Statische externe IP-Adressen konfigurieren

Sie können Ihren VM-Instanzen statische externe IP-Adressen zuweisen. Sie können statische IP-Adressen für Ihre VMs auch ändern, auflisten und freigeben. Informationen zum Reservieren einer statischen externen IP-Adresse finden Sie unter Statische externe IP-Adresse reservieren.

Externe IP-Adressen können statisch oder sitzungsspezifisch sein. Wenn für eine VM eine feste externe IP-Adresse erforderlich ist, die sich nicht ändert, gehen Sie so vor:

  1. Rufen Sie eine statische externe IP-Adresse ab. Sie können neue externe IP-Adressen reservieren oder vorhandene sitzungsspezifische externe IP-Adressen umwandeln.
  2. Weisen Sie die reservierte IP-Adresse einer vorhandenen VM zu oder weisen Sie sie beim Erstellen einer neuen VM zu.

Wenn Sie eine statische IP-Adresse für Ihr internes Compute Engine-Netzwerk benötigen, lesen Sie stattdessen den Artikel Statische interne IP-Adresse reservieren.

Hinweise

  • Weitere Informationen zu IP-Adressen
  • Informationen zu Kontingenten und Limits für statische externe IP-Adressen.
  • Informationen zu Preisen für externe IP-Adressen.
  • Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud-Dienste und APIs überprüft. Zur Ausführung von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei Compute Engine authentifizieren.

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. Install the Google Cloud CLI, then initialize it by running the following command: 

      gcloud init
    2. Set a default region and zone.

      3. Terraform

      Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.

      1. Install the Google Cloud CLI.

      2. To initialize the gcloud CLI, run the following command: 

        gcloud init

      3. If you're using a local shell, then create local authentication credentials for your user account: 

        gcloud auth application-default login

        You don't need to do this if you're using Cloud Shell.

      Weitere Informationen unter Set up authentication for a local development environment.

      REST

      Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

        Install the Google Cloud CLI, then initialize it by running the following command: 

        gcloud init

      Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren und Verwalten von statischen IP-Adressen benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Konfigurieren und Verwalten von statischen IP-Adressen erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um statische IP-Adressen zu reservieren und zu verwalten:

  • compute.instances.update für die VM-Instanz
  • compute.instances.updateNetworkInterface für die VM-Instanz
  • compute.instances.addAccessConfig für die VM-Instanz
  • compute.instances.deleteAccessConfig für die VM-Instanz
  • compute.networks.list für das Netzwerk
  • compute.subnetworks.use für das Subnetz
  • compute.subnetworks.list für das Subnetz
  • Zum Erstellen von VMs:
    • compute.instances.create für das Projekt
    • So erstellen Sie die VM mit einem benutzerdefinierten Image: compute.images.useReadOnly für das Image
    • So erstellen Sie die VM mit einem Snapshot: compute.snapshots.useReadOnly für den Snapshot
    • So erstellen Sie die VM mit einer Instanzvorlage: compute.instanceTemplates.useReadOnly für die Instanzvorlage
    • So weisen Sie der VM ein Legacy-Netzwerk zu: compute.networks.use für das Projekt
    • So geben Sie eine statische IP-Adresse für die VM an: compute.addresses.use für das Projekt
    • So weisen Sie der VM bei Verwendung eines Legacy-Netzwerks eine externe IP-Adresse zu: compute.networks.useExternalIp für das Projekt
    • So geben Sie ein Subnetz für die VM an: compute.subnetworks.use für das Projekt oder für das ausgewählte Subnetz
    • So weisen Sie der VM bei Verwendung eines VPC-Netzwerks eine externe IP-Adresse zu: compute.subnetworks.useExternalIp für das Projekt oder für das ausgewählte Subnetz
    • So legen Sie VM-Instanzmetadaten für die VM fest: compute.instances.setMetadata für das Projekt
    • So legen Sie Tags für die VM fest: compute.instances.setTags für die VM
    • So legen Sie Labels für die VM fest: compute.instances.setLabels für die VM
    • So legen Sie ein Dienstkonto fest, das die VM verwenden soll: compute.instances.setServiceAccount für die VM
    • So erstellen Sie ein neues Laufwerk für die VM: compute.disks.create für das Projekt
    • So hängen Sie ein vorhandenes Laufwerk im Lese- oder Lese‑/Schreibmodus an: compute.disks.use für das Laufwerk
    • So hängen Sie ein vorhandenes Laufwerk im Lesemodus an: compute.disks.useReadOnly für das Laufwerk

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Beschränkungen

  • Eine statische externe IP-Adresse kann immer nur von einer einzigen Ressource verwendet werden.

  • Ist eine IP-Adresse einmal einer Ressource zugewiesen, kann nicht überprüft werden, ob die IP-Adresse statisch oder sitzungsspezifisch ist. Sie können die IP-Adresse mit der Liste der für dieses Projekt reservierten statischen externen IP-Adressen vergleichen. Mit dem Unterbefehl gcloud compute addresses list können Sie eine Liste der für Ihr Projekt verfügbaren statischen externen IP-Adressen aufrufen.

