Si una instancia de máquina virtual (VM) requiere una dirección IP externa fija que no cambie, puedes obtener una dirección IP externa estática para esa instancia con una de las siguientes opciones:
- A través de la reserva de una dirección IP externa estática nueva y, luego, con la asignación de la dirección a una instancia de VM nueva.
- Mediante la promoción de una dirección IP externa efímera existente para que se convierta en una dirección IP externa estática.
Si necesitas una dirección IP estática en tu red interna de Compute Engine, consulta Reserva una dirección interna estática, en su lugar.
En Compute Engine, cada instancia de VM puede tener varias interfaces de red. Cada interfaz puede tener direcciones IP internas y externas. Las reglas de reenvío pueden tener direcciones IP externas destinadas al balanceo de cargas externo o direcciones internas para el balanceo de cargas interno. Para conocer las direcciones IP, consulta la documentación de Direcciones IP.
Antes de comenzar
- Si deseas usar los ejemplos de línea de comandos en esta guía, haz lo siguiente:
- Instala la herramienta de línea de comandos de gcloud o actualízala a la última versión.
- Configura una región y una zona predeterminadas.
- Si deseas usar los ejemplos de API de esta guía, configura el acceso a la API.
- Consulta Direcciones IP.
Reserva una dirección IP externa estática nueva
Una dirección IP externa estática es una dirección IP externa que se reserva para tu proyecto hasta que decides liberarla. Si tienes una dirección IP en la que tus clientes o usuarios confíen a fin de acceder a tu servicio, puedes reservarla para que solo tu proyecto pueda usarla. También puedes subir la categoría de una dirección IP externa efímera a una dirección IP externa estática.
Puedes reservar dos tipos de direcciones IP externas:
- Las instancias de VM o los balanceadores de cargas de red pueden usar una dirección IP regional con una o más interfaces de red.
- Una dirección IP global que se puede usar para balanceadores de cargas global: HTTP(S), proxy SSL y proxy TCP.
Reserva una dirección IP externa estática en la herramienta de línea de comandos de gcloud
o mediante la API. Después de reservar la dirección, asígnala a una instancia durante la creación de una instancia o a una instancia existente.
Restricciones
Una dirección IP externa estática puede usar solo un recurso a la vez.
Es imposible saber si una dirección IP es estática o efímera después de que se asignó a un recurso, excepto si se compara la dirección IP con la lista de direcciones IP externas estáticas reservadas para ese proyecto. Usa el subcomando
addresses list
a fin de ver una lista de direcciones IP externas estáticas disponibles para el proyecto.Cada instancia de VM puede tener varias interfaces de red, pero cada interfaz puede tener solo una dirección IP externa que sea efímera o estática.
Nota: Las interfaces de red pueden recibir tráfico de varias reglas de reenvío, que pueden entregar a otras direcciones IP externas. Cualquier número de direcciones IP externas puede hacer referencia a una interfaz de red a través de estas reglas de reenvío, sin embargo, cada interfaz de red puede tener solo una dirección IP externa que convierta los paquetes en la dirección IP interna de la interfaz.
Para obtener más información sobre el balanceo de cargas y las reglas de reenvío, consulta la documentación de balanceo de cargas.
Console
En Cloud Console, ve a la página Reserva una dirección estática.
Elige un nombre para la dirección nueva.
Especifica si se trata de una dirección
IPv4
oIPv6
. Las direccionesIPv6
solo pueden ser globales y solo se pueden usar con balanceadores de cargas globales de HTTP(S), proxy SSL y proxy TCP.Elige si esta dirección IP será regional o global. Si reservas una dirección IP estática para una instancia o un balanceador de cargas de red, elige Regional. Si reservas una dirección IP estática para un balanceador de cargas HTTP(S), proxy SSL o de proxy TCP, elige Global.
Si se trata de una dirección IP regional, selecciona la región a fin de crear la dirección.
Como alternativa, puedes seleccionar un recurso para conectar la IP.
Haz clic en Reservar si deseas reservar la IP.
gcloud
Para reservar una dirección IP externa estática mediante gcloud compute
, usa el comando compute addresses create
.
