设计用于迁移企业工作负载的网络：架构方法

Last reviewed 2023-11-13 UTC

本文档是一系列文章，介绍了将数据中心工作负载迁移到 Google Cloud 的企业的网络和安全架构。这些架构强调了混合环境中的高级连接、零信任安全原则和易管理性。

如随附文档用于保护 Cloud 数据平面的架构中所述，企业会部署一系列架构，这些架构将云端的连接和安全需求考虑在内。我们将这些架构分为三种不同的架构模式：直接原样迁移、混合服务和零信任分布式。当前文档讨论了基于企业所选架构的不同安全方法，还介绍了如何使用 Google Cloud 提供的基础组件来实现这些方法。您应将这些安全指导与其他架构指导（包括可靠性、可用性、规模、性能和治理）结合使用。

本文档旨在为计划将本地工作负载迁移到云端的系统架构师、网络管理员和安全管理员提供帮助。该文档假定：

  • 您熟悉数据中心网络和安全概念。
  • 本地数据中心内已有工作负载，并且您熟悉这些工作负载的作用及其用户。
  • 您至少有一些计划要迁移的工作负载。
  • 您非常熟悉用于保护 Cloud 数据平面的架构中所述的概念。

该系列包含以下文档：

本文档总结了三种主要的架构模式，并介绍了可用于创建基础架构的资源基础组件。最后，介绍了如何将基础组件组合成一系列与模式匹配的参考架构。您可以根据这些参考架构来搭建您自己的架构。

本文档使用虚拟机 (VM) 作为工作负载资源的示例。相关信息适用于使用 VPC 网络的其他资源，例如 Cloud SQL 实例和 Google Kubernetes Engine 节点。

架构模式概览

通常，网络工程师专注于在本地数据中心内构建物理网络基础架构和安全基础架构。

云迁移之旅改变了这种方法，因为云网络结构是软件定义的。在云端，应用所有者会对底层基础架构栈进行有限的控制。他们需要一个具有安全边界的模型，并为其工作负载提供隔离。

在本系列中，我们讨论三种常见的架构模式。这些模式相辅相成，可被视为一个系列，而不是经过严格选择。

直接原样迁移模式

在直接原样迁移架构模式中，企业应用所有者会将其工作负载迁移到云，而无需重构这些工作负载。网络和安全工程师通过第 3 层和第 4 层控制，结合使用模拟本地实体设备和 VPC 网络中的云防火墙规则的网络虚拟设备来提供保护。工作负载所有者在 VPC 网络中部署其服务。

混合服务模式

使用直接原样迁移模式构建的工作负载可能需要访问 BigQuery 或 Cloud SQL 等云服务。通常，在第 4 层和第 7 层访问此类云服务。在此情况下，无法在第 3 层严格执行隔离和安全保护。因此，使用服务网络和 VPC Service Controls，根据所访问的服务的身份和请求访问的服务来提供连接和安全性。在此模型中，可以表达丰富的访问权限控制政策。

零信任分布式模式

在零信任架构中，企业应用将安全机制强制执行扩展到边界控制之外。在边界内，仅当工作负载的 IAM 身份具有特定权限（默认被拒绝）时，工作负载才能与其他工作负载通信。在零信任分布式架构中，信任基于身份，并会针对每个应用强制执行。工作负载被构建为具有集中颁发的身份的微服务。这样，服务可以验证其调用者，并针对每个请求做出有关访问是否可接受的基于政策的决策。此架构通常使用分布式代理（服务网格）而不是使用集中式网关来实现。

企业可以通过配置 Identity-Aware Proxy (IAP) 强制执行从用户和设备到企业应用的零信任访问。IAP 会为来自互联网或内网的用户流量提供基于身份和情境的控制。

组合模式

构建或将其业务应用迁移到云的企业通常组合使用上述三种架构模式。

Google Cloud 提供了一系列产品和服务作为基础组件，以实现支持架构模式的云数据平面。本文档稍后将讨论这些基础组件。云数据平面中提供的控制与管理云资源的管理控制相结合，构成端到端安全边界的基础。通过组合这几种模式而创建的边界可让您在云端管理、部署和运行工作负载。

