Implantar o Apache Guacamole no GKE e no Cloud SQL

Last reviewed 2023-11-15 UTC

Neste documento, descrevemos como implantar o Apache Guacamole no GKE e no Cloud SQL.

Estas instruções são destinadas a administradores e engenheiros de servidores que querem hospedar o Guacamole no GKE e no Cloud SQL. O documento pressupõe que você já conheça a implantação de cargas de trabalho no Kubernetes e no Cloud SQL para MySQL. Recomendamos que você também esteja familiarizado com o Identity and Access Management e o Google Compute Engine.

Arquitetura

O diagrama a seguir mostra como um balanceador de carga do Google Cloud é configurado com o IAP para proteger uma instância do cliente Guacamole em execução no GKE:

O cliente Guacamole se conecta ao serviço de back-end guacd, que intermedia as conexões da área de trabalho remota com uma ou mais VMs do Compute Engine. Os scripts também implantam uma instância do Cloud SQL para gerenciar dados de configuração do Guacamole.

Veja mais detalhes em Apache Guacamole no GKE e Cloud SQL.

Objetivos

• Implantar a infraestrutura usando o Terraform.
• Criar um banco de dados do Guacamole no Cloud SQL.
• Implantar o Guacamole em um cluster do GKE usando o Skaffold.
• Testar uma conexão com uma VM usando o Guacamole.

Custos

Neste documento, você usará os seguintes componentes faturáveis do Google Cloud:

• Compute Engine
• GKE
• Cloud SQL
• Artifact Registry

Para gerar uma estimativa de custo baseada na projeção de uso deste tutorial, use a calculadora de preços. Novos usuários do Google Cloud podem estar qualificados para uma avaliação gratuita.

Ao concluir as tarefas descritas neste documento, é possível evitar o faturamento contínuo excluindo os recursos criados. Saiba mais em Limpeza.

Antes de começar

1. No console do Google Cloud, na página do seletor de projetos, selecione ou crie um projeto do Google Cloud.

   Observação: se você não pretende manter os recursos criados neste procedimento, crie um projeto novo em vez de selecionar um que já existe. Depois de concluir essas etapas, é possível excluir o projeto. Para fazer isso, basta remover todos os recursos associados a ele.

   Acessar o seletor de projetos

2. Verifique se a cobrança está ativada para o seu projeto do Google Cloud.

3. Ative as APIs Resource Manager, Service Usage, Artifact Registry, and Compute Engine.

   Ative as APIs

4. No Console do Google Cloud, ative o Cloud Shell.

   Ativar o Cloud Shell

Implante a infraestrutura

Nesta seção, você usará o Terraform para implantar os seguintes recursos:

• Nuvem privada virtual
• uma regra de firewall
• Um cluster do GKE
• Um repositório do Artifact Registry
• Cloud SQL para MySQL
• Uma VM para gerenciar o banco de dados MySQL
• Contas de serviço

A configuração do Terraform também permite o uso do IAP no seu projeto.

1. No Cloud Shell, clone o repositório do GitHub.

   git clone https://github.com/GoogleCloudPlatform/guacamole-on-gcp.git
   

2. Implante a infraestrutura necessária usando o Terraform:

   cd guacamole-on-gcp/tf-infra
   unset GOOGLE_CLOUD_QUOTA_PROJECT
   terraform init -upgrade
   terraform apply
   

3. Siga as instruções para inserir o ID do projeto do Google Cloud.

4. Para aprovar a solicitação do Terraform para implantar recursos no projeto, insira yes.

   A implantação de todos os recursos leva alguns minutos.

Implantar o banco de dados do Guacamole

Nesta seção, você cria o banco de dados e as tabelas do Guacamole no Cloud SQL para MySQL e preenche o banco de dados com as informações de usuário do administrador.

1. No Cloud Shell, defina variáveis de ambiente e encontre a senha raiz do banco de dados:

   cd ..
   source bin/read-tf-output.sh
   

   Anote a senha raiz do banco de dados. você precisará dele nas etapas a seguir.

   O script lê variáveis de saída da execução do Terraform e define as seguintes variáveis de ambiente, que são usadas ao longo deste procedimento:

   CLOUD_SQL_INSTANCE
   ZONE
   REGION
   DB_MGMT_VM
   PROJECT_ID
   GKE_CLUSTER
   GUACAMOLE_URL
   SUBNET
   

2. Copie os arquivos de script create-schema.sql e insert-admin-user.sql para a VM de gerenciamento do banco de dados e conecte-se à VM:

   gcloud compute scp \
       --tunnel-through-iap \
       --zone=$ZONE \
       create-schema.sql \
       insert-admin-user.sql \
       $DB_MGMT_VM:
   
   gcloud compute ssh $DB_MGMT_VM \
       --zone=$ZONE \
       --tunnel-through-iap
   

   Uma sessão do console para a VM de gerenciamento de banco de dados por meio do Cloud Shell está estabelecida.

