Freigegebenes VPC-Netzwerk konfigurieren

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Auf dieser Seite werden die Anforderungen für das freigegebene VPC-Netzwerk und das Hostprojekt für Cloud Composer beschrieben.

Mit der freigegebenen VPC können Unternehmen Beschränkungen für Budget und Zugriffssteuerung auf Projektebene festlegen und dabei eine sichere und effiziente Kommunikation mit privaten IP-Adressen innerhalb dieser Beschränkungen ermöglichen. Bei der Konfiguration der freigegebenen VPC kann Cloud Composer Dienste aufrufen, die in anderen Google Cloud-Projekten in derselben Organisation gehostet werden, ohne Dienste im öffentlichen Internet verfügbar zu machen.

Richtlinien für freigegebene VPCs

Abbildung 1: Dienst- und Hostprojekte für Cloud Composer

• Geben Sie für die freigegebene VPC ein Hostprojekt an, zu dem Netzwerke und Subnetzwerke gehören, sowie ein Dienstprojekt, das dem Hostprojekt zugeordnet ist. Wenn Cloud Composer an einer freigegebenen VPC teilnimmt, befindet sich die Cloud Composer-Umgebung im Dienstprojekt.

• Wählen Sie zum Einrichten einer freigegebenen VPC die folgenden IP-Bereiche im Hostprojekt aus:

  • Primärer IP-Bereich des Subnetzes, das von GKE-Knoten verwendet wird, die Cloud Composer als Compute Engine-Ebene verwendet
  • Sekundärer IP-Bereich für GKE-Dienste.
  • Sekundärer IP-Bereich für GKE-Pods.

• Sekundäre IP-Bereiche dürfen sich nicht mit anderen sekundären Bereichen in dieser VPC überschneiden.

• Achten Sie darauf, dass sekundäre Bereiche groß genug sind, um die Größe des Clusters aufzufangen und die Skalierung der Umgebung.

  Unter VPC-native Cluster erstellen finden Sie Richtlinien zum Konfigurieren von sekundären Bereichen für Pods und Dienste.

  Achtung: Sie können nutzerverwaltete sekundäre Bereiche mit Maskenwerten von bis zu /28 erstellen. Dadurch erhalten Sie einen Bereich mit nur 16 IP-Adressen, was für Pods des Clusters Ihrer Umgebung nicht ausreicht. In einer Cloud Composer-Umgebung ist der empfohlene Mindestbereich für Pods /23. Dieser Bereich kann nur eine einzige kleine Umgebung mit einem einzigen Planer und drei Workern unterstützen. Mit dem Mindestbereich können Sie die Umgebung später nicht hochskalieren oder denselben Bereich für mehrere Umgebungen verwenden. Verwenden Sie gegebenenfalls einen größeren Bereich (kleiner als /23). Für Dienste muss außerdem mindestens ein /27-Bereich verwendet werden. Der Bereich 172.17.0.0/16 ist in Cloud SQL reserviert.

• Der primäre Adressbereich des Subnetzes muss ausreichend groß sein, um das erwartete Wachstum zu bewältigen und die nicht verwendbaren IP-Adressen zu berücksichtigen.

• Wenn Sie den IP-Masquerate-Agent und die Konfiguration für private IP-Adressen für Ihre Umgebungen verwenden, fügen Sie die IP-Bereiche der Knoten und Pods dem Abschnitt nonMasqueradeCIDRs der ConfigMap ip-masq-agent hinzu. Weitere Informationen finden Sie unter IP-Masquerade-Agent konfigurieren.

Vorbereitung

1. Ermitteln Sie die folgenden Projekt-IDs und Projektnummern:

   • Hostprojekt: Das Projekt mit dem freigegebenen VPC-Netzwerk.
   • Dienstprojekt: Das Projekt mit der Cloud Composer-Umgebung.

2. Organisation vorbereiten.

3. Aktivieren Sie die GKE API in Ihren Host- und Dienstprojekten.

4. Wenn Sie im Dienstprojekt mit der Google Cloud Console eine Umgebung erstellen, muss Ihr Konto im Hostprojekt die Berechtigung compute.subnetworks.use haben. Andernfalls enthält die Liste der verfügbaren Subnetzwerke keine Subnetzwerke aus dem Hostprojekt. Wenn Sie eine Umgebung mit gcloud, API oder Terraform erstellen, benötigt Ihr Konto diese zusätzliche Berechtigung nicht.

