למספר המקסימלי של מופעים, הוא לא יצטמצם בחזרה.
  - ‫MACHINE_TYPE: צריך להיות אחד מהערכים הבאים: f1-micro, ‏e2-micro או e2-standard-4.
לפני שמשתמשים במחבר, צריך לוודא שהוא במצב READY:
```
gcloud compute networks vpc-access connectors describe CONNECTOR_NAME \
--region REGION
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CONNECTOR_NAME: השם של המחבר. זה השם שציינתם בשלב הקודם.
- ‫REGION: האזור של המחבר, שציינתם בשלב הקודם.
הפלט צריך להכיל את השורה state: READY.

Terraform

אפשר להשתמש במשאב של Terraform כדי להפעיל את vpcaccess.googleapis.com API.

resource "google_project_service" "vpcaccess-api" {
  project = var.project_id # Replace this with your project ID in quotes
  service = "vpcaccess.googleapis.com"
}

אתם יכולים להשתמש במודולים של Terraform כדי ליצור רשת VPC ותת-רשת, ואז ליצור את המחבר.

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 18.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-serverless-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "serverless-subnet"
      subnet_ip     = "10.10.10.0/28"
      subnet_region = "us-central1"
    }
  ]
}

module "serverless-connector" {
  source     = "terraform-google-modules/network/google//modules/vpc-serverless-connector-beta"
  version    = "~> 18.0"
  project_id = var.project_id
  vpc_connectors = [{
    name        = "central-serverless"
    region      = "us-central1"
    subnet_name = module.test-vpc-module.subnets["us-central1/serverless-subnet"].name
    # host_project_id = var.host_project_id # Specify a host_project_id for shared VPC
    machine_type  = "e2-standard-4"
    min_instances = 2
    max_instances = 7
    }
    # Uncomment to specify an ip_cidr_range
    #   , {
    #     name          = "central-serverless2"
    #     region        = "us-central1"
    #     network       = module.test-vpc-module.network_name
    #     ip_cidr_range = "10.10.11.0/28"
    #     subnet_name   = null
    #     machine_type  = "e2-standard-4"
    #     min_instances = 2
    #   max_instances = 7 }
  ]
  depends_on = [
    google_project_service.vpcaccess-api
  ]
}

הגדרת סביבה בלי שרת (serverless) לשימוש במחבר

אחרי שיוצרים מחבר של חיבור לרשת (VPC) מאפליקציית serverless, צריך להגדיר את סביבת ה-serverless כך שתשתמש במחבר. לשם כך, פועלים לפי ההוראות שמתאימות לסביבת ה-serverless שלכם:

הגדרת Cloud Run
הגדרת פונקציות Cloud Run
הגדרת App Engine

הגדרת Cloud Run לשימוש במחבר

כשיוצרים שירות חדש או פורסים עדכון חדש, אפשר להגדיר את השירות כך שישתמש במחבר באמצעות מסוף Google Cloud , Google Cloud CLI, קובץ YAML או משאב Terraform.

המסוף

נכנסים ל-Cloud Run במסוף Google Cloud :

כניסה ל-Cloud Run
בתפריט הניווט של Cloud Run, לוחצים על Services:
1. אם מגדירים שירות חדש, לוחצים על Deploy container (פריסת מאגר) וממלאים את הדף של הגדרות השירות הראשוניות. אחר כך לוחצים על Containers, Networking, Security (מאגדים, רשתות, אבטחה) כדי להרחיב את דף הגדרות השירות.
2. אם אתם מגדירים שירות קיים, לוחצים על השירות.
לוחצים על הכרטיסייה חיבורים.
בשדה VPC Connector, בוחרים מחבר לשימוש או בוחרים באפשרות None כדי לנתק את השירות מרשת VPC.
לוחצים על יצירה או על פריסה.

gcloud

מפעילים את Cloud Shell במסוף Google Cloud .

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי לציין מחבר במהלך הפריסה, משתמשים בדגל --vpc-connector:
```
gcloud run deploy SERVICE --image IMAGE_URL --vpc-connector CONNECTOR_NAME
```
- מחליפים את SERVICE בשם השירות.
- החלפה של IMAGE_URL.
- מחליפים את CONNECTOR_NAME בשם של המחבר. אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך לציין את השם המלא, לדוגמה:
  ‫
```
projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
```
  כאשר HOST_PROJECT_ID הוא מזהה פרויקט המארח, CONNECTOR_REGION הוא האזור של המחבר ו-CONNECTOR_NAME הוא השם שנתתם למחבר.
כדי לצרף, לעדכן או להסיר מחבר לשירות קיים, משתמשים בפקודה gcloud run services update עם אחד מהדגלים הבאים לפי הצורך:
- --vpc-connector
- --clear-vpc-connector
לדוגמה, כדי לצרף או לעדכן מחבר:
```
gcloud run services update SERVICE --vpc-connector CONNECTOR_NAME
```
- מחליפים את SERVICE בשם השירות.
- מחליפים את CONNECTOR_NAME בשם המחבר.

YAML

אם אתם יוצרים שירות חדש, דלגו על השלב הזה. אם אתם מעדכנים שירות קיים, מורידים את הגדרות ה-YAML שלו:
```
gcloud run services describe SERVICE --format export > service.yaml
```
מוסיפים או מעדכנים את מאפיין run.googleapis.com/vpc-access-connector מתחת למאפיין annotations מתחת למאפיין ברמה העליונה spec:
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/vpc-access-connector: CONNECTOR_NAME
```
- מחליפים את SERVICE בשם של שירות Cloud Run.
- מחליפים את CONNECTOR_NAME בשם של המחבר. אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך לציין את השם המלא, לדוגמה:
  ‫
```
projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
```
  , כאשר HOST_PROJECT_ID הוא מזהה פרויקט המארח, CONNECTOR_REGION הוא האזור של המחבר ו-CONNECTOR_NAME הוא השם שנתתם למחבר.
מחליפים את השירות בהגדרות החדשות באמצעות הפקודה הבאה:
```
gcloud beta run services replace service.yaml
```

Terraform

אתם יכולים להשתמש במשאב של Terraform כדי ליצור שירות ולהגדיר אותו לשימוש במחבר שלכם.

# Cloud Run service
resource "google_cloud_run_v2_service" "gcr_service" {
  name     = "mygcrservice"
  location = "us-west1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
      resources {
        limits = {
          cpu    = "1000m"
          memory = "512Mi"
        }
      }
      # the service uses this SA to call other Google Cloud APIs
      # service_account_name = myservice_runtime_sa
    }

    scaling {
      # Limit scale up to prevent any cost blow outs!
      max_instance_count = 5
    }

    vpc_access {
      # Use the VPC Connector
      connector = google_vpc_access_connector.connector.id
      # all egress from the service should go through the VPC Connector
      egress = "ALL_TRAFFIC"
    }
  }
}

הגדרת פונקציות Cloud Run לשימוש במחבר

אפשר להגדיר פונקציה שתשתמש במחבר ממסוף Google Cloud או מ-Google Cloud CLI:

המסוף

נכנסים לדף הסקירה הכללית של Cloud Run functions במסוףGoogle Cloud :

כניסה לדף Cloud Run functions
לוחצים על יצירת פונקציה. לחלופין, לוחצים על פונקציה קיימת כדי לעבור לדף הפרטים שלה, ולוחצים על Edit.
מרחיבים את ההגדרות המתקדמות בלחיצה על RUNTIME, BUILD AND CONNECTIONS SETTINGS.
בכרטיסייה Connections, בקטע Egress settings, מזינים את שם המחבר בשדה VPC connector.

gcloud

מפעילים את Cloud Shell במסוף Google Cloud .

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
משתמשים בפקודה gcloud functions deploy כדי לפרוס את הפונקציה ומציינים את הדגל --vpc-connector:
```
gcloud functions deploy FUNCTION_NAME \
--vpc-connector CONNECTOR_NAME \
FLAGS...
```
where:
- ‫FUNCTION_NAME הוא השם של הפונקציה.
- ‫CONNECTOR_NAME הוא השם של המחבר. אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך לציין את השם המלא, לדוגמה:
  ‫
```
projects/HOST_PROJECT_ID/locations/CONNECTOR_REGION/connectors/CONNECTOR_NAME
```
  כאשר HOST_PROJECT_ID הוא מזהה פרויקט המארח, CONNECTOR_REGION הוא האזור של המחבר ו-CONNECTOR_NAME הוא השם שנתתם למחבר.
- ‫FLAGS... מתייחס לדגלים אחרים שמעבירים במהלך פריסת הפונקציה.

כדי לקבל שליטה רבה יותר על הבקשות שמועברות דרך המחבר, אפשר לעיין במאמר בנושא הגדרות יציאה.

הגדרת App Engine לשימוש במחבר

Python 2

להפסיק את השימוש בשירות App Engine URL Fetch.

כברירת מחדל, כל הבקשות מנותבות דרך שירות אחזור של כתובות אתרים. כתוצאה מכך, בקשות לרשת ה-VPC נכשלות. כדי להשבית את ברירת המחדל הזו, אפשר לעיין במאמר בנושא השבתת שליפת כתובות URL מטיפול בכל הבקשות היוצאות.

אם צריך, עדיין אפשר להשתמש בספריית urlfetch ישירות לבקשות ספציפיות, אבל לא מומלץ לעשות את זה.
מוסיפים את השדה Serverless VPC Access לקובץ app.yaml:
```
vpc_access_connector:
 name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PROJECT_ID במזהה הפרויקט ב- Google Cloud . אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך להזין את המזהה של הפרויקט המארח.
- REGION באזור שבו נמצא המחבר.
- CONNECTOR_NAME בשם של המחבר.
פורסים את השירות:
```
gcloud app deploy
```
אחרי פריסת השירות, הוא יכול לשלוח בקשות לכתובות IP פנימיות כדי לגשת למשאבים ברשת ה-VPC.

Java 8

הפסקת השימוש בשירות אחזור של כתובות אתרים של App Engine URLFetchService.
מוסיפים את הרכיב Serverless VPC Access לקובץ appengine-web.xml של השירות:
```
<vpc-access-connector>
<name>projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME</name>
</vpc-access-connector>
```
מחליפים את מה שכתוב בשדות הבאים:
- PROJECT_ID במזהה הפרויקט ב- Google Cloud . אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך להזין את המזהה של הפרויקט המארח.
- REGION באזור שבו נמצא המחבר.
- CONNECTOR_NAME בשם של המחבר.
פורסים את השירות:
```
gcloud app deploy WEB-INF/appengine-web.xml
```
אחרי פריסת השירות, הוא יכול לשלוח בקשות לכתובות IP פנימיות כדי לגשת למשאבים ברשת ה-VPC.

‫Go 1.11

להפסיק את השימוש בשירות App Engine URL Fetch.

החיבור לרשת (VPC) מאפליקציית serverless לא תומך באחזור כתובות URL, והבקשות שמוגשות באמצעות אחזור כתובות URL מתעלמות מההגדרות של החיבור לרשת (VPC) מאפליקציית serverless. במקום זאת, אפשר ליצור חיבורים יוצאים באמצעות שקעים.
מוסיפים את השדה Serverless VPC Access לקובץ app.yaml:
```
vpc_access_connector:
 name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PROJECT_ID במזהה הפרויקט ב- Google Cloud .
- ‫REGION עם האזור שבו נמצא המחבר
- CONNECTOR_NAME בשם של המחבר.
פורסים את השירות:
```
gcloud app deploy
```
אחרי שפורסים את השירות, הוא יכול לשלוח בקשות לכתובות IP פנימיות כדי לגשת למשאבים ברשת ה-VPC.

כל שאר סביבות זמן הריצה

מוסיפים את השדה Serverless VPC Access לקובץ app.yaml:
```
vpc_access_connector:
 name: projects/PROJECT_ID/locations/REGION/connectors/CONNECTOR_NAME
```
מחליפים את מה שכתוב בשדות הבאים:
- PROJECT_ID במזהה הפרויקט ב- Google Cloud . אם המחבר נמצא בפרויקט המארח של VPC משותף, צריך להזין את המזהה של הפרויקט המארח.
- REGION באזור שבו נמצא המחבר.
- CONNECTOR_NAME בשם של המחבר.
פורסים את השירות:
```
gcloud app deploy
```
אחרי פריסת השירות, הוא יכול לשלוח בקשות לכתובות IP פנימיות כדי לגשת למשאבים ברשת ה-VPC.

הגדרת כללים לחומת אש עבור מחברים

כללי חומת אש שנדרשים למחברים בפרויקטים של שירותים

אם יוצרים מחבר ברשת VPC עצמאית או בפרויקט המארח של רשת VPC משותפת, Google Cloud יוצר את כל כללי חומת האש שנדרשים לפעולת המחבר. מידע נוסף זמין במאמר כללי חומת אש למחברים ברשתות VPC עצמאיות או בפרויקטים מארחים של VPC משותף.

עם זאת, אם אתם יוצרים מחבר בפרויקט שירות והמחבר מטרגט רשת VPC משותפת בפרויקט המארח, אתם צריכים להוסיף כללי חומת אש כדי לאפשר את תעבורת הנתונים הנדרשת לפעולת המחבר מהטווחים הבאים:

טווח כתובות ה-IP של התשתית ללא שרתים: 35.199.224.0/19
טווחי כתובות ה-IP של בדיקת החיבור (probe) של בדיקת התקינות: 35.191.0.0/16,‏ 35.191.192.0/18 ו-130.211.0.0/22

הטווחי כתובות האלה משמשים את התשתית של Google שעליה מבוססים Cloud Run, פונקציות Cloud Run וסביבת ברירת המחדל ב-App Engine. כל הבקשות מכתובות ה-IP האלה מגיעות מהתשתית של Google, כדי לוודא שכל משאב ללא שרת מתקשר רק עם המחבר שאליו הוא מקושר.

בנוסף, צריך לאפשר תנועה מרשת המשנה של המחבר למשאבים ברשת ה-VPC.

כדי לבצע את השלבים האלה, צריך להיות לכם אחד מהתפקידים הבאים בפרויקט המארח:

בעלים (roles/owner)
התפקיד 'אדמין אבטחה ב-Compute' (roles/compute.securityAdmin)
תפקיד ניהול זהויות והרשאות גישה (IAM) בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת

בהגדרה בסיסית, מחילים את הכללים כדי לאפשר למשאבים בלי שרתים בכל פרויקט שירות שמחובר לרשת ה-VPC המשותפת לשלוח בקשות לכל משאב ברשת.

כדי להחיל את הכללים האלה, מריצים את הפקודות הבאות בפרויקט המארח:

יוצרים כללים של חומת אש שמאפשרים לבקשות מתשתית ה-Serverless של Google ומבדיקות תקינות להגיע לכל המחברים ברשת. בפקודות האלה, יציאות ה-UDP וה-TCP משמשות כשרתי proxy ולבדיקות תקינות של HTTP, בהתאמה. אל תשנו את היציאות שצוינו.

gcloud compute firewall-rules create serverless-to-vpc-connector \
    --allow tcp:667,udp:665-666,icmp \
    --source-ranges=35.199.224.0/19 \
    --direction=INGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

gcloud compute firewall-rules create vpc-connector-to-serverless \
    --allow tcp:667,udp:665-666,icmp \
    --destination-ranges=35.199.224.0/19 \
    --direction=EGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

gcloud compute firewall-rules create vpc-connector-health-checks \
    --allow tcp:667 \
    --source-ranges=35.191.0.0/16,35.191.192.0/18,130.211.0.0/22 \
    --direction=INGRESS \
    --target-tags vpc-connector \
    --network=VPC_NETWORK

מחליפים את VPC_NETWORK בשם של רשת ה-VPC שאליה רוצים לצרף את המחבר.

יוצרים כלל חומת אש לתעבורת נתונים נכנסת ברשת ה-VPC כדי לאפשר בקשות ממחברים שמכוונים לרשת הזו:
```
gcloud compute firewall-rules create vpc-connector-requests \
    --allow tcp,udp,icmp \
    --direction=INGRESS \
    --source-tags vpc-connector \
    --network=VPC_NETWORK
```
הכלל הזה מעניק למחבר גישה לכל משאב ברשת. כדי להגביל את המשאבים שאליהם סביבת ה-serverless יכולה להגיע באמצעות חיבור לרשת (VPC) מאפליקציית serverless, אפשר לעיין במאמר בנושא הגבלת הגישה של מכונת ה-VM של המחבר למשאבי רשת VPC.

יצירת כללים לחומת אש למחברים ספציפיים

אם פועלים לפי התהליך שמתואר במאמר כללי חומת אש שנדרשים למחברים בפרויקטים של שירותים, כללי חומת האש יחולו על כל המחברים, גם על אלה שקיימים וגם על אלה שייווצרו בעתיד. אם אתם לא רוצים את זה, אלא רוצים ליצור כללים רק למחברים ספציפיים, אתם יכולים להגדיר את היקף הכללים כך שהם יחולו רק על המחברים האלה.

כדי להגביל את היקף הכללים למחברים ספציפיים, אפשר להשתמש באחד מהמנגנונים הבאים:

תגי רשת: לכל מחבר יש שני תגי רשת: vpc-connector ו-vpc-connector-REGION-CONNECTOR_NAME. כדי להגביל את ההיקף של כללי חומת האש למחבר ספציפי, צריך להשתמש בפורמט השני.
טווח כתובות IP: אפשר להשתמש באפשרות הזו רק בכללי יציאה, כי היא לא פועלת בכללי כניסה. אתם יכולים להשתמש בטווח כתובות ה-IP של רשת המשנה של המחבר כדי להגביל את ההיקף של כללי חומת האש למחבר VPC יחיד.

הגבלת הגישה של ה-VM של המחבר למשאבים של רשת ה-VPC

אתם יכולים להגביל את הגישה של המחבר למשאבים ברשת ה-VPC של היעד באמצעות כללי חומת אש של VPC או כללים במדיניות חומת אש. כדי להגביל את הגישה, אפשר להשתמש באחת מהאסטרטגיות הבאות:

יוצרים כללי תעבורה נכנסת שהיעדים שלהם מייצגים את המשאבים שרוצים להגביל את הגישה של מכונות וירטואליות של מחברים אליהם, והמקורות שלהם מייצגים את המכונות הווירטואליות של המחברים.
יוצרים כללי יציאה שהיעדים שלהם מייצגים את המכונות הווירטואליות של המחבר, והיעדים שלהם מייצגים את המשאבים שרוצים להגביל את הגישה של המכונות הווירטואליות של המחבר אליהם.

הדוגמאות הבאות ממחישות כל אסטרטגיה.

הגבלת הגישה באמצעות כללי כניסה

בוחרים תגי רשת או טווחי CIDR כדי לשלוט בתעבורה הנכנסת לרשת ה-VPC.

תגים של רשתות

השלבים הבאים מראים איך ליצור כללי כניסה שמגבילים את הגישה של מחבר לרשת VPC על סמך תגי הרשת של המחבר.

חשוב לוודא שיש לכם את ההרשאות הנדרשות כדי להוסיף כללי חומת אש. אתם צריכים להיות בעלי אחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- תפקיד Security Admin ב-Compute
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create
דחיית תנועה של מחברים ברשת ה-VPC.

יוצרים כלל חומת אש לתעבורת נתונים נכנסת (ingress) עם עדיפות נמוכה מ-1,000 ברשת ה-VPC, כדי לדחות תעבורת נתונים נכנסת מתג הרשת של המחבר. הפעולה הזו מבטלת את כלל חומת האש המרומז שנוצר כברירת מחדל על ידי Serverless VPC Access ברשת ה-VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אפשר גם להגדיר כללי דחייה כדי לחסום תנועה עבור הפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של המחבר האוניברסלי אם רוצים להגביל את הגישה לכל המחברים (כולל מחברים שייווצרו בעתיד), או תג הרשת הייחודי אם רוצים להגביל את הגישה למחבר ספציפי.
  - תג רשת אוניברסלי: vpc-connector
  - תג רשת ייחודי: vpc-connector-REGION-CONNECTOR_NAME
    
    מחליפים את:
    - ‫REGION: האזור של המחבר שרוצים להגביל
    - ‫CONNECTOR_NAME: שם המחבר שרוצים להגביל
  מידע נוסף על תגי רשת של מחברים
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים תנועה מהמחבר למשאב שאמור לקבל תנועה מהמחבר.

