Migre para uma plataforma do Google Cloud VMware Engine

Last reviewed 2024-09-17 UTC

Muitas empresas querem mover os respetivos clusters VMware para a nuvem para tirar partido da escalabilidade, resiliência, elasticidade e serviços de nível superior da nuvem, como o Vertex AI Studio e o BigQuery. As empresas também querem transferir as despesas de um modelo de hardware com uso intensivo de capital para um modelo de despesas operacionais mais flexível. Para ajudar as empresas a criar rapidamente um ambiente operacional que siga as Google Cloud práticas recomendadas, criámos o projeto empresarial do Google Cloud VMware Engine. Este plano fornece-lhe um guia abrangente para implementar um ambiente VMware pronto para a empresa, para que possa migrar as suas cargas de trabalho de VMs para a nuvem.

O VMware Engine é um serviço totalmente gerido que lhe permite executar a plataforma VMware no Google Cloud. As suas cargas de trabalho do VMware funcionam em hardware Google Cloud dedicado, totalmente integrado com os serviços Google Cloud. A Google trata da infraestrutura, das redes e da gestão. O projeto permite implementar um Google Cloud projeto que contém uma nuvem privada do VMware Engine, uma rede do VMware Engine gerida pela Google e as ligações de intercâmbio da rede da VPC que permitem o fluxo de tráfego de ponta a ponta.

O esquema empresarial do VMware Engine inclui o seguinte:

  • Repositórios do GitHub que contêm o código Terraform e os scripts auxiliares necessários para implementar a plataforma VMware Engine
  • Um guia para a arquitetura, as redes e os controlos de segurança que usa os repositórios do GitHub para implementar (este documento)

O projeto foi concebido para ser executado com base em serviços de nível básico, como as redes VPC. Pode usar o projeto de base empresarial ou o Fabric FAST para criar a base deste projeto.

Este documento destina-se a arquitetos da nuvem, administradores da plataforma na nuvem, administradores do VMware Engine e engenheiros do VMware Engine que podem usar o projeto para criar e implementar clusters VMware noGoogle Cloud. Este plano centra-se na conceção e implementação de uma nova nuvem privada do VMware Engine e pressupõe que tem conhecimentos sobre o VMware e o serviço gerido do VMware Engine.

Vista geral do Blueprint empresarial do VMware Engine

O projeto empresarial do VMware Engine baseia-se numa abordagem em camadas para ativar a plataforma do VMware Engine. O diagrama seguinte mostra a interação de vários componentes deste plano com outros planos e serviços.

Camadas e componentes do projeto.

Este diagrama inclui o seguinte:

Arquitetura

O diagrama seguinte mostra a arquitetura que o esquema empresarial do VMware Engine implementa.

Arquitetura do projeto.

O projeto implementa o seguinte:

  • Um Google Cloud projeto denominado projeto do VMware Engine autónomo que contém uma nuvem privada do VMware Engine
  • Um projeto gerido pela Google para a rede do VMware Engine
  • As ligações de peering de rede VPC para que o tráfego possa fluir das aplicações do VMware Engine para os clientes

A nuvem privada do VMware Engine é composta pelos seguintes componentes:

  • Ferramentas de gestão: VLAN e sub-rede para a rede de gestão dos anfitriões ESXi, servidor DNS, vCenter Server
  • Cópia de segurança: infraestrutura de cópia de segurança para VMs de cargas de trabalho
  • Máquinas virtuais: VMs de carga de trabalho
  • Servidor vCenter: gestão centralizada do ambiente vSphere de nuvem privada
  • NSX Manager: oferece uma única interface para configurar, monitorizar e gerir os serviços de rede e segurança do NSX-T
  • Anfitriões ESXi: hipervisor em nós dedicados
  • Armazenamento vSAN: plataforma de armazenamento hiperconvergente definida por software
  • Rede de sobreposição NSX-T: software de segurança e virtualização de rede
  • VMware HCX: migração de aplicações e reequilíbrio de cargas de trabalho em centros de dados e nuvens

