プライベート ネットワークと Cloud Run

このページでは、プライベート ネットワークに Cloud Run リソースを追加するための構成オプションについて説明します。

このコンテンツを最大限に活用するには、次のコンセプトを理解している必要があります。

• 基本的なネットワーキング
• Google CloudVirtual Private Cloud（VPC） ネットワーク

多くの組織では、サービスやアプリケーションのネットワーク トラフィックを保護するために、境界制御が可能な Google Cloud でプライベート ネットワークを使用して、データの引き出しを防止しています。プライベート ネットワークには、次のような特性がある場合があります。

• 多くのリソース（VM など）が 1 つ以上の VPC ネットワークに配置されている場合があります。
• こうした VM はさまざまなプロジェクトに属している可能性があり、共有 VPC で接続されている場合があります。
• オンプレミス ワークロードや他のクラウド上のワークロードが、Cloud VPN や Cloud Interconnect 経由でこの環境に接続している場合もあります。
• VPC Service Controls 境界を有効にすることで、データが引き出されるリスクを軽減できます。
• 複数のプライベート ネットワークが本番環境、ステージング環境、開発環境ごとに存在している場合があります。

VM とは異なり、Cloud Run リソースは特定の VPC ネットワークに関連付けられていません。このページでは、Cloud Run リソースをプライベート ネットワークに組み込む方法について説明します。

サーバーレス ネットワーキングの説明

パブリック ネットワークとプライベート ネットワークの一般的なエンタープライズ構成の詳細については、サーバーレス ネットワーキングの説明をご覧ください。

ここでは、次のように Cloud Run の基本的なシナリオから高度なシナリオまで紹介しています。

• カスタム ドメインを使用する「Hello, World!」アプリを安全にデプロイする
• エンタープライズ アプリケーションとマイクロサービスを開発する
• データベースとファイル システムに一般公開または限定公開でアクセスする
• SaaS プロバイダに接続する
• セキュリティ管理を適用する

対応する Terraform モジュールのリストをご覧ください。

プライベート ネットワークからリクエストを受信する

プライベート ネットワークからリクエストを受信するには、次の条件に基づく構成が必要です。

• リクエストの送信元。
• Cloud Run リソースがプライベート ネットワークからのリクエストのみを許可するかどうか。

たとえば、VPC ネットワークからのリクエストの受信には、オンプレミス リソースや他のクラウドからのリクエストの受信とは異なる構成が必要になる場合があります。

他の Cloud Run リソースまたは App Engine からリクエストを受信する

宛先の Cloud Run リソースが、他の Cloud Run リソース、App Engine からトラフィックを受信し、「内部」または「内部およびロード バランシング」の上り（内向き）設定を使用する場合、トラフィックは VPC ネットワークを使用して内部とみなされる必要があります。

他の Cloud Run リソースまたは App Engine からリクエストを受信するには、次の操作を行います。

1. ダイレクト VPC 下り（外向き）またはコネクタを使用するようにソースリソースを構成します。

2. 次のオプションのいずれかを使用して、Cloud Run へのトラフィックが VPC ネットワークを経由することを確認します。

   • VPC ネットワーク経由ですべてのトラフィックを送信するようにソースリソースを構成し、ダイレクト VPC 下り（外向き）またはコネクタに関連付けられたサブネットでプライベート Google アクセスを有効にします。
   • Private Service Connect または内部アプリケーション ロードバランサを設定して、宛先の Cloud Run リソースと通信するようにします。この構成では、内部 IP アドレスを使用して Cloud Run にアクセスするため、リクエストは VPC ネットワーク経由で転送されます。
   • ソースリソースに関連付けられたサブネットでプライベート Google アクセスを有効にし、DNS を構成して、run.app URL を private.googleapis.com（199.36.153.8/30）または restricted.googleapis.com（199.36.153.4/30）範囲に解決します。これらの範囲へのリクエストは、VPC ネットワーク経由で転送されます。