משתמשים בדגלים allow ו-target-tags כדי ליצור כלל חומת אש לתעבורה נכנסת שמכוון למשאב ברשת ה-VPC שרוצים שהמחבר לרשת ה-VPC יקבל אליו גישה. מגדירים לכלל הזה ערך עדיפות נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-tags=VPC_CONNECTOR_NETWORK_TAG \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של המחבר האוניברסלי אם רוצים להגביל את הגישה לכל המחברים (כולל מחברים שייווצרו בעתיד), או תג הרשת הייחודי אם רוצים להגביל את הגישה למחבר ספציפי. התג הזה צריך להיות זהה לתג הרשת שציינתם בשלב הקודם.
  - תג רשת אוניברסלי: vpc-connector
  - תג רשת ייחודי: vpc-connector-REGION-CONNECTOR_NAME
    
    מחליפים את:
    - ‫REGION: האזור של המחבר שרוצים להגביל
    - ‫CONNECTOR_NAME: השם של מחבר שרוצים להגביל
  מידע נוסף על תגי רשת של מחברים
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫RESOURCE_TAG: תג הרשת של משאב ה-VPC שרוצים שמחבר ה-VPC יקבל אליו גישה
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו 980.

למידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללים של חומת אש, אפשר לעיין במאמרי העזרה בנושא gcloud compute firewall-rules create.

טווח CIDR

השלבים הבאים מראים איך ליצור כללי תעבורה נכנסת שמגבילים את הגישה של מחבר לרשת VPC על סמך טווח ה-CIDR של המחבר.

מוודאים שיש לכם את ההרשאות הנדרשות להוספת כללי חומת אש. אתם צריכים להיות בעלי אחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- תפקיד Security Admin ב-Compute
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת
דחיית תעבורת נתונים של מחבר ברשת ה-VPC.

יוצרים כלל חומת אש לתעבורה נכנסת עם עדיפות נמוכה מ-1000 ברשת ה-VPC כדי לחסום תעבורה נכנסת מטווח ה-CIDR של המחבר. הפעולה הזו מבטלת את כלל חומת האש המרומז שנוצר כברירת מחדל על ידי Serverless VPC Access ברשת ה-VPC.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אתם יכולים גם להגדיר כללי דחייה כדי לחסום תנועה בפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים תנועה מהמחבר למשאב שאמור לקבל תנועה מהמחבר.

משתמשים בדגלים allow ו-target-tags כדי ליצור כלל חומת אש לתעבורה נכנסת שמכוון למשאב ברשת ה-VPC שרוצים שהמחבר לרשת ה-VPC יקבל אליו גישה. מגדירים לכלל הזה ערך עדיפות נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--source-ranges=VPC_CONNECTOR_CIDR_RANGE \
--direction=INGRESS \
--network=VPC_NETWORK \
--target-tags=RESOURCE_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫VPC_CONNECTOR_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫RESOURCE_TAG: תג הרשת של משאב ה-VPC שרוצים שמחבר ה-VPC יקבל אליו גישה
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו 980.

למידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללים של חומת אשgcloud compute firewall-rules create

הגבלת הגישה באמצעות כללים לתעבורת נתונים יוצאת

בשלבים הבאים מוסבר איך ליצור כללי יציאה כדי להגביל את הגישה למחבר.

חשוב לוודא שיש לכם את ההרשאות הנדרשות כדי להוסיף כללי חומת אש. אתם צריכים לקבל הקצאה לאחד מהתפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM):
- התפקיד Compute Security Admin
- תפקיד IAM בהתאמה אישית עם ההרשאה compute.firewalls.create מופעלת
דחיית תעבורת נתונים יוצאת מהמחבר.

יוצרים כלל חומת אש לתעבורת נתונים יוצאת במחבר של Serverless VPC Access כדי למנוע ממנו לשלוח תעבורת נתונים יוצאת לכל יעד, למעט תגובות שנוצרו.
```
gcloud compute firewall-rules create RULE_NAME \
--action=DENY \
--rules=PROTOCOL \
--direction=EGRESS \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--network=VPC_NETWORK \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, deny-vpc-connector.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
  
  למטרות אבטחה ואימות, אפשר גם להגדיר כללי דחייה כדי לחסום תנועה עבור הפרוטוקולים הבאים שלא נתמכים: ah,‏ all,‏ esp,‏ icmp,‏ ipip ו-sctp.
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של מחבר ה-VPC האוניברסלי, אם רוצים שהכלל יחול על כל מחברי ה-VPC הקיימים ועל כל מחברי ה-VPC שייווצרו בעתיד. או תג הרשת הייחודי של מחבר ה-VPC אם רוצים לשלוט במחבר ספציפי.
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫PRIORITY: מספר שלם בין 0 ל-65535. לדוגמה, 0 מגדיר את העדיפות הגבוהה ביותר.
מאפשרים תנועה יוצאת כשהיעד נמצא בטווח ה-CIDR שאליו רוצים שהמחבר ייגש.

משתמשים בדגלים allow ו-destination-ranges כדי ליצור כלל של חומת אש שמאפשר תעבורת נתונים יוצאת מהמחבר לטווח יעד ספציפי. מגדירים את טווח היעד לטווח ה-CIDR של המשאב ברשת ה-VPC שרוצים שהמחבר יוכל לגשת אליו. מגדירים את העדיפות של הכלל הזה לערך נמוך יותר מהעדיפות של הכלל שיצרתם בשלב הקודם.
```
gcloud compute firewall-rules create RULE_NAME \
--allow=PROTOCOL \
--destination-ranges=RESOURCE_CIDR_RANGE \
--direction=EGRESS \
--network=VPC_NETWORK \
--target-tags=VPC_CONNECTOR_NETWORK_TAG \
--priority=PRIORITY
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RULE_NAME: השם של כלל חומת האש החדש. לדוגמה, allow-vpc-connector-for-select-resources.
- ‫PROTOCOL: פרוטוקול אחד או יותר שרוצים לאפשר ממחבר ה-VPC. הפרוטוקולים הנתמכים הם tcp או udp. לדוגמה, tcp:80,udp מאפשר תעבורת TCP דרך יציאה 80 ותעבורת UDP. מידע נוסף זמין במאמרי העזרה בנושא הדגל allow.
- ‫RESOURCE_CIDR_RANGE: טווח ה-CIDR של המחבר שהגישה אליו מוגבלת
- ‫VPC_NETWORK: השם של רשת ה-VPC
- ‫VPC_CONNECTOR_NETWORK_TAG: תג הרשת של מחבר ה-VPC האוניברסלי, אם רוצים שהכלל יחול על כל מחברי ה-VPC הקיימים ועל כל מחברי ה-VPC שייווצרו בעתיד. או תג הרשת הייחודי של מחבר ה-VPC, אם רוצים לשלוט במחבר ספציפי. אם השתמשתם בתג הרשת הייחודי בשלב הקודם, השתמשו בתג הרשת הייחודי.
- ‫PRIORITY: מספר שלם שקטן מהעדיפות שהגדרתם בשלב הקודם. לדוגמה, אם הגדרתם את העדיפות של הכלל שיצרתם בשלב הקודם ל-990, נסו להגדיר אותה ל-980.

למידע נוסף על הדגלים הנדרשים והאופציונליים ליצירת כללי חומת אש, עיינו במסמכי התיעוד של gcloud compute firewall-rules create.

עדכון מחבר

אתם יכולים לעדכן ולעקוב אחרי המאפיינים הבאים של המחבר באמצעות מסוף Google Cloud ,‏ Google Cloud CLI או ה-API:

סוג המכונה (המכונה הווירטואלית)
מספר המופעים המינימלי והמקסימלי
קצב העברת הנתונים, מספר המכונות וניצול המעבד (CPU) לאחרונה

עדכון סוג המכונה

המסוף

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

כניסה לדף Serverless VPC Access
בוחרים את המחבר שרוצים לערוך ולוחצים על עריכה.
ברשימה Instance type, בוחרים את סוג המכונה (המופע) המועדף. למידע על סוגי המכונות הזמינים, קראו את המאמר קצב העברת נתונים ושינוי קנה מידה.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי לעדכן את סוג המכונה של המחבר, מריצים את הפקודה הבאה במסוף:
```
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --machine-type=MACHINE_TYPE
```
מחליפים את הערכים בשדות הבאים:
- ‫CONNECTOR_NAME: השם של המחבר
- ‫REGION: השם של האזור של המחבר
- ‫MACHINE_TYPE: סוג המכונה המועדף. מידע על סוגי המכונות שזמינים מופיע במאמר בנושא תפוקה ושינוי גודל.

הקטנת המספר המינימלי והמקסימלי של מופעים

כדי להקטין את המספר המינימלי והמקסימלי של המכונות:

יוצרים מחבר חדש עם הערכים הרצויים.
מעדכנים את השירות או הפונקציה כדי להשתמש במחבר החדש.
מוחקים את המחבר הישן אחרי שמעבירים את התנועה שלו.

הגדלת המספר המינימלי והמקסימלי של המכונות

המסוף

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

כניסה לדף Serverless VPC Access
בוחרים את כלי הקישור שרוצים לערוך ולוחצים על עריכה.
בשדה Minimum instances (מינימום מופעים), בוחרים את מספר המופעים המינימלי המועדף.

הערך הקטן ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי. הערך הגדול ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי בשדה מספר מופעים מקסימלי פחות 1. לדוגמה, אם הערך בשדה מספר מופעים מקסימלי הוא 8, הערך הגדול ביותר שאפשר להזין בשדה מספר מופעים מינימלי הוא 7.
בשדה מספר מופעים מקסימלי, בוחרים את המספר המקסימלי המועדף של מופעים.

הערך הקטן ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי. הערך המקסימלי שאפשר להזין בשדה הזה הוא 10.