  • Jede VM kann mehrere Netzwerkschnittstellen haben und jeder Schnittstelle die folgenden IP-Adressen zugewiesen werden:

    • Eine interne IPv4-Adresse (erforderlich)
    • Eine externe IPv4-Adresse
    • Ein /96-IPv6-Adressbereich, entweder intern oder extern, aber nicht beides

  • Der Name einer statischen IP-Adresse kann nicht geändert werden.

  • Zugewiesene externe IP-Adressen befinden sich für alle Zwecke auf dem gleichen physischen Host wie die VM und in derselben Region wie die VM, einschließlich Routing, Latenz und Preise. Dies gilt unabhängig von den Lookup-Informationen für die Internet-Standortbestimmung.

Hinweis: Netzwerkschnittstellen können Traffic über mehrere Weiterleitungsregeln empfangen, die unter Umständen andere externe IP-Adressen bedienen. Beliebig viele externe IP-Adressen können eine Netzwerkschnittstelle über diese Weiterleitungsregeln referenzieren, aber jeder Netzwerkschnittstelle kann nur eine externe IPv4-Adresse und ein externer /96-IPv6-Adressbereich zugewiesen werden.

Weitere Informationen über Load-Balancing und Weiterleitungsregeln finden Sie in der Dokumentation zu Load-Balancing (nur auf Englisch verfügbar).

Verfügbare statische externe IP-Adressen aufrufen

So listen Sie statische externe IP-Adressen auf, die Sie für Ihr Projekt reserviert haben.

Console

  1. Rufen Sie in der Google Cloud Console die Seite IP-Adressen auf.

    "IP-Adressen" aufrufen

  2. Klicken Sie auf Externe IP-Adressen.

gcloud

Führen Sie folgenden gcloud compute addresses list-Befehl aus:

  • Verwenden Sie den folgenden Befehl, um alle globalen IP-Adressen aufzulisten:

    gcloud compute addresses list

  • Verwenden Sie den folgenden Befehl, um alle globalen IP-Adressen aufzulisten:

    gcloud compute addresses list --global

  • Verwenden Sie den folgenden Befehl, um alle regionalen IP-Adressen in einer bestimmten Region aufzulisten:

    gcloud compute addresses list \
    --regions=REGION

    Ersetzen Sie REGION durch die Region, für die Sie Adressen auflisten möchten. Sie können Adressen mehrerer Regionen auflisten, indem Sie durch Kommas getrennte Regionsnamen angeben:

    gcloud compute addresses list \
    --regions=REGION1,REGION2,..REGION_n_

API

  • Rufen Sie die Methode addresses.list auf, um regionale IPv4- oder IPv6-Adressen aufzulisten:

    GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses

    Ersetzen Sie Folgendes:

    • PROJECT_ID ist die Projekt-ID für diese Anfrage.
    • REGION ist der Name der Region für diese Anfrage.

  • Rufen Sie die Methode addresses.aggregatedList auf, um eine Liste aller Adressen in allen Regionen zu erhalten.

    GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/addresses

  • Rufen Sie die Methode globalAddresses.list auf, um globale IPv4- oder IPv6-Adressen aufzulisten:

    GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses

    Ersetzen Sie Folgendes:

    PROJECT_ID ist die Projekt-ID für diese Anfrage.

Statische externe IP-Adressen konfigurieren

In den folgenden Abschnitten wird beschrieben, wie Sie statische externe IP-Adressen für Ihre VMs konfigurieren.

Eine VM erstellen, die eine statische externe IP-Adresse verwendet

Nachdem Sie eine statische externe IP-Adresse reserviert haben, können Sie sie einer VM zuweisen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Instanz erstellen auf.

    Zur Seite „Instanz erstellen“

  2. Geben Sie die VM-Details an

  3. Maximieren Sie den Bereich Erweiterte Optionen.

  4. Maximieren Sie den Bereich Netzwerk.

  5. Maximieren Sie im Bereich Netzwerkschnittstellen eine Netzwerkschnittstelle, um sie zu bearbeiten.

  6. So weisen Sie eine IPv4-Adresse zu:

    1. Wählen Sie ein Netzwerk aus.
    2. Wählen Sie die IP-Adresse aus der Liste Externe IPv4-Adresse aus.

  7. So weisen Sie eine IPv6-Adresse zu:

    1. Wählen Sie ein Netzwerk aus, das ein IPv6-Subnetz enthält.
    2. Wählen Sie ein Dual-Stack-Subnetz aus der Liste Subnetzwerk aus.
    3. Wählen Sie für IP-Stack-Typ IPv4 und IPv6 (Dual-Stack) aus.
    4. Wählen Sie die neu reservierte externe IPv6-Adresse aus der Liste Externe IPv6-Adresse aus. Alternativ können Sie IP-ADRESSE ERSTELLEN auswählen und eine neue statische externe IPv6-Adresse reservieren.
    5. Wählen Sie für Netzwerkdienststufe die Option Premium aus.

