静的外部 IP アドレスの予約

変更されない固定外部 IP アドレスがインスタンスに必要な場合、次のいずれかのオプションを使用してインスタンスの静的外部 IP アドレスを取得できます。

静的外部 IP アドレスを予約して、そのアドレスを新しい VM インスタンスに割り当てます。
既存のエフェメラル外部 IP アドレスを昇格させて静的外部 IP アドレスにします。

内部 Compute Engine ネットワーク上の静的 IP アドレスが必要な場合は、静的内部アドレスの予約をご覧ください。

Compute Engine では、各 VM インスタンスが複数のネットワークインターフェースを持つことができます。各インターフェースは、内部 IP アドレスと外部 IP アドレスの両方を持つことができます。転送ルールには、外部負荷分散のための外部 IP アドレスや、内部負荷分散のための内部アドレスを指定できます。IP アドレスについて詳しくは、IP アドレスのドキュメントをご覧ください。

始める前に

このガイドのコマンドラインのサンプルを使用する場合、以下を行ってください。
1. gcloud コマンドラインツールの最新バージョンをインストールするか、最新バージョンに更新します。
2. デフォルトのリージョンとゾーンを設定します。
このガイドの API の例を使用する場合は API アクセスを設定します。
IP アドレスをお読みください。

新しい静的外部 IP アドレスの予約

静的外部 IP アドレスはプロジェクト用に予約される外部 IP アドレスであり、解放するまで予約されたままになります。あなたのサービスにお客様やユーザーがアクセスする際に利用している IP アドレスがある場合、あなたのプロジェクトだけがその IP アドレスを使用できるようにするため、その IP アドレスを予約できます。また、エフェメラル外部 IP アドレスを静的外部 IP アドレスに昇格させることもできます。

次の 2 種類の外部 IP アドレスを予約できます。

リージョン IP アドレス。ネットワークインターフェースを 1 つ以上備えた VM インスタンスや、ネットワークロードバランサで使用可能。
グローバル IP アドレス。HTTP(S)、SSL プロキシ、TCP プロキシのグローバルロードバランサで使用可能。

静的外部 IP アドレスを予約するには gcloud コマンドラインツールまたは API を使用します。予約したアドレスは、インスタンスの作成時に割り当てるか、既存のインスタンスに割り当てます。

制限事項

一度に複数のリソースが同じ静的外部 IP アドレスを使用することはできません。
IP アドレスをリソースに割り当てた後に静的アドレスかエフェメラルアドレスかを確認するには、そのプロジェクトに予約されている静的外部 IP アドレスのリストで調べる以外に方法はありません。プロジェクトで使用可能な静的外部 IP アドレスのリストを表示するには、addresses list サブコマンドを使用します。
各 VM インスタンスは複数のネットワークインターフェースを持つことができますが、各インターフェースはエフェメラルか静的である外部 IP アドレスを 1 つだけ持つことができます。

注: ネットワークインターフェースは複数の転送ルールからトラフィックを受信できますが、ルールの中には他の外部 IP アドレスを対象とするものもあります。任意の数の外部 IP アドレスがこれらの転送ルールを介してネットワークインターフェースを参照できますが、各ネットワークインターフェースはパケットをインターフェースの内部 IP アドレスに変換する外部 IP アドレスを 1 つだけ持つことができます。

負荷分散と転送ルールの詳細については、負荷分散のドキュメントをご覧ください。

Console

Cloud Console で [静的アドレスの予約] ページに移動します。
[静的アドレスの予約] ページに移動
新しいアドレスの名前を指定します。
このアドレスが IPv4 か IPv6 かを指定します。IPv6 アドレスは、グローバルのみになり、グローバル HTTP(S)、SSL プロキシ、TCP プロキシのロードバランサでのみ使用できます。
この IP アドレスがリージョンアドレスかグローバルアドレスかを選択します。インスタンスまたはネットワークロードバランサ用に静的 IP アドレスを予約する場合は、[リージョン] を選択します。HTTP(S)、SSL プロキシ、TCP プロキシのロードバランサ用に静的 IP アドレスを予約する場合は、[グローバル] を選択します。
リージョン IP アドレスの場合は、アドレスを作成するリージョンを選択します。
（省略可）IP アドレスを割り当てるリソースを選択します。
[予約] をクリックして IP アドレスを予約します。

gcloud

gcloud compute を使用して新しい静的外部 IP アドレスを予約するには、addresses create サブコマンドを使用し、グローバルとリージョンのどちらの IP アドレスを予約するかを指定します。

gcloud compute addresses create [ADDRESS_NAME] \
    [--region [REGION] | --global ] \
    [--ip-version [IPV4 | IPV6]]

ここで

[ADDRESS_NAME] はこのアドレスに付ける名前です。
リージョン IP アドレスを指定する場合は、リクエストの目的の [REGION] を指定します。このリージョンは、IP アドレスを割り当てるリソースと同じリージョンである必要があります。
グローバル IP アドレスの場合は、--global フラグを指定します。IPv6 アドレスを使用する場合は、--global と --ip-version IPV6 フラグを指定します。IPv6 アドレスは、グローバルのみになり、グローバル HTTP(S)、SSL プロキシ、TCP プロキシのロードバランサでのみ使用できます。

API

リージョン IPv4 アドレスに対するリクエストを直接 API に対して発行するには、次の URI に対して POST リクエストを発行します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/[REGION]/addresses

リクエスト本文は次のようにします。

{
  name: "[ADDRESS_NAME]"
}

ここで

[ADDRESS_NAME] はこのアドレスに付ける名前です。
[REGION] はこのリクエストの対象リージョンの名前です。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

グローバル静的 IPv4 アドレスの場合は、次の URI に対してリクエストを発行します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/global/addresses

リクエスト本文は次のようにします。

{
  name: "[ADDRESS_NAME]"
}

グローバル静的 IPv6 アドレスの場合は、次の URI に対してリクエストを発行します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/global/addresses

リクエスト本文は次のようにします。

{
  "name": "[ADDRESS_NAME]",
  "ipVersion": "IPV6"
}

新しい VM インスタンスへの静的外部 IP アドレスの割り当て

VM インスタンスを作成するとき、エフェメラル外部 IP アドレスが自動的に割り当てられます。エフェメラル外部 IP アドレスを使用したくない場合は、明示的に静的外部 IP アドレスをインスタンスに割り当てることができます。

Console

GCP Console の [VM インスタンス] ページに移動します。
[VM インスタンス] ページに移動
[インスタンスを作成] をクリックします。
[新しいインスタンスの作成] ページで、インスタンスのプロパティを入力します。

[管理、セキュリティ、ディスク、ネットワーク、単一テナンシー] セクションを展開します。
[ネットワーキング] をクリックします。
[ネットワークインターフェース] で、デフォルトのネットワークインターフェースをクリックして編集します。
[外部 IP] セクションの下で、プルダウンメニューから予約した静的外部 IP アドレスを選択します。
[完了] をクリックして、デフォルトのネットワークインターフェースの変更を終了します。
[作成] をクリックしてインスタンスを作成します。

gcloud

静的外部 IP アドレスを割り当てるには、インスタンス作成時に --address フラグを使用し、静的外部 IP アドレスを指定します。

gcloud compute instances create [INSTANCE_NAME] --address [IP_ADDRESS]

ここで

[INSTANCE_NAME] は、インスタンスの名前です。
[IP_ADDRESS] はインスタンスに割り当てる IP アドレスです。アドレス名ではなく IP アドレスを使用してください。

API

新しいインスタンスを作成するリクエストで、networkInterfaces[].accessConfigs[].natIP プロパティと、使用する外部 IP を明示的に指定します。例:

{
  "name": "[INSTANCE_NAME]",
  "machineType": "zones/[ZONE]/machineTypes/[MACHINE_TYPE]",
  "networkInterfaces": [{
    "accessConfigs": [{
      "type": "ONE_TO_ONE_NAT",
      "name": "External NAT",
      "natIP": "[IP_ADDRESS]"
     }],
    "network": "global/networks/default"
  }],
  "disks": [{
     "autoDelete": "true",
     "boot": "true",
     "type": "PERSISTENT",
     "initializeParams": {
        "sourceImage": "projects/debian-cloud/global/images/v20150818"
     }
   }]
 }