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי להגדיל את המספר המינימלי או המקסימלי של המכונות למחבר, מריצים את הפקודה הבאה בטרמינל:
```
gcloud beta compute networks vpc-access connectors update CONNECTOR_NAME --region=REGION --min-instances=MIN_INSTANCES --max-instances=MAX_INSTANCES
```
מחליפים את הערכים בשדות הבאים:

‫CONNECTOR_NAME: השם של המחבר
‫REGION: השם של האזור של המחבר
‫MIN_INSTANCES: מספר המינימום המועדף של המופעים.
- הערך הקטן ביותר האפשרי בשדה הזה הוא הערך הנוכחי של min_instances. כדי למצוא את הערך הנוכחי, עיינו בקטע חיפוש ערכי המאפיינים הנוכחיים.
- הערך הכי גדול שאפשר להזין בשדה הזה הוא הערך הנוכחי של max_instances פחות 1, כי הערך של min_instances חייב להיות קטן מהערך של max_instances. לדוגמה, אם הערך של max_instances הוא 8, הערך המקסימלי האפשרי בשדה הזה הוא 7. אם המחבר משתמש בערך ברירת המחדל max-instances של 10, הערך המקסימלי האפשרי בשדה הזה הוא 9. כדי למצוא את הערך של max-instances, עיינו בקטע חיפוש ערכי המאפיינים הנוכחיים.
MAX_INSTANCES:
- הערך הקטן ביותר שאפשר להזין בשדה הזה הוא הערך הנוכחי של max_instances. כדי למצוא את הערך הנוכחי, אפשר לעיין במאמר בנושא איך מוצאים את הערכים הנוכחיים של המאפיינים.
- הערך המקסימלי שאפשר להזין בשדה הזה הוא 10.
אם רוצים להגדיל רק את המספר המינימלי של מופעים ולא את המספר המקסימלי, עדיין צריך לציין את המספר המקסימלי של מופעים. לעומת זאת, אם רוצים לעדכן רק את המספר המקסימלי של המכונות ולא את המספר המינימלי, עדיין צריך לציין את המספר המינימלי של המכונות. כדי להשאיר את מספר המכונות המינימלי או המקסימלי על הערך הנוכחי שלהם, מציינים את הערך הנוכחי. כדי לראות את הערך הנוכחי של המאפיין, אפשר לעיין במאמר בנושא איך מוצאים את הערכים הנוכחיים של המאפיינים.

איך למצוא את ערכי המאפיינים הנוכחיים

כדי למצוא את ערכי המאפיינים הנוכחיים של המחבר, מריצים את הפקודה הבאה במסוף:

gcloud compute networks vpc-access connectors describe CONNECTOR_NAME --region=REGION --project=PROJECT

מחליפים את הערכים בשדות הבאים:

‫CONNECTOR_NAME: השם של המחבר
‫REGION: שם האזור של המחבר
‫PROJECT: השם של Google Cloud הפרויקט

מעקב אחרי השימוש במחברים

מעקב אחרי השימוש לאורך זמן יכול לעזור לכם להחליט מתי לשנות את ההגדרות של המחבר. לדוגמה, אם יש עלייה חדה בשימוש במעבד, אפשר לנסות להגדיל את המספר המקסימלי של המכונות כדי לשפר את התוצאות. או אם אתם מנצלים את מלוא נפח התפוקה, יכול להיות שתחליטו לעבור לסוג מכונה גדול יותר.

כדי להציג תרשימים של נתוני התפוקה, מספר המופעים והשימוש במעבד של המחבר לאורך זמן באמצעות Google Cloud המסוף:

עוברים לדף הסקירה הכללית של חיבור לרשת (VPC) מאפליקציית serverless.

מעבר אל Serverless VPC Access
לוחצים על השם של מחבר הנתונים שרוצים לעקוב אחריו.
בוחרים את מספר הימים שרוצים להציג, בין 1 ל-90 ימים.
בתרשים Throughput, מחזיקים את הסמן מעל התרשים כדי לראות את הנתונים האחרונים של קצב העברת הנתונים של המחבר.
בתרשים מספר המופעים, מעבירים את מצביע העכבר מעל התרשים כדי לראות את מספר המופעים שהמחבר השתמש בהם לאחרונה.
בתרשים CPU Utilization, מעבירים את העכבר מעל התרשים כדי לראות את השימוש האחרון של המחבר במעבד (CPU). בתרשים מוצג השימוש במעבד שמפוזר על פני מופעים באחוזונים ה-50, ה-95 וה-99.

מחיקת מחבר

לפני שמוחקים מחבר, צריך להסיר אותו מכל המשאבים ללא שרת שעדיין משתמשים בו. אם מוחקים מחבר לפני שמסירים אותו מהמשאבים חסרי השרתים, אי אפשר למחוק את רשת ה-VPC בהמשך.

משתמשי VPC משותף שמגדירים מחברים בפרויקט המארח של ה-VPC המשותף יכולים להשתמש בפקודה gcloud compute networks vpc-access connectors describe כדי להציג את רשימת הפרויקטים שבהם יש משאבים ללא שרת (serverless) שמשתמשים במחבר נתון.

כדי למחוק מחבר, משתמשים במסוף Google Cloud או ב-Google Cloud CLI:

המסוף

עוברים לדף הסקירה הכללית של Serverless VPC Access במסוףGoogle Cloud :

כניסה לדף Serverless VPC Access
בוחרים את המחבר שרוצים למחוק.
לוחצים על Delete.

gcloud

מפעילים את Cloud Shell במסוף Google Cloud .