3. Instale as ferramentas de cliente do MySQL:

   sudo apt-get update
   sudo apt-get install -y mariadb-client
   

4. Conecte-se ao Cloud SQL e crie o banco de dados. Quando uma senha for solicitada, use a senha raiz que você anotou anteriormente nesta seção.

   export CLOUD_SQL_PRIVATE_IP=$(curl http://metadata.google.internal/computeMetadata/v1/instance/attributes/cloud_sql_ip -H "Metadata-Flavor: Google")
   mysql -h $CLOUD_SQL_PRIVATE_IP -u root -p
   

5. Conceda ao usuário o banco de dados recém-criado:

   CREATE DATABASE guacamole;
   USE guacamole;
   GRANT SELECT,INSERT,UPDATE,DELETE ON guacamole.* TO 'guac-db-user';
   FLUSH PRIVILEGES;
   SOURCE create-schema.sql;
   SOURCE insert-admin-user.sql;
   quit
   

6. Depois que os comandos do MySQL forem executados, saia da sessão SSH da VM:

   exit
   

Implantar o Guacamole no GKE usando o Skaffold

Nesta seção, você implantará o aplicativo Guacamole no cluster do GKE usando o Skaffold. O Skaffold lida com o fluxo de trabalho para criar, enviar e implantar as imagens do Guacamole nos clusters do GKE.

1. No Cloud Shell, implante a configuração do GKE usando o Terraform:

   cd tf-k8s
   terraform init -upgrade
   terraform apply -parallelism=1
   

2. Receba credenciais para o cluster do GKE:

   gcloud container clusters get-credentials \
       --region $REGION $GKE_CLUSTER
   

3. Execute o Skaffold da raiz do repositório git clonado:

   cd ..
   skaffold --default-repo $REGION-docker.pkg.dev/$PROJECT_ID/guac-repo run
   

   A ferramenta Skaffold cria imagens de contêiner para o Guacamole por meio do Google Cloud Build (a linha de comando inclui uma sinalização que especifica para qual repositório enviar as imagens). A ferramenta também executa uma etapa de kustomize para gerar ConfigMaps e Secrets do Kubernetes com base na saída da execução do Terraform.

4. Verifique se o certificado foi provisionado:

   kubectl get -w managedcertificates/guacamole-client-cert \
   -n guacamole \
   -o jsonpath="{.spec.domains[0]} is {.status.domainStatus[0].status}"
   

   O provisionamento do certificado pode levar até 60 minutos.

5. Depois que o certificado for provisionado, você poderá visitar seu URL em um navegador.

   1. Veja o URL da saída do Terraform:

      echo $GUACAMOLE_URL
      

   2. Em uma janela do navegador, digite o URL da etapa anterior.

   3. Quando solicitado pelo IAP, faça login com suas credenciais do Google.

      Depois de fazer login, você entra no Guacamole com privilégios administrativos, com base no script insert-admin-user.sql que executou anteriormente neste procedimento.

      Observação: a configuração do OAuth criada por esse procedimento é definida como internal. Isso significa que você precisa usar uma Conta do Google na mesma organização usada para implantar o Guacamole neste procedimento. Caso contrário, ocorrerá um erro HTTP/403 org_internal. Se a sessão do navegador já estiver conectada a outra Conta do Google, tente se conectar ao URL em uma guia no modo de navegação anônima.

Agora é possível adicionar outros usuários com base no endereço de e-mail deles na interface do usuário do Guacamole. Para mais detalhes, consulte Administração na documentação do Guacamole. Esses usuários adicionais também exigem permissões por meio do Google IAM, com o papel IAP-secured Web App User.

Testar uma conexão com uma VM

Depois de implantar, configurar e fazer login no Guacamole, é possível criar uma VM do Windows e se conectar à VM recém-criada pelo Guacamole.

Criar uma VM

1. No Cloud Shell, crie uma VM do Windows para testar as conexões:

   export TEST_VM=windows-vm
   gcloud compute instances create $TEST_VM \
       --project=$PROJECT_ID \
       --zone=$ZONE \
       --machine-type=n1-standard-1 \
       --subnet=$SUBNET \
       --no-address \
       --image-family=windows-2019 \
       --image-project=windows-cloud \
       --boot-disk-size=50GB \
       --boot-disk-type=pd-standard \
       —-shielded-secure-boot
   

   Depois de executar o comando, talvez seja necessário aguardar alguns minutos para que o Windows conclua a inicialização antes de prosseguir para a próxima etapa.