资源层次结构和管理控制

本部分总结了 Google Cloud 作为资源容器提供的管理控制。这些控制包括 Google Cloud 组织资源、文件夹和项目，让您可以对云资源进行分组和分层整理。这种分层整理方式为您提供了所有权结构以及应用政策和控制的定位点。

Google 组织资源是层次结构中的根节点，并且是在云端创建部署的基础。组织资源可以包含文件夹和项目作为子项。一个文件夹包含项目或其他文件夹作为子项。所有其他云资源都是项目的子项。

您可以使用文件夹作为项目分组方法。项目构成了创建、启用和使用所有 Google Cloud 服务的基础。通过项目，您可以管理 API、启用结算功能、添加和移除协作者以及管理权限。

使用 Google Identity and Access Management (IAM)，您可以在所有资源层次结构级别分配角色并定义访问权限政策和权限。IAM 政策由层次结构中较低层次的资源继承。层次结构中较低层次的资源所有者不能更改这些政策。在某些情况下，身份和访问权限管理是在更精细的级别提供的，例如在 Google Kubernetes Engine 中的命名空间或集群的对象范围内。

Google Virtual Private Cloud 网络的设计注意事项

在设计迁移到云的策略时，请务必制定有关企业如何使用 VPC 网络的策略。您可以将 VPC 网络视为传统物理网络的虚拟版本。它是一个完全隔离的专用网络分区。默认情况下，一个 VPC 网络中部署的工作负载或服务无法与另一个 VPC 网络中的作业通信。因此，VPC 网络通过形成安全边界来实现工作负载隔离。

由于云端的每个 VPC 网络都是完全虚拟的网络，因此每个网络都有自己的专用 IP 地址空间。因此，您可以在多个 VPC 网络中使用同一个 IP 地址，而不会产生冲突。典型的本地部署可能会占用较大比例的 RFC 1918 专用 IP 地址空间。另一方面，如果本地和 VPC 网络中都有工作负载，则您可以在不同的 VPC 网络中重复使用相同的地址范围，前提是这些网络未连接或未对等互连，因而用尽 IP 地址空间的速度不会太快。

VPC 网络是全球性的

Google Cloud 中的 VPC 网络是全球性的，这意味着部署在具有 VPC 网络的项目中的资源可以使用 Google 的专有骨干网直接相互通信。

如图 1 所示，您可以将项目中包含子网的 VPC 网络部署在跨多个可用区的不同区域中。任何区域中的虚拟机都可以使用本地 VPC 路由相互进行私密通信。

在不同区域中配置了子网的 Google Cloud 全球 VPC 网络实现。

图 1. 在不同区域中配置了子网的 Google Cloud 全球 VPC 网络实现。

使用共享 VPC 共享网络

借助共享 VPC，组织资源可以将多个项目连接到一个公用 VPC 网络，以便它们可以使用共享网络中的内部 IP 地址安全地相互通信。该共享网络的网络管理员会对网络资源应用和强制执行集中控制。

在使用共享 VPC 时，您需要将某个项目指定为宿主项目，并将一个或多个其他服务项目关联到该项目。宿主项目中的 VPC 网络称为共享 VPC 网络。服务项目中符合条件的资源可以使用共享 VPC 网络中的子网。

企业需要网络和安全管理员集中管理网络资源（例如，子网和路由）时，通常使用共享 VPC 网络。同时，共享 VPC 网络可让应用和开发团队使用服务项目创建和删除虚拟机实例并在指定子网中部署工作负载。

使用 VPC 网络隔离环境

使用 VPC 网络隔离环境有许多优点，但您还需要考虑一些缺点。本部分对利弊进行了权衡，并介绍了实现隔离的常见模式。

隔离环境的原因

由于 VPC 网络代表隔离网域，因此许多企业使用它们将环境或业务部门保留在单独的网域中。创建 VPC 级隔离的常见原因如下：

  • 企业希望在一个 VPC 网络与另一个 VPC 网络之间建立默认拒绝通信，因为这些网络代表组织方面有意义的区别。如需了解详情，请参阅本文档后面的常见 VPC 网络隔离模式。
  • 由于预先存在的本地环境、收购或部署到其他云环境，企业需要有重叠的 IP 地址范围。
  • 企业希望将网络的完全管理控制权委托给企业中的某个部门。