Vista geral das redes do VMware Engine

A rede do VMware Engine é uma rede dedicada que liga a nuvem privada do VMware Engine, as redes da VPC e os ambientes no local. A rede do VMware Engine tem as seguintes capacidades:

  • Conetividade da nuvem privada: cada nuvem privada do VMware Engine está ligada a uma rede do VMware Engine, o que permite a comunicação entre cargas de trabalho na nuvem privada.
  • Conetividade de rede do VMware Engine: pode usar o intercâmbio da rede da VPC para estabelecer conetividade entre as redes do VMware Engine e uma VPC do Google. Esta conetividade permite a comunicação entre cargas de trabalho executadas no VMware Engine e as executadas noutros serviços no Google Cloud.
  • Conetividade no local: para criar uma solução de nuvem híbrida, pode estender as redes do VMware Engine a centros de dados no local através do Cloud VPN ou do Cloud Interconnect.
  • Serviços de rede: as redes do VMware Engine usam vários serviços de rede, incluindo o seguinte:
    • Cloud DNS para a resolução de nomes de recursos internos e externos
    • Cloud NAT para acesso à Internet para cargas de trabalho na nuvem privada
    • Intercâmbio da rede da VPC para conetividade de rede a outras VPCs e outras redes do VMware Engine
    • Conetividade privada às APIs e aos serviços do Google Cloud

Com o VMware Engine, é responsável por criar e gerir VMs de cargas de trabalho através da superfície de gestão de aplicações VMware. A Google é responsável por aplicar patches e atualizar os componentes de infraestrutura, bem como corrigir componentes com falhas.Google Cloud

Principais decisões de arquitetura

Área de decisão Decisão Motivos da decisão
Fundação Pode implementar o esquema detalhado empresarial do VMware Engine no esquema detalhado de base empresarial, no Fabric FAST ou numa base que cumpra os pré-requisitos definidos. Tanto o projeto de base empresarial como o Fabric FAST oferecem as capacidades base que ajudam as empresas a adotar o Google Cloud.
Computação Pode implementar um único cluster privado numa região específica ou pode implementar dois clusters privados em duas regiões. A configuração de cluster privado único permite uma gestão simplificada e uma otimização de custos.
O projeto implementa um nó sobresselente. Um único nó sobresselente permite-lhe ter capacidade para processar falhas, eventos de manutenção e flutuações da carga de trabalho, ao mesmo tempo que minimiza os custos.
A cópia de segurança e a recuperação de desastres são geridas através do serviço de cópia de segurança e RD. A cópia de segurança e a recuperação de desastres permitem-lhe usar um serviço gerido e reduzir a quantidade de administração necessária para uma implementação do VMware Engine.
Trabalhar em rede O esquema permite a conetividade híbrida. A conetividade híbrida permite-lhe ligar o seu ambiente nas instalações ao seu ambiente Google Cloud .
A nuvem privada usa um espaço IP privado, encaminhável e contíguo. O espaço de IP contíguo facilita a gestão de endereços IP. Quando o espaço de IP é encaminhável, a nuvem privada pode comunicar com os seus recursos no local.
O acesso à Internet é fornecido através de um Cloud Load Balancing e está protegido pelo Cloud Armor. O Cloud Armor melhora a postura de segurança da carga de trabalho, enquanto o Cloud Load Balancing ajuda a ativar a escalabilidade e a elevada disponibilidade da carga de trabalho.
O projeto permite o Cloud DNS. O Cloud DNS resolve nomes internos e externos.

Personagens fictícias da plataforma

O esquema usa dois grupos de utilizadores: um grupo de engenharia da plataforma na nuvem e um grupo de engenharia da plataforma VMware. Estes grupos têm as seguintes responsabilidades:

  • O grupo de engenharia da plataforma de nuvem é responsável pela implementação da base para o projeto do VMware Engine e pela implementação do projeto.
  • O grupo de engenharia da plataforma VMware é responsável pela configuração e operação dos componentes VMware que fazem parte da nuvem privada.

Se estiver a implementar o projeto no projeto base empresarial ou no Fabric FAST, o grupo de engenharia da plataforma na nuvem é criado como parte do processo de implementação inicial. O grupo de engenharia da plataforma VMware é implementado como parte deste projeto.

