如何在GCE与BigQuery间创建私有网络及私有访问问题

两者之间搭建不经过公网的私有连通链路，核心依托VPC网络的私有Google访问能力实现，全程流量走Google内部骨干网，具体操作要点：

• 找到承载目标GCE实例的VPC子网，开启子网级别的Private Google Access开关，这是子网内实例能走私有路径访问Google托管服务的基础前提
• 配置VPC内部的私有DNS规则，把BigQuery的API域名bigquery.googleapis.com的解析指向Google私有服务IP段，避免GCE实例默认走公网域名解析、从公网发起BigQuery访问
• 可选做安全加固：配置VPC出站防火墙规则，阻断该子网内实例访问公网BigQuery端点的流量，从规则层面强制所有BigQuery访问走私有路径

提到的三类计算服务都支持通过私有网络无公网路径访问BigQuery，不同服务的接入要求存在区别：

• GCE实例：原生支持，只要满足上述子网开启Private Google Access、完成私有DNS配置的前提，不需要额外附加组件即可直连BigQuery私有端点
• Cloud Functions：支持，需要在函数部署时绑定同区域可用的Serverless VPC Access连接器，匹配对应VPC的私有DNS配置，即可把访问BigQuery的流量从公网路径切换到私有路径
• Cloud Run：支持，接入逻辑和Cloud Functions一致，需要在服务配置中关联Serverless VPC Access连接器，把出站路由规则设置为通过VPC连接器转发所有访问Google公共服务的流量，配合私有DNS解析即可实现无公网访问BigQuery

补充说明：私有链路访问BigQuery的权限校验逻辑和公网访问完全一致，只要运行实例绑定的服务账号拥有对应BigQuery资源的操作权限即可正常调用，没有额外的权限配置要求；同时私有路径的访问不会产生公网出口流量费用。

内容的提问来源于stack exchange，提问作者Frank David