隔离环境的缺点

使用 VPC 网络创建隔离环境可能存在一些缺点。具有多个 VPC 网络可能会增加管理跨多个网络的服务的管理开销。本文档讨论了可用于管理这种复杂性的方法。

常见的 VPC 网络隔离模式

隔离 VPC 网络的一些常见模式如下：

  • 隔离开发、预演和生产环境。通过此模式，企业可以将其开发、预演和生产环境相互完全隔离。实际上，此结构可维护多个完整的应用副本，并在各环境之间逐步发布。在此模式中，VPC 网络用作安全边界。开发者对开发 VPC 网络具有较高的访问权限，可以执行日常工作。开发完成后，工程生产团队或质量检查团队可以将更改迁移到预演环境，并且可以在此环境中以集成方式测试更改。在准备好部署更改后，更改会发送到生产环境。
  • 隔离业务部门。一些企业希望在业务部门之间实施高度隔离，尤其是对于已收购的部门或需要高度自主性和隔离的部门。在此模式中，企业通常会为每个业务部门创建一个 VPC 网络，并将该 VPC 的控制权委托给业务部门的管理员。企业会使用本文档后面介绍的方法来公开跨企业的服务，或托管跨多个业务部门的面向用户的应用。

有关创建隔离环境的建议

我们建议您将 VPC 网络设计为具有与企业管理和安全边界保持一致的最广泛网域。您可以使用防火墙等安全控制机制，在同一 VPC 网络中运行的工作负载之间实现进一步的隔离。

如需详细了解如何为您的组织设计和制定隔离策略，请参阅 Google Cloud 企业基础蓝图中的 VPC 设计的最佳做法与参考架构和网络。

云网络的基础组件

本部分讨论了网络连接、网络安全、服务网络和服务安全的重要基础组件。图 2 展示了这些基础组件之间的关系。您可以使用给定行中列出的一个或多个产品。

云网络连接和安全方面的基础组件。

图 2. 云网络连接和安全方面的基础组件。

以下部分讨论了每个基础组件以及可用于每个组件的 Google Cloud 服务。

网络连接

网络连接组件是层次结构的基础。它负责将 Google Cloud 资源连接到本地数据中心或其他云环境。根据您的需求，您可能只需要其中一个产品，或者您可能使用所有产品来应对不同的使用场景。

Cloud VPN

Cloud VPN 让您可以通过 IPsec VPN 连接将远程分支办公室或其他云服务提供商连接到 Google VPC 网络。两个网络之间的流量传输通过一个 VPN 网关加密，然后通过另一个 VPN 网关解密，从而有助于通过互联网时保护数据。

借助 Cloud VPN，您可以在本地环境与 Google Cloud 之间启用连接，而无需承担预配 Cloud Interconnect 所需的物理交叉连接的开销（详情见下一部分）。如果您拥有符合要求的架构，则可以预配高可用性 VPN 以满足可用性高达 99.99％ 的服务等级协议 (SLA) 要求。如果您的工作负载不需要低延迟或高带宽，您可以考虑使用 Cloud VPN。例如，Cloud VPN 是非任务关键型使用场景或将连接扩展到其他云服务提供商的理想选择。

Cloud Interconnect

Cloud Interconnect 提供与 Google Cloud 的企业级专用连接，与使用 VPN 或互联网入站流量相比，具有更高的吞吐量和更可靠的网络性能。专用互连提供从您的路由器到 Google 网络的直接物理连接。合作伙伴互连通过庞大的合作伙伴网络提供专用连接，与专用互连相比，合作伙伴互连可提供更广泛的覆盖范围或其他带宽选项。Cross-Cloud Interconnect 提供从您的 VPC 网络到其他云服务提供商的专用直接连接。专用互连要求您在 Google 提供服务的对接网点进行连接，但合作伙伴互连没有此要求。Cross-Cloud Interconnect 可让您选择满足建立连接要求的位置。Cloud Interconnect 可确保本地网络或其他云网络与 VPC 网络之间的流量不会通过公共互联网。