Si deseas reservar una dirección IP global, usa los campos --global
y --ip-version
. En el campo --ip-version
, especifica IPV4
o IPV6
. Las direcciones IPv6
solo pueden ser globales y solo se pueden usar con balanceadores de cargas de HTTP(S), proxy SSL y proxy TCP globales.
Reemplaza ADDRESS_NAME
por el nombre que deseas darle a esta dirección.
gcloud compute addresses create ADDRESS_NAME \ --global \ --ip-version [IPV4 | IPV6]
Si deseas reservar una dirección IP regional, usa el campo --region
:
gcloud compute addresses create ADDRESS_NAME \ --region REGION
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre que quieres asignar a esta dirección.REGION
: La dirección IP deseada para la solicitud. Debe ser la misma región que la del recurso al que deseas conectar la dirección IP. Todas las direcciones IP regionales sonIPV4
.
Usa el comando compute addresses describe
para ver el resultado:
gcloud compute addresses describe ADDRESS_NAME
API
Para crear una dirección IPv4 regional, invoca el método addresses.insert
regional:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses
El cuerpo de la solicitud debe contener la siguiente información:
{ name: "ADDRESS_NAME" }
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre que quieres asignar a la dirección.REGION
: El nombre de la región para esta solicitud.PROJECT_ID
: El ID del proyecto para esta solicitud.
Para direcciones IPv4 estáticas globales, llama al método globalAddresses.insert
:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses
El cuerpo de la solicitud debe contener la siguiente información:
{ name: "ADDRESS_NAME" }
Para direcciones IPv6 estáticas globales, llama al método globalAddresses.insert
:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses
El cuerpo de la solicitud debe contener la siguiente información:
{ "name": "ADDRESS_NAME", "ipVersion": "IPV6" }
Usa el método addresses.get
para ver el resultado.
Asigna una dirección IP externa estática a una instancia de VM nueva
Cuando creas una instancia de VM, se le asigna una dirección IP externa efímera de forma automática. Si no quieres una dirección IP externa efímera, puedes asignar una dirección IP externa estática a la instancia de forma explícita.
Console
- En Cloud Console, ve a la página Instancias de VM.
- Haz clic en Crear instancia.
- En la página Crear una instancia nueva, completa las propiedades que quieras para tu instancia.
- Expande la sección Administración, seguridad, discos, herramientas de redes, instancia única.
- Haz clic en Herramientas de redes.
- En Interfaces de redes, haz clic en la interfaz de red predeterminada para editarla.
- En la sección IP externa, selecciona la dirección IP externa estática que reservaste en el menú desplegable.
- Haz clic en Listo para terminar la modificación de la interfaz de red predeterminada.
- Haz clic en Crear para crear la instancia.
gcloud
Para asignar una dirección IP externa estática, usa la marca --address
durante la creación de la instancia y proporciona la dirección IP externa estática:
gcloud compute instances create INSTANCE_NAME --address IP_ADDRESS
Reemplaza los siguientes elementos:
INSTANCE_NAME
: El nombre de la instancia.IP_ADDRESS
: La dirección IP que se asignará a la instancia. Usa la dirección IP, no el nombre de la dirección.
API
En tu solicitud para crear una instancia nueva, debes proporcionar la propiedad networkInterfaces[].accessConfigs[].natIP
y la IP externa que deseas usar de forma explícita. Por ejemplo:
{ "name": "INSTANCE_NAME", "machineType": "zones/ZONE/machineTypes/MACHINE_TYPE", "networkInterfaces": [{ "accessConfigs": [{ "type": "ONE_TO_ONE_NAT", "name": "External NAT", "natIP": "IP_ADDRESS" }], "network": "global/networks/default" }], "disks": [{ "autoDelete": "true", "boot": "true", "type": "PERSISTENT", "initializeParams": { "sourceImage": "projects/debian-cloud/global/images/v20150818" } }] }
Cambia o asigna una dirección IP externa a una instancia existente
Puedes cambiar o asignar una dirección IP externa, efímera o estática, a una instancia existente si modificas la configuración de acceso de la instancia.
Una instancia puede tener varias interfaces y cada una de estas puede tener una dirección IP externa. Si la instancia ya tiene una dirección IP externa, primero debes quitar esa dirección mediante la operación de borrado de la configuración de acceso anterior. Así podrás agregar una configuración de acceso nueva con la dirección IP externa nueva.
Console
- En Cloud Console, ve a la página Instancias de VM.
- Haz clic en el nombre de la instancia a la que quieres asignar una IP externa. Se mostrará la página de detalles de la instancia.
En la página de detalles de la instancia, completa los pasos siguientes:
- Haz clic en Editar.
En Interfaces de redes (Network interfaces), haz clic en el botón Editar.
En IP externa (External IP), selecciona una dirección IP externa efímera o estática para asignar a la instancia.
Haz clic en Listo.
Haz clic en Guardar.
En gcloud
Como alternativa, puedes reservar una dirección IP externa estática.
Si quieres asignar una dirección IP externa estática, debes reservar una dirección y asegurarte de que no la use otro recurso. Si es necesario, sigue las instrucciones si necesitas reservar una nueva dirección IP externa estática o si deseas anular la asignación de una dirección IP externa estática.
Si planeas usar una dirección IP externa efímera, puedes omitir este paso y Compute Engine asignará de manera aleatoria una dirección IP externa efímera.
Borra la configuración de acceso existente.
Puedes establecer una configuración de acceso para cada instancia. Antes de que intentes asignar una configuración de acceso nueva a una instancia, verifica si tu instancia tiene una configuración de acceso mediante una solicitud
gcloud compute instances describe
:gcloud compute instances describe INSTANCE_NAME
Si hay una configuración de acceso existente, esta aparecerá con el siguiente formato:
networkInterfaces: - accessConfigs: - kind: compute#accessConfig name: external-nat natIP: 130.211.181.55 type: ONE_TO_ONE_NAT
Antes de agregar una nueva configuración de acceso, debes borrar la existente con el subcomando
instances delete-access-config
:gcloud compute instances delete-access-config INSTANCE_NAME \ --access-config-name "ACCESS_CONFIG_NAME"
Reemplaza los siguientes elementos:
INSTANCE_NAME
: El nombre de la instancia.ACCESS_CONFIG_NAME
: La configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.
Agrega la dirección IP externa nueva.
Agrega una nueva dirección IP externa con el subcomando
instances add-access-config
:Nota: No reemplacesIP_ADDRESS
con el nombre de la IP estática. Debes usar la dirección IP real.gcloud compute instances add-access-config INSTANCE_NAME \ --access-config-name "ACCESS_CONFIG_NAME" --address IP_ADDRESS
Reemplaza los siguientes elementos:
INSTANCE_NAME
: El nombre de la instancia.ACCESS_CONFIG_NAME
: El nombre para llamar a esta configuración de acceso. Asegúrate de incluir el nombre completo entre comillas.IP_ADDRESS
: La dirección IP que se agregará.
Si deseas que Compute Engine asigne una dirección IP externa efímera en lugar de usar una dirección IP externa estática, omite la propiedad
--address IP_ADDRESS
:gcloud compute instances add-access-config INSTANCE_NAME \ --access-config-name "ACCESS_CONFIG_NAME"
Promueve una dirección IP externa efímera
Si tu instancia tiene una dirección IP externa efímera y deseas asignar la IP a tu proyecto de manera permanente, debes promover la dirección IP externa efímera a una dirección IP externa estática. Promover una dirección IP externa efímera a una reservada no implica que Google Cloud descarte los paquetes enviados a la instancia. Esto incluye los paquetes que se enviaron a la instancia directamente o mediante un balanceador de cargas.
Console
- En Cloud Console, ve a la página Direcciones IP externas.
- En la columna Tipo, debes cambiar el tipo de la dirección IP que quieres promocionar a Estática.
- Proporciona un nombre a la dirección IP estática nueva y haz clic en Reservar.
gcloud
A fin de ascender una dirección IP externa efímera a una dirección IP externa estática, proporciona la dirección IP externa efímera mediante la marca --addresses
con el comando compute addresses create
.
Usa la marca region
a fin de ascender una dirección IP regional efímera o la marca global
a fin de ascender una dirección IP global efímera.
gcloud compute addresses create ADDRESS_NAME \ --addresses IP_ADDRESS \ [--region REGION | --global]
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre que quieres asignar a esta dirección.IP_ADDRESS
: La dirección IP que deseas ascender.REGION
: La región a la que pertenece la dirección IP regional.
API
Para ascender una dirección IP regional efímera, llama al método addresses.insert
:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses
El cuerpo de la solicitud debe contener la siguiente información:
{ name: "ADDRESS_NAME", address: "IP_ADDRESS" }
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre que quieres asignar a esta dirección.IP_ADDRESS
: La dirección IP que deseas ascender.REGION
: La región a la que pertenece la dirección IP.PROJECT_ID
: El ID del proyecto para esta solicitud.
Si quieres promover una dirección IP global efímera, debes realizar una solicitud POST
al siguiente URI:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/addresses
El cuerpo de la solicitud debe contener la siguiente información:
{ name: "ADDRESS_NAME", address: "IP_ADDRESS" }
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre que quieres asignar a esta dirección.IP_ADDRESS
: La dirección IP que deseas ascender.PROJECT_ID
: El ID del proyecto para esta solicitud.
La dirección IP externa permanece adjunta a la instancia incluso después de que se asigne a una dirección IP externa estática. Si necesitas asignar la dirección IP externa estática nueva a otro recurso, anula la asignación de la dirección IP externa estática de la instancia existente.
Listado de direcciones IP externas estáticas
Si quieres crear una lista de las direcciones IP externas estáticas que reservaste para tu proyecto, ejecuta addresses list
o realiza una solicitud GET
a la API.
Console
En Cloud Console, ve a la página Direcciones IP externas para ver una lista de las direcciones IP del proyecto.
gcloud
Usa el comando compute addresses list
gcloud compute addresses list
API
Realiza una llamada al método addresses.list
:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses
Reemplaza los siguientes elementos:
REGION
: El nombre de la región para esta solicitud.PROJECT_ID
: El ID del proyecto para esta solicitud.
Para enumerar todas las direcciones de todas las regiones, llama al método aggregatedList
.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/addresses
Describe una dirección IP externa estática
A fin de obtener información sobre una dirección IP externa estática, usa la consola, la herramienta de gcloud
o la API.
Console
- En Cloud Console, ve a la página Direcciones IP externas.
- Haz clic en la dirección IP que la que quieres obtener más información.
gcloud
Usa el comando addresses describe
y reemplaza ADDRESS_NAME
por el nombre de la dirección IP externa que deseas describir.
gcloud compute addresses describe ADDRESS_NAME
API
Realiza una llamada al método addresses.get
:
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre de la dirección IP.REGION
: El nombre de la región para esta solicitud.PROJECT_ID
: El ID del proyecto para esta solicitud.
Anula la asignación de una dirección IP externa estática
Si deseas anular la asignación de una dirección IP externa estática, debes borrar la instancia o borrar la configuración de acceso adjunta a la instancia que usa la dirección. Anular la asignación de una dirección IP externa estática te permite reasignarla a otro recurso.
Anular la asignación de una dirección IP la quita del recurso, pero conserva la dirección IP reservada para tu proyecto. Puedes saber que una dirección IP estática está en uso si realizas una solicitud gcloud compute addresses list
:
gcloud compute addresses list
La respuesta podría ser similar a la que se muestra a continuación:
NAME REGION ADDRESS STATUS example-address REGION 130.211.160.207 RESERVED example-address-new REGION 130.211.114.137 IN_USE
En este ejemplo, example-address-new
se encuentra en uso.
