Esegui la migrazione di un dominio personalizzato App Engine a Cloud Load Balancing

ID regione

REGION_ID è un codice abbreviato assegnato da Google in base alla regione selezionata al momento della creazione dell'app. Il codice non corrispondono a un paese o a una provincia, anche se potrebbero essere visualizzati alcuni ID regione in modo simile ai codici paese e provincia di uso comune. Per le app create dopo febbraio 2020, REGION_ID.r è incluso negli URL di App Engine. Per le app esistenti create prima di questa data, l'ID regione è facoltativo nell'URL.

Scopri di più sugli ID regione.

Questa guida spiega come configurare un nuovo endpoint pubblico per il tuo dell'app di App Engine che utilizza Cloud Load Balancing.

Con Cloud Load Balancing, configuri l'endpoint del tuo dominio personalizzato come servizio frontend e l'app App Engine come servizio di backend utilizzando un gruppo di endpoint di rete (NEG) serverless. Il traffico verso l'endpoint del servizio frontend di Cloud Load Balancing viene instradato come prima, incluse tutte le regole di routing che definisci nel il file dispatch.yaml dell'app.

Il seguente diagramma descrive le modifiche alla tua app:

Prendi un dominio personalizzato di App Engine e sposta le richieste in entrata in un servizio frontend di Cloud Load Balancing che distribuisce le richieste al servizio backend App Engine.

Eseguendo la migrazione a Cloud Load Balancing, ottieni una maggiore flessibilità nella gestione del traffico quando raggiunge il tuo dominio, ad esempio la pubblicazione di contenuti statici da Cloud Storage o l'aggiunta di servizi in esecuzione su altre piattaforme di calcolo come Cloud Run e Google Kubernetes Engine.

Inoltre, hai accesso alle funzionalità principali di Google Cloud che non sono disponibili su App Engine, tra cui:

  • Google Cloud Armor, per una maggiore sicurezza con protezione DDoS avanzata, controlli degli accessi basati su IP e dati geografici, regole del firewall delle applicazioni web e altro ancora
  • Cloud CDN, per l'importazione dei contenuti memorizzati nella cache
  • Criteri SSL per gestire le funzionalità SSL e le versioni TLS accettate dall'app

Questa guida illustra le istruzioni di configurazione per spostare le richieste in arrivo dal tuo servizio App Engine con un dominio personalizzato a un servizio frontend di bilanciamento del carico Cloud:

  1. Assicurati di disporre delle autorizzazioni necessarie
  2. Crea un certificato gestito da Google
  3. Configura Cloud Load Balancing
  4. Testa il bilanciatore del carico
  5. Collegare il dominio al bilanciatore del carico
  6. Elimina il mapping di domini personalizzati di App Engine
  7. Configurare il controllo in entrata per consentire l'accesso solo tramite Cloud Load Balancing

Prima di iniziare

Avere un'app App Engine con un dominio personalizzato configurato nelle impostazioni di App Engine.

Configura autorizzazioni

Per seguire questa guida, devi creare un certificato gestito da Google, un NEG serverless e un bilanciatore del carico HTTP(S) esterno in un progetto. Dovresti essere proprietario o editor del progetto oppure dispongono dei seguenti ruoli IAM:

Attività Ruolo richiesto
Creare un certificato SSL gestito da Google utilizzando Certificate Manager Proprietario del Gestore certificati oppure Editor Gestore certificati e Amministratore bilanciatore del carico Compute
Aggiorna i record DNS per il dominio personalizzato Amministratore Cloud DNS se utilizzi Cloud DNS come soluzione DNS.

Se utilizzi un altro provider DNS, avrai bisogno delle autorizzazioni per aggiungere e aggiornare i record DNS per il dominio personalizzato.
crea i componenti di networking e bilanciatore del carico Amministratore rete Compute
Creare e modificare i NEG Amministratore istanze Compute
Crea e modifica i certificati SSL Amministratore sicurezza Compute
Eliminare i domini personalizzati nelle impostazioni di App Engine Ruolo Amministratore App Engine o un ruolo che contiene l'autorizzazione appengine.applications.update.