  8. Klicken Sie auf Fertig, um die Änderung der Standard-Netzwerkschnittstelle abzuschließen.

  9. Fahren Sie mit dem VM-Erstellungsprozess fort.

gcloud

Sie können eine VM erstellen und eine statische regionale, externe IP-Adresse zuweisen, die Sie bereits reserviert haben.

  • So weisen Sie eine statische externe IPv4-Adresse zu:

    gcloud compute instances create VM_NAME --address=IP_ADDRESS

    Dabei gilt:

    • VM_NAME: der Name der VM.
    • IP_ADDRESS: ist die IP-Adresse, die der VM zugewiesen werden soll. Verwenden Sie die reservierte statische externe IP-Adresse, nicht den Adressnamen.

  • So weisen Sie eine statische externe IPv6-Adresse zu:

    gcloud compute instances create VM_NAME \
    --subnet=SUBNET \
    --stack-type=IPV4_IPV6 \
    --external-ipv6-address=IPV6_ADDRESS \
    --external-ipv6-prefix-length=96 \
    --ipv6-network-tier=PREMIUM \
    --zone=ZONE

Terraform

Sie können mit der Ressource google_compute_instance eine externe IP-Adresse zuweisen.

resource "google_compute_instance" "default" {
  name         = "dns-proxy-nfs"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "ubuntu-1404-trusty-v20160627"
    }
  }

  network_interface {
    network = "default"
    access_config {
      nat_ip = google_compute_address.default.address
    }
  }
}

REST

So weisen Sie einer neuen VM eine statische externe IPv4-Adresse zu:

Geben Sie in der Anfrage zum Erstellen einer neuen VM explizit das Attribut networkInterfaces[].accessConfigs[].natIP und die externe IPv4-Adresse an, die Sie verwenden möchten. Beispiel:

{
  "name": "VM_NAME",
  "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
  "networkInterfaces": [{
    "accessConfigs": [{
      "type": "ONE_TO_ONE_NAT",
      "name": "External NAT",
      "natIP": "IPV4_ADDRESS"
     }],
    "network": "global/networks/default"
  }],
  "disks": [{
      "autoDelete": "true",
      "boot": "true",
      "type": "PERSISTENT",
      "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
      }
}]
}

So weisen Sie einer neuen VM eine statische externe IPv6-Adresse zu:

Geben Sie in der Anfrage zum Erstellen einer neuen VM explizit das Attribut networkInterfaces[].ipv6AccessConfigs[].externalIpv6 und die externe IPv6-Adresse an, die Sie verwenden möchten. Beispiel:

{
  "name": "VM_NAME",
  "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
  "networkInterfaces": [{
          "accessConfigs": [{
              "name": "external-nat",
              "type": "ONE_TO_ONE_NAT"
          }],
          "ipv6AccessConfigs": [{
        "externalIpv6": "IOV6_ADDRESS",
        "externalIpv6PrefixLength": 96,
        "name": "external-ipv6-access-config",
        "networkTier": "PREMIUM",
        "type": "DIRECT_IPV6"
          }],
      "stackType": "IPV4_IPV6",
      "subnetwork":"SUBNETWORK
  }],
  "disks": [{
    "autoDelete": "true",
    "boot": "true",
    "mode": "READ_WRITE",
    "type": "PERSISTENT",
    "initializeParams": {
        "sourceImage": "SOURCE_IMAGE"
    },
  }],
 }

Externe IP-Adresse ändern oder einer vorhandenen VM zuweisen

Sie können die sitzungsspezifische oder statische externe IP-Adresse für eine bestehende VM ändern oder zuweisen.

Eine VM kann mehrere Schnittstellen haben und jede Schnittstelle eine externe IP-Adresse. Wenn die VM bereits eine externe IP-Adresse hat, müssen Sie diese Adresse zuerst entfernen. Anschließend können Sie der vorhandenen VM eine neue externe IP-Adresse zuweisen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.

    Zur Seite „VM-Instanzen“

  2. Klicken Sie auf den Namen der VM, der Sie eine externe IP-Adresse zuweisen möchten. Die Seite Instanzdetails wird angezeigt.

  3. Führen Sie auf der Seite Instanzdetails folgende Schritte aus:

    1. Klicken Sie auf Bearbeiten.
    2. Maximieren Sie Netzwerkschnittstellen.
    3. Wählen Sie die erforderliche externe IP-Adresse aus, die der VM zugewiesen werden soll:
      1. Wählen Sie für Externe IPv4-Adresse entweder Sitzungsspezifisch oder eine statische externe IPv4-Adresse aus.
      2. Wählen Sie für Externe IPv6-Adresse entweder Sitzungsspezifisch oder eine statische externe IPv6-Adresse aus.
    4. Klicken Sie auf Fertig.