Si quieres borrar la configuración de acceso de una instancia y anular la asignación de una dirección IP externa estática, sigue estos pasos:
Obtén el nombre de la configuración de acceso que quieres borrar. Para obtener el nombre, usa el comando
gcloud compute instances describe
. ReemplazaINSTANCE_NAME
por el nombre de la instancia.gcloud compute instances describe INSTANCE_NAME
La configuración de acceso aparece en el siguiente formato:
networkInterfaces: - accessConfigs: - kind: compute#accessConfig name: external-nat natIP: 130.211.181.55 type: ONE_TO_ONE_NAT
Borra la configuración de acceso.
Usa el comando
instances delete-access-config
:gcloud compute instances delete-access-config INSTANCE_NAME \ --access-config-name "ACCESS_CONFIG_NAME"
Reemplaza lo siguiente:
INSTANCE_NAME
: El nombre de la instancia.ACCESS_CONFIG_NAME
: El nombre de la configuración de acceso que se borrará. Asegúrate de incluir el nombre completo entre comillas.
Comprueba que tu dirección IP externa estática ahora esté disponible y marcada como
RESERVED
, en lugar deIN_USE
.gcloud compute addresses list
Por ejemplo:
NAME REGION ADDRESS STATUS example-address REGION 130.211.160.207 RESERVED example-address-new REGION 130.211.114.137 RESERVED
Ya que tu dirección IP externa estática está disponible, puedes elegir asignarla a otra instancia.
Libera una dirección IP externa estática
Si ya no necesitas una dirección IP externa estática, puedes liberarla a fin de que se muestre al grupo de IP general para otros usuarios de Compute Engine.
Console
- En Cloud Console, ve a la página Direcciones IP externas.
- Marca la casilla que aparece junto a la dirección IP que deseas liberar.
- Haz clic en Liberar dirección IP.
gcloud
Usa el comando compute addresses delete
.
Reemplaza ADDRESS_NAME
por el nombre de la dirección IP que deseas liberar.
gcloud compute addresses delete ADDRESS_NAME
API
Realiza una llamada al método addresses.delete
:
DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME
Reemplaza los siguientes elementos:
ADDRESS_NAME
: El nombre de la dirección IP.REGION
: El nombre de la región para esta solicitud.PROJECT_ID
: El ID del proyecto para esta solicitud.
Restringe direcciones IP externas a instancias de VM específicas
Para ciertas cargas de trabajo, puede que tengas requisitos esenciales que incluyen restricciones de seguridad y de red. Por ejemplo, es posible que desees restringir la dirección IP externa para que solo instancias de VM específicas puedan usarlas. Esta opción puede ayudar a evitar el robo de datos o mantener el aislamiento de red. Mediante una política de la organización, puedes restringir las direcciones IP externas a instancias de VM específicas con restricciones a fin de controlar el uso de direcciones IP externas para las VM dentro de una organización o un proyecto.
La restricción para controlar la dirección IP externa en instancias de VM es la que se muestra a continuación:
constraints/compute.vmExternalIpAccess
Para usar la restricción, debes especificar una política con una lista allowedList
de instancias de VM que pueden tener direcciones IP externas. Si no se especifica ninguna política, se pueden usar todas las direcciones IP externas para todas las instancias de VM. Cuando la política está vigente, solo a las instancias de VM que aparecen en la lista de allowedValues
se les puede asignar una dirección IP externa, ya sea efímera o estática, y otras instancias de VM de Compute Engine en la organización o proyecto que no están definidas de forma explícita en la política tienen prohibido el uso de direcciones IP externas.
Se identifican las VM en las listas de anunciantes permitidos y de denegación con el URI de la instancia:
projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
Especificaciones
- Solo puedes aplicar esta restricción de lista a instancias de VM.
- No puedes aplicar la restricción de forma retroactiva. Todas las instancias de VM que tienen direcciones IP externas antes de que se habilite la política mantendrán su dirección IP externa.
- Esta restricción acepta una
allowedList
o unadeniedList
, pero no ambas en la misma política. - Depende de ti o de un administrador que cuente con los permisos correctos para administrar y mantener el ciclo de vida y la integridad de la instancia. La restricción solo verifica el URI de la instancia y no evita que se alteren, borren o se vuelvan a crear las VM incluidas en la lista de anunciantes permitidos.