Creare un certificato SSL gestito da Google

Un certificato SSL gestito da Google (noto anche come certificato TLS nella documentazione) consente a Google Cloud di ottenere, gestire e rinnovare automaticamente i certificati. Per eseguire la migrazione al frontend di Cloud Load Balancing senza che causano tempi di inattività per il servizio App Engine esistente, devi utilizzare Gestore certificati per creare un'autorizzazione DNS e un server certificato.

Tieni presente che la documentazione di Cloud Load Balancing contiene istruzioni simili per la creazione di un certificato SSL gestito da Google, ma le istruzioni riportate utilizzano l'autorizzazione del bilanciatore del carico, che richiede un tempo di riposo del servizio App Engine che può durare fino a diverse ore. Per ulteriori informazioni, vedi Autorizzazione di dominio per i certificati gestiti da Google.

Per evitare tempi di inattività della tua app, segui i passaggi indicati in questa pagina.

Crea autorizzazione DNS

  1. Crea l'autorizzazione DNS in Gestore certificati eseguendo il seguenti comandi:

    gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
    --domain="DOMAIN_NAME"
gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME

    Sostituisci quanto segue:

    • AUTHORIZATION_NAME è un nome univoco che descrive questa autorizzazione DNS.
    • DOMAIN_NAME è il nome del dominio personalizzato App Engine per cui stai creando questa autorizzazione DNS.

  2. Prendi nota del record CNAME restituito dal comando gcloud. Devi utilizzarlo per aggiornare il tuo record DNS nei passaggi successivi.

Aggiungi il record CNAME alla configurazione DNS

A seconda che tu utilizzi Cloud DNS o un'altra soluzione DNS di terze parti, segui le istruzioni appropriate per il tuo caso d'uso:

Cloud DNS

Quando crei un'autorizzazione DNS, il comando gcloud restituisce il record CNAME corrispondente. Devi aggiungere questo record CNAME alla configurazione DNS nella zona DNS del dominio di destinazione come segue:

  1. Avvia la transazione del record DNS:

    gcloud dns record-sets transaction start --zone="DNS_ZONE_NAME"

    Sostituisci DNS_ZONE_NAME con il nome del pubblico zona DNS. Se utilizzi Google Cloud per gestire il tuo dominio e ricevere traffico al suo interno, avrai già creato una zona DNS pubblico. Per visualizzare la zona DNS pubblica, consulta Elenca e descrivi le zone gestite.

  2. Aggiungi il record CNAME alla zona DNS di destinazione:

    gcloud dns record-sets transaction add CNAME_RECORD \
  --name="_acme-challenge.DOMAIN_NAME." \
  --ttl="30" \
  --type="CNAME" \
  --zone="DNS_ZONE_NAME"

    Sostituisci quanto segue:

    • CNAME_RECORD è il valore completo del record CNAME fornito dal comando gcloud che ha creato l'autorizzazione DNS corrispondente.
    • DOMAIN_NAME è il nome di dominio personalizzato di App Engine. Devi includere il punto finale dopo il nome del dominio di destinazione.
    • DNS_ZONE_NAME è il nome della zona DNS di destinazione precedente.

  3. Esegui la transazione del record DNS per salvare le modifiche:

    gcloud dns record-sets transaction execute --zone="DNS_ZONE_NAME"

    Sostituisci DNS_ZONE_NAME con il nome del zona DNS di destinazione precedente.

Altra soluzione DNS

Aggiungi un record CNAME alla configurazione DNS del tuo dominio utilizzando il nome (host) (_acme-challenge.DOMAIN_NAME) e i campi di dati della sezione precedente. Consulta la documentazione del tuo DNS di terze parti soluzione.