Estrutura da organização

O esquema empresarial do VMware Engine baseia-se na estrutura organizacional existente do esquema de base empresarial e do Fabric FAST. Adiciona um projeto do VMware Engine autónomo nos ambientes de produção, não produção e desenvolvimento. O diagrama seguinte mostra a estrutura do projeto.

Hierarquia da organização para o projeto.

Trabalhar em rede

O esquema empresarial do VMware Engine oferece-lhe as seguintes opções de rede:

  • Uma única rede VPC partilhada para uma nuvem privada do VMware Engine
  • Duas instâncias de VPC partilhada para uma nuvem privada

Ambas as opções são implementadas numa única região e permitem-lhe gerir o tráfego a partir do seu ambiente no local.

O diagrama seguinte mostra uma única rede VPC partilhada para uma única região.

Redes com uma única rede VPC partilhada.

As instâncias da VPC partilhada separadas permitem-lhe agrupar custos e tráfego de rede em unidades de negócio distintas, mantendo a separação lógica na nuvem privada do VMware Engine. O diagrama seguinte mostra várias redes de VPC partilhada numa única região.

Trabalhar em rede com várias redes VPC partilhadas.

Rede de nuvem privada

Na nuvem privada, a rede é alimentada pelo NSX-T, que fornece uma camada de rede definida por software com funcionalidades avançadas, como microsegmentação, encaminhamento e equilíbrio de carga. O esquema do VMware Engine cria uma rede para o seu serviço VMware Engine. Esta rede é um único espaço de endereços de camada 3. A encaminhamento está ativado por predefinição, o que permite que todas as nuvens privadas e sub-redes na região comuniquem sem configuração adicional. Conforme mostrado no diagrama seguinte, quando é criada uma nuvem privada, são criadas várias sub-redes, que consistem numa sub-rede de gestão, sub-redes de serviços, sub-redes de cargas de trabalho e sub-redes de serviços de limite.

Rede de nuvem privada para este projeto.

Quando configura a sua nuvem privada, tem de selecionar um intervalo CIDR que não se sobreponha a outras redes na sua nuvem privada, na sua rede no local, na sua rede de gestão da nuvem privada ou nos intervalos de endereços IP de sub-redes na sua rede VPC. Depois de selecionar um intervalo CIDR, o VMware Engine atribui automaticamente endereços IP para várias sub-redes. Usando um intervalo CIDR de 10.0.0.0/24 como exemplo, a tabela seguinte mostra os intervalos de endereços IP do esquema para as respetivas sub-redes de gestão.

Sub-rede Descrição Intervalo de endereços IP
Gestão do sistema VLAN e sub-rede para a rede de gestão dos anfitriões ESXi, o servidor DNS e o vCenter Server 10.0.0.0/26
VMotion VLAN e sub-rede para a rede vMotion para anfitriões ESXi 10.0.0.64/28
HCX uplink Uplink para dispositivos HCX IX (mobilidade) e NE (extensão) para alcançar os respetivos pares e permitir a criação da malha de serviços HCX 10.0.0.216/29

As VMs de carga de trabalho estão contidas na sub-rede do NSX-T. Os carregamentos de extremidade NST-T oferecem conetividade externa. O tamanho do intervalo CIDR da nuvem privada define o número de nós ESXi que podem ser suportados na sub-rede NST-T. Os nós do ESXi usam a sub-rede VSAN para o transporte de armazenamento.

A tabela seguinte mostra os intervalos de endereços IP para a sub-rede de transporte do anfitrião NSX-T, as sub-redes de carregamento do NSX-T edge e as sub-redes VSAN, com base num intervalo CIDR de 10.0.0.0/24.

Sub-rede Descrição Intervalo de endereços IP
VSAN A sub-rede VSAN é responsável pelo tráfego de armazenamento entre os anfitriões ESXI e os clusters de armazenamento VSAN. 10.0.0.80/28
Transporte de anfitriões NSX-T A VLAN e a sub-rede para a zona do anfitrião ESXi responsável pela conetividade de rede, permitindo firewalls, encaminhamento, equilíbrio de carga e outros serviços de rede. 10.0.0.128/27
NSX-T edge uplink-N [N=1-4] O carregamento do limite do NSX-T permite que os sistemas externos acedam a serviços e aplicações executadas na rede NSX-T.
  • 10.0.0.160/29
  • 10.0.0.168/29
  • 10.0.0.176/29
  • 10.0.0.184/29

Para as sub-redes de serviços e a sub-rede de serviços de limite, o VMware Engine não atribui um intervalo ou um prefixo CIDR. Como tal, tem de especificar um intervalo CIDR e um prefixo não sobrepostos. A tabela seguinte mostra os blocos CIDR do projeto base para as sub-redes de serviço e a sub-rede do serviço de limite.

Sub-rede Descrição Intervalo de endereços IP
Service-N [N=1-5] As sub-redes de serviço permitem que as máquinas virtuais ignorem o transporte do NSX e comuniquem diretamente com a Google Cloud rede para permitir comunicações de alta velocidade.
  • 10.0.2.0/24
  • 10.0.3.0/24
  • 10.0.4.0/24
  • 10.0.5.0/24
Serviço Edge Obrigatório se os serviços de limite opcionais, como a VPN ponto a ponto, o acesso à Internet e o endereço IP externo, estiverem ativados. Os intervalos são determinados para cada região. 10.0.1.0/26

Encaminhamento

Exceto para redes que são expandidas a partir da sua rede no local ou de outras nuvens privadas do VMware Engine, todas as comunicações no VMware Engine e para endereços IP externos são encaminhadas (através da camada 3) por predefinição. O projeto configura um Cloud Router associado à ligação híbrida no local (através do Cloud VPN ou do Cloud Interconnect) com rotas personalizadas anunciadas resumidas para os intervalos de endereços IP do VMware Engine. As rotas de segmentos NSX são resumidas ao nível de camada 0. O projeto permite serviços DHCP através do NSX-T DHCP Relay para os serviços DHCP configurados na nuvem privada do VMware Engine.

Configuração de DNS

O VMware Engine permite-lhe usar uma zona do Cloud DNS no seu projeto como um único ponto final de resolução de DNS para todos os dispositivos de gestão ligados numa rede da VPC com peering. Pode fazê-lo mesmo que as suas nuvens privadas estejam implementadas em diferentes regiões.

Quando configurar a resolução de endereços para várias nuvens privadas e uma única nuvem privada, pode configurar a resolução de endereços global através do Cloud DNS.

Por predefinição, pode resolver a zona de gestão a partir de qualquer uma das suas redes VPC que tenha o Cloud DNS ativado.

Quando o projeto cria uma nuvem privada associada a uma rede do VMware Engine padrão, é criada uma zona DNS de gestão associada e preenchida automaticamente com as entradas dos dispositivos de gestão.

Se a rede padrão do VMware Engine for uma rede da VPC com intercâmbio com uma VPC ou outra rede do VMware Engine, o esquema cria automaticamente uma associação de zona DNS de gestão. Esta associação de zona garante a resolução de dispositivos de gestão a partir das suas VMs nessa rede. Google Cloud O diagrama seguinte mostra a topologia do Cloud DNS.

A configuração de DNS no projeto.

Tráfego de saída do VMware Engine para a Internet

O projeto fornece-lhe as seguintes três opções para o tráfego de saída do VMware Engine para a Internet:

  1. Saída através do ambiente nas instalações do cliente
  2. Saída através do gateway de Internet do VMware Engine
  3. Saída através da VPC anexada do cliente com um endereço IP externo

O diagrama seguinte mostra estas opções.

Opções de tráfego de saída para o VMware Engine.

Tráfego de entrada da Internet para o VMware Engine

O esquema oferece-lhe as seguintes três opções para o tráfego proveniente da Internet para o VMware Engine:

  1. Entrada através do ambiente no local do cliente
  2. Entrada através de uma VPC do cliente com o Cloud Load Balancing e, potencialmente, o Cloud Armor
  3. Entrada através do VMware Engine com um endereço IP externo

O diagrama seguinte mostra estas opções.

Opções de tráfego de entrada para o VMware Engine.

Registo

O projeto permite-lhe enviar as ações administrativas do VMware Engine para os registos de auditoria do Cloud através de um destino de registo. Ao analisar os registos de auditoria do VMware Engine, os administradores podem identificar comportamentos suspeitos, investigar incidentes e demonstrar a conformidade com os requisitos regulamentares.

As exportações de registos também podem servir como origens de carregamento para sistemas de gestão de informações e eventos de segurança (SIEM). A Google suporta as seguintes origens de carregamento que fornecem o VMware Engine:

  • A organização de alojamento Google Cloud , que inclui a estrutura da nuvem e a telemetria de recursos
  • Componentes do serviço VMware
  • Cargas de trabalho executadas no VMware Engine

O Google SecOps inclui um pipeline de carregamento de registos automatizado integrado para carregar dados da organização e fornece sistemas de encaminhamento para enviar telemetria de streaming do VMware Engine e cargas de trabalho para o pipeline de carregamento do Google SecOps. O SecOps da Google enriquece a telemetria com conteúdo contextual e torna-a pesquisável. Pode usar o Google SecOps para encontrar e monitorizar problemas de segurança à medida que se desenvolvem.

Monitorização

O projeto instala um agente autónomo para o Cloud Monitoring para encaminhar métricas da sua nuvem privada para o Cloud Monitoring. O projeto configura painéis de controlo predefinidos que oferecem uma vista geral dos seus recursos do VMware Engine e da utilização de recursos. No VMware vCenter Server, a VMware fornece ferramentas para ajudar a monitorizar o seu ambiente e localizar a origem dos problemas. Pode usar estas ferramentas como parte das suas operações contínuas e como suplemento a outras opções de monitorização.

Conforme se pode ver no diagrama seguinte, o plano detalhado automatiza a implementação do agente autónomo através de um grupo de instâncias gerido que é implementado na VPC do cliente. O agente recolhe métricas e registos syslog do VMware vCenter e encaminha-os para o Cloud Monitoring e o Cloud Logging.

Monitorização do projeto.

Cópias de segurança

O projeto usa o Backup and DR para fornecer serviços de proteção de dados às suas cargas de trabalho do VMware. O serviço usa um dispositivo gerido que é implementado na VPC do cliente. O dispositivo está ligado ao plano de controlo da Google através do acesso privado à Google e de websockets. As cópias de segurança são armazenadas no Cloud Storage e o serviço oferece opções de recuperação detalhadas, permitindo-lhe restaurar ficheiros individuais ou VMs inteiras para um ponto específico no tempo.

Práticas recomendadas operacionais

Esta secção descreve algumas das práticas recomendadas que pode implementar, dependendo do seu ambiente e requisitos, após a implementação do esquema.

Adicione mais nós sobresselentes

Os clusters do VMware Engine são dimensionados automaticamente para terem, pelo menos, um nó sobresselente para resiliência. Um nó sobresselente é um comportamento inerente no vSphere HA, o que significa que este nó está disponível no cluster e é faturado em conformidade.

Pode adicionar mais nós sobresselentes ao cluster para garantir a capacidade durante os períodos de manutenção. Esta decisão pode incorrer em custos de consumo adicionais e estes nós são geridos diretamente pela sua organização.

Os nós suplentes que adicionar aparecem como nós adicionais no seu cluster do vSphere. Opcionalmente, pode agendar cargas de trabalho nos nós sobresselentes.

Tenha em atenção os limites de recursos para nuvens privadas

As nuvens privadas do VMware Engine têm limites de recursos nos componentes de computação, armazenamento e rede. Considere estes limites durante a implementação da nuvem privada para que o seu ambiente possa ser dimensionado de acordo com as exigências da carga de trabalho.

