공유 VPC 구성

이 페이지에서는 Cloud Composer의 공유 VPC 네트워크 및 호스트 프로젝트 요구사항을 설명합니다.

조직에서는 공유 VPC를 사용 설정하여 프로젝트 수준에서 예산 및 액세스 제어 경계를 설정하고 비공개 IP를 사용하여 안전하고 효율적인 경계 간 통신을 수행할 수 있습니다. 공유 VPC 구성에서 Cloud Composer는 서비스를 공개 인터넷에 노출하지 않고도 동일한 조직의 다른 Google Cloud 프로젝트에서 호스팅되는 서비스를 호출할 수 있습니다.

중요 공지

  • 공유 VPC를 사용하려면 네트워크와 서브네트워크가 속한 호스트 프로젝트와 호스트 프로젝트에 연결된 서비스 프로젝트를 지정해야 합니다. Cloud Composer가 공유 VPC에 참여하면 Cloud Composer 환경이 서비스 프로젝트에 포함됩니다.
  • 공유 VPC를 설정하려면 호스트 프로젝트에서 다음 IP 범위를 선택합니다.
    • Cloud Composer가 컴퓨팅 레이어로 사용하는 GKE 노드에서 사용하는 서브넷의 기본 IP 범위
    • GKE 서비스의 보조 IP 범위
    • GKE pod의 보조 IP 범위
  • 보조 IP 범위는 이 VPC의 다른 보조 범위와 겹칠 수 없습니다.
  • 보조 범위 크기는 클러스터 크기와 클러스터 예상 증가량을 수용할 만큼 충분히 커야 합니다. 예를 들어 3노드 Cloud Composer 환경의 보조 범위 네트워크 프리픽스는 다음보다 길지 않아야 합니다.

    • Pod: /22
    • 서비스: /27

    pod의 보조 범위서비스 구성에 대한 가이드 라인은 VPC 기반 클러스터 만들기를 참조하세요.

  • 서브넷의 기본 주소 범위는 예상되는 증가량을 수용할 만큼 커야 하고, 예약된 IP 주소를 고려해야 합니다. 이전의 3노드 환경 예시를 사용할 경우 서브넷 기본 주소 범위의 네트워크 프리픽스는 /29보다 길지 않아야 합니다.

준비

  1. 다음 프로젝트 ID와 프로젝트 번호를 찾습니다.
    • 호스트 프로젝트: 공유 VPC 네트워크가 포함된 프로젝트
    • 서비스 프로젝트: Cloud Composer 환경이 포함된 프로젝트
  2. 조직을 준비합니다.
  3. 호스트와 서비스 프로젝트에서 GKE API를 사용 설정합니다.

호스트 프로젝트 구성

  1. 다음 옵션 중 하나를 선택하여 네트워킹 리소스를 할당하고 구성합니다. 각 옵션에 Pod 및 서비스의 보조 IP 범위 이름을 지정해야 합니다.

  2. 공유 VPC를 설정하고 Cloud Composer 환경을 호스팅하는 데 사용할 서비스 프로젝트를 연결합니다. 공유 VPC가 이미 있으면 서비스 프로젝트 연결 단계로 바로 이동합니다. 프로젝트를 연결할 때 기본 VPC 네트워크 권한을 그대로 둡니다.

  3. 공유 VPC 서브네트워크에서 GKE 서비스 계정(service-SERVICE_PROJECT_NUMBER@container-engine-robot.iam.gserviceaccount.com)에 compute.networkUser 역할을 부여합니다.

  4. 서비스 프로젝트의 GKE 서비스 계정에 Host Service Agent User 역할을 부여합니다. 그러면 서비스 프로젝트의 GKE 서비스 계정이 호스트 프로젝트의 GKE 서비스 계정을 사용하여 공유 네트워크 리소스를 구성할 수 있습니다.

  5. Composer 에이전트 서비스 계정에(service- SERVICE_PROJECT_NUMBER@cloudcomposer-accounts.iam.gserviceaccount.com) Compute 네트워크 관리자 역할을 부여합니다.

호스트 프로젝트의 공유 VPC 네트워크 구성을 완료했습니다.

다음 단계

Cloud SDK를 사용하여 Cloud Composer 환경을 생성하고 호스트 프로젝트의 네트워크 및 서브네트워크를 구성 매개변수로 제공합니다.