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.
כדי למחוק מחבר, משתמשים בפקודה gcloud הבאה:
```
gcloud compute networks vpc-access connectors delete CONNECTOR_NAME --region=REGION
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫CONNECTOR_NAME עם השם של מחבר הנתונים שרוצים למחוק
- ‫REGION עם האזור שבו נמצא המחבר

ניהול אילוצים מותאמים אישית לפרויקטים

בקטע הזה מוסבר איך ליצור אילוצים בהתאמה אישית למחברים של גישה ל-VPC ללא שרת (Serverless), ולאכוף אותם ברמת הפרויקט. במאמר יצירה וניהול של מדיניות ארגונית בהתאמה אישית מוסבר איך יוצרים מדיניות ארגונית בהתאמה אישית.

Google Cloud מדיניות הארגון מאפשרת לכם שליטה מרוכזת ופרוגרמטית על המשאבים של הארגון. בתור אדמינים של מדיניות הארגון, אתם יכולים להגדיר מדיניות ארגונית, שהיא קבוצה של הגבלות שנקראות אילוצים, שחלות על משאבים ב-Google Cloud ועל משאבים שנגזרים מהם בGoogle Cloud היררכיית המשאבים. אפשר לאכוף את מדיניות הארגון ברמת הארגון, התיקייה או הפרויקט.

השירות Organization Policy מספק מגבלות מוגדרות מראש לשירותים שונים שלGoogle Cloud . עם זאת, אם אתם רוצים שליטה מפורטת יותר שניתנת להתאמה אישית בשדות הספציפיים שמוגבלים בכללי המדיניות של הארגון, אתם יכולים גם ליצור כללי מדיניות מותאמים אישית לארגון.

יתרונות

חיבור לרשת (VPC) מאפליקציית serverless מאפשר לכם לכתוב כל מספר של אילוצים מותאמים אישית באמצעות רוב השדות שמוגדרים על ידי המשתמש ב-Serverless VPC Access API. לדוגמה, אפשר ליצור אילוץ מותאם אישית שמציין באילו תת-רשתות יכול מחבר של חיבור לרשת (VPC) מאפליקציית serverless להשתמש.

אחרי שמחילים את האילוץ, בקשות שמפרות מדיניות שמחילה אילוץ מותאם אישית מציגות הודעת שגיאה ב-CLI של gcloud וביומנים של Serverless VPC Access. הודעת השגיאה מכילה את מזהה האילוץ ואת התיאור של האילוץ המותאם אישית שהופר.

ירושה של מדיניות

כברירת מחדל, מדיניות הארגון עוברת בירושה לצאצאים של המשאבים שעליהם אתם אוכפים את המדיניות. לדוגמה, אם אוכפים מדיניות בתיקייה, Google Cloud המדיניות נאכפת בכל הפרויקטים בתיקייה. כאן אפשר לקרוא מידע נוסף על ההתנהגות הזו ועל שינוי שלה.

מגבלות

אין תמיכה בציון של סוג המכונה, מספר המופעים המינימלי או מספר המופעים המקסימלי.

לפני שמתחילים

חשוב לוודא שאתם יודעים מהו מזהה הארגון שלכם.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול מדיניות הארגון, צריך לבקש מהאדמין להקצות לכם את התפקיד אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) ב-IAM במשאב הארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

יצירת אילוץ בהתאמה אישית

אילוץ מותאם אישית מוגדר בקובץ YAML לפי המשאבים, השיטות, התנאים והפעולות שנתמכים על ידי השירות שעליו אתם אוכפים את מדיניות הארגון. התנאים להגבלות המותאמות אישית מוגדרים באמצעות Common Expression Language (CEL). מידע נוסף על יצירת תנאים באילוצים מותאמים אישית באמצעות CEL זמין בקטע בנושא CEL במאמר יצירה וניהול של אילוצים מותאמים אישית.

כדי ליצור קובץ YAML לאילוץ בהתאמה אישית של Serverless VPC Access, אפשר להיעזר בדוגמה הבאה:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- vpcaccess.googleapis.com/Connector
methodTypes:
- CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.
‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ מותאם אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים. לדוגמה, custom.defaultNetworkConstraint. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת.
‫CONDITION: תנאי CEL שנכתב כנגד ייצוג של משאב שירות נתמך. האורך המקסימלי של השדה הזה הוא 1,000 תווים. לדוגמה: "resource.network == default".
‫ACTION: הפעולה שצריך לבצע אם מתקיים התנאי condition. הערך יכול להיות ALLOW או DENY.
‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. האורך המקסימלי של השדה הזה הוא 200 תווים.
‫DESCRIPTION: תיאור ידידותי למשתמש של האילוץ שיוצג כהודעת שגיאה אם המדיניות תופר. לדוגמה: "Require network to not be set to default.". האורך המקסימלי של השדה הזה הוא 2,000 תווים.

למידע נוסף על יצירת אילוץ בהתאמה אישית, ראו הגדרת אילוצים בהתאמה אישית.

הגדרת אילוץ בהתאמה אישית

המסוף

כדי ליצור אילוץ בהתאמה אישית:

נכנסים לדף Organization policies במסוף Google Cloud .
אל מדיניות הארגון
בתפריט לבחירת פרויקטים, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
לוחצים על Custom constraint (הגבלה מותאמת אישית).
בתיבה שם לתצוגה, מזינים שם שאפשר לקרוא ולהבין את המשמעות שלו. השם הזה מופיע בהודעות שגיאה ואפשר להשתמש בו לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע אישי רגיש בשמות לתצוגה, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
בתיבה Constraint ID (מזהה האילוץ), מזינים את המזהה שרוצים להגדיר לאילוץ המותאם אישית החדש. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות גדולות וקטנות) או מספרים, למשל custom.defaultNetworkConstraint. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.), לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים או מידע אישי רגיש במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
בתיבה Description, מזינים תיאור של האילוץ שקריא לאנשים. התיאור הזה משמש כהודעת שגיאה כשיש הפרה של המדיניות. ציינו פרטים על הסיבה להפרת המדיניות ואיך לפתור את הבעיה. אל תכללו בתיאור פרטים אישיים מזהים (PII) או מידע רגיש, כי הם עלולים להיחשף בהודעות שגיאה. בשדה הזה אפשר להזין עד 2,000 תווים.
בתיבה Resource type, בוחרים את השם של Google Cloud משאב REST שמכיל את האובייקט והשדה שרוצים להגביל – לדוגמה, container.googleapis.com/NodePool. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
אפשר לאכוף את האילוץ הזה רק ב-REST CREATE.

כדי לראות את השיטות הנתמכות לכל שירות, חפשו את השירות במאמר שירותים שתומכים באילוצים בהתאמה אישית.

כדי להגדיר תנאי, לוחצים על עריכת התנאי.

בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב שירות נתמך, לדוגמה resource.management.autoUpgrade == false. השדה הזה יכול לכלול עד 1,000 תווים. פרטים על השימוש ב-CEL זמינים במאמר בנושא Common Expression Language. למידע נוסף על משאבי השירות שאפשר להשתמש בהם באילוצים בהתאמה אישית, קראו את המאמר שירותים שנתמכים באילוצים בהתאמה אישית.
לוחצים על Save.

בקטע פעולה, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי מתקיים.

הפעולה deny (דחייה) פירושה שהפעולה ליצירה או לעדכון של המשאב נחסמת אם התנאי מחזיר את הערך true.

פעולת ההרשאה מאפשרת ליצור או לעדכן את המשאב רק אם התנאי מתקיים. כל מקרה אחר, מלבד אלה שמפורטים במפורש בתנאי, נחסם.

לוחצים על יצירת אילוץ.

אחרי שמזינים ערך בכל שדה, מופיעה משמאל הגדרת ה-YAML המקבילה לאילוץ המותאם אישית הזה.

gcloud

כדי ליצור אילוץ בהתאמה אישית, יוצרים קובץ YAML בפורמט הבא:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.
‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות רישיות וקטנות) או מספרים, לדוגמה, custom.defaultNetworkConstraint. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.) – לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים (PII) או נתונים רגישים במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
‫RESOURCE_NAME: השם המוגדר במלואו של המשאב ב- Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, vpcaccess.googleapis.com/Connector. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
‫methodTypes: שיטות ה-REST שעליהן נאכף האילוץ. יכול להיות רק CREATE.

כדי לראות את השיטות הנתמכות לכל שירות, צריך לחפש את השירות בקטע שירותים שתומכים באילוצים בהתאמה אישית.

‫CONDITION: תנאי CEL שנכתב כנגד ייצוג של משאב שירות נתמך. בשדה הזה אפשר להזין עד 1,000 תווים. לדוגמה, "resource.network == default".

מידע נוסף על המשאבים שאפשר לכתוב תנאים לגביהם זמין במאמר משאבים נתמכים.

‫ACTION: הפעולה שצריך לבצע אם התנאי condition מתקיים. הערך יכול להיות רק ALLOW.

הפעולה allow (אישור) אומרת שאם התנאי מקבל את הערך true, הפעולה ליצירה או לעדכון של המשאב מותרת. המשמעות היא שכל מקרה אחר, מלבד המקרה שמופיע במפורש בתנאי, ייחסם.

DISPLAY_NAME: שם קריא לאנשים של האילוץ. השם הזה מופיע בהודעות שגיאה ויכול לשמש לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע אישי רגיש בשמות המוצגים, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
‫DESCRIPTION: תיאור קריא של האילוץ שיוצג כהודעת שגיאה במקרה של הפרת המדיניות. השדה הזה יכול להכיל עד 2,000 תווים.

אחרי שיוצרים את קובץ ה-YAML לאילוץ חדש בהתאמה אישית, צריך להגדיר אותו כדי שיהיה זמין למדיניות הארגון בארגון. כדי להגדיר אילוץ בהתאמה אישית, משתמשים בפקודה gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

מחליפים את CONSTRAINT_PATH בנתיב המלא לקובץ האילוץ בהתאמה אישית. לדוגמה, /home/user/customconstraint.yaml.

אחרי שהפעולה הזו תושלם, האילוצים המותאמים אישית יהיו זמינים כמדיניות ארגונית ברשימת Google Cloud מדיניות הארגון.

כדי לוודא שהאילוץ המותאם אישית קיים, משתמשים בפקודה gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

מחליפים את ORGANIZATION_ID במזהה של משאב הארגון.

למידע נוסף על מדיניות הארגון