Implemente opções de gestão de custos

Pode implementar uma ou mais das seguintes opções para gerir os seus custos:

  • Descontos de fidelidade (CUDs)
  • Escala automática
  • Limites de número de núcleos
  • Subscrição excessiva da capacidade de computação

Use descontos de fidelidade

Os CUDs oferecem preços com desconto em troca do seu compromisso de usar um nível mínimo de recursos durante um período especificado. As CUDs do VMware Engine aplicam-se à utilização agregada de nós do VMware Engine numa região, o que lhe permite ter custos baixos e previsíveis sem ter de fazer alterações ou atualizações manuais. Os descontos aplicam-se à utilização de nós do VMware Engine nas regiões onde o serviço está disponível e onde comprou os CUDs.

Use a escala automática

O VMware Engine permite-lhe adicionar ou remover automaticamente nós num cluster com base em limiares predefinidos e marcas de água. Estas políticas são acionadas se uma condição especificada for mantida durante, pelo menos, 30 minutos. Quando aplicar ou atualizar uma política de redimensionamento automático a um cluster do vSphere (padrão ou expandido), considere o seguinte:

  • Por predefinição, o ajuste de escala automático está desativado. Tem de a ativar explicitamente para cada cluster.
  • Num cluster expandido, o número de nós que especificar na política é adicionado ou removido por zona, o que afeta a faturação em conformidade.
  • Uma vez que a utilização de computação, memória e armazenamento é frequentemente independente, as políticas de ajuste de escala automático que monitorizam várias métricas usam a lógica OU para a adição de nós e a lógica E para a remoção de nós.
  • Os valores máximos do dimensionamento automático são determinados pelas quotas disponíveis no seuGoogle Cloud projeto e na nuvem privada do VMware Engine.
  • A ativação do dimensionamento automático e a adição ou remoção manual de um nó não são mutuamente exclusivas. Por exemplo, com a Política de Otimização da Capacidade de Armazenamento, pode remover manualmente um nó se conseguir reduzir o espaço em disco da VM o suficiente para acomodar todas as VMs no cluster. Embora seja possível remover nós manualmente, não é uma prática recomendada quando usa o dimensionamento automático.

Limite a contagem de núcleos

O VMware Engine permite que os administradores reduzam o número de núcleos de CPU eficazes que são expostos ao SO convidado (que é a VM em execução no VMware Engine). Alguns contratos de licença de software exigem que reduza os núcleos expostos.

Exceda a capacidade de computação do VMware Engine

A subscrição excessiva da capacidade de computação do VMware Engine é uma prática padrão e, ao contrário dos nós de inquilino único do Compute Engine, não incorre em custos adicionais. Uma taxa de subscrição excessiva mais elevada pode ajudar a diminuir o número de nós faturáveis eficazes no seu ambiente, mas pode afetar o desempenho da aplicação. Ao dimensionar cargas de trabalho empresariais, recomendamos que use uma proporção de 4:1 para começar e, em seguida, modifique a proporção com base em fatores aplicáveis ao seu exemplo de utilização.

Implemente o projeto

Pode implementar o projeto no projeto de base empresarial ou no Fabric FAST.

Para implementar o esquema no esquema de base empresarial, conclua o seguinte:

Para implementar o esquema no Fabric FAST, consulte o repositório do Fabric FAST. A fase do Google Cloud VMware Engine implementa o projeto empresarial do VMware Engine.

Implemente o esquema sem o esquema de bases empresariais ou o Fabric FAST

Para implementar o projeto sem implementar primeiro o projeto de base empresarial ou o Fabric FAST, verifique se os seguintes recursos existem no seu ambiente:

  • Uma hierarquia de organização com pastas development, nonproduction e production
  • Uma rede de VPC partilhada para cada pasta
  • Um esquema de endereços IP que tenha em conta os intervalos de endereços IP necessários para as suas nuvens privadas do VMware Engine
  • Um mecanismo de DNS para as suas nuvens privadas do VMware Engine
  • Políticas de firewall alinhadas com a sua postura de segurança
  • Um mecanismo para aceder às APIs Google Cloud através de endereços IP internos
  • Um mecanismo de conetividade com o seu ambiente nas instalações
  • Registo centralizado para segurança e auditoria
  • Políticas organizacionais alinhadas com a sua postura de segurança
  • Um pipeline que pode usar para implementar o VMware Engine

O que se segue?