如果您预配了适当的架构，则可以预配这些 Cloud Interconnect 连接，以满足可用性高达 99.99％ 的服务等级协议 (SLA) 要求。您可以考虑使用 Cloud Interconnect 来支持需要低延迟、高带宽和可预测性能的工作负载，同时确保所有流量保持私密。

适用于混合连接的 Network Connectivity Center

Network Connectivity Center 在本地网络和其他云网络之间提供站点到站点的连接。它使用 Google 的骨干网在您的网站之间提供可靠的连接。

此外，您可以通过配置虚拟机或第三方供应商路由器设备作为逻辑 spoke 连接来将现有 SD-WAN 覆盖网络扩展到 Google Cloud。

您可以使用路由器设备、VPN 或 Cloud Interconnect 网络作为 spoke 连接来访问 VPC 网络内的资源。您可以使用 Network Connectivity Center 整合本地站点、您在其他云中的站点和 Google Cloud 之间的连接，并通过单一视图统一管理。

适用于 VPC 网络的 Network Connectivity Center

Network Connectivity Center 还可让您在许多 VPC 网络之间创建网格。您可以使用 Cloud VPN 或 Cloud Interconnect 将此网格连接到本地或其他云。

VPC 网络对等互连

VPC 网络对等互连让您可以连接 Google VPC 网络，以便不同 VPC 网络中的工作负载可以进行内部通信，无论它们是否属于同一个项目或同一个组织资源。流量保留在 Google 的网络中，不会通过公共互联网。

VPC 网络对等互连要求要对等互连的网络没有重叠的 IP 地址。

网络安全

网络安全组件位于网络连接组件之上。它负责根据 IP 数据包的特征允许或拒绝对资源的访问。

VPC 防火墙规则

VPC 防火墙规则应用于给定的网络。通过 VPC 防火墙规则，您可以根据自己指定的配置允许或拒绝传入或传出虚拟机的连接。无论实例的配置和操作系统如何，或者无论虚拟机是否已完全启动，系统都会始终实施已启用的 VPC 防火墙规则来保护实例。

每个 VPC 网络均发挥分布式防火墙的作用。虽然防火墙规则是在网络级别定义的，但可以基于实例允许或拒绝连接。您可以认为，VPC 防火墙规则不仅存在于您的实例与其他网络之间，也存在于同一网络内的各个实例之间。

分层防火墙政策

分层防火墙政策让您可以在企业中创建和实施一致的防火墙政策。这些政策包含可以明确拒绝或允许连接的规则。您可以将分层防火墙政策分配给整个组织资源或各个文件夹。

数据包镜像

数据包镜像会克隆 VPC 网络中特定实例的流量，并将其转发到收集器进行检查。数据包镜像可捕获所有流量和数据包数据，包括载荷和标头。您可以同时为入站流量和出站流量配置镜像，也可以仅为入站流量或仅为出站流量配置镜像。镜像发生在虚拟机实例而非网络上。

网络虚拟设备

网络虚拟设备让您可以将安全和合规控制应用于与本地环境中的控制一致的虚拟网络。为此，您可以将 Google Cloud Marketplace 中提供的虚拟机映像部署到具有多个网络接口的虚拟机（每个网络接口连接到不同的 VPC 网络），以执行各种网络虚拟功能。

虚拟设备的典型使用场景如下：

  • 下一代防火墙 (NGFW)。NGFW 由一组作为虚拟机运行的集中式防火墙组成，这些防火墙具有 VPC 防火墙规则不提供的功能。NGFW 产品的典型功能包括深度数据包检测 (DPI) 和应用层的防火墙保护。某些 NGFW 还具有 TLS/SSL 流量检查和其他网络功能，如本列表后面部分所述。
  • 入侵检测系统/入侵防御系统 (IDS/IPS)。 基于网络的 IDS 可让您发现潜在的恶意流量。为防止入侵，IPS 设备可以阻止恶意流量到达其目的地。
  • 安全 Web 网关 (SWG)。SWG 允许企业对传入和传出互联网的流量应用公司政策，从而阻止来自互联网的威胁。这可以通过使用网址过滤、恶意代码检测和访问权限控制来实现。
  • 网络地址转换 (NAT) 网关。NAT 网关会转换 IP 地址和端口。例如，此转换有助于避免 IP 地址重叠。Google Cloud 提供的 Cloud NAT 是一项托管式服务，但此服务仅适用于流向互联网的流量，不适用于流向本地或其他 VPC 网络的流量。
  • Web 应用防火墙 (WAF)。WAF 的作用是阻止发送到 Web 应用的恶意 HTTP(S) 流量。Google Cloud 通过 Google Cloud Armor 安全政策提供 WAF 功能。具体功能因 WAF 供应商而异，因此请务必确定您需要什么功能。