Crea un certificato gestito da Google che fa riferimento all'autorizzazione DNS

Per creare un certificato gestito da Google che fa riferimento all'autorizzazione DNS creata nei passaggi precedenti, esegui i seguenti comandi:

  1. Crea un certificato gestito da Google:

    gcloud certificate-manager certificates create CERTIFICATE_NAME \
--domains=DOMAIN_NAME --dns-authorizations=AUTHORIZATION_NAME

    Sostituisci quanto segue:

    • CERTIFICATE_NAME è un nome univoco che descrive certificato.
    • DOMAIN_NAME è il nome del dominio personalizzato App Engine.
    • AUTHORIZATION_NAME è il nome del DNS un'autorizzazione creata in precedenza.

  2. Verifica che il certificato sia attivo.

    Utilizza il comando seguente per verificare che il certificato stesso sia attivo prima il deployment nel tuo bilanciatore del carico. Tieni presente che potrebbero essere necessarie diverse ore prima che lo stato del certificato diventi ACTIVE.

    gcloud certificate-manager certificates describe CERTIFICATE_NAME

    Sostituisci CERTIFICATE_NAME con il nome del Certificato gestito da Google creato in precedenza.

    Lo strumento gcloud restituisce un output simile al seguente:

    certificatePem: myPEM
createTime: '2021-10-20T12:19:53.370778666Z'
expireTime: '2022-05-07T05:03:49Z'
managed:
  authorizationAttemptInfo:
  - domain: example.com
    state: AUTHORIZED
  dnsAuthorizations:
  - projects/my-project/locations/global/dnsAuthorizations/myAuth
  domains:
  - example.com
  state: ACTIVE
name: projects/myProject/locations/global/certificates/myCert
scope: myScope
sanDnsnames:
- example.com
updateTime: '2021-10-20T12:19:55.083385630Z'

    Se lo strumento gcloud restituisce un output diverso, consulta Risoluzione dei problemi di Gestione certificati.

Crea una mappa di certificati

  1. Crea una mappa di certificati:

    gcloud certificate-manager maps create CERTIFICATE_MAP_NAME

    Sostituisci CERTIFICATE_MAP_NAME con un nome univoco che descrive la mappa di certificati.

  2. Crea una voce della mappa di certificati e associalo al tuo certificato e alla mappa di certificati della versione precedente: 

    gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
    --map=CERTIFICATE_MAP_NAME \
    --certificates=CERTIFICATE_NAME \
    --set-primary

    Sostituisci quanto segue:

    • CERTIFICATE_MAP_ENTRY_NAME è un nome univoco che descrive questa voce della mappa di certificati.
    • CERTIFICATE_MAP_NAME è il nome del certificato mappa a cui è collegata questa voce di mappa di certificati.
    • CERTIFICATE_NAME è il nome del certificato che vuoi associare a questa voce della mappa di certificati.

    Puoi aggiungere il flag --set-primary per assicurarti che il certificato venga utilizzato come predefinito se non viene specificato un nome di dominio.

  3. Verifica che la mappa di certificati sia attiva.

    Utilizza il comando seguente per verificare che la voce della mappa di certificati sia attiva prima di collegare la mappa di certificati corrispondente al proxy di destinazione:

    gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
    --map=CERTIFICATE_MAP_NAME

    Sostituisci quanto segue:

    • CERTIFICATE_MAP_ENTRY_NAME è la mappa di certificati nome della voce precedente.
    • CERTIFICATE_MAP_NAME è il nome della mappa di certificati a allegata da questa voce della mappa di certificati.

    Lo strumento gcloud restituisce un output simile al seguente:

    createTime: '2021-09-06T10:01:56.229472109Z'
name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
state: ACTIVE
updateTime: '2021-09-06T10:01:58.277031787Z'

Per ulteriori informazioni sull'uso di Gestore certificati, vedi Come funziona Gestore certificati.

Configura Cloud Load Balancing

Una volta ottenuto un certificato gestito da Google, puoi sostituire il tuo dominio personalizzato App Engine con un servizio frontend Cloud Load Balancing.

Il seguente diagramma mostra un bilanciatore del carico HTTPS con un singolo servizio di backend e NEG serverless.