  4. Klicken Sie auf Speichern.

gcloud

  1. Optional: Reservieren Sie eine statische externe IP-Adresse.

    Wenn Sie eine statische externe IP-Adresse zuweisen, müssen Sie diese zuerst reservieren und prüfen, ob die Adresse nicht von einer anderen Ressource verwendet wird. Folgen Sie gegebenenfalls der Anleitung unter Neue statische externe IP-Adresse reservieren oder Zuweisung einer statischen externen IP-Adresse aufheben.

    Wenn Sie eine sitzungsspezifische externe IP-Adresse verwenden möchten, können Sie diesen Schritt überspringen. Compute Engine weist dann eine sitzungsspezifische externe IP-Adresse nach dem Zufallsprinzip zu.

  2. Entfernen Sie alle vorhandenen IP-Adresszuweisungen, wie unter Zuweisung einer statischen externen IP-Adresse aufheben beschrieben.

  3. Weisen Sie die neue externe IP-Adresse zu.

    • Verwenden Sie zum Zuweisen einer IPv4-Adresse den Unterbefehl instances add-access-config:

      Hinweis: Ersetzen Sie IP_ADDRESS nicht durch den Namen der statischen IP-Adresse, sondern geben Sie die tatsächliche IP-Adresse an.
      gcloud compute instances add-access-config VM_NAME \
  --access-config-name="ACCESS_CONFIG_NAME" --address=IP_ADDRESS

      Dabei gilt:

      • VM_NAME ist der Name der VM.
      • ACCESS_CONFIG_NAME ist der Name dieser Zugriffskonfiguration. Achten Sie darauf, dass Sie vollständigen Namen in Anführungszeichen angeben.
      • IP_ADDRESS ist die IP-Adresse, die hinzugefügt werden soll.

      Wenn Sie möchten, dass Compute Engine eine sitzungsspezifische externe IP-Adresse statt einer statischen externen IP-Adresse zuweist, lassen Sie das Attribut --address IP_ADDRESS weg:

      gcloud compute instances add-access-config VM_NAME \
  --access-config-name="ACCESS_CONFIG_NAME"

    • Verwenden Sie zum Zuweisen eines IPv6-Adressbereichs den Unterbefehl instance network-interfaces update:

      gcloud compute instances network-interfaces update VM_NAME \
  --network-interface==NIC \
  --ipv6-network-tier=PREMIUM \
  --stack-type=IPV4_IPV6 \
  --external-ipv6-address=IPV6_ADDRESS \
  --external-ipv6-prefix-length=96 \
  --zone=ZONE

      Ersetzen Sie Folgendes:

      • VM_NAME: der Name der VM.
      • NIC: der Name der Netzwerkschnittstelle.
      • IPV6_ADDRESS: ist die IPv6-Adresse, die der VM zugewiesen werden soll. Geben Sie die erste IPv6-Adresse im Bereich /96 an.
      • ZONE ist die Zone der VM.

REST

Sie können die externe IPv4- oder IPv6-Adresse einer VM ändern. Fügen Sie dazu eine neue Zugriffskonfiguration für diese VM hinzu.

  1. Entfernen Sie alle vorhandenen IP-Adresszuweisungen, wie unter Zuweisung einer statischen externen IP-Adresse aufheben beschrieben.

  2. Löschen Sie die vorhandene Zugriffskonfiguration. Senden Sie dazu eine POST-Anfrage an die Methode instances.deleteAccessConfig.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/deleteAccessConfig

  3. Fügen Sie der Netzwerkschnittstelle der VM-Instanz eine neue Zugriffskonfiguration hinzu. Stellen Sie dazu eine POST-Anfrage an die Methode instances.addAccessConfig.

Externe IP-Adressen auf bestimmte VMs beschränken

Für bestimmte Arbeitslasten können grundlegende Anforderungen bestehen, zu denen Sicherheits- und Netzwerkeinschränkungen gehören. Sie haben beispielsweise die Möglichkeit, die externen IP-Adressen so zu beschränken, dass sie nur von bestimmten VMs verwendet werden können. Mit dieser Option können Sie die Daten-Exfiltration verhindern oder die Netzwerkisolation aufrechterhalten. Mithilfe einer Organisationsrichtlinie können Sie externe IP-Adressen auf bestimmte VMs beschränken, um die Verwendung externer IP-Adressen für Ihre VMs innerhalb einer Organisation oder eines Projekts zu steuern.

Die Einschränkung zur Steuerung externer IP-Adressen auf VMs lautet:

constraints/compute.vmExternalIpAccess

Wenn Sie sie verwenden möchten, geben Sie eine Richtlinie mit einer allowedList-Aufstellung der VMs an, die externe IP-Adressen haben dürfen. Wenn Sie keine Richtlinie angeben, sind alle externen IP-Adressen für alle VMs zulässig. Ist dagegen eine Richtlinie vorhanden, kann nur den VMs, die in der allowedValues-Liste enthalten sind, eine sitzungsspezifische oder statische externe IP-Adresse zugewiesen werden. Andere Compute Engine-VMs in der Organisation oder dem Projekt, die nicht explizit in der Richtlinie definiert sind, dürfen keine externen IP-Adressen verwenden.