既存のインスタンスへの外部 IP アドレスの割り当てまたは変更

既存のインスタンスに外部 IP アドレス（エフェメラルまたは静的のいずれか）を割り当てる、またはそれを変更するには、インスタンスのアクセス構成を変更します。

インスタンスは複数のインターフェースを持つことができ、各インターフェースは外部 IP アドレスを持つことができます。インスタンスにすでに外部 IP アドレスが与えられている場合は、最初に古いアクセス構成を削除してアドレスを除去する必要があります。その後、新しい外部 IP アドレスを含む新しいアクセス構成を追加します。

Console

Cloud Console の [VM インスタンス] ページに移動します。
[VM インスタンス] ページに移動
外部 IP アドレスを割り当てるインスタンスの名前をクリックします。インスタンスの詳細ページが表示されます。
インスタンスの詳細ページで、次の手順を実行します。
1. [編集] をクリックします。
2. [ネットワークインターフェース] で [編集] ボタンをクリックします。
3. [外部 IP] で、インスタンスに割り当てるエフェメラルまたは静的な外部 IP アドレスを選択します。
4. [完了] をクリックします。
5. [保存] をクリックします。

gcloud

（省略可）静的外部 IP アドレスを予約します。

静的外部 IP アドレスを割り当てる場合は、他のリソースで使用されていないアドレスを取得するため、アドレスを予約する必要があります。必要であれば、手順に沿って新しい静的外部 IP アドレスを予約するか、静的外部 IP アドレスの割り当てを解除します。

エフェメラル外部 IP アドレスを使用する場合は、この手順をスキップします。エフェメラル外部 IP アドレスは Compute Engine によってランダムに割り当てられます。
既存のアクセス構成を削除します。

1 つのインスタンスに割り当てることができるアクセス構成は 1 つだけです。新しいアクセス構成をインスタンスに割り当てる前に、gcloud compute instances describe リクエストを発行してインスタンスにアクセス構成が存在するかどうかを確認します。
```
gcloud compute instances describe [INSTANCE_NAME]
```
既存のアクセス構成がある場合は、次の形式で表示されます。
```
networkInterfaces:
- accessConfigs:
  - kind: compute#accessConfig
    name: external-nat
    natIP: 130.211.181.55
    type: ONE_TO_ONE_NAT
```
注: アクセス構成の name は external-nat でない場合があります。必ずご使用のアクセス構成の名前を確認してください。場合によっては、古いバージョンのアクセス構成名（External NAT）が使用されていることがあります。

新しいアクセス構成を追加する前に、instances delete-access-config サブコマンドを使用して既存のアクセス構成を削除する必要があります。
```
gcloud compute instances delete-access-config [INSTANCE_NAME] \
    --access-config-name "[ACCESS_CONFIG_NAME]"
```
ここで
- [INSTANCE_NAME] は、インスタンスの名前です。
- [ACCESS_CONFIG_NAME] は削除するアクセス構成です。引用符の中に完全な名前を指定してください。
新しい外部 IP アドレスを追加します。

instances add-access-config サブコマンドを使用して新しい外部 IP アドレスを追加します。

注: [IP_ADDRESS] を静的 IP の名前に置き換えないでください。実際の IP アドレスを指定する必要があります。
```
gcloud compute instances add-access-config [INSTANCE_NAME] \
   --access-config-name "[ACCESS_CONFIG_NAME]" --address [IP_ADDRESS]
```
ここで
- [INSTANCE_NAME] は、インスタンスの名前です。
- [ACCESS_CONFIG_NAME] はこのアクセス構成に付ける名前です。引用符の中に完全な名前を指定してください。
- [IP_ADDRESS] は追加する IP アドレスです。
Compute Engine で静的外部 IP アドレスを使用せずにエフェメラル外部 IP アドレスを割り当てる場合は、--address [IP_ADDRESS] プロパティを省略します。
```
gcloud compute instances add-access-config [INSTANCE_NAME] \
    --access-config-name "[ACCESS_CONFIG_NAME]"
```

