将 Google Cloud Build IP 列入白名单以测试数据库连接答案

【问题标题】：Whitelist Google Cloud Build IPs to test database connection将 Google Cloud Build IP 列入白名单以测试数据库连接
【发布时间】：2018-10-20 07:20:26
【问题描述】：

我希望在这些步骤中授予 Cloud Build 对 PostgreSQL 数据库的访问权限，因为它是我正在运行的 Python 应用程序的集成测试的一部分。关于如何在不向世界公开数据库的情况下处理此授权的任何建议？

【问题讨论】：

标签： google-container-registry google-container-builder

【解决方案1】：

您可以使用私有池来执行此操作，您可以在其中定义要在构建时使用的网络 CIDR；请参阅https://cloud.google.com/build/docs/private-pools/private-pools-overview 了解更多信息。

（下面是之前的答案，我将其保留在适当的位置以了解历史。）

此时，您需要将所有 GCE 公共 IP 地址范围列入白名单 - 这会有效地将您的数据库暴露给全世界。（所以不要那样做！）

但是，在 Google Next 中，我们announced and demoed a coming Alpha release 将使您能够在混合 VPC 世界中运行 GCB 工作负载，并可以访问受保护的（本地）资源。作为该 Alpha 版的一部分，您可以将仅限内部地址的地址列入白名单，以安全地实现您的目标。

您可以在我们的release notes 中观看公开公告。

【讨论】：

你瘦了可以用terraform知道云构建ip范围和其他服务一样github.com/terraform-providers/terraform-provider-google/blob/…

【解决方案2】：

现在您可以使用 IAP（身份识别代理）TCP forwarding 功能。

我不知道这是否仍然有帮助，但我不久前遇到了类似的情况，我能够像这样解决它。

steps:
- name: 'gcr.io/google.com/cloudsdktool/cloud-sdk'
  entrypoint: /bin/sh
  args:
  - '-c'
  - |
    gcloud compute start-iap-tunnel sql-vm 5555 \
      --local-host-port=localhost:5555 \
      --zone=us-west1-a & sleep 5 && python echo_client.py

我还写了一篇关于此的博客文章。在这里查看hodo.dev

【讨论】：