VMs werden in den Listen mit zugelassenen oder verbotenen Instanzen anhand des URI der VM identifiziert:

projects/PROJECT_ID/zones/ZONE/instances/VM_NAME

Spezifikationen zum Beschränken externer IP-Adressen

  • Sie können die Listenbeschränkung nur auf VMs anwenden.
  • Die Einschränkung lässt sich nicht rückwirkend anwenden. Alle VMs, die externe IP-Adressen haben, bevor Sie die Richtlinie aktivieren, behalten ihre externen IP-Adressen bei.
  • Diese Einschränkung akzeptiert entweder eine allowedList- oder eine deniedList-Aufstellung, aber nicht beide in derselben Richtlinie.
  • Für die Verwaltung und Pflege des Lebenszyklus und der Integrität der VM sind Sie oder ein Administrator mit den entsprechenden Berechtigungen verantwortlich. Die Einschränkung überprüft nur den URI der VM und verhindert nicht, dass die VMs in der Zulassungsliste geändert, gelöscht oder neu erstellt werden.

Erforderliche Berechtigungen zum Beschränken externer IP-Adressen

Wenn Sie eine Einschränkung auf Projekt- oder Organisationsebene einrichten möchten, müssen Sie in Ihrer Organisation die Rolle orgpolicy.policyAdmin haben.

Richtlinieneinschränkung auf Organisationsebene festlegen

Console

  1. Öffnen Sie die Seite Organisationsrichtlinien.

    Zur Seite "Organisationsrichtlinien"

  2. Wählen Sie gegebenenfalls die erforderliche Organisation aus dem Drop-down-Menü des Projekts aus.
  3. Klicken Sie auf Zulässige externe IPs für VM-Instanzen definieren.
  4. Klicken Sie auf Bearbeiten, um die externe IP-Richtlinie zu bearbeiten. Wenn Sie nicht auf Bearbeiten klicken können, fehlen Ihnen die erforderlichen Berechtigungen.

  5. Wählen Sie Anpassen aus, um die Organisationsrichtlinie für bestimmte VMs festzulegen.

    Option "Anpassen" auf der Seite zur Bearbeitung der Organisationsrichtlinie

  6. Wählen Sie die erforderlichen Richtlinienerzwingungen und den erforderlichen Richtlinientyp aus.

  7. Wählen Sie für Richtlinienwerte die Option Benutzerdefiniert aus.

  8. Geben Sie einen URI für eine VM ein und drücken Sie die Eingabetaste. Der URI muss das folgende Format haben:

    projects/PROJECT_ID/zones/ZONE/instances/VM_NAME

  9. Klicken Sie auf Neuer Richtlinienwert und geben Sie nach Bedarf URIs für VMs ein.

  10. Klicken Sie auf Speichern, um die Einschränkung anzuwenden.

gcloud

Wenn Sie eine Einschränkung für den Zugriff auf externe IP-Adressen einrichten möchten, folgen Sie den Anweisungen unten. Sie können die Organisations-ID ermitteln, indem Sie den Befehl organizations list ausführen und in der Antwort nach der numerischen ID suchen:

gcloud organizations list

Die gcloud CLI gibt eine Liste der Organisationen im folgenden Format zurück:

DISPLAY_NAME               ID
example-organization1      29252605212
example-organization2      1234567890

Geben Sie die Richtlinie mit dem Befehl gcloud resource-manager org-policies set-policy an. Sie müssen die Richtlinie als JSON-Datei bereitstellen. Erstellen Sie eine JSON-Datei im folgenden Format:

{
"constraint": "constraints/compute.vmExternalIpAccess",
"listPolicy": {
  "allowedValues": [
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
     "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
  ]
 }
}

Dabei gilt:

  • PROJECT_ID ist die Projekt-ID für diese Anfrage, z. B. example-project. Beachten Sie, dass sich dieser Vorgang vom Einrichten der Organisationsrichtlinien unterscheidet. Hier ist die numerische ID der Organisation erforderlich.
  • ZONE: die Zone der VM
  • VM_NAME: der Name der VM

Alternativ können Sie eine deniedValues-Liste mit VMs angeben, für die Sie externe IP-Adressen explizit ausschließen möchten. Alle VMs, die nicht auf der Liste stehen, dürfen dann eine externe IP-Adresse haben. Sie können nur eine der beiden Optionen allowedValues oder deniedValues angeben, aber nicht beide.

Übergeben Sie dann die Datei mit Ihrer Anfrage:

gcloud resource-manager org-policies set-policy MY_POLICY.JSON --organization=ORGANIZATION_ID

Ersetzen Sie ORGANIZATION_ID durch die numerische ID der Organisation.