VPC ネットワークからリクエストを受信する

デフォルトでは、外部 IP アドレスを持っているリソースか、Cloud NAT を使用するリソースにのみ、インターネットとGoogle Cloud サービス（Pub/Sub や Cloud Run など）への直接アクセスが許可されます。他のリソースについては、Cloud Run へのトラフィック パスを有効にする方法がいくつかあります。

• 最も直接的なパスは、リソースをホストするサブネットでプライベート Google アクセスを有効にすることです。プライベート Google アクセスが有効になっている場合、サブネット上のリソースはデフォルトの run.app URL で Cloud Run リソースにアクセスできます。VPC ネットワークから Cloud Run へのトラフィックは Google のネットワーク内にとどまります。この場合、Cloud Run リソースに送信されるリクエストの IP 範囲は 0.0.0.0/32 です。リクエストのログエントリでは、HttpRequest の remoteIp 属性は 0.0.0.0 になります。
• Cloud Run リソース（他の Google API とともに）に VPC ネットワークの内部 IP アドレスからアクセスする必要がある場合は、Private Service Connect エンドポイントを作成し、run.app にプライベート DNS ゾーンを構成することを検討してください。この構成では、VPC ネットワーク内のリソースは、Private Service Connect エンドポイントの IP アドレスを介して、デフォルトの run.app URL で Cloud Run リソースにアクセスできます。
• ロード バランシングの機能と制御が必要な場合は、内部アプリケーション ロードバランサの使用を検討してください。このアプローチでは、VPC ネットワーク内のリソースは、内部アプリケーション ロードバランサに関連付けられた URL を使用して Cloud Run リソースにアクセスします。
• サービスを内部クライアントにマネージド サービスとして公開し、アクセス可能なプロジェクトを制御する場合は、内部アプリケーション ロードバランサを使用してサービスをホストし、Private Service Connect を使用して公開できます。サービスを使用する必要があるプロジェクトは、Private Service Connect エンドポイントまたは Private Service Connect バックエンドを使用してアクセスできます。

レスポンスは、リクエストと同じパスを使用して返されます。

共有 VPC に関する特別な考慮事項

Cloud Run の上り（内向き）制御で internal 設定を使用して、すべてのトラフィックをプライベート ネットワークから受信する必要がある場合、共有 VPC トラフィックは次の状況でのみ「内部」として認識されます。

• Cloud Run リソースが共有 VPC ホスト プロジェクトで実行されている。

• 共有 VPC 上り（内向き）: Cloud Run リソースが共有 VPC ネットワークに接続している。このシナリオでは、次の点を考慮してください。

  • 共有 VPC ネットワークにトラフィックを送信するようにダイレクト VPC 下り（外向き）またはサーバーレス VPC アクセス コネクタを構成したサービス リビジョンのみが、同じ共有 VPC ネットワークからのトラフィックも受け入れます。

  • リクエストでは、トラフィックの方向に応じて異なるパスが使用されます。Cloud Run から共有 VPC ネットワークに送信されるリクエストは、直接 VPC 下り（外向き）またはコネクタ経由で転送されます。一方、共有 VPC ネットワークから Cloud Run に送信されるリクエストでは、標準の上り（内向き）パスが使用されます。

  • Cloud Run リソースを共有 VPC ネットワークから切断するには、VPC ネットワーク アクセスなしで再デプロイするか、異なる VPC ネットワークにトラフィックを送信するように構成されたリソースで再デプロイします。

• 内部アプリケーション ロードバランサでトラフィックのプロキシ処理を行っている。

• 共有 VPC ホストとすべてのサービス プロジェクトを同じ VPC Service Controls 境界内に配置している。VPC Service Controls の設定方法については、VPC Service Controls（VPC SC）の使用をご覧ください。