Serviceprojekt konfigurieren

Wenn keine Cloud Composer-Umgebungen im Dienstprojekt erstellt wurden, stellen Sie das Composer-Dienstkonto im Dienstprojekt bereit:

gcloud beta services identity create --service=composer.googleapis.com`

Hostprojekt konfigurieren

Konfigurieren Sie das Hostprojekt wie unten beschrieben.

Achtung: Führen Sie alle beschriebenen Aktionen im Hostprojekt aus. Wenn Sie beispielsweise einem Dienstkonto aus dem Dienstprojekt Rollen hinzufügen, weisen Sie sie in der IAM-Konfiguration des Hostprojekts zu.

(Private IP-Adresse) Privaten Google-Zugriff aktivieren

Wenn Sie private IP-Umgebungen verwenden möchten, aktivieren Sie den privaten Google-Zugriff für das Subnetz im Hostprojekt. Dies ist im nächsten Schritt möglich, wenn Sie die Netzwerkressourcen für ein neues oder ein bereits vorhandenes Subnetz konfigurieren.

Wenn Sie vorhaben, öffentliche IP-Umgebungen zu verwenden, empfehlen wir dennoch, den privaten Google-Zugriff für das Subnetz im Hostprojekt zu aktivieren. Wenn Sie sich gegen die Verwendung des privater Google-Zugriff entscheiden, achten Sie darauf, dass Sie keinen Traffic blockieren, der andernfalls gemäß der Firewallregel „Implizierte IPv4-Zulassung“ zugelassen wird. Dies ist erforderlich, um *.googleapis.com-Endpunkte erfolgreich zu erreichen.

Netzwerkressourcen konfigurieren

Wählen Sie eine der folgenden Optionen aus, um Netzwerkressourcen zuzuweisen und zu konfigurieren. Sie müssen bei jeder Option die sekundären IP-Bereiche für Pods und Dienste benennen.

• Option 1: Neues VPC-Netzwerk, Subnetz und zwei sekundäre IP-Bereiche erstellen.

  • Verwenden Sie beim Erstellen des Subnetzes den primären IP-Bereich, wie in der Anleitung beschrieben.

  • Bestimmen Sie beim Definieren des Subnetzes zwei sekundäre IP-Bereiche für Pods und Dienste.

• Option 2: Subnetz und zwei sekundäre IP-Bereiche in einer vorhandenen VPC erstellen.

  • Verwenden Sie beim Erstellen des Subnetzes den primären IP-Bereich, wie in der Anleitung beschrieben.

  • Bestimmen Sie beim Definieren des Subnetzes zwei sekundäre IP-Bereiche für Pods und Dienste.

• Option 3: Zwei sekundäre IP-Bereiche in einem vorhandenen Subnetz und VPC-Netzwerk erstellen

  • Definieren Sie zwei sekundäre IP-Bereiche für Pods und Dienste gemäß den Richtlinien. Vermeiden Sie Konflikte zwischen Namen und IP-Bereichen mit vorhandenen sekundären Bereichen.

Freigegebene VPC einrichten und das Dienstprojekt anhängen

1. Richten Sie eine freigegebene VPC ein, falls noch nicht geschehen. Wenn Sie bereits eine freigegebene VPC eingerichtet haben, fahren Sie mit dem nächsten Schritt fort.

2. Hängen Sie das Dienstprojekt an, das Sie zum Hosten von Cloud Composer-Umgebungen verwenden.

   Übernehmen Sie beim Anhängen eines Projekts die standardmäßigen VPC-Netzwerkberechtigungen.

Berechtigungen für das Composer-Dienst-Agent-Konto gewähren

Warnung: Behalten Sie bei diesem und den nächsten Schritten beim Bearbeiten von Berechtigungen die vorhandenen Kontorollen bei. Fügen Sie einem Konto eine weitere Rolle hinzu, statt eine vorhandene Rolle zu ersetzen.

Im Hostprojekt:

1. Berechtigungen für das Composer-Dienst-Agent-Konto [e-mail]) bearbeiten

2. Fügen Sie für dieses Konto eine weitere Rolle auf Projektebene hinzu:

   • Fügen Sie für private IP-Umgebungen die Composer Shared VPC Agent-Rolle hinzu.