エフェメラル外部 IP アドレスの昇格

インスタンスにエフェメラル外部 IP アドレスが割り当てられいる場合、その IP アドレスを永続的にプロジェクトに割り当てるには、エフェメラル外部 IP アドレスを静的外部 IP アドレスに昇格させます。エフェメラル外部 IP アドレスを予約済みに昇格しても、Google Cloud ではインスタンスに送信されたパケットは破棄されません。これは、インスタンスに直接送信されたパケットとロードバランサによって送信されたパケットの両方に当てはまります。

Console

Cloud Console の [外部 IP アドレス] ページに移動します。
[外部 IP アドレス] ページに移動
昇格する IP アドレスの [タイプ] 列で、アドレスタイプを [静的] に変更します。
新しい静的 IP アドレスの名前を指定して [予約] をクリックします。

gcloud

エフェメラル外部 IP アドレスを静的外部 IP アドレスに昇格させるには、--addresses フラグにエフェメラル外部 IP アドレスを指定して新しいアドレスを作成します。エフェメラルリージョン IP アドレスを昇格させる場合は region フラグ、エフェメラルグローバル IP アドレスを昇格させる場合は global フラグを使用します。

gcloud compute addresses create [ADDRESS_NAME] \
  --addresses [IP_ADDRESS] \
  [--region [REGION] | --global]

ここで

[ADDRESS_NAME] はこのアドレスに付ける名前です。
[IP_ADDRESS] は昇格させる IP アドレスです。
[REGION] は、リージョン IP アドレスが属するリージョンです。

API

エフェメラルリージョン IP アドレスを昇格させるには、次の URI に PUT リクエストを送信します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/[REGION]/addresses

リクエスト本文は次のようにします。

{
  name: "[ADDRESS_NAME]",
  address: "[IP_ADDRESS]"
}

ここで

[ADDRESS_NAME] はこのアドレスに付ける名前です。
[IP_ADDRESS] は昇格させる IP アドレスです。
[REGION] は IP アドレスが属するリージョンです。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

エフェメラルグローバル IP アドレスを昇格させるには、次の URI に PUT リクエストを送信します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/global/addresses

リクエスト本文は次のようにします。

{
  name: "[ADDRESS_NAME]",
  address: "[IP_ADDRESS]"
}

ここで

[ADDRESS_NAME] はこのアドレスに付ける名前です。
[IP_ADDRESS] は昇格させる IP アドレスです。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

静的外部 IP アドレスに昇格した外部 IP アドレスは、その後も同じインスタンスにとどまります。新しく昇格した静的外部 IP アドレスを別のリソースに割り当てる場合は、既存のインスタンスから静的外部 IP アドレスを割り当て解除します。

静的外部 IP アドレスの一覧表示

プロジェクに予約されている静的外部 IP アドレスを一覧表示するには、addresses list を実行するか、API に GET リクエストを発行します。

Console

Cloud Console の [外部 IP アドレス] ページに移動すると、プロジェクトの IP アドレスが一覧表示されます。

[外部 IP アドレス] ページに移動

gcloud

gcloud コマンドラインツールは次のように使用します。

gcloud compute addresses list

API

API にリクエストを直接発行するには、次の URI に空のリクエスト本文で GET リクエストを送ります。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/[REGION]/addresses

ここで

[REGION] はこのリクエストの対象リージョンの名前です。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

すべてのリージョンの全アドレスを一覧表示するには、次の URI にリクエストを発行します。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/aggregated/addresses

静的外部 IP アドレスの詳細情報の取得

静的外部 IP アドレスに関する情報を取得するには、gcloud compute addresses describe コマンドを使用してアドレスの名前を指定するか、API に GET リクエストを発行します。

Console

Cloud Console の [外部 IP アドレス] ページに移動します。
[外部 IP アドレス] ページに移動
詳細情報を取得する IP アドレスをクリックします。

gcloud

「gcloud compute addresses describe」を使用するには、

gcloud compute addresses describe [ADDRESS_NAME]