プロジェクト外の他の VPC ネットワークに関する特別な考慮事項

Cloud Run の上り（内向き）制御で internal 設定を使用して、すべてのトラフィックをプライベート ネットワークから受信するようにする場合は、次の場合を除き、プロジェクト外の他の VPC ネットワークからのトラフィックは「内部」として認識されません。

• VPC Service Controls が、run.googleapis.com のトラフィックを制限付きサービスとして許可するように構成されており、ソース サブネットでプライベート Google アクセスが有効になっている。
• Private Service Connect を使用して、Cloud Run リソースがマネージド サービスとして公開され（内部アプリケーション ロードバランサが必要）、他の VPC ネットワークからアクセスされている。

プロジェクト外の VPC ネットワークとピアリングしても、トラフィックが「内部」として認識されることはありません。

他の Google Cloud サービスからリクエストを受信する

Pub/Sub などの Google Cloud サービスから Cloud Run へのリクエストは、Google のネットワーク内にとどまります。

内部トラフィックのみを許可するように Cloud Run の上り（内向き）制御を構成している場合は、特別な考慮事項がいくつかあります。

• 同じプロジェクト内または VPC Service Controls 境界内にある BigQuery、Cloud Scheduler、Cloud Tasks、Dialogflow CX、Eventarc、Pub/Sub、合成モニター（稼働時間チェックを含む）、Workflows からのリクエストは「内部」として認識されます。
• 同じプロジェクトまたは VPC Service Controls の境界内から送信される Cloud Run または App Engine からのリクエストを「内部」として認識される前に、追加の構成が必要です。詳細については、他の Cloud Run サービスまたは App Engine からリクエストを受信するをご覧ください。
• 選択した Google Cloud サービスが、上り（内向き）が internal に設定されている Cloud Run リソースにアクセスできない場合は、Pub/Sub（internal と認証の両方をサポート）、API Gateway、Dialogflow CX（internal と認証の両方をサポート）などで Cloud Run での認証がサポートされていることを確認してください。セキュリティ要件によっては、「内部」の上り（内向き）ではなく、宛先の Cloud Run リソースで認証を要求すれば十分な場合もあります。
• 上記以外の Google Cloud サービスからのリクエストは内部として認識されないため、上り（内向き）が internal または internal-and-cloud-load-balancing に設定された Cloud Run リソースでは受信できません。

オンプレミス リソースまたは他のクラウドからリクエストを受信する

オンプレミス リソースや他のクラウドから非公開でリクエストを受信する方法は複数あります。

• 基本構成: オンプレミス リソースやその他のクラウドからのリクエストがプライベート ネットワークを通過するようにするために、オンプレミス ホストにプライベート Google アクセスを構成します。
• 内部 IP アドレスから Cloud Run リソースにアクセスできるようにする: 内部 IP アドレスを使用して Cloud Run リソースを呼び出すには、Google API にアクセスする Private Service Connect エンドポイントを作成し、run.app にプライベート DNS ゾーンを構成して、エンドポイントにアクセスするようにオンプレミス ネットワークを構成します。この構成では、オンプレミス ホストは Private Service Connect エンドポイントの IP アドレスを介して、デフォルトの run.app URL で Cloud Run リソースにアクセスできます。
• ロード バランシング機能の使用: ロード バランシングの機能と制御が必要な場合は、内部アプリケーション ロードバランサを使用します。オンプレミス ネットワークから内部アプリケーション ロードバランサにアクセスする方法については、Cloud VPN と Cloud Interconnect を使用するをご覧ください。
• 管理境界: サービスをマネージド サービスとして内部クライアントに公開し、アクセス可能なプロジェクトを制御できるようにする場合は、Private Service Connect を使用してサービスを公開できます（内部アプリケーション ロードバランサが必要です）。オンプレミス ホストからサービスにアクセスするには、Private Service Connect エンドポイントを作成し、エンドポイントにアクセスするようにオンプレミス ネットワークを構成します。詳細については、ハイブリッド ネットワークからエンドポイントにアクセスするをご覧ください。また、ロードバランサで Private Service Connect バックエンドを使用することもできます。オンプレミス ネットワークからロードバランサにアクセスする方法については、使用しているロードバランサのドキュメントをご覧ください。たとえば、内部アプリケーション ロードバランサの場合は、Cloud VPN と Cloud Interconnect を使用するをご覧ください。