Cloud IDS

Cloud IDS 是一种入侵检测服务，可针对网络中的入侵、恶意软件、间谍软件以及“命令和控制”攻击提供威胁检测。Cloud IDS 的工作原理是创建 Google 管理的对等互连网络，其中包含接收镜像流量的虚拟机。然后，Palo Alto Networks 威胁防范技术会检查镜像流量，以提供高级威胁检测功能。

Cloud IDS 可帮助您全面了解子网内流量，以便监控虚拟机之间的通信以及检测横向移动。

Cloud NAT

Cloud NAT 为应用提供软件定义的全托管式网络地址转换支持。它会为没有外部 IP 地址的虚拟机的面向互联网的流量启用来源网络地址转换（来源 NAT 或 SNAT）。

防火墙数据分析

防火墙数据分析可帮助您了解和优化防火墙规则。它提供了有关防火墙规则使用方式的数据、公开配置错误，以及识别可能更严格的规则。此外，它还使用机器学习来预测防火墙规则的未来使用情况，以便明智地决定是移除还是收紧似乎过于宽松的规则。

网络日志记录

您可以使用多个 Google Cloud 产品来记录和分析网络流量。

通过防火墙规则日志记录，您可以审核、验证和分析防火墙规则所带来的影响。例如，您可以确定用于拒绝流量的防火墙规则是否按预期发挥作用。如果您需要确定给定防火墙规则影响的连接数，防火墙规则日志记录也非常有用。

对于您需要记录其连接的每一条防火墙规则，您都要单独启用防火墙规则日志记录。防火墙规则日志记录选项适用于任何防火墙规则，与规则的操作（允许或拒绝）或方向（入站或出站）无关。

VPC 流日志会记录虚拟机实例（包括用作 Google Kubernetes Engine (GKE) 节点的实例）发送和接收的网络流样本。这些日志可用于网络监控、取证、实时安全分析和费用优化。

服务网络

服务网络组件负责提供查找服务，这些服务用于指示请求应到达的位置（DNS、Service Directory），并将请求发送到正确的位置（Private Service Connect、Cloud Load Balancing）。

Cloud DNS

可使用域名访问工作负载。Cloud DNS 能够可靠、低延迟地将域名转换为位于世界各地的 IP 地址。Cloud DNS 会提供公开区域和专用代管式 DNS 区域。公开区域在公共互联网上可见，而专用区域仅在您指定的一个或多个 VPC 网络中可见。

Cloud Load Balancing

在 Google Cloud 中，负载均衡器是一个重要组成部分，它们会将流量路由到各种服务，以确保速度和效率，并帮助确保内部和外部流量在全球范围的安全性。

负载均衡器还允许跨多个云或混合环境路由和扩缩流量。这使得 Cloud Load Balancing 成为“前门”，通过 Cloud Load Balancing，任何应用都可以进行扩缩，无论它位于何处或托管在多少个位置。Google 提供各种类型的负载均衡：全球和区域、外部和内部，以及第 4 层和第 7 层。

Service Directory

Service Directory 让您可以管理服务目录，从而提供一个安全的位置来发布、发现和连接服务，所有操作均由基于身份的访问权限控制提供支持。它可让您注册指定的服务及其端点。注册可以手动进行，也可以使用与 Private Service Connect、GKE 和 Cloud Load Balancing 的集成进行。使用显式 HTTP 和 gRPC API 以及使用 Cloud DNS 可以执行服务发现。

