Utilizzo dell'ambiente flessibile di App Engine su una rete VPC condiviso

Nell'ambiente flessibile App Engine, puoi specificare una rete su cui eseguire il deployment delle istanze del servizio. Questa pagina mostra come configurare del tuo progetto per utilizzare l'ambiente flessibile di App Engine una rete VPC condiviso.

Per saperne di più, consulta Provisioning del VPC condiviso e informazioni sulla configurazione di una rete VPC condiviso.

Configurazione dell'ambiente flessibile di App Engine con VPC condiviso

Deployment di istanze dell'ambiente flessibile di App Engine su un La rete VPC condiviso prevede tre passaggi:

1. Crea una regola firewall per consentire il traffico dell'ambiente App Engine flessibile sulla rete VPC condiviso

2. Concedi le autorizzazioni appropriate agli account di servizio nel progetto di servizio VPC condiviso

3. Configurare i servizi App Engine per utilizzare la rete VPC condivisa

Se utilizzi Google Cloud CLI, esegui l'aggiornamento alla versione più recente prima di seguire questa guida eseguendo il comando:

gcloud components update

Autorizzazione del traffico alla rete VPC condiviso

Un amministratore della rete VPC condivisa deve creare una regola firewall nell'host del VPC condiviso per consentire il traffico verso App Engine flessibile sulla rete VPC condiviso. La regola firewall consente di gestire del controllo di integrità verso le istanze dell'ambiente flessibile.

La regola firewall deve avere le seguenti proprietà:

• Rete: il nome della rete VPC condiviso
• Direzione del traffico: In entrata
• Azione in caso di corrispondenza: Consenti
• Target: Tag di destinazione specificati
• Tag di destinazione: aef-instance
• Filtro di origine: intervalli IP
• Intervalli IP di origine: 35.191.0.0/16, 130.211.0.0/22
• Protocolli e porte: Protocolli e porte specificati
  • tcp: 8443, 10402

Un amministratore VPC condiviso può creare la regola firewall utilizzando la console Google Cloud o Google Cloud CLI:

Console

Per creare la regola firewall utilizzando la console Google Cloud:

1. Vai alla pagina di creazione della regola firewall.

   Creare una regola firewall

2. Nei campi Nome e Descrizione, fornisci un nome e una descrizione per la regola del firewall.

3. Compila le proprietà necessarie come specificato sopra.

4. Fai clic su Crea.

gcloud

Per creare la regola firewall utilizzando Google Cloud CLI, esegui il seguente comando:

gcloud compute firewall-rules create NETWORK_NAME-flex-firewall \
--project HOST_PROJECT_ID \
--network NETWORK_NAME \
--allow tcp:10402,tcp:8443 \
--target-tags aef-instance \
--source-ranges 35.191.0.0/16,130.211.0.0/22 \
--description 'Allows traffic to App Engine flexible environment'

dove:

• NETWORK_NAME è il nome della rete VPC condivisa.
• HOST_PROJECT_ID è l'ID progetto Google Cloud del progetto host VPC condiviso.

Configurazione delle autorizzazioni

Un amministratore della rete VPC condivisa deve concedere i seguenti due account di servizio il ruolo Utente di rete Compute. per consentire a un progetto di servizio di eseguire il deployment delle istanze nell'ambiente flessibile di App Engine alla rete:

• Agente di servizio API di Google ([e-mail])
• Agente di servizio dell'ambiente flessibile di App Engine ([e-mail])

Nota: App Engine crea l'agente di servizio dell'ambiente flessibile di App Engine ([e-mail]) quando esegui il deployment della tua prima app nell'ambiente flessibile. Puoi verificare se il servizio nel tuo progetto seguendo questi criteri: questi passaggi.

Console

Per configurare le autorizzazioni utilizzando la console Google Cloud:

1. Vai alla pagina Impostazioni IAM del progetto di servizio e prendi nota del numero del progetto.

   Vai alle impostazioni IAM

2. Vai alla pagina IAM del progetto host.

   Vai a IAM

3. Fai clic su Aggiungi.

4. Nel campo Nuovi membri, inserisci i seguenti indirizzi email separati da una virgola. Sostituisci PROJECT_NUM con il numero di progetto ottenuto nel passaggio 1.

   • [e-mail]
   • [e-mail]

5. Nel menu a discesa Seleziona un ruolo, seleziona Compute Engine > Utente di rete Compute.

6. Fai clic su Salva.

gcloud

1. Recupera il numero del progetto di servizio in cui è dipiegato l'app App Engine. Esegui questo comando: sostituendo SERVICE_PROJECT_ID con ID del progetto di servizio:

   export SERVICE_PROJECT_NUM=$(gcloud projects describe SERVICE_PROJECT_ID --format="value(projectNumber)")
   

2. Concedi all'agente di servizio delle API Google del progetto di servizio il ruolo compute.networkUser nel progetto host:

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member=serviceAccount:$[e-mail] \
   --role=roles/compute.networkUser
   

   dove HOST_PROJECT_ID è il ID del progetto Google Cloud del progetto host del VPC condiviso.

3. Concedi all'agente di servizio dell'ambiente flessibile di App Engine del progetto di servizio il ruolo compute.networkUser nel progetto host:

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member=serviceAccount:service-$[e-mail] \
   --role=roles/compute.networkUser
   

Configurazione e deployment del servizio

Dopo aver configurato la regola firewall e le autorizzazioni appropriate, puoi eseguire il deployment di un nuovo servizio o di un servizio di ambiente flessibile App Engine esistente nella rete VPC condivisa.

1. Nel file app.yaml, usa impostazioni di rete name per specificare il nome completo della rete VPC condiviso:

   network:
     name: projects/HOST_PROJECT_ID/global/networks/NETWORK_NAME
   

   dove

   • HOST_PROJECT_ID è l'ID progetto Google Cloud del progetto host VPC condiviso.
   • NETWORK_NAME è il nome della rete VPC condivisa.

   Per configurare il servizio in modo che faccia parte di una subnet denominata SUBNETWORK_NAME, imposta anche subnetwork_name campo:

   network:
     name: projects/HOST_PROJECT_ID/global/networks/NETWORK_NAME
     subnetwork_name: SUBNETWORK_NAME
   

2. Esegui il deployment del servizio:

   gcloud app deploy
   

Verifica della configurazione in corso...

Per verificare che il tuo ambiente flessibile di App Engine è in esecuzione sulla rete VPC condiviso, visualizza la versione configurazione nella pagina delle versioni di App Engine Console Google Cloud:

1. Vai alla pagina Versioni di App Engine.

   Vai alle versioni di App Engine

2. Nella colonna Config a destra, fai clic su Visualizza per la versione che ti interessa.

3. Verifica che il nome della rete nella configurazione corrisponda al nome della rete VPC condivisa.