リクエストがプライベート ネットワークから送信されることを必須にする

外部ソースからの受信トラフィック（上り、内向き）を防ぐには、制限付きの上り（内向き）設定を指定します。最も制限の厳しい上り（内向き）設定が internal です。上り（内向き）を「internal」に設定すると、サービスは、プロジェクト、プロジェクトが接続されている共有 VPC ネットワーク、VPC Service Controls の境界からのリクエストのみを許可します。この設定には、リクエストの送信元に応じていくつかの制限があります。これらの制限と操作方法については、プライベート ネットワークからリクエストを受信するをご覧ください。

Cloud Run リソースごとに上り（内向き）設定を指定することも、組織内のすべての Cloud Run リソースに上り（内向き）設定を適用するようにすることもできます。

• 各 Cloud Run リソースに上り（内向き）設定を指定する: 上り（内向き）の設定をご覧ください。
• プロジェクト、フォルダまたは組織内のすべての Cloud Run リソースに特定の上り（内向き）設定を適用する: run.allowedIngress 組織のポリシー制約を構成します。方法については、リスト型制約のポリシーのカスタマイズをご覧ください。

プライベート ネットワークにリクエストを送信する

Cloud Run リソースがプライベート ネットワーク上のリソースにアクセスする必要がある場合、ネットワークへのプライベート リクエストのパスを構成します。この構成は、リクエストの最終宛先によって異なります。

VPC ネットワークにリクエストを送信する

VPC ネットワークにリクエストを送信するには、ダイレクト VPC 下り（外向き）またはサーバーレス VPC アクセス コネクタを構成する必要があります。ダイレクト VPC 下り（外向き）と VPC コネクタを比較してください。料金を確認して、費用を把握します。

ダイレクト VPC 下り（外向き）またはコネクタが構成されている場合は、デフォルトで次のように配慮されます。

• すべての DNS クエリは、VPC ネットワーク下り（外向き）設定に関連付けられた VPC ネットワーク用に構成されている DNS サーバーに送信されます。

• 内部 IP アドレスへのリクエストは、ダイレクト VPC 下り（外向き）またはコネクタのいずれかを使用して VPC ネットワークに転送されます。公開された宛先へのリクエストは、下り（外向き）設定が構成されていない限り、インターネットに直接転送され続けます。

ダイレクト VPC 下り（外向き）またはコネクタを使用して転送されたリクエストでは、リクエストが通過したパスを使用してレスポンスが返されます。VPC ネットワークから Cloud Run へのリクエストは、他のテクノロジーを使用して有効化され、ダイレクト VPC 下り（外向き）やコネクタを経由しません。このリクエストに対するレスポンスは、同じパスを使用して返されます。VPC ネットワークから Cloud Run にリクエストを送信する方法については、VPC ネットワークからリクエストを受信するをご覧ください。

プロジェクト外の VPC ネットワークにリクエストを送信する

プロジェクト外の VPC ネットワークにリクエストを送信するには:

1. 共有 VPC ユーザーの場合は、共有 VPC ネットワークに接続するをご覧ください。
2. 他の VPC ネットワークの場合は、ダイレクト VPC 下り（外向き）またコネクタを構成して、プロジェクトの VPC に接続します。
   • ピアリングされた VPC ネットワーク: VPC ネットワーク下り（外向き）を使用する VPC にピアリングされている VPC に送信するために、追加の構成は必要ありません。ただし、VPC ネットワーク下り（外向き）をホストするサブネット内の VM は、ターゲット VPC ネットワークに到達できる必要があります。
   • その他の VPC ネットワーク: プロジェクト外の VPC ネットワーク（同じ共有 VPC 環境に属していないか、プロジェクト VPC ネットワークにピアリングされていない VPC）の場合は、VPC ネットワーク下り（外向き）の設定後に Private Service Connect を構成します。