אכיפת אילוץ בהתאמה אישית

כדי לאכוף אילוץ, יוצרים מדיניות ארגון שמפנה אליו, ואז מחילים את מדיניות הארגון הזו על משאב Google Cloud .

המסוף

נכנסים לדף Organization policies במסוף Google Cloud .
אל מדיניות הארגון
בתפריט לבחירת פרויקט, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
מהרשימה בדף מדיניות הארגון, בוחרים את האילוץ כדי לראות את הדף פרטי המדיניות של האילוץ הזה.
כדי להגדיר את מדיניות הארגון למשאב הזה, לוחצים על Manage policy.
בדף עריכת מדיניות, בוחרים באפשרות במקום המדיניות של המשאב הראשי.
לוחצים על Add a rule.
בקטע Enforcement (אכיפה), בוחרים אם מדיניות הארגון הזו נאכפת או לא.
אופציונלי: כדי להגדיר את מדיניות הארגון כתלויה בתג, לוחצים על הוספת תנאי. הערה: אם מוסיפים כלל מותנה למדיניות ארגון, צריך להוסיף לפחות כלל לא מותנה אחד, אחרת אי אפשר לשמור את המדיניות. מידע נוסף זמין במאמר בנושא הגדרת היקף של מדיניות הארגון באמצעות תגים.
לוחצים על בדיקת שינויים כדי לדמות את ההשפעה של מדיניות הארגון. מידע נוסף מופיע במאמר בדיקת שינויים במדיניות הארגון באמצעות סימולטור המדיניות.
כדי לאכוף את מדיניות הארגון במצב פרימטר לבדיקות, לוחצים על הגדרת המדיניות להרצת בדיקה. מידע נוסף זמין במאמר בנושא בדיקת מדיניות הארגון.
אחרי שמוודאים שמדיניות הארגון במצב פרימטר לבדיקות פועלת כמו שצריך, לוחצים על Set policy כדי להגדיר את המדיניות הפעילה.

gcloud

כדי ליצור מדיניות ארגונית עם כללים בוליאניים, יוצרים קובץ YAML של מדיניות שמפנה לאילוץ:

name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true

dryRunSpec:
  rules:
  - enforce: true

מחליפים את מה שכתוב בשדות הבאים:

‫PROJECT_ID: הפרויקט שבו רוצים לאכוף את האילוץ.
‫CONSTRAINT_NAME: השם שהגדרתם לאילוץ המותאם אישית. לדוגמה, custom.defaultNetworkConstraint.

כדי לאכוף את מדיניות הארגון במצב הרצה יבשה, מריצים את הפקודה הבאה עם הדגל dryRunSpec:

gcloud org-policies set-policy POLICY_PATH --update-mask=dryRunSpec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

אחרי שמוודאים שמדיניות הארגון במצב הרצה יבשה פועלת כמו שרוצים, מגדירים את המדיניות הפעילה באמצעות הפקודה org-policies set-policy והדגל spec:

gcloud org-policies set-policy POLICY_PATH --update-mask=spec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

בדיקת האילוץ המותאם אישית

כדי לבדוק את הדוגמה שמגבילה את הגדרות התעבורה הנכנסת, פורסים מחבר בפרויקט כשהרשת מוגדרת ל-default:

gcloud compute networks vpc-access connectors create org-policy-test \
    --project=PROJECT_ID \
    --region=REGION_ID \
    --network=default

הפלט שיתקבל:

Operation denied by custom org policies: ["customConstraints/custom.defaultNetworkConstraint": "Require network to not be set to default."]

דוגמאות למדיניות ארגונית מותאמת אישית לתרחישים נפוצים

בטבלה הבאה מפורטות דוגמאות לאילוצים מותאמים אישית שיכולים להיות שימושיים עם מחברים של חיבור לרשת VPC מאפליקציית serverless:

תיאור	תחביר של מגבלות
הגדרת דרישה שמחברים של חיבור לרשת (VPC) מאפליקציית serverless יוכלו להשתמש רק ברשת ספציפית.	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.allowlistNetworks resourceTypes: - vpcaccess.googleapis.com/Connector methodTypes: - CREATE condition: "resource.network == 'allowlisted-network'" actionType: ALLOW displayName: allowlistNetworks description: Require connectors to use a specific network.
תיאור	תחביר של אילוצים
הדרישה היא שלמחברי Serverless VPC Access תהיה גישה רק לרשת משנה ספציפית.	name: organizations/`ORGANIZATION_ID`/customConstraints/custom.restrictSubnetForProject resourceTypes: - vpcaccess.googleapis.com/Connector methodTypes: - CREATE condition: "resource.subnet.name == 'allocated-subnet'" actionType: ALLOW displayName: restrictSubnetForProject description: This project is only allowed to use the subnet "allocated-subnet".

תיאור

תחביר של מגבלות

הגדרת דרישה שמחברים של חיבור לרשת (VPC) מאפליקציית serverless יוכלו להשתמש רק ברשת ספציפית.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.allowlistNetworks
    resourceTypes:
    - vpcaccess.googleapis.com/Connector
    methodTypes:
    - CREATE
    condition: "resource.network == 'allowlisted-network'"
    actionType: ALLOW
    displayName: allowlistNetworks
    description: Require connectors to use a specific network.

תיאור

תחביר של אילוצים

הדרישה היא שלמחברי Serverless VPC Access תהיה גישה רק לרשת משנה ספציפית.

    name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictSubnetForProject
    resourceTypes:
    - vpcaccess.googleapis.com/Connector
    methodTypes:
    - CREATE
    condition: "resource.subnet.name == 'allocated-subnet'"
    actionType: ALLOW
    displayName: restrictSubnetForProject
    description: This project is only allowed to use the subnet "allocated-subnet".

הגדרת סביבת Cloud Run לשימוש ב-Direct VPC במקום במחבר

אתם יכולים להפעיל את השירות של Cloud Run כדי לשלוח תעבורת נתונים יוצאת (egress) ישירות לרשת VPC, וכך לאפשר גישה למכונות וירטואליות ב-Compute Engine, למופעים של Memorystore ולכל משאב אחר עם כתובת IP פנימית.

הגדרת השירות לשימוש ב-Direct VPC

Direct VPC egress מאפשר לשירות Cloud Run לשלוח תעבורת נתונים לרשת VPC בלי מחבר של חיבור לרשת (VPC) מאפליקציית serverless. עלויות הרשת יורדות לאפס בדיוק כמו השירות עצמו. אפשר גם להוסיף תגים לרשת ישירות לגרסאות של שירות Cloud Run כדי להגביר את רמת האבטחה של הרשת, למשל כדי להחיל כללי חומת אש של VPC.

אפשר להגדיר Direct VPC egress עם שירות באמצעות מסוףGoogle Cloud ,‏ Google Cloud CLI,‏ YAML או Terraform.

המסוף

נכנסים ל-Cloud Run במסוף Google Cloud :

כניסה ל-Cloud Run
אם אתם מגדירים שירות חדש שאתם פורסים, לוחצים על יצירת שירות. אם אתם מגדירים ופורסים שירות קיים, לוחצים על השירות.
אם אתם מגדירים שירות חדש, מלאו את דף הגדרות השירות הראשוני לפי הצורך, ואז לחצו על Containers, Networking, Security כדי להרחיב את דף הגדרות השירות.
נכנסים לכרטיסייה Networking.
לוחצים על Connect to a VPC for outbound traffic.
לוחצים על שליחת תנועה ישירות ל-VPC.
בשדה Network (רשת), בוחרים את רשת ה-VPC שאליה רוצים לשלוח תנועה.
בשדה Subnet (תת-רשת), בוחרים את תת-הרשת שדרכה השירות מקבל כתובות IP. אפשר לפרוס כמה שירותים באותה רשת משנה.
אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך לשירות או לשירותים. תגי רשת מצוינים ברמת הגרסה. לכל עדכון של שירות יכולים להיות תגים שונים ברשת, כמו network-tag-2.
בקטע ניתוב תנועה, בוחרים באחת מהאפשרויות הבאות:
- ניתוב בקשות לכתובות IP פרטיות בלבד ל-VPC כדי לשלוח רק תנועה לכתובות פנימיות דרך רשת ה-VPC.
- ניתוב כל התעבורה אל ה-VPC כדי לשלוח את כל התעבורה היוצאת דרך רשת ה-VPC.
כדי ליצור שירות חדש, לוחצים על יצירה. לוחצים על הצגת ההשוואה ופריסה מחדש ואז על פריסת שינויים בשירות קיים.
כדי לוודא שהשירות נמצא ברשת ה-VPC, לוחצים על השירות ואז על הכרטיסייה Networking. הרשת ורשת המשנה מופיעות בכרטיס VPC.

עכשיו אפשר לשלוח בקשות מהשירות שלכם ב-Cloud Run לכל משאב ברשת ה-VPC, בהתאם לכללים של חומת האש.

gcloud

שירות

כדי לפרוס שירות Cloud Run בלי מחבר מ-Google Cloud CLI:

מעדכנים את הרכיבים של gcloud לגרסה העדכנית:
```
gcloud components update
```
מוודאים ש-Compute Engine API מופעל בפרויקט:
```
gcloud services enable compute.googleapis.com
```
פורסים את שירות Cloud Run באמצעות הפקודה הבאה:
```
gcloud run deploy SERVICE_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --vpc-egress=EGRESS_SETTING \
    --region=REGION
```
מחליפים את:
- ‫SERVICE_NAME מחליפים בשם של שירות Cloud Run.
- IMAGE_URLus-docker.pkg.dev/cloudrun/container/hello:latest. אם משתמשים ב-Artifact Registry, צריך כבר ליצור את המאגר REPO_NAME. כתובת ה-URL היא בפורמט LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, לרשת המשנה יהיה אותו שם כמו לרשת.
- SUBNET בשם של רשת המשנה. רשת המשנה חייבת להיות בגודל /26 או יותר. תעבורת נתונים יוצאת (egress) ישירה ב-VPC תומכת בטווחים של IPv4 ‏RFC 1918,‏ RFC 6598 ו-Class E. אפשר לפרוס או להפעיל כמה שירותים או עבודות באותה רשת משנה, אבל אי אפשר לשתף את רשת המשנה עם מחברים קיימים.
- אופציונלי: NETWORK_TAG_NAMES עם השמות המופרדים בפסיקים של תגי הרשת שרוצים לשייך לשירות. בשירותים, תגי הרשת מצוינים ברמת הגרסה. לכל גרסה של שירות יכולים להיות תגי רשת שונים, כמו network-tag-2.
- EGRESS_SETTING עם ערך של הגדרת יציאה:
  - ‫all-traffic: שולח את כל התנועה היוצאת דרך רשת ה-VPC.
  - ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
- ‫REGION עם אזור לשירות שלכם.
כדי לוודא שהשירות שלכם נמצא ברשת ה-VPC, מריצים את הפקודה הבאה:
```
gcloud run services describe SERVICE_NAME \
    --region=REGION
```
מחליפים את:
- SERVICE_NAME בשם של השירות.
- ‫REGION באזור של השירות שציינתם בשלב הקודם.
הפלט צריך לכלול את השם של הרשת, רשת המשנה והגדרת היציאה, לדוגמה:
```
VPC access:
  Network:       default
