在 Google Cloud 上运行生产工作负载之前，我们建议您配置初始基础来支持您的工作。Google Cloud 设置可帮助管理员配置 Google Cloud，以运行可扩缩的工作负载。设置过程将引导您完成交互式步骤，从而帮助您创建遵循最佳实践的基础架构。
根据您的业务需求，您可以快速部署默认配置，也可以在设置过程中进行调整。根据您偏好的部署工作流，您可以直接从控制台部署配置，也可以下载并部署 Terraform 以与您自己的基础设施即代码 (IaC) 流程集成。
本文档包括帮助您完成设置过程的步骤和背景信息，您也可以在 Google Cloud 控制台中以交互式指南的形式查看此文档：
设置过程包括以下阶段：
建立组织、管理员和结算：设置层次结构的顶级节点，创建初始管理员用户，并关联付款方式。
创建初始架构：选择初始文件夹和项目结构，分配访问权限，配置日志记录，应用安全设置，以及设置网络。
部署设置：您的初始架构选项将在 Terraform 配置文件中编译。您可以通过 Google Cloud 控制台快速部署，也可以下载文件以使用您自己的工作流进行自定义和迭代。
应用监控和支持设置：应用建议的监控和支持设置，以增强您的架构。
建立组织、管理员和结算
创建初始架构
在此任务中，您将设置初始网络配置，并且您可以根据需要对其进行调整。
Virtual Private Cloud 架构
Virtual Private Cloud (VPC) 网络是物理网络的虚拟版本，在 Google 的生产网络内部实现。VPC 网络是一种全球性资源，由区域性子网组成。
VPC 网络可为 Google Cloud 资源（例如 Compute Engine 虚拟机实例、GKE 容器和 App Engine 柔性环境实例）提供网络功能。
共享 VPC 可将多个项目中的资源连接到一个公用 VPC 网络，让它们能够使用该网络的内部 IP 地址相互通信。下图展示了关联了服务项目的共享 VPC 网络的基本架构。
在使用共享 VPC 时，您需要指定一个宿主项目，并将一个或多个服务项目关联到该项目。宿主项目中的 Virtual Private Cloud 网络称为共享 VPC 网络。
示例图中有生产和非生产宿主项目，每个项目都包含一个共享 VPC 网络。您可以使用宿主项目来集中管理以下各项：
- 路由
- 防火墙
- 多个 VPN 连接
- 子网
服务项目是关联到宿主项目的任何项目。您可以在宿主项目和服务项目之间共享子网，包括次要范围。
在此架构中，每个共享 VPC 网络都包含公共和专用子网：
- 公共子网可供面向互联网的实例用于外部连接。
- 专用子网可供未分配公共 IP 地址的面向内部的实例使用。
在此任务中，您将根据示例图创建初始网络配置。
谁执行此任务
如需执行此任务，您需要具有以下身份之一：
roles/compute.networkAdmin角色。- 您在用户和群组任务中创建的
gcp-network-admins@YOUR_DOMAIN群组中的成员。
您在此任务中执行的操作
创建初始网络配置，包括以下内容：
- 创建多个宿主项目以反映您的开发环境。
- 在每个宿主项目中创建一个共享 VPC 网络，以允许不同的资源共享同一网络。
- 在每个共享 VPC 网络中创建不同的子网，以向服务项目提供网络访问权限。
我们为何建议执行此任务
不同的团队可以使用共享 VPC 连接到一个集中管理的公用 VPC 网络。
准备工作
完成以下任务：
- 在组织任务中创建超级用户和您的组织。
- 在用户和群组任务中添加用户并创建群组。
- 在管理员权限任务中，将 IAM 角色分配给群组。
- 在结算任务中创建或关联结算账号。
- 在层次结构和访问权限任务中，设置层次结构并分配访问权限。
配置网络架构
创建包含两个宿主项目的初始网络配置，以划分非生产和生产工作负载。每个宿主项目包含一个共享 VPC 网络，以供多个服务项目使用。您可以配置网络详细信息，然后在后续任务中部署配置文件。
如需配置初始网络，请执行以下操作：
以您在用户和群组任务中创建的
gcp-organization-admins@YOUR_DOMAIN群组中的用户身份登录 Google Cloud 控制台。从页面顶部的选择组织下拉列表中选择您的组织。
进入 Google Cloud 设置：网络。
查看默认网络架构。
如需修改网络名称，请执行以下操作：
- 点击 操作
- 选择修改网络名称。
- 在网络名称字段中，输入小写字母、数字或连字符。网络名称不能超过 25 个字符。
- 点击保存。
修改防火墙详情
宿主项目上的默认防火墙规则基于推荐的最佳实践。您可以选择停用一个或多个默认防火墙规则。如需了解有关防火墙规则的一般信息，请参阅 VPC 防火墙规则。
如需修改防火墙设置，请执行以下操作：
点击 操作。
选择修改防火墙规则。
如需详细了解每个默认防火墙规则，请参阅默认网络中的预填充规则。
如需停用防火墙规则，请清除其对应的复选框。
如需停用防火墙规则日志记录，请点击关闭。
默认情况下，系统会出于审核目的记录进出 Compute Engine 实例的流量。此过程会产生费用。如需了解详情，请参阅防火墙规则日志记录。
点击保存。
修改子网详情
每个 VPC 网络至少包含一个子网，该子网是具有关联 IP 地址范围的区域级资源。在此多区域配置中，您必须至少有两个具有非重叠 IP 范围的子网。
如需了解详情，请参阅子网。
每个子网均使用建议的最佳实践进行配置。如果您想要自定义每个子网，请执行以下操作：
- 点击 操作
- 选择修改子网。
- 在名称字段中，输入小写字母、数字或连字符。子网名称不能超过 25 个字符。
从区域下拉列表中，选择一个靠近您的服务点的区域。
我们建议为每个子网选择不同的区域。部署配置后，您将无法更改区域。如需了解如何选择区域，请参阅区域资源。
在 IP 地址范围字段中，输入采用 CIDR 表示法的范围，例如 10.0.0.0/24。
您输入的范围不得与此网络中的其他子网重叠。如需了解有效范围，请参阅 IPv4 子网范围。
对子网 2 重复上述步骤。
如需配置此网络中的其他子网，请点击添加子网，然后重复这些步骤。
点击保存。
您的子网会根据最佳实践自动进行配置。如果要修改配置，请在 Google Cloud 设置：VPC 网络页面中执行以下操作：
如需关闭 VPC 流日志，请从流日志列中选择关闭。
开启流日志后，每个子网都会记录网络流。您可以对网络流进行分析，以用于安全性、费用优化和其他用途。如需了解详情，请参阅使用 VPC 流日志。
VