Google Cloud Workflow是否可通过serverless VPC connector访问Private VPC

核心结论 #

• Google Cloud Workflow 目前不支持原生绑定Serverless VPC Connector，本身无法直接发起VPC内网请求，所有默认出站流量均走公网路径。

适配你场景的可用方案 #

你提到的无公网权限的内部API调用需求，有两种已经经过生产验证的实现方式：

1. Cloud Function/Cloud Run 代理方案（你预设的方案可行，属于官方推荐的标准 workaround）

实现逻辑非常简单：将调用内部VPC API的逻辑封装为Cloud Function或者Cloud Run服务，给这两个服务绑定对应VPC的Serverless VPC Connector，配置好内网访问权限。之后Workflow仅需调用该Cloud Function/Cloud Run的触发地址即可间接完成内网API调用。如果要完全规避公网传输，可以将Cloud Function/Cloud Run设置为仅允许内部访问，Workflow通过Private Google Access路径调用服务即可，全程不会走公网。

2. 直接调用内部暴露的服务端点

如果你的内部API已经通过Internal HTTP(S) Load Balancer、Cloud Endpoints 或 Apigee 对外暴露了支持Private Google Access的内网访问地址，Workflow可以直接调用这类地址，不需要额外维护代理层代码。 #

注意事项 #

• 采用代理方案时遵循最小权限原则，仅给Workflow授予调用Cloud Function/Cloud Run的对应IAM权限即可，不需要给代理服务开放任何公网访问权限。
• 如果是调用VPC内部托管的GCP服务（如私有Cloud SQL实例、GKE内部服务等），直接在代理逻辑中调用对应服务的私有访问端点即可完成请求。

内容的提问来源于stack exchange，提问作者Niklas B