Permisos
Para establecer una restricción en el proyecto o en el nivel de la organización, debes tener la función orgpolicy.policyAdmin
en la organización.
Establece la restricción de políticas a nivel de la organización
Primero necesitas el ID de tu organización si quieres establecer una restricción a fin de acceder a la IP externa.
Busca el ID de tu organización
Console
También puedes buscar el ID en Google Cloud Console:
- Accede a Google Cloud Console.
Haz clic en el selector de proyectos.
Selecciona una organización y busca el ID de la organización.
gcloud
Si deseas encontrar la n numérica, ejecuta el comando organizations list
y busca el ID en la respuesta:
gcloud organizations list
Con la herramienta de gcloud
, se muestra algo similar a lo siguiente:
DISPLAY_NAME ID example-organization 29252605212
Establece tu restricción de política
Console
- Ve a la página Políticas de organización.
- Si es necesario, elige la organización deseada en el menú desplegable del proyecto.
- Haz clic en Definir IP externas permitidas para instancias de VM.
- Haz clic en Editar para editar la política de IP externa. Si no puedes acceder a la herramienta Editar, no tienes los permisos correctos.
Selecciona la Plataforma de CPU y GPU para establecer la política de la organización específica de las instancias de VM específicas.
Elige la Aplicación de la política (Policy enforcement) deseada y el Tipo de política.
En Valores de la política, selecciona Personalizar.
Ingresa un URI para una instancia de VM y presiona Intro. El URI debe tener el siguiente formato:
projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
Continúa ingresando instancias de VM según sea necesario.
Haz clic en Guardar para guardar los cambios.
gcloud
Usa el comando gcloud beta resource-manager org-policies set-policy
para establecer la política. Deberás proporcionar tu política como un archivo JSON.
Crea un archivo JSON similar al siguiente:
{ "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allowedValues": [ "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME", "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME", "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME" ] } }
Reemplaza los siguientes elementos:
PROJECT_ID
: El ID del proyecto de esta solicitud, comoexample-project
. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.ZONE
: La zona de la instancia.INSTANCE_NAME
: El nombre de la instancia.
De manera alternativa, puedes especificar una lista deniedValues
en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues
o deniedValues
, pero no ambos.
Luego, debes pasar el archivo con la solicitud:
gcloud beta resource-manager org-policies set-policy MY_POLICY.JSON --organization ORGANIZATION_ID
Reemplaza ORGANIZATION_ID
por el ID numérico de la organización.
Si no quieres que ninguna instancia tenga acceso a una IP externa, puedes establecer una política con allValues
establecido en DENY
:
{ "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allValues": "DENY" } }
API
Usa la API de setOrgPolicy()
para definir la restricción. Las VM que aparecen en la lista allowedValue
que especificas podrán tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues
en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues
o deniedValues
, pero no ambos.
Por ejemplo, la siguiente es una solicitud para establecer la restricción compute.vmExternalIpAccess
en una organización en la que las instancias de VM de determinados proyectos dentro de la organización pueden tener direcciones IP externas:
POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORGANIZATION_ID:setOrgPolicy
En el ejemplo anterior, ORGANIZATION_ID
es el ID numérico de la organización.
Ahora, en el cuerpo de la solicitud, debes proporcionar la política deseada para esta restricción:
{ "policy": { "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allowedValues": [ "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME", "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME", "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME" ] } } }
Si no quieres que ninguna instancia tenga acceso a una IP externa, puedes establecer una política con allValues
establecido en DENY
:
{ "policy": { "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allValues": "DENY" } } }
Establece la política en el nivel de proyecto
Establecer una política a nivel de proyecto anula la política a nivel de organización. Por ejemplo, si el nivel de la organización tiene example-vm-1
en la lista allowedValues
, pero la política en el nivel de proyecto tiene la misma VM en la lista deniedValues
, la instancia de VM no podrá tener una dirección IP externa.