Distribuzione del traffico su un'app di App Engine

Le regole di inoltro indirizzano le richieste in arrivo da indirizzi IP esterni e indirizzano le richieste al proxy HTTPS di destinazione. I bilanciatori del carico HTTPS utilizzano le mappe URL per indirizzare le richieste al servizio di backend, che contiene un NEG serverless per il servizio App Engine.

Prenotare un indirizzo IP esterno

Prima di configurare Cloud Load Balancing, devi impostare un server un indirizzo IP esterno statico per consentire agli utenti di raggiungere il bilanciatore del carico.

Console

  1. Vai alla pagina Indirizzi IP esterni nella console Google Cloud.

    Vai a Indirizzi IP esterni

  2. Fai clic su Prenota indirizzo statico per prenotare un indirizzo IPv4.

  3. Assegna un nome all'indirizzo statico, ad esempio appengine-external-ip.

  4. Imposta il livello della rete su Premium.

  5. Imposta la versione IP su IPv4.

  6. Imposta il Tipo su Globale.

  7. Fai clic su Prenota.

gcloud

  1. Crea prenotazione di indirizzi IP esterni:

    gcloud compute addresses create EXTERNAL_IP \
    --network-tier=PREMIUM \
    --ip-version=IPV4 \
    --global

    EXTERNAL_IP è il nome degli indirizzi da creare.

  2. Prendi nota dell'indirizzo IPv4 riservato:

    gcloud compute addresses describe EXTERNAL_IP \
    --format="get(address)" \
    --global

Configurare il servizio di backend per App Engine

Un gruppo di endpoint di rete (NEG) viene utilizzato per specificare un gruppo di endpoint di backend per un bilanciatore del carico. Per specificare un backend che punti a un servizio App Engine, configura il NEG serverless, quindi configura il servizio di backend, le regole di routing e il servizio di frontend in Cloud Load Balancing.

  1. Crea un NEG serverless per la tua app App Engine:

    gcloud compute network-endpoint-groups create APP_ENGINE_NEG \
--network-endpoint-type=serverless \
--app-engine-app \
--region=APP_ENGINE_REGION

    Sostituisci quanto segue:

    • APP_ENGINE_NEG è il nome del gruppo di endpoint di rete.
    • APP_ENGINE_REGION è la regione impostata in App Engine.

    Puoi aggiungere il flag --app-engine-app sopra per utilizzare il routing predefinito anziché indirizzare a un servizio App Engine specifico. L'utilizzo del routing predefinito indica che verranno inviate al servizio predefinito (https://PROJECT_ID.REGION_ID.r.appspot.com), In caso contrario segue tutte le regole di routing che definisci nel dispatch.yaml file. Si tratta dello stesso comportamento dei domini personalizzati configurati utilizzando App Engine.

  2. Crea il servizio di backend:

    gcloud compute backend-services create APP_ENGINE_BACKEND \
  --global \
  --load-balancing-scheme=EXTERNAL_MANAGED

    Sostituisci APP_ENGINE_BACKEND con il nome del servizio di backend da creare.

  3. Aggiungi il NEG serverless al servizio di backend App Engine:

    gcloud compute backend-services add-backend APP_ENGINE_BACKEND \
--global --network-endpoint-group=APP_ENGINE_NEG \
--network-endpoint-group-region=APP_ENGINE_REGION

    Sostituisci quanto segue:

    • APP_ENGINE_BACKEND è il nome del servizio di backend precedente.
    • APP_ENGINE_NEG è il nome della rete gruppo di endpoint di Google.
    • APP_ENGINE_REGION è il region che è stato impostato in in App Engine.

  4. Crea una mappa URL per instradare le richieste in entrata al servizio di backend:

    gcloud compute url-maps create URL_MAP_NAME \
      --default-service APP_ENGINE_BACKEND

    Sostituisci quanto segue:

    • URL_MAP_NAME è un nome univoco per Risorsa mappa URL che definisce la mappatura degli URL al backend i servizi di machine learning.
    • APP_ENGINE_BACKEND è il nome del backend servizio precedente.