  Subnet:        subnet
  Egress:        private-ranges-only
```

עכשיו אתם יכולים לשלוח בקשות משירות Cloud Run לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

תפקיד

כדי לפרוס פונקציית Cloud Run בלי מחבר מ-Google Cloud CLI:

מעדכנים את הרכיבים של gcloud לגרסה העדכנית:
```
gcloud components update
```
מוודאים שה-API של Compute Engine מופעל בפרויקט:
```
gcloud services enable compute.googleapis.com
```
פורסים את פונקציית Cloud Run באמצעות הפקודה הבאה:
```
gcloud run deploy FUNCTION_NAME \
    --image=IMAGE_URL \
    --network=NETWORK \
    --subnet=SUBNET \
    --network-tags=NETWORK_TAG_NAMES \
    --vpc-egress=EGRESS_SETTING \
    --region=REGION \
    --function=FUNCTION_ENTRYPOINT
```
מחליפים את:
- ‫FUNCTION_NAME מחליפים בשם של פונקציית Cloud Run.
- ‫IMAGE_URLus-docker.pkg.dev/cloudrun/container/hello:latest. אם אתם משתמשים ב-Artifact Registry, המאגר REPO_NAME צריך להיות כבר קיים. כתובת ה-URL היא בפורמט LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
- ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, לרשת המשנה יהיה אותו שם כמו לרשת.
- SUBNET בשם של רשת המשנה. רשת המשנה חייבת להיות בגודל /26 או יותר. תעבורת נתונים יוצאת (egress) ישירה ב-VPC תומכת בטווחים של IPv4 ‏RFC 1918,‏ RFC 6598 ו-Class E. אפשר לפרוס או להפעיל כמה שירותים או עבודות באותה רשת משנה, אבל אי אפשר לשתף את רשת המשנה עם מחברים קיימים.
- אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך לפונקציה, מופרדים בפסיקים. בפונקציות, תגי רשת מצוינים ברמת השינוי. לכל עדכון יכולים להיות תגי רשת שונים, כמו network-tag-2.
- EGRESS_SETTING עם ערך של הגדרת יציאה:
  - ‫all-traffic: שולח את כל התנועה היוצאת דרך רשת ה-VPC.
  - ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
- ‫REGION באזור של הפונקציה.
- אופציונלי: FUNCTION_ENTRYPOINT עם נקודת הכניסה לפונקציה בקוד המקור. זה הקוד ש-Cloud Run מריץ כשהפונקציה פועלת. הערך של הדגל הזה צריך להיות שם של פונקציה או שם מחלקה שמוגדר במלואו וקיים בקוד המקור.
כדי לוודא שהפונקציה נמצאת ברשת ה-VPC, מריצים את הפקודה הבאה:
```
gcloud run services describe FUNCTION_NAME \
    --region=REGION
```
מחליפים את:
- FUNCTION_NAME בשם של הפונקציה.
- ‫REGION באזור של הפונקציה שציינתם בשלב הקודם.
הפלט צריך להכיל את השם של הרשת, רשת המשנה והגדרת היציאה, לדוגמה:
```
VPC access:
  Network:       default
  Subnet:        subnet
  Egress:        private-ranges-only
```

עכשיו אפשר לשלוח בקשות מפונקציית Cloud Run לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

YAML

אם אתם יוצרים שירות חדש, דלגו על השלב הזה. אם אתם מעדכנים שירות קיים, מורידים את הגדרות ה-YAML שלו:
```
gcloud run services describe SERVICE --format export > service.yaml
```
מעדכנים את המאפיינים הבאים:
```
apiVersion: serving.knative.dev/v1
  kind: Service
  metadata:
    name: SERVICE_NAME
    labels:
      cloud.googleapis.com/location: REGION
  spec:
    template:
      metadata:
        annotations:
          run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
          run.googleapis.com/vpc-access-egress: EGRESS_SETTING
      spec:
        containers:
        - image: IMAGE
```
מחליפים את:
- ‫SERVICE_NAME מחליפים בשם של שירות Cloud Run. שמות השירותים צריכים להיות באורך של עד 49 תווים, וייחודיים לכל אזור ופרויקט.
- ‫REGION מחליפים באזור של שירות Cloud Run, שצריך להיות זהה לאזור של רשת המשנה.
- ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, שם רשת המשנה יהיה זהה לשם הרשת.
- SUBNET בשם של רשת המשנה. רשת המשנה צריכה להיות /26 או גדולה יותר. תעבורת נתונים יוצאת (egress) ישירה ב-VPC תומכת בטווחים של IPv4 ‏RFC 1918,‏ RFC 6598 ו-Class E. אפשר לפרוס או להפעיל כמה שירותים או עבודות באותה רשת משנה, אבל אי אפשר לשתף את רשת המשנה עם מחברים קיימים.
- אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך לשירות. בשירותים, תגי הרשת מצוינים ברמת השינוי. לכל עדכון של שירות יכולים להיות תגים שונים ברשת, כמו network-tag-2.
- EGRESS_SETTING עם ערך של הגדרת יציאה:
  - ‫all-traffic: כל התנועה היוצאת נשלחת דרך רשת ה-VPC.
  - ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
- IMAGE בכתובת ה-URL של קובץ אימג' של קונטיינר השירות.
אפשר גם לציין הגדרות נוספות, כמו משתני סביבה או מגבלות זיכרון.
יוצרים או מעדכנים את השירות באמצעות הפקודה הבאה:
```
gcloud run services replace service.yaml
```

Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

מוסיפים לקובץ main.tf את הנתונים הבאים:

/**
 * Copyright 2024 Google LLC
 *
 * Licensed under the Apache License, Version 2.0 (the "License");
 * you may not use this file except in compliance with the License.
 * You may obtain a copy of the License at
 *
 *      http://www.apache.org/licenses/LICENSE-2.0
 *
 * Unless required by applicable law or agreed to in writing, software
 * distributed under the License is distributed on an "AS IS" BASIS,
 * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
 * See the License for the specific language governing permissions and
 * limitations under the License.
 */

# Example configuration of a Cloud Run service with direct VPC

resource "google_cloud_run_v2_service" "default" {
  name     = "cloudrun-service"
  location = "us-central1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
    }
    vpc_access {
      network_interfaces {
        network    = "default"
        subnetwork = "default"
        tags       = ["tag1", "tag2", "tag3"]
      }
    }
  }
}

אם רוצים לאפשר גישה לשירות ללא אימות, אפשר להגדיר את השירות כציבורי.

הגדרת העבודה לשימוש ב-Direct VPC

Direct VPC egress מאפשר למשימת Cloud Run לשלוח תעבורת נתונים לרשת VPC בלי מחבר גישה ל-VPC ללא שרת (Serverless). אפשר גם להוסיף תגי רשת ישירות למשימות של Cloud Run כדי להגדיר אבטחת רשת ברמת גרנולריות גבוהה יותר, למשל להחיל כללי חומת אש של VPC.

אפשר להגדיר Direct VPC egress עם משימה באמצעותGoogle Cloud המסוף, Google Cloud CLI או YAML.

המסוף

כניסה ל-Cloud Run
אם אתם מגדירים משימה חדשה, לוחצים על הכרטיסייה משימות וממלאים את הדף של הגדרות המשימה הראשוניות לפי הצורך. אם אתם מגדירים משימה קיימת, לוחצים על המשימה ואז על עריכה.
לוחצים על Container, Variables & Secrets, Connections, Security (מאגר תגים, משתנים וסודות, חיבורים, אבטחה) כדי להרחיב את דף מאפייני העבודה.
לוחצים על הכרטיסייה Connections (קישורים).
לוחצים על Connect to a VPC for outbound traffic (חיבור ל-VPC לתעבורה יוצאת).
לוחצים על שליחת תנועה ישירות ל-VPC.
בשדה Network (רשת), בוחרים את רשת ה-VPC שאליה רוצים לשלוח את התנועה.
בשדה Subnet (רשת משנה), בוחרים את רשת המשנה שממנה העבודה מקבלת כתובות IP. אפשר להריץ כמה משימות באותה רשת משנה.
בקטע ניתוב תנועה, בוחרים באחת מהאפשרויות הבאות:
- ניתוב בקשות לכתובות IP פרטיות בלבד ל-VPC כדי לשלוח רק תנועה לכתובות פנימיות דרך רשת ה-VPC.
- ניתוב כל התעבורה אל ה-VPC כדי לשלוח את כל התעבורה היוצאת דרך רשת ה-VPC.
אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך לשירות או לשירותים. תגי רשת מצוינים ברמת הגרסה. לכל גרסה של שירות יכולים להיות תגי רשת שונים, כמו network-tag-2.
אופציונלי: מזינים את השמות של תגי הרשת שרוצים לשייך למשימה או למשימות. במשימות, תגי הרשת מצוינים ברמת ההפעלה. לכל הרצת משימה יכולים להיות תגים שונים ברשת, כמו network-tag-2.
לוחצים על יצירה או על עדכון.
כדי לוודא שהעבודה נמצאת ברשת ה-VPC, לוחצים על העבודה ואז על הכרטיסייה הגדרות. הרשת ורשת המשנה מופיעות בכרטיס VPC.

עכשיו אפשר להריץ את משימת Cloud Run ולשלוח בקשות מהמשימה לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

gcloud

כדי ליצור משימת Cloud Run בלי מחבר מ-Google Cloud CLI:

מעדכנים את הרכיבים של gcloud לגרסה העדכנית:
```
gcloud components update
```
מוודאים ש-Compute Engine API מופעל בפרויקט:
```
gcloud services enable compute.googleapis.com
```
יוצרים משימת Cloud Run באמצעות הפקודה הבאה:
```
gcloud run jobs create JOB_NAME \
--image=IMAGE_URL \
--network=NETWORK \
--subnet=SUBNET \
--network-tags=NETWORK_TAG_NAMES \
--vpc-egress=EGRESS_SETTING \
--region=REGION
```
מחליפים את:
- ‫JOB_NAME מחליפים בשם של משימת Cloud Run.
- ‫IMAGE_URL: הפניה לקובץ אימג' בקונטיינר, לדוגמה us-docker.pkg.dev/cloudrun/container/job:latest
- ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, לרשת המשנה יהיה אותו שם כמו לרשת.
- SUBNET בשם של רשת המשנה. רשת המשנה צריכה להיות /26 או גדולה יותר. תעבורת נתונים יוצאת ב-Direct VPC תומכת בטווחי IPv4 מסוג RFC 1918,‏ RFC 6598 ו-Class E. אפשר לפרוס או להריץ כמה שירותים או משימות באותה רשת משנה, אבל אי אפשר לשתף את רשת המשנה עם מחברים קיימים.
- אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך למשימה. לגבי עבודות, תגי הרשת מצוינים ברמת הביצוע. לכל הרצת משימה יכולים להיות תגי רשת שונים, כמו network-tag-2.