Wenn keine der VMs auf externe IP-Adressen zugreifen können soll, legen Sie eine Richtlinie fest, in der allValues auf DENY gesetzt ist:

{
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
    "allValues": "DENY"
  }
}

REST

Verwenden Sie die setOrgPolicy() API, um die Einschränkung zu definieren. Die von Ihnen in die allowedValue-Liste aufgenommenen VMs dürfen externe IP-Adressen haben. Alternativ können Sie eine deniedValues-Liste mit VMs angeben, für die Sie externe IP-Adressen explizit ausschließen möchten. Alle VMs, die nicht auf der Liste stehen, dürfen dann eine externe IP-Adresse haben. Sie können nur eine der beiden Optionen angeben, entweder allowedValues oder deniedValues, aber nicht beide.

Das folgende Beispiel zeigt eine Anfrage zum Anwenden der Einschränkung compute.vmExternalIpAccess für eine Organisation, in der VMs aus bestimmten Projekten innerhalb der Organisation externe IP-Adressen haben dürfen:

POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:setOrgPolicy

wobei ORGANIZATION_ID die numerische ID der Organisation ist.

Geben Sie nun im Anfragetext die Richtlinie für diese Einschränkung an:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allowedValues": [
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME",
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
        ]
      }
    }
 }

Wenn keine der VMs auf externe IP-Adressen zugreifen können soll, legen Sie eine Richtlinie fest, in der allValues auf DENY gesetzt ist:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allValues": "DENY"
      }
    }
 }

Richtlinie auf Projektebene einrichten

Eine auf Projektebene festgelegte Richtlinie überschreibt die Richtlinie auf der Organisationsebene. Wenn beispielsweise auf Organisationsebene die virtuelle Maschine example-vm-1 auf der allowedValues-Liste steht, in der Richtlinie auf Projektebene dieselbe VM jedoch in der deniedValues-Liste enthalten ist, darf die VM keine externe IP-Adresse haben.

Console

Führen Sie den gleichen Vorgang aus, der unter Richtlinieneinschränkungen auf Organisationsebene einrichten erläutert wird, aber wählen Sie anstelle der Organisation das Projekt aus der Projektauswahl aus.

Projektauswahl

gcloud

Geben Sie die Richtlinie mit dem Befehl gcloud resource-manager org-policies set-policy an. Sie müssen die Richtlinie als JSON-Datei bereitstellen. Erstellen Sie eine JSON-Datei im folgenden Format:

{
 "constraint": "constraints/compute.vmExternalIpAccess",
 "listPolicy": {
  "allowedValues": [
   "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
  ]
 }
}

Dabei gilt:

  • PROJECT_ID ist die Projekt-ID für diese Anfrage, z. B. example-project. Beachten Sie, dass sich dieser Vorgang vom Einrichten der Organisationsrichtlinien unterscheidet. Hier ist die numerische ID der Organisation erforderlich.
  • ZONE ist die Zone der VM.
  • VM_NAME: der Name der VM.

Alternativ können Sie eine deniedValues-Liste mit VMs angeben, für die Sie externe IP-Adressen explizit ausschließen möchten. Alle VMs, die nicht auf der Liste stehen, dürfen dann eine externe IP-Adresse haben. Sie können nur eine der beiden Optionen angeben, entweder allowedValues oder deniedValues, aber nicht beide.

Übergeben Sie dann die Datei mit Ihrer Anfrage:

gcloud resource-manager org-policies set-policy MY_POLICY.JSON --project=example-project

REST

Verwenden Sie die setOrgPolicy API, um die Einschränkung zu definieren. Die von Ihnen in die allowedValue-Liste aufgenommenen VMs dürfen externe IP-Adressen haben. Alternativ können Sie eine deniedValues-Liste mit VMs angeben, für die Sie externe IP-Adressen explizit ausschließen möchten. Alle VMs, die nicht auf der Liste stehen, dürfen eine externe IP-Adresse haben. Sie können nur eine der beiden Optionen angeben, entweder allowedValues oder deniedValues, aber nicht beide.

Das folgende Beispiel zeigt eine Anfrage zum Einrichten der Einschränkung compute.vmExternalIpAccess für ein Projekt, um für bestimmte VMs externe IP-Adressen zuzulassen:

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setOrgPolicy

Ersetzen Sie PROJECT_ID durch die Projekt-ID für diese Anfrage.

Der Anfragetext enthält die Richtlinie für diese Einschränkung:

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allowedValues": [
        "projects/PROJECT_ID/zones/ZONE/instances/VM_NAME"
      ]
    }
  }
}

Best Practices zum Beschränken externer IP-Adressen

  • Vermeiden Sie die Verwendung der deniedValues-Liste mit dieser Einschränkung. Wenn Sie Werte in der deniedValues-Liste definieren, bedeutet das, dass nur die VMs in der deniedValues-Liste keine externen IP-Adressen haben dürfen. Dies könnte zu Sicherheitsproblemen führen, wenn Sie genau steuern möchten, welche VMs externe IP-Adressen haben dürfen. Wenn Sie bestimmte VMs aus der allowedValues-Liste entfernen möchten, aktualisieren Sie die vorhandene Richtlinie, um die VMs aus der allowedList-Aufstellung zu entfernen, statt die VMs mit einer niedrigeren Hierarchie in die deniedValues-Liste aufzunehmen.