ここで、[ADDRESS_NAME] は情報を取得する外部 IP アドレスの名前です。

API

API にリクエストを直接発行するには、次の URI に空のリクエスト本文で GET リクエストを送ります。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/[REGION]/addresses/[ADDRESS_NAME]

ここで

[ADDRESS_NAME] は IP アドレスの名前です。
[REGION] はこのリクエストの対象リージョンの名前です。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

静的外部 IP アドレスの割り当て解除

静的外部 IP アドレスの割り当てを解除するには、インスタンスを削除するか、そのアドレスを使用しているインスタンスに関連付けられたアクセス構成を削除します。静的外部 IP アドレスの割り当てを解除すると、その静的外部 IP アドレスを別のリソースに再割り当てできます。

IP アドレスの割り当てを解除すると、その IP アドレスはリソースから削除されますが、引き続きプロジェクトに予約されたままになります。静的 IP アドレスが使用中かどうかを確認するには、gcloud compute addresses list リクエストを実行します。

gcloud compute addresses list

次のようなレスポンスが返されます。

NAME                 REGION      ADDRESS            STATUS
example-address      [REGION]    130.211.160.207    RESERVED
example-address-new  [REGION]    130.211.114.137    IN_USE

この例では、example-address-new は現在使用中です。

インスタンスのアクセス構成を削除して静的外部 IP アドレスの割り当てを解除する手順は次のとおりです。

削除するアクセス構成の名前を取得します。名前を取得するには、gcloud compute instances describe リクエストを発行します。
```
gcloud compute instances describe [INSTANCE_NAME]
```
[INSTANCE_NAME] はインスタンスの名前です。

アクセス構成は次の形式で表示されます。
```
networkInterfaces:
- accessConfigs:
 - kind: compute#accessConfig
   name: external-nat
   natIP: 130.211.181.55
   type: ONE_TO_ONE_NAT
```
注: アクセス構成の name は external-nat でない場合があります。必ずご使用のアクセス構成の名前を確認してください。場合によっては、古いバージョンのアクセス構成名（External NAT）が使用されていることがあります。
アクセス構成を削除します。

注: アクセス構成を持たないインスタンスはインターネットにアクセスできないことにご注意ください。

instances delete-access-config サブコマンドを使用します。
```
gcloud compute instances delete-access-config [INSTANCE_NAME] \
    --access-config-name "[ACCESS_CONFIG_NAME]"
```
ここで
- [INSTANCE_NAME] は、インスタンスの名前です。
- [ACCESS_CONFIG_NAME] は削除するアクセス構成の名前です。引用符の中に完全な名前を指定してください。

静的外部 IP アドレスのステータスが IN_USE から RESERVED に変わり、使用可能になったことを確認します。

gcloud compute addresses list

例:

NAME                 REGION      ADDRESS            STATUS
example-address      [REGION]    130.211.160.207    RESERVED
example-address-new  [REGION]    130.211.114.137    RESERVED

これで指定の静的外部 IP アドレスが使用可能になったので、別のインスタンスに割り当てることができます。

静的外部 IP アドレスの解放

静的外部 IP アドレスが不要になったら、そのアドレスを解放できます。解放するとその IP アドレスは一般 IP プールに戻され、Compute Engine の他のユーザーが使用できるようになります。

Console

Cloud Console の [外部 IP アドレス] ページに移動します。
[外部 IP アドレス] ページに移動
解放する IP アドレスの横のチェックボックスをオンにします。
[IP アドレスを解放] をクリックします。

gcloud

gcloud コマンドラインツールの使用

gcloud compute addresses delete [ADDRESS_NAME]

ここで、[ADDRESS_NAME] は IP アドレスの名前です。

API

API にリクエストを直接発行するには、次の URI に空のリクエスト本文で DELETE リクエストを送ります。

https://compute.googleapis.com/compute/v1/projects/[PROJECT_ID]/regions/[REGION]/addresses/[ADDRESS_NAME]

ここで

[ADDRESS_NAME] は IP アドレスの名前です。
[REGION] はこのリクエストの対象リージョンの名前です。
[PROJECT_ID] はこのリクエストのプロジェクト ID です。