- EGRESS_SETTING עם ערך של הגדרת יציאה:
  - ‫all-traffic: שולח את כל התנועה היוצאת דרך רשת ה-VPC.
  - ‫private-ranges-only: שליחת תנועה רק לכתובות פנימיות דרך רשת ה-VPC.
- ‫REGION מחליפים באזור בשביל המשימה.
כדי לוודא שהעבודה נמצאת ברשת ה-VPC, מריצים את הפקודה הבאה:
```
gcloud run jobs describe JOB_NAME \
  --region=REGION
  
```
מחליפים את:
- ‫JOB_NAME בשם של המשימה.
- ‫REGION באזור של המשרה שציינתם בשלב הקודם.
הפלט צריך להכיל את השם של הרשת ושל רשת המשנה, לדוגמה:
```
VPC network:
  Network:       default
  Subnet:        default
```

עכשיו אפשר להריץ את משימת Cloud Run ולשלוח בקשות מהמשימה לכל משאב ברשת ה-VPC, בהתאם לכללי חומת האש.

YAML

אם אתם יוצרים משימה חדשה, דלגו על השלב הזה. אם אתם מעדכנים משימה קיימת, אתם צריכים להוריד את הגדרת ה-YAML שלה:
```
gcloud run jobs describe JOB --format export > job.yaml
```
מעדכנים את המאפיינים הבאים:
```
apiVersion: run.googleapis.com/v1
  kind: Job
  metadata:
    name: JOB_NAME
    labels:
      cloud.googleapis.com/location: REGION
  spec:
    template:
      metadata:
        annotations:
          run.googleapis.com/network-interfaces: '[{"network":"NETWORK","subnetwork":"SUBNET","tags":"NETWORK_TAG_NAMES"}]'
          run.googleapis.com/vpc-access-egress: EGRESS_SETTING
      spec:
        containers:
        - image: IMAGE
```
מחליפים את:
- ‫JOB_NAME מחליפים בשם של משימת Cloud Run. שמות המשרות צריכים להיות באורך של עד 49 תווים, והם צריכים להיות ייחודיים לכל אזור ופרויקט.
- ‫REGION עם האזור של עבודת Cloud Run, שחייב להיות זהה לאזור של רשת המשנה.
- ‫NETWORK בשם של רשת ה-VPC. מציינים רשת VPC או רשת משנה, או את שתיהן. אם מציינים רק רשת, לרשת המשנה יהיה אותו שם כמו לרשת.
- SUBNET בשם של רשת המשנה. רשת המשנה צריכה להיות /26 או גדולה יותר. יציאה ישירה מ-VPC תומכת בטווחים של IPv4 ‏RFC 1918,‏ RFC 6598 ו-Class E. אפשר לפרוס או להפעיל כמה שירותים או עבודות באותה רשת משנה, אבל אי אפשר לשתף את רשת המשנה עם מחברים קיימים.
- אופציונלי: NETWORK_TAG_NAMES עם השמות של תגי הרשת שרוצים לשייך למשימה. לגבי עבודות, תגי הרשת מצוינים ברמת הביצוע. לכל הרצת משימה יכולים להיות תגי רשת שונים, כמו network-tag-2.
- EGRESS_SETTING עם ערך הגדרת תעבורת נתונים יוצאת:
  - ‫all-traffic: שולח את כל התנועה היוצאת דרך רשת ה-VPC.
  - ‫private-ranges-only: שולח תעבורה רק לכתובות פנימיות דרך רשת ה-VPC.
- IMAGE בכתובת ה-URL של קובץ האימג' בקונטיינר של העבודה.
יוצרים או מעדכנים את המשימה באמצעות הפקודה הבאה:
```
gcloud run jobs replace job.yaml
```

פתרון בעיות

הרשאות של חשבון שירות

סוכן שירות לגישה ל-VPC מאפליקציית serverless

כדי לבצע פעולות בפרויקט Google Cloud , שירות Serverless VPC Access משתמש בחשבון השירות Serverless VPC Access Service Agent. כתובת האימייל של חשבון השירות הזה היא בפורמט הבא:

service-PROJECT_NUMBER@gcp-sa-vpcaccess.iam.gserviceaccount.com

כברירת מחדל, לחשבון השירות הזה יש את התפקיד סוכן שירות לגישה לרשת (VPC) מאפליקציית serverless (roles/vpcaccess.serviceAgent). אם תשנו את ההרשאות של החשבון הזה, יכול להיות שפעולות של חיבור לרשת (VPC) מאפליקציית serverless ייכשלו.

סוכן שירות של Google APIs

‫Serverless VPC Access API תלוי ב-Deployment Manager לצורך הקצאת המשאבים הבסיסיים שמיישמים את המחבר. כדי לבצע פעולות בפרויקט Google Cloud , Deployment Manager משתמש ב-סוכן שירות של Google APIs. כתובת האימייל של חשבון השירות הזה היא בפורמט הבא:

PROJECT_NUMBER@cloudservices.gserviceaccount.com

כברירת מחדל, לחשבון השירות הזה יש את התפקיד 'עריכה' (roles/project.editor) או הרשאות של התפקיד 'עריכה'. אם רוצים להעניק לסוכן השירות של Google APIs הרשאות מוגבלות יותר, בלי להשפיע על הפונקציונליות של חיבור לרשת VPC, אפשר להעניק לחשבון השירות הזה את התפקיד סוכן שירות של Serverless VPC Access (roles/vpcaccess.serviceAgent) במקום זאת.

שירותים מסוימים, מלבד Deployment Manager, מסתמכים גם על הרשאות ברירת המחדל של תפקיד העריכה של סוכן השירות של Google APIs. הסרת התפקיד הזה עשויה להשפיע על שירותים ומשאבים אחרים מלבד Serverless VPC Access API. מידע נוסף על ההשלכות של הסרת תפקיד העריכה מסוכן השירות של Google APIs זמין במאמר סוכן השירות של Google APIs.

ביצועים חלשים ברשת או ניצול גבוה של המעבד בזמן שהוא לא פעיל

שימוש במחבר אחד לאלפי מכונות עלול לגרום לירידה בביצועים ולניצול מוגבר של המעבד (CPU) במצב חוסר פעילות. כדי לפתור את הבעיה, צריך לפצל את השירותים בין כמה מחברים.

בעיות ב-MTU בהתאמה אישית

אם נתקלתם בבעיות עם MTU בהתאמה אישית, ודאו שאתם משתמשים בהגדרת ברירת המחדל של MTU ל-Cloud Run.

שגיאות

שגיאה: לחשבון השירות נדרש התפקיד "סוכן שירות"

אם משתמשים באילוץ מדיניות הארגון Restrict Resource Service Usage כדי לחסום את Cloud Deployment Manager ‏ (deploymentmanager.googleapis.com), יכול להיות שתופיע הודעת השגיאה הבאה:

Serverless VPC Access service account (service-<PROJECT_NUMBER>@gcp-sa-vpcaccess.iam.gserviceaccount.com) needs Serverless VPC Access Service Agent role in the project.

מגדירים את מדיניות הארגון כדי להסיר את Deployment Manager מהרשימה השחורה או להוסיף אותו לרשימת ההיתרים.

שגיאה ביצירת המחבר

אם יצירת מחבר מובילה לשגיאה, נסו את הפעולות הבאות:

מציינים טווח כתובות IP פנימיות מסוג RFC 1918 שלא חופף לאף כתובת IP קיימת ששמורה ברשת ה-VPC.
נותנים לפרויקט הרשאה להשתמש בתמונות של מכונות וירטואליות ב-Compute Engine מהפרויקט עם המזהה serverless-vpc-access-images. במאמר הגדרת אילוצי גישה לתמונות מוסבר איך לעדכן את מדיניות הארגון בהתאם.

אין אפשרות לגשת למשאבים

אם ציינתם מחבר אבל עדיין אין לכם גישה למשאבים ברשת ה-VPC, ודאו שאין ברשת ה-VPC כללי חומת אש עם עדיפות נמוכה מ-1000 שחוסמים כניסה מטווח כתובות ה-IP של המחבר.

אם אתם מגדירים מחבר בפרויקט שירות של VPC משותף, ודאו שכללי חומת האש מאפשרים תעבורת נתונים נכנסת (ingress) מהתשתית ללא שרת (serverless) למחבר.

שגיאה מסוג 'החיבור נדחה'

אם אתם מקבלים שגיאות connection refused או connection timeout שפוגעות בביצועי הרשת, יכול להיות שהחיבורים שלכם גדלים ללא הגבלה בכל הפעלה של האפליקציה ללא שרת. כדי להגביל את מספר החיבורים המקסימלי לכל מכונה, צריך להשתמש בספריית לקוח שתומכת במאגרי חיבורים. דוגמאות מפורטות לשימוש במאגרי חיבורים מופיעות במאמר בנושא ניהול חיבורים למסדי נתונים.

השגיאה 'המשאב לא נמצא'

כשמוחקים רשת VPC או כלל חומת אש, יכול להיות שתוצג הודעה דומה להודעה הבאה: The resource "aet-uscentral1-subnet--1-egrfw" was not found.

למידע נוסף על השגיאה הזו ועל הפתרון שלה, קראו את הקטע השגיאה "המשאב לא נמצא" במאמרי העזרה בנושא כללי חומת האש של VPC.

השלבים הבאים

מעקב אחרי פעילות האדמין באמצעות רישום ביומן ביקורת של חיבור לרשת (VPC) מאפליקציית serverless.
כדי להגן על משאבים ונתונים, אפשר ליצור גבול גזרה לשירות באמצעות VPC Service Controls.
מידע על התפקידים בניהול הזהויות והרשאות הגישה (IAM) שמשויכים לחיבור לרשת VPC מאפליקציית Serverless. במאמר תפקידים ב-Serverless VPC Access במסמכי התיעוד של IAM מפורטת רשימת ההרשאות שמשויכות לכל תפקיד.
מידע נוסף על התחברות ל-Memorystore:

התחברות לרשת VPC

לפני שמתחילים

הדרישות לגבי רשתות משנה של מחברים

מגבלות

יצירת מחבר

המסוף

gcloud

Terraform

הגדרת סביבה בלי שרת (serverless) לשימוש במחבר

הגדרת Cloud Run לשימוש במחבר

המסוף

gcloud

YAML

Terraform

הגדרת פונקציות Cloud Run לשימוש במחבר

המסוף

gcloud

הגדרת App Engine לשימוש במחבר

Python 2

Java 8

‫Go 1.11

כל שאר סביבות זמן הריצה

הגדרת כללים לחומת אש עבור מחברים

כללי חומת אש שנדרשים למחברים בפרויקטים של שירותים

יצירת כללים לחומת אש למחברים ספציפיים

הגבלת הגישה של ה-VM של המחבר למשאבים של רשת ה-VPC

הגבלת הגישה באמצעות כללי כניסה

תגים של רשתות

טווח CIDR

הגבלת הגישה באמצעות כללים לתעבורת נתונים יוצאת

עדכון מחבר

עדכון סוג המכונה

המסוף

gcloud

הקטנת המספר המינימלי והמקסימלי של מופעים

הגדלת המספר המינימלי והמקסימלי של המכונות

המסוף

gcloud

איך למצוא את ערכי המאפיינים הנוכחיים

מעקב אחרי השימוש במחברים

מחיקת מחבר

המסוף

gcloud

ניהול אילוצים מותאמים אישית לפרויקטים

יתרונות

ירושה של מדיניות

מגבלות

לפני שמתחילים

התפקידים הנדרשים

יצירת אילוץ בהתאמה אישית

הגדרת אילוץ בהתאמה אישית

המסוף

gcloud

אכיפת אילוץ בהתאמה אישית

המסוף

gcloud

בדיקת האילוץ המותאם אישית

דוגמאות למדיניות ארגונית מותאמת אישית לתרחישים נפוצים

הגדרת סביבת Cloud Run לשימוש ב-Direct VPC במקום במחבר

הגדרת השירות לשימוש ב-Direct VPC

המסוף

gcloud

שירות

תפקיד

YAML

Terraform

הגדרת העבודה לשימוש ב-Direct VPC

המסוף

gcloud

YAML

פתרון בעיות

הרשאות של חשבון שירות

סוכן שירות לגישה ל-VPC מאפליקציית serverless

סוכן שירות של Google APIs

ביצועים חלשים ברשת או ניצול גבוה של המעבד בזמן שהוא לא פעיל

בעיות ב-MTU בהתאמה אישית

שגיאות

שגיאה: לחשבון השירות נדרש התפקיד "סוכן שירות"

שגיאה ביצירת המחבר

אין אפשרות לגשת למשאבים