所在区域无法创建GCP VPC连接器，Cloud Functions无法连接PostgreSQL

针对你遇到的同区域VPC连接器不可用的问题，以下是几个实用的替代方案：

方案1：改用Cloud Run替代Cloud Functions #

Cloud Run支持使用跨区域VPC连接器，即使你的PostgreSQL所在区域无法创建本地VPC连接器，也可以选择其他可用区域的VPC连接器建立连接。同时Cloud Run同样支持GCS存储桶的事件触发，完全可以替代Cloud Functions完成文件处理与数据插入流程，配置逻辑和Cloud Functions类似，且资源弹性更灵活。

方案2：允许PostgreSQL公网访问（带严格安全限制） #

给你的Cloud SQL PostgreSQL实例分配公网IP，通过以下方式保障安全：

• 在Cloud Functions中通过环境变量存储数据库账号密码（避免硬编码）
• 在Cloud SQL的防火墙规则中，仅允许Cloud Functions所在区域的GCP出口IP段访问，或者直接限制为Cloud Functions服务账号的专属IP范围
• 强制PostgreSQL使用SSL连接，确保数据传输加密

方案3：使用Cloud SQL Auth Proxy连接 #

在Cloud Functions的代码中启动Cloud SQL Auth Proxy进程，通过代理连接PostgreSQL实例。这种方式不需要VPC连接器，只需要Cloud Functions具备访问Cloud SQL实例的权限（给服务账号添加Cloud SQL Client角色），代码示例大致如下：

import subprocess
import psycopg2
import time

def process_gcs_file(event, context):
    # 启动Auth Proxy
    proxy_process = subprocess.Popen([
        "./cloud_sql_proxy",
        "-instances=PROJECT_ID:REGION:INSTANCE_NAME=tcp:5432"
    ])
    # 等待代理启动
    time.sleep(2)
    # 连接数据库
    conn = psycopg2.connect(
        dbname="DB_NAME",
        user="DB_USER",
        password="DB_PASS",
        host="127.0.0.1",
        port="5432"
    )
    # 执行数据插入逻辑...
    # 关闭连接和代理进程
    conn.close()
    proxy_process.terminate()

注意：需要将Cloud SQL Auth Proxy的二进制文件打包到Cloud Functions的部署包中，同时调整函数的内存和超时时间，确保代理进程有足够资源启动并运行。

方案4：迁移资源到支持VPC连接器的区域 #

如果业务允许，将你的Cloud SQL PostgreSQL实例迁移到支持VPC连接器的区域，同时可以将GCS存储桶设置为跨区域复制，或者直接在目标区域创建新的存储桶，保持数据处理的就近性以降低延迟。这种方式能从根源上解决VPC连接器不可用的问题，符合GCP的最佳实践。

内容的提问来源于stack exchange，提问作者Tan Saint