   • Fügen Sie für öffentliche IP-Umgebungen die Compute Network User-Rolle hinzu.

Berechtigungen für das Google API-Dienst-Agent-Konto gewähren

Im Hostprojekt:

1. Berechtigungen für das Google API-Dienst-Agent-Konto [e-mail] bearbeiten.

2. Fügen Sie die weitere Rolle Compute Network User (compute.networkUser) auf Projektebene hinzu. Dies ist eine Anforderung für verwaltete Instanzgruppen, die mit einer freigegebenen VPC verwendet werden, da diese Art von Dienstkonto Aufgaben wie das Erstellen von Instanzen ausführt.

Berechtigungen für GKE-Dienstkonten bearbeiten

Bearbeiten Sie im Hostprojekt die Berechtigungen für die GKE-Dienstkonten [e-mail].

Fügen Sie für jedes Dienstkonto eine weitere Rolle compute.networkUser hinzu. Verwenden Sie dazu eine der folgenden Optionen:

• Weisen Sie diese Rolle auf Subnetzebene zu, damit ein Dienstkonto die VPCs-Peerings einrichten kann, die für Cloud Composer erforderlich sind. Geben Sie in diesem Fall explizit das Subnetzwerk an, das von der Umgebung verwendet werden soll, da dem Cluster der Umgebung möglicherweise die Berechtigungen zum Auffinden des Subnetzwerks im Netzwerk fehlen.

• Weisen Sie diese Rolle dem gesamten Hostprojekt auf Projektebene zu. In diesem Fall hat das GKE-Dienstkonto des Dienstprojekts die Berechtigungen, ein beliebiges Subnetz im Hostprojekt zu verwenden.

Berechtigungen für das GKE-Dienstkonto des Dienstprojekts bearbeiten

Bearbeiten Sie im Hostprojekt die Berechtigungen für das GKE-Dienstkonto des Dienstprojekts.

Fügen Sie für dieses Konto eine weitere Rolle auf Projektebene hinzu: Nutzer des Dienst-Agents für Kubernetes Engine-Host (roles/container.hostServiceAgentUser).

Dadurch kann das GKE-Dienstkonto des Dienstprojekts das GKE-Dienstkonto des Hostprojekts zum Konfigurieren freigegebener Netzwerkressourcen verwenden.

(Private IP-Adresse, optional) Firewallregeln und Verbindungen zu Google-Domains konfigurieren

In einer freigegebene VPC-Konfiguration mit privaten IP-Umgebungen haben Sie die Möglichkeit, den gesamten Traffic über mehrere IP-Adressen, die zur Domain private.googleapis.com gehören, an Google APIs und Google-Dienste weiterzuleiten und entsprechende Firewallregeln zu konfigurieren. In dieser Konfiguration greift Ihre Umgebung auf Google APIs und Google-Dienste über IP-Adressen zu, die nur von Google Cloud aus weitergeleitet werden können. Wenn Ihre freigegebene VPC-Konfiguration VPC Service Controls verwendet, leiten Sie den Traffic stattdessen über restricted.googleapis.com weiter.

Achtung: In einer freigegebene VPC-Konfiguration konfigurieren Sie die Verbindungs- und Firewallregeln im Hostprojekt und nicht im Dienstprojekt, in dem sich Ihre Umgebungen befinden.

Wenn Ihre freigegebene VPC-Konfiguration private IP-Umgebungen verwendet:

1. (Optional) Konfigurieren Sie die Verbindung zu Google APIs und Google-Diensten.
2. Optional: Konfigurieren Sie Firewallregeln.

Wenn Ihre freigegebene VPC-Konfiguration VPC Service Controls verwendet, verwenden Sie stattdessen die Anleitung für Umgebungen mit VPC Service Controls:

1. Konfigurieren Sie die Verbindung zu Google APIs und Google-Diensten.
2. Firewallregeln konfigurieren

Fazit

Sie haben die Konfiguration des freigegebene VPC-Netzwerks sowohl für Dienst- als auch für Hostprojekte abgeschlossen.

Jetzt können Sie im Dienstprojekt neue Umgebungen erstellen, die das VPC-Netzwerk des Hostprojekts verwenden.

Nächste Schritte

• Erstellen Sie eine Cloud Composer-Umgebung und stellen Sie das Netzwerk und das Subnetzwerk des Hostprojekts als Konfigurationsparameter bereit.