他の Cloud Run リソースと Google Cloud サービスにリクエストを送信する

Cloud Run リソースから別のGoogle Cloud サービスへのリクエストは、Google の内部ネットワーク内にとどまり、VPC Service Controls の対象となります。

制限付きの上り（内向き）設定のある Cloud Run リソースにリクエストを送信する場合は、追加の構成が必要です。他の Cloud Run リソースまたは App Engine からリクエストを受信するをご覧ください。

オンプレミス リソースとその他のクラウドにリクエストを送信する

プライベート ネットワーク経由でオンプレミス リソースや他のクラウドにリクエストを送信するには、次の操作を行います。

1. VPN トンネル経由など、宛先に非公開ルートで転送するように VPC ネットワークが構成されていることを確認します。
2. VPC ネットワークにリクエストを送信するようにサービスを構成します。
3. すべてのリクエストが VPC ネットワークに送信されることを必須にします。

すべてのリクエストが VPC ネットワークに送信されることを必須にする

Cloud Run リソースからのすべてのリクエストが VPC ネットワークに送信されるようにするには、all-traffic VPC ネットワークの下り（外向き）設定を指定します。VPC ネットワーク下り（外向き）を使用する Cloud Run リソースごとに下り（外向き）設定を指定することも、プロジェクト、フォルダ、組織内のすべての Cloud Run リソースに対して任意の下り（外向き）設定を適用することもできます。

これは次のような場合に役立ちます。

1. Cloud Run リソースに対して静的アウトバウンド IP アドレスを設定する場合。
2. Cloud Run リソースからのすべての下り（外向き）に対してファイアウォール ルールを適用する場合。
3. プライベート ネットワーク経由で、オンプレミス リソースと他のクラウドにリクエストを送信する場合。

Cloud Run リソースが VPC ネットワーク外の最終的な宛先にリクエストを送信すると、すべてのリクエストを VPC ネットワークに送信する必要があるため、構成されたサーバーレス VPC アクセス コネクタの帯域幅使用量が増加し、それに応じてコストが増加する可能性があります。コネクタは、トラフィックが増加すると自動的にスケールアウトしますが、トラフィックが減少した場合はスケールインしません。料金を確認して、費用を把握します。

• 個々の Cloud Run リソースの下り（外向き）設定を指定する: 下り（外向き）サービス トラフィックを制御するをご覧ください。
• プロジェクト、フォルダ、組織内のすべての Cloud Run リソースに特定の下り（外向き）設定を適用する: run.allowedVPCEgress 組織のポリシー制約を構成します。方法については、リスト型制約のポリシーのカスタマイズをご覧ください。

その他の制御

• 境界制御: リソースのグループに対するデータ漏洩のリスクを軽減するには、VPC Service Controls を使用して、コンテキストアウェアの境界内にリソースを配置します。
  • VPC Service Controls の概要については、VPC Service Controls の概要をご覧ください。
  • 使用方法については、Cloud Run ガイドの VPC Service Controls（VPC SC）の使用をご覧ください。
  • 費用については、料金をご覧ください。
• きめ細かい制御: 特定の Cloud Run リソースや Compute Engine 仮想マシンなど、プライベート ネットワーク内の特定のリソースからのトラフィックに対するアクセスを制御するには、サービス アカウントを使用して権限と認証を制御します。
  • サービス アカウントの概要については、サービス アカウントとはをご覧ください。
  • 使用方法については、Cloud Run の認証ガイドをご覧ください。

次のステップ

Terraform を使用している場合は、Terraform サンプルコードを使用して、プライベート ネットワークで Cloud Run リソースを設定できます。