服务网格：Anthos Service Mesh 和 Traffic Director

Anthos Service Mesh 和 Traffic Director 旨在在服务网格架构中启用一组丰富的流量管理和安全政策，从而轻松地运行复杂的分布式应用。这些产品之间的主要区别在于它们支持的环境、它们的 Istio API 及其全球负载均衡功能。

Anthos Service Mesh 适合基于 Kubernetes 的区域部署和全球部署（在 Google Cloud 和本地），此部署可受益于代管式 Istio 产品。

Traffic Director 适合在 Google Cloud 中具有全球范围内部署的健康状况和负载感知型服务的网络使用场景。Traffic Director 使用充当边车或网关的 Envoy 代理或使用无代理 gRPC 工作负载来管理工作负载。

下表汇总了 Traffic Directory 和 Anthos Service Mesh 的功能。

Anthos Service Mesh Traffic Director
部署类型 Kubernetes 虚拟机、Kubernetes
环境 Google Cloud、本地、多云 Google Cloud、本地、多云
部署范围 区域级和联合区域级 全球级
API 接口 Istio 服务路由（Kubernetes 网关模型）
网络连接 Envoy 边车 Envoy 边车、无代理 gRPC
基于后端健康状况的全球负载分配 是（基于 Kubernetes） 是
基于后端负载的全球负载分配 否 是
工作负载 mTLS 的代管式身份（零信任） 是 是（仅限 GKE）

Google 进一步详细说明了如何使用 BeyondProd 架构构建端到端的零信任分布式架构环境。除了网络边界以及服务身份验证和授权之外，BeyondProd 还详细说明了可信计算环境、代码出处和部署发布在实现安全分布式零信任服务架构方面的作用。在采用零信任方法时，您应考虑这些网络之外的事项。

Private Service Connect

Private Service Connect 可通过单个端点跨 VPC 网络访问工作负载，从而创建服务抽象。这允许两个网络在客户端-服务器模型中进行通信，该模型仅会将服务公开给使用方，而不是公开整个网络或工作负载本身。面向服务的网络模型使网络管理员能够推断其在网络（而不是子网或 VPC）之间公开的服务，从而在提供方-使用方模型中使用这些服务，使其作为第一方或第三方服务 (SaaS)。

借助 Private Service Connect，使用方 VPC 可以使用专用 IP 地址连接到 Google API 或其他 VPC 中的服务。

您可以将 Private Service Connect 扩展到本地网络，以访问连接到 Google API 或其他 VPC 网络中的代管式服务的端点。Private Service Connect 允许在第 4 层或第 7 层使用服务。

在第 4 层，Private Service Connect 要求提供方创建一个或多个特定于 Private Service Connect 的子网。这些子网也称为 NAT 子网。Private Service Connect 使用从其中一个 Private Service Connect 子网中选择的 IP 地址来执行来源 NAT，从而将请求路由到服务提供方。此方法让您可以在使用方和提供方之间使用重叠的 IP 地址。

在第 7 层，您可以使用内部应用负载均衡器创建 Private Service Connect 后端。借助内部应用负载均衡器，您可以选择使用网址映射提供的服务。如需了解详情，请参阅 Private Service Connect 后端简介。

专用服务访问通道

专用服务访问通道是您的 VPC 网络与 Google 或第三方拥有的网络之间的专用连接。Google 或提供服务的第三方称为服务提供方。专用服务访问通道使用 VPC 网络对等互连来建立连接，并且要求提供方和使用方 VPC 网络相互对等互连。这与 Private Service Connect 不同，后者允许您将单个专用 IP 地址投影到子网中。

通过专用连接，您的 VPC 网络中的虚拟机实例和您访问的服务可以使用内部 IP 地址进行单独通信。虚拟机实例不需要访问互联网或具备外部 IP 地址，通过专用服务访问通道即可访问可用服务。专用服务访问通道还可以使用 Cloud VPN 或 Cloud Interconnect 扩展到本地网络，从而使本地主机能够访问服务提供方的网络。如需查看使用专用服务访问通道支持的 Google 管理的服务列表，请参阅 Virtual Private Cloud 文档中的支持的服务。