  • Wenn Sie eine Richtlinie für einen großen Teil der Ressourcenhierarchie einrichten, aber bestimmte Projekte ausnehmen möchten, stellen Sie die Standardrichtlinie mit der Methode setOrgPolicy wieder her. Geben Sie dazu das Objekt restoreDefault an. Dadurch lassen Sie zu, dass alle VMs in den Projekten mit externen IP-Adressen verknüpft werden. Die aktuellen Richtlinien für Projekte sind von der Standardeinstellung nicht betroffen.

  • Verwenden Sie die Organisationsrichtlinie zusammen mit IAM-Rollen, um die Umgebung besser zu steuern. Diese Richtlinie gilt nur für VMs. Wenn Sie jedoch externe IP-Adressen von Netzwerkgeräten besser steuern und einschränken möchten, können Sie den entsprechenden Nutzern die Rolle compute.networkAdmin gewähren.

  • Die Organisationsrichtlinie gilt für alle Dienste und Produkte, die innerhalb der Organisation oder des Projekts in Compute Engine ausgeführt werden und für die die Richtlinie aktiviert ist. Insbesondere sind Dienste wie Google Kubernetes Engine, Dataflow, Dataproc und Cloud SQL von dieser Richtlinie betroffen. Wenn dies ein Problem ist, sollten Sie weitere Dienste und Produkte in einem anderen Projekt einrichten, für das die Organisationsrichtlinie nicht gilt, und bei Bedarf freigegebene VPC verwenden.

Statische externe IP-Adressen verwalten

In den folgenden Abschnitten wird beschrieben, wie Sie statische externe IP-Adressen für Ihre VMs verwalten.

Ermitteln, ob eine interne IP-Adresse sitzungsspezifisch oder statisch ist

Statische und sitzungsspezifische interne IP-Adressen verhalten sich in den meisten Kontexten gleich und werden gleich angezeigt. Bei statischen internen IP-Adressen können Sie jedoch dieselbe IP-Adresse für dieselbe Ressource verwenden, auch wenn Sie die Ressource löschen und neu erstellen. Im Allgemeinen wird eine sitzungsspezifische IP-Adresse freigegeben, wenn Sie die Ressource beenden oder löschen.

So ermitteln Sie, ob eine Adresse statisch oder sitzungsspezifisch ist:

  1. Rufen Sie in der Google Cloud Console die Seite IP-Adressen auf.

    "IP-Adressen" aufrufen

  2. Suchen Sie die Adresse in der Liste und prüfen Sie die Spalte Typ auf den Typ der IP-Adresse.

Zuweisung einer statischen externen IP-Adresse aufheben

Durch das Aufheben der Zuweisung wird die IP-Adresse aus der Ressource entfernt, bleibt aber reserviert. Nachdem die Zuweisung der IP-Adresse aufgehoben wurde, können Sie sie einer anderen Ressource zuweisen.

Sie können die Zuweisung der IPv4- oder IPv6-Adresse auch aufheben, indem Sie die VM löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite IP-Adressen auf.

    "IP-Adressen" aufrufen

  2. Klicken Sie auf Externe IP-Adressen.

  3. Wählen Sie die statische IP-Adresse aus, deren Zuweisung Sie aufheben möchten.

  4. Klicken Sie auf Ändern, um das Dialogfeld IP-Adresse anhängen zu öffnen.

  5. Wählen Sie aus der Drop-down-Liste Anhängen an die Option Keine aus.

  6. Klicken Sie auf OK.

gcloud

  1. Prüfen Sie mit dem Befehl gcloud compute addresses list, ob eine statische IP-Adresse verwendet wird:

    gcloud compute addresses list

    Die Ausgabe sieht in etwa so aus:

    NAME                      REGION    ADDRESS                  STATUS
example-address-ipv4      REGION    198.51.100.1             RESERVED
example-address-new-ipv4  REGION    203.0.113.1              IN_USE
example-address-ipv6      REGION    2001:db8:1:1:1:1:1:1     RESERVED
example-address-new-ipv6  REGION    2001:db8:4:4:4:4:4:4     IN_USE
    • Wenn die IP-Adresse nicht verwendet wird, ist der Status RESERVED.
    • Wenn die IP-Adresse verwendet wird, ist der Status IN_USE.

  2. Rufen Sie den Namen der VM ab, die die IP-Adresse verwendet:

    gcloud compute addresses describe ADDRESS_NAME \
  --region=REGION

    Ersetzen Sie Folgendes:

    • ADDRESS_NAME ist der Name der IPv6-Adressressource.
    • REGION ist die Region der IPv6-Adressressource.