  5. Crea un proxy HTTPS di destinazione per instradare le richieste alla mappa URL:

    gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
      --certificate-map=CERTIFICATE_MAP_NAME \
      --url-map=URL_MAP_NAME

    Sostituisci quanto segue:

    • TARGET_HTTPS_PROXY_NAME è un nome univoco che che scegli per descrivere il tuo proxy HTTPS.
    • CERTIFICATE_MAP_NAME è il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al certificato associato.
    • URL_MAP_NAME è il nome della mappa URL con quello precedente.

  6. Crea una regola di forwarding per instradare le richieste in entrata al proxy:

    gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network-tier=PREMIUM \
      --address=EXTERNAL_IP \
      --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
      --global \
      --ports=443

    Sostituisci quanto segue:

    • HTTPS_FORWARDING_RULE_NAME è un nome univoco che descrive la regola di inoltro per indirizzare il traffico di rete al proxy HTTPS.
    • TARGET_HTTPS_PROXY_NAME è il nome del proxy HTTPS precedente.
    • EXTERNAL_IP è il nome dell'indirizzo IPv4 creato in precedenza.

Testa il bilanciatore del carico

Ora che hai configurato il bilanciatore del carico, puoi iniziare a inviare traffico all'indirizzo IP del bilanciatore del carico per i test prima di eseguire la migrazione del dominio.

  1. Vai alla pagina Bilanciamento del carico nella console Google Cloud.
    Vai a Bilanciamento del carico
  2. Fai clic sul bilanciatore del carico appena creato.
  3. Prendi nota dell'indirizzo IP del bilanciatore del carico.

  4. Per un bilanciatore del carico HTTPS, puoi testare il bilanciatore del carico utilizzando una browser andando alla pagina https://IP_ADDRESS. Sostituisci IP_ADDRESS con l'indirizzo IP del bilanciatore del carico, per ad esempio 30.90.80.100.

    • Se il problema persiste e utilizzi un certificato gestito da Google, conferma che il certificato sia ACTIVE e che la mappa del certificato sia ACTIVE.
    • Se utilizzi un certificato autofirmato per i test, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato. Fai clic sull'avviso per visualizzare la pagina effettiva.

    Per ulteriori opzioni di configurazione, consulta Impostare un carico HTTP(S) esterno globale con le piattaforme serverless.

Collegare il dominio al bilanciatore del carico

Dopo aver creato il bilanciatore del carico, prendi nota dell'indirizzo IP associato dal bilanciatore del carico, ad esempio 30.90.80.100. Per indirizzare il tuo dominio al bilanciatore del carico, crea un record A utilizzando il servizio di registrazione del dominio. Se hai aggiunto più domini al tuo certificato SSL, devi aggiungere un record A per ciascuno, che rimandi all'indirizzo IP del bilanciatore del carico. Ad esempio, per crea record A per www.example.com e example.com, usa quanto segue:

NAME                  TYPE     DATA
www                   A        30.90.80.100
@                     A        30.90.80.100

Se utilizzi Cloud DNS come provider DNS, consulta Aggiungere, modificare ed eliminare i record.

Elimina il mapping di domini personalizzato di App Engine

Nella console Google Cloud:

  1. Vai alla scheda Domini personalizzati della pagina Impostazioni di App Engine.

    Vai a Domini personalizzati

  2. Seleziona il nome di dominio personalizzato e fai clic su Elimina.

In alternativa, puoi utilizzare i comandi gcloud o l'API Admin per eliminare il dominio personalizzato.

Configura il controllo in entrata per consentire l'accesso solo tramite Cloud Load Balancing

Dopo aver testato il bilanciatore del carico, ti consigliamo di aggiornare l'app App Engine in modo che accetti il traffico solo da Cloud Load Balancing. Per scoprire come configurare i controlli di accesso internal-and-cloud-load-balancing, consulta Impostazioni di Ingress.