无服务器 VPC 访问通道

无服务器 VPC 访问通道让您可以从无服务器环境（例如 Cloud Run、App Engine 或 Cloud Functions）中托管的服务直接连接到您的 VPC 网络。通过配置无服务器 VPC 访问通道，无服务器环境可以使用内部 DNS 和内部 IP 地址将请求发送到您的 VPC 网络。对这些请求的响应也使用您的虚拟网络。

只有当内部流量是对从无服务器环境通过无服务器 VPC 访问通道连接器发送的请求的响应时，无服务器 VPC 访问通道才会将此内部流量从您的 VPC 网络发送到无服务器环境。

无服务器 VPC 访问通道具有以下优点：

  • 发送到您的 VPC 网络的请求绝不会向互联网公开。
  • 与通过互联网的通信相比，通过无服务器 VPC 访问通道的通信的延迟时间更短。

服务安全

服务安全组件根据请求者的身份或根据对数据包模式的深入了解（而不仅仅是单个数据包的特征）来控制对资源的访问权限。

适用于 DDoS/WAF 的 Google Cloud Armor

Google Cloud Armor 是一项 Web 应用防火墙 (WAF) 和分布式拒绝服务 (DDoS) 缓解服务，可帮助您的 Web 应用和服务抵御多种威胁类型。这些威胁包括 DDoS 攻击、基于 Web 的攻击（例如跨站脚本攻击 [XSS] 和 SQL 注入 [SQLi]）以及基于欺诈和自动化的攻击。

Google Cloud Armor 会检查 Google 全球边缘上的传入请求。它具有一组内置的 Web 应用防火墙规则和高级基于机器学习的攻击检测系统，前者可扫描常见 Web 攻击，后者可构建正常流量的模型，然后检测不正常的流量。最后，Google Cloud Armor 与 Google reCAPTCHA Enterprise 集成，可通过使用端点遥测和云遥测来检测和停止基于欺诈和自动化的复杂攻击。

Identity Aware Proxy (IAP)

Identity-Aware Proxy (IAP) 为在 Google Cloud 上运行或使用任何混合网络技术连接到 Google Cloud 的云端应用和虚拟机提供情境感知访问权限控制。IAP 会验证用户身份，并根据各种情境特性确定用户请求是否来自可信来源。IAP 还支持企业用户使用 TCP 隧道进行 SSH/RDP 访问。

VPC Service Controls

VPC Service Controls 有助于降低 Google Cloud 服务（如 Cloud Storage 和 BigQuery）中发生数据渗漏的风险。使用 VPC Service Controls 有助于确保仅在已获批准的环境中使用 Google Cloud 服务。

您可以使用 VPC Service Controls 创建边界，边界通过限制对特定云原生身份构造（例如服务账号和 VPC 网络）的访问权限来保护您指定的服务的资源和数据。创建边界后，除非请求来自边界内，否则对指定 Google 服务的访问会被拒绝。

内容分发

内容分发基础组件控制应用和内容分发的优化。

Cloud CDN

Cloud CDN 使用 Google 的全球边缘网络从离用户最近的位置分发内容，从而实现静态内容加速。这有助于减少您的网站和应用的延迟时间。

媒体 CDN

媒体 CDN 是 Google 的媒体分发解决方案，专为高吞吐量出站流量工作负载而构建。

可观测性

可观测性基础组件可让您掌握网络的运行情况，并提供可用于排查、记录和调查问题的数据分析。

Network Intelligence Center

Network Intelligence Center 包含多个产品，可用于网络可观测性的各个方面。每个产品都有不同的关注点，可为管理员、架构师和相关从业者提供有关网络健康状况和问题的丰富数据分析。

参考架构

以下文档介绍了不同类型的工作负载的参考架构：云内、面向互联网和混合。这些工作负载架构构建在云数据平面之上，该平面使用本文档前面部分中所述的基础组件和架构模式实现。

您可以使用参考架构来设计将工作负载迁移到云端或在云端构建工作负载的方法。然后，工作负载由云数据平面提供支持，并使用这些架构。虽然这些文档未提供详尽的参考架构系列，但介绍了最常见的场景。

与用于保护 Cloud 数据平面的架构中所述的安全架构模式一样，实际服务可能会结合使用这些设计。这些文档讨论了每种工作负载类型以及每个安全架构的注意事项。

后续步骤