Console
Sigue el mismo proceso documentado en Establece una restricción de política a nivel de la organización, pero elige el proyecto deseado del selector de proyectos, en lugar de la organización.
gcloud
Usa el comando gcloud beta resource-manager org-policies set-policy
para establecer la política. Deberás proporcionar tu política como un archivo JSON. Crea un archivo JSON similar al siguiente:
{ "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allowedValues": [ "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME" ] } }
Reemplaza los siguientes elementos:
PROJECT_ID
: El ID del proyecto para esta solicitud, comoexample-project
. Ten en cuenta que esto es diferente de la configuración de políticas de la organización, que requieren el ID numérico de la organización.ZONE
: La zona de la instanciaINSTANCE_NAME
: El nombre de la instancia.
De manera alternativa, puedes especificar una lista deniedValues
de instancias de VM a las que deseas prohibir de manera explícita que tengan una dirección IP externa. A cualquier instancia que no esté en la lista se le permitirá de manera implícita tener una dirección IP externa. Solo puedes especificar allowedValues
o deniedValues
, pero no ambos.
Luego, debes pasar el archivo con la solicitud:
gcloud beta resource-manager org-policies set-policy MY_POLICY.JSON --project example-project
API
Usa la API de setOrgPolicy()
para definir la restricción. Las VM que aparecen en la lista allowedValue
que especificas podrán tener direcciones IP externas. De manera alternativa, puedes especificar una lista deniedValues
en la que se expresen las instancias de VM que no quieres que tengan una dirección IP externa. Cualquier instancia que no esté en la lista, está autorizada de forma implícita a tener una dirección IP externa. Solo puedes especificar allowedValues
o deniedValues
, pero no ambos.
Por ejemplo, la siguiente es una solicitud para establecer la restricción compute.vmExternalIpAccess
en un proyecto a fin de permitir que instancias de VM específicas tengan direcciones IP externas:
POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setOrgPolicy
Reemplaza PROJECT_ID
por el ID del proyecto para esta solicitud.
El cuerpo de la solicitud contiene la política deseada de esta restricción:
{ "policy": { "constraint": "constraints/compute.vmExternalIpAccess", "listPolicy": { "allowedValues": [ "projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME" ] } } }
Prácticas recomendadas
Google recomienda que evites usar la lista
deniedValues
con esta restricción. Definir los valores en la listadeniedValues
implica que solo las instancias de VM en la listadeniedValues
tienen restringido el uso de direcciones IP externas. Esto podría representar un problema de seguridad si quieres controlar con precisión qué instancias pueden tener direcciones IP externas. Si quieres quitar determinadas instancias de la listaallowedValues
, debes actualizar la política existente para quitar las instancias deallowedList
, en lugar de colocar las instancias en la listadeniedValues
en una jerarquía inferior.Si deseas establecer una política en una gran parte de la jerarquía de recursos, pero eximir determinados proyectos, debes restablecer la política predeterminada con el método
setOrgPolicy
mediante la especificación del objetorestoreDefault
a fin de permitir que todas las VM en los proyectos se asocien con direcciones IP externas. Las políticas vigentes en la actualidad para los proyectos no se verán afectadas por esta configuración predeterminada.Usa esta política de organización junto con las funciones de IAM si quieres controlar mejor tu entorno. Esta política solo aplica a las instancias de VM, pero si deseas controlar y restringir mejor las direcciones IP externas en los dispositivos de red, puedes otorgar la función
compute.networkAdmin
a las partes correspondientes.Todos los servicios y productos que se ejecutan en Compute Engine dentro de la organización o proyecto con la política habilitada están sujetos a esta política de la organización. En particular, los servicios como Google Kubernetes Engine, Dataflow, Dataproc y Cloud SQL se ven afectados por esta política. Si esto genera algún problema, Google recomienda configurar otros servicios y productos en un proyecto diferente que no tenga aplicada la política de la organización, y usar Cross Project Networking si es necesario.
Pasos siguientes
- Obtén más información sobre direcciones IP.
- Obtén más información sobre redes y firewalls.
- Obtén más información sobre cómo acceder a instancias de VM con DNS interno.
- Revisa los precios de VPC.