インスタンス作成時の内部 IP アドレスの選択

オプションで、インスタンス作成時に特定の内部 IP アドレスを選択してインスタンスに割り当てることができます。インスタンスが属するサブネットの有効な IP アドレスを指定する必要があります。すでに使用中の IP アドレスは指定できません。指定した IP アドレスは、インスタンスを削除するまでインスタンスに関連付けられます。インスタンスを削除すると IP アドレスは解放され、プールに戻されます。インスタンスを停止して再起動しても、そのインスタンスは同じ内部 IP アドレスを保持します。

IP アドレスを指定しない場合は、サブネットまたはネットワークから任意の IP アドレスが Compute Engine により自動的に割り当てられます。gcloud コマンドラインツールまたは API で内部 IP アドレスを指定できます。

gcloud

gcloud で、以下を実行します。

gcloud compute instances create [INSTANCE_NAME]
     --private-network-ip [IP_ADDRESS]

ここで

[INSTANCE_NAME] は作成するインスタンスの名前です。
[IP_ADDRESS] は割り当てる IP アドレスです。

カスタムサブネットモードのネットワークを使用している場合は、--subnet [SUBNET] パラメータを使用してサブネットも指定する必要があります。

API

静的内部 IP アドレスを持つインスタンスを作成するには、Compute Engine API を使用します。通常通りであるが明確に networkInterfaces[].networkIP プロパティに内部 IP を指定する場合は、新しいインスタンスを作成するためにリクエストを発行します。例:

{
  "name": "[INSTANCE_NAME]",
  "machineType": "zones/us-central1-f/machineTypes/f1-micro",
  "networkInterfaces": [{
    "accessConfigs": [{
      "type": "ONE_TO_ONE_NAT",
      "name": "External NAT",
     }],
    "network": "global/networks/default",
    "networkIP": "[IP_ADDRESS]"
  }],
  "disks": [{
     "autoDelete": "true",
     "boot": "true",
     "type": "PERSISTENT",
     "initializeParams": {
        "sourceImage": "projects/debian-cloud/global/images/v20150818"
     }
   }]
 }

ここで

[INSTANCE_NAME] は、インスタンスの名前です。
[IP_ADDRESS] はインスタンスに割り当てる IP アドレスです。

指定した IP アドレスを持つインスタンスを削除すると、その IP アドレスは未割り当てアドレスプールに戻ります。インスタンスの存続期間を超えてその内部 IP アドレスを保持する必要がある場合は、静的内部 IP アドレスを予約できます。

VM インスタンスの外部 IP アクセスの無効化

特定のワークロードでは、セキュリティやネットワークに関する制限など、基本的な要件が必要になることがあります。たとえば、データの引き出しを防止したり、ネットワーク隔離を維持したりするために、VM インスタンスへの外部 IP アドレスによるアクセスを制限したい場合があります。こうした制限は、多くのお客様で一般的であり、必要とされているものです。組織ポリシーを使用し、ポリシー制約を指定することにより、外部 IP のアクセスを無効にできます。ポリシー制約を使用すると、組織内またはプロジェクト内の VM インスタンスに対する外部 IP アドレスのアクセスを簡単かつ便利に制御できます。

VM インスタンスの外部 IP アドレスを制御するための制約は次のとおりです。

constraints/compute.vmExternalIpAccess

制約を使用するには、外部 IP アドレスを持つことができる VM インスンスが allowedList に設定されたポリシーを指定します。ポリシーを指定しない場合、すべての VM インスタンスで、すべての外部 IP アドレスが許可されます。ポリシーを指定すると、allowedValues リストに含まれる VM インスタンスにのみに対して、外部 IP アドレス（エフェメラルまたは静的のいずれか）が割り当てられます。ポリシー内で明示的に定義されていない組織またはプロジェクトの他の Compute Engine の VM インスタンスは、外部 IP アドレスの使用が禁止されています。

許可リストと拒否リストでは、次のようなインスタンスの URL を使用して VM を指定します。

projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]

仕様

このリスト型制約は VM インスタンスのみに適用できます。
過去にさかのぼって制約を適用することはできません。ポリシーが有効になる前に外部 IP アドレスを持っていたすべての VM インスタンスは、そのまま外部 IP アドレスを保持します。
この制約には、allowedList または deniedList のいずれか一方を指定できます。両方を同一のポリシーに指定することはできません。
インスタンスのライフサイクルと整合性の管理と維持は、適切な権限を持つユーザーまたは管理者の責任です。制約ではインスタンスの URL のみが検証され、ホワイトリストに指定された VM の変更、削除、再作成を防ぐことはできません。

権限

制約をプロジェクトまたは組織レベルで設定するには、組織での orgpolicy.policyAdmin 役割が付与されている必要があります。

組織レベルでのポリシー制約の設定

外部 IP アクセスの制約を設定するには、組織 ID が必要です。

自分の組織 ID を確認する

Console

ID は Google Cloud Console でも次の方法で確認できます。

Google Cloud Console にログインします。
プロジェクトセレクタをクリックします。
組織を選択し、組織 ID を探します。

gcloud

次の gcloud コマンドを実行して ID を検索すると、数値 n を表示できます。

gcloud organizations list

gcloud により次のような結果が返されます。

DISPLAY_NAME           ID
example-organization   29252605212

ポリシーの制約を設定する

Console

[組織のポリシー] ページに移動します。
[組織のポリシー] ページに移動
必要に応じて、組織をプロジェクトプルダウンメニューから選択します。
[VM インスタンスに対して許可されている外部 IP を定義する] をクリックします。
[編集] をクリックして外部 IP ポリシーを編集します。[編集] ツールにアクセスできない場合は、正しい権限が割り当てられていないことを意味します。
[CPU プラットフォームと GPU] を選択し、特定の VM インスタンスに固有の組織のポリシーを設定します。
[ポリシーの適用] と [ポリシーの種類] で目的の値を選択します。
[ポリシーの値] で [カスタム] を選択します。
VM インスタンスの URL の一部分を入力して Enter キーを押します。必要に応じて VM インスタンスの入力を続けます。
[保存] をクリックして、変更を保存します。

gcloud

gcloud resource-manager org-policies set-policy コマンドを使用してポリシーを設定します。JSON ファイルでポリシーを指定する必要があります。次のような JSON ファイルを作成します。

{
"constraint": "constraints/compute.vmExternalIpAccess",
"listPolicy": {
  "allowedValues": [
     "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]",
     "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]",
     "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]"
  ]
 }
}

ここで

[PROJECT_ID] は、このリクエスト（example-project など）のプロジェクト ID です。これは、組織のポリシーを設定するときとは異なります。組織のポリシーの場合は組織の数値 ID が必要です。
[ZONE] はインスタンスのゾーンです。
[INSTANCE_NAME] はインスタンス名です。

また、外部 IP アドレスの取得を明示的に禁止する VM インスタンスを示す deniedValues リストを指定できます。このリストに含まれないすべてのインスタンスは、外部 IP アドレスを持つことが暗黙的に許可されます。allowedValues または deniedValues のどちらか一方だけ指定できます。

次に、gcloud リクエストでこのファイルを渡します。

gcloud beta resource-manager org-policies set-policy my-policy.json --organization [ORGANIZATION_ID]

[ORGANIZATION_ID] は組織の数値 ID です。

外部 IP アクセスを必要としないインスタンスの場合は、allValues 設定のポリシーを DENY に設定できます。

{
"constraint": "constraints/compute.vmExternalIpAccess",
"listPolicy": {
  "allValues": "DENY"
 }
}

API

setOrgPolicy() API を使用して制約を定義します。allowedValue リストに指定した VM は外部 IP アドレスを持つことが許可されます。また、外部 IP アドレスの取得を明示的に禁止する VM インスタンスを示す deniedValues リストを指定できます。このリストに含まれないすべてのインスタンスは、外部 IP アドレスを持つことが暗黙的に許可されます。allowedValues または deniedValues のどちらか一方だけ指定できます。

次の例では、組織内の特定のプロジェクトの VM インスタンスが外部 IP アドレスを持つことができるように、compute.vmExternalIpAccess 制約を組織に設定するリクエストです。

POST https://cloudresourcemanager.googleapis.com/v1/organizations/[ORGANIZATION_ID]:setOrgPolicy

[ORGANIZATION_ID] は組織の数値 ID です。

次に、リクエスト本文の中で、この制約に必要なポリシーを指定します。

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allowedValues": [
        "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]",
        "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]",
        "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]"
        ]
      }
    }
 }

外部 IP アクセスを必要としないインスタンスの場合は、allValues 設定のポリシーを DENY に設定できます。

{
  "policy": {
    "constraint": "constraints/compute.vmExternalIpAccess",
    "listPolicy": {
      "allValues": "DENY"
      }
    }
 }

プロジェクトレベルでのポリシーの設定

プロジェクトレベルでポリシーを設定すると、そのポリシーは組織レベルのポリシーよりも優先されます。たとえば、組織レベルでは allowedValues リストに example-vm-1 があるが、プロジェクトレベルのポリシーでは、同じ VM が deniedValues リストにある場合、VM インスタンスに外部 IP アドレスを割り当てることはできません。

Console

組織レベルでのポリシー制約の設定と同じ手順を行いますが、プロジェクトセレクタで組織ではなくプロジェクトを選択してください。

プロジェクトセレクタ。

gcloud

gcloud beta resource-manager org-policies set-policy コマンドを使用してポリシーを設定します。JSON ファイルでポリシーを指定する必要があります。次のような JSON ファイルを作成します。

{
 "constraint": "constraints/compute.vmExternalIpAccess",
 "listPolicy": {
  "allowedValues": [
   "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]"
  ]
 }
}

ここで

[PROJECT_ID] は、このリクエスト（example-project など）のプロジェクト ID です。これは、組織のポリシーを設定するときとは異なります。組織のポリシーの場合は組織の数値 ID が必要です。
[ZONE] はインスタンスのゾーンです。
[INSTANCE_NAME] はインスタンス名です。

また、外部 IP アドレスの取得を明示的に禁止する VM インスタンスの deniedValues リストを指定できます。このリストに含まれないすべてのインスタンスは、外部 IP アドレスを持つことが暗黙的に許可されます。allowedValues または deniedValues のどちらか一方だけ指定できます。

次に、gcloud リクエストでこのファイルを渡します。

gcloud beta resource-manager org-policies set-policy my-policy.json --project example-project

API

次の例は、特定の VM インスタンスが外部 IP アドレスを持つことを許可するように compute.vmExternalIpAccess 制約をプロジェクトに設定するリクエストです。

POST https://cloudresourcemanager.googleapis.com/v1/projects/[PROJECT_ID]:setOrgPolicy

ここで、[PROJECT_ID] は、このリクエストのプロジェクト ID です。

リクエストの本文にはこの制約のポリシーを格納します。

{
 "policy": {
  "constraint": "constraints/compute.vmExternalIpAccess",
  "listPolicy": {
   "allowedValues": [
    "projects/[PROJECT_ID]/zones/[ZONE]/instances/[INSTANCE_NAME]"
   ]
  }
 }
}

静的外部 IP アドレスの予約

始める前に

新しい静的外部 IP アドレスの予約

Console

gcloud

API

新しい VM インスタンスへの静的外部 IP アドレスの割り当て

Console

gcloud

API

既存のインスタンスへの外部 IP アドレスの割り当てまたは変更

Console

gcloud

エフェメラル外部 IP アドレスの昇格

Console

gcloud

API

静的外部 IP アドレスの一覧表示

Console

gcloud

API

静的外部 IP アドレスの詳細情報の取得

Console

gcloud

API

静的外部 IP アドレスの割り当て解除

静的外部 IP アドレスの解放

Console

gcloud

API

インスタンス作成時の内部 IP アドレスの選択

gcloud

API

VM インスタンスの外部 IP アクセスの無効化

仕様

権限

組織レベルでのポリシー制約の設定

自分の組織 ID を確認する

Console

gcloud

ポリシーの制約を設定する

Console

gcloud

API

プロジェクト レベルでのポリシーの設定

Console

gcloud

API

おすすめの方法

次のステップ

プロジェクトレベルでのポリシーの設定