2. Redefina a senha do Windows para a VM que você acabou de criar:

   gcloud compute reset-windows-password $TEST_VM \
       --user=admin \
       --zone=$ZONE
   

Adicionar uma nova conexão à VM

1. Em uma janela do navegador, insira o URL da instância do Guacamole de Implantar Guacamole no GKE usando Skaffold e faça login pelo IAP.
2. Na IU do Guacamole, clique no seu nome de usuário e selecione Configurações.
3. Na guia Conexões, clique em Nova conexão.
   1. No campo Nome, insira um nome para a rede.
   2. No campo Local, digite o local da conexão.
   3. Na lista suspensa Protocolo, selecione RDP.

4. Em Rede, no campo Nome do host, insira o nome da VM que você criou, windows-vm.

   O DNS do projeto resolve esse nome do host para o endereço IP interno da instância.

   Observação: se você escolher criar sua VM em uma zona diferente do cluster do GKE Guacamole, será necessário qualificar totalmente o nome da VM. Veja mais detalhes em DNS interno.

5. Na seção Autenticação, configure os seguintes campos:

   1. Nome de usuário: admin
   2. Senha: a senha que você recebeu ao redefinir a senha da VM
   3. Modo de segurança: NLA (autenticação no nível da rede)

   4. Ignorar certificado do servidor: marque a caixa de seleção

      As VMs do Windows do Compute Engine são provisionadas com um certificado autoassinado para os serviços de Área de trabalho remota. Portanto, você precisa instruir o Guacamole a ignorar problemas de validação de certificado.

6. Clique em Save.

7. Clique no seu nome de usuário e selecione Início.

8. Clique na conexão que você acabou de criar para testar a conectividade. Após alguns segundos, a área de trabalho da instância de VM será exibida.

Para mais detalhes sobre como configurar o Guacamole, consulte o Manual do Apache Guacamole.

Limpar

Para evitar cobranças na sua conta do Google Cloud pelos recursos usados nesse procedimento, exclua o projeto que contém eles ou mantenha o projeto e exclua os recursos individuais.

Excluir o projeto

Cuidado: excluir um projeto tem os seguintes efeitos:

• Tudo no projeto é excluído. Se você tiver usado um projeto existente para as tarefas neste documento, a exclusão dele incluirá a exclusão de quaisquer outros trabalhos feitos no projeto.
• Os IDs do projeto personalizados são perdidos. Ao criar o projeto, você pode ter criado um código do projeto personalizado para ser usado no futuro. Para preservar os URLs que usam o ID do projeto, como um URL appspot.com, exclua recursos específicos do projeto, em vez de excluir o projeto inteiro.

Se você planeja passar por várias arquiteturas, tutoriais ou guias de início rápido, a reutilização de projetos pode evitar que você exceda os limites da cota do projeto.

1. No Console do Google Cloud, acesse a página Gerenciar recursos.

   Acessar "Gerenciar recursos"

2. Na lista de projetos, selecione o projeto que você quer excluir e clique em Excluir .
3. Na caixa de diálogo, digite o ID do projeto e clique em Encerrar para excluí-lo.

Excluir os novos recursos

Como alternativa à exclusão de todo o projeto, é possível excluir os recursos individuais criados durante esse procedimento. Observe que a configuração da tela de permissão OAuth não pode ser removida de um projeto, apenas modificada.

• No Cloud Shell, use o Terraform para excluir os recursos:

  cd ~/guacamole-on-gcp/tf-k8s
  terraform destroy
  
  cd ~/guacamole-on-gcp/tf-infra
  terraform destroy
  
  gcloud compute instances delete $TEST_VM –-zone=$ZONE
  

A seguir

• Consulte as orientações do GKE sobre Como melhorar a segurança do seu cluster.
• Consulte Criptografar secrets na camada do aplicativo para saber como aumentar a segurança dos secrets, como credenciais de banco de dados e OAuth.
• Analise as Condições do IAM para saber como fornecer controle mais granular sobre o acesso do usuário ao Guacamole.
• Para saber mais sobre como a integração do IAP funciona, analise o provedor de autenticação personalizado no repositório do GitHub.
• Para mais arquiteturas de referência, diagramas e práticas recomendadas, confira a Central de arquitetura do Cloud.