    Die Ausgabe sieht in etwa so aus:

    address: IP_ADDRESS
addressType: EXTERNAL
...
region: https://www.googleapis.com/compute/v1/projects/PROJECT/regions/REGION
selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT/regions/REGION/addresses/ADDRESS_NAME
status: IN_USE
subnetwork: https://www.googleapis.com/compute/v1/projects/PROJECT/regions/REGION/subnetworks/SUBNET
users:
- https://www.googleapis.com/compute/v1/projects/PROJECT/zones/ZONE/instances/VM_NAME

    Das Feld users zeigt den Namen der VM an, die die IP-Adresse verwendet.

  3. Heben Sie die Zuweisung der IP-Adresse zur VM auf.

    • Löschen Sie die Zugriffskonfigurationsdatei der VM, um die Zuweisung einer IPv4-Adresse aufzuheben:

      1. Rufen Sie den Namen der Zugriffskonfiguration ab, die Sie löschen möchten. Verwenden Sie den Befehl gcloud compute instances describe, um den Namen abzurufen. Ersetzen Sie VM_NAME durch den Namen der VM.

        gcloud compute instances describe VM_NAME

        Die Zugriffskonfiguration wird im folgenden Format ausgegeben:

        networkInterfaces:
  - accessConfigs:
    - kind: compute#accessConfig
      name: external-nat
      natIP: 203.0.113.1
      type: ONE_TO_ONE_NAT

      2. Löschen Sie die Zugriffskonfiguration mit dem Befehl gcloud compute instances delete-access-config:

        gcloud compute instances delete-access-config VM_NAME \
  --access-config-name="ACCESS_CONFIG_NAME"

        Ersetzen Sie Folgendes:

        • VM_NAME: der Name der VM.
        • ACCESS_CONFIG_NAME ist der Name der Zugriffskonfiguration, die Sie löschen möchten. Der vollständige Name muss in Anführungszeichen angegeben werden.

    • Verwenden Sie den Befehl instance network-interfaces update, um die Zuweisung eines IPv6-Adressbereichs aufzuheben:

      gcloud compute instances network-interfaces update VM_NAME \
  --network-interface=nic0 \
  --stack-type=IPV4_ONLY \
  --zone=ZONE

      Ersetzen Sie Folgendes:

      • VM_NAME ist der Name der VM, die die IP-Adresse verwendet.
      • ZONE ist die Zone der VM.

  4. Überprüfen Sie, ob Ihre statische externe IP-Adresse nun verfügbar und anstelle von IN_USE als RESERVED gekennzeichnet ist.

    gcloud compute addresses list \
  --filter="ADDRESS_NAME AND region=REGION"

    Ersetzen Sie Folgendes:

    • ADDRESS_NAME: der Name der IP-Adressressource.
    • REGION: die Region der IP-Adressressource.

Nachdem Ihre statische externe IP-Adresse jetzt verfügbar ist, können Sie diese einer anderen VM zuweisen.

REST

Führen Sie die folgenden Schritte aus, um die Zuweisung einer statischen externen IPv4- oder IPv6-Adresse aufzuheben:

  • Löschen Sie bei IPv4-Adressen die Zugriffskonfiguration, die der VM zugeordnet ist, die die Adresse verwendet.

    1. Senden Sie eine GET-Anfrage an die Methode instances.get, um die Details der Zugriffskonfiguration einer VM zu prüfen.

      GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME

    2. Löschen Sie die vorhandene Zugriffskonfiguration. Senden Sie dazu eine POST-Anfrage an die Methode instances.deleteAccessConfig.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/deleteAccessConfig

      Ersetzen Sie Folgendes:

      • PROJECT_ID ist die Projekt-ID für diese Anfrage.
      • ZONE: die Zone, in der sich die VM befindet
      • VM_NAME: der Name der VM

  • Aktualisieren Sie bei IPv6-Adressen den Stacktyp der Netzwerkschnittstelle für die VM, an die die IPv6-Adresse angehängt ist.

    1. Stellen Sie eine PATCH-Anfrage an die Methode instances.updateNetworkInterface.

    2. Aktualisieren Sie im Anfragetext den Wert des Felds stackType in IPV4_ONLY.

      Beispiel:

      PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/updateNetworkInterface

{
  "networkInterfaces": [{
    ...
    "stackType" : "IPV4_ONLY"
    ...
    }]
}

Statische externe IP-Adresse freigeben

Wenn Sie eine statische externe IPv4- oder IPv6-Adresse nicht mehr benötigen, können Sie die IP-Adresse freigeben. Löschen Sie dazu die IP-Adressressource. Durch das Löschen einer VM wird nicht automatisch eine statische externe IP-Adresse freigegeben. Sie müssen nicht mehr benötigte statische interne IP-Adressen manuell freigeben.

Informationen zum Freigeben einer statischen externen IP-Adresse finden Sie in der VPC-Dokumentation unter Statische externe IP-Adresse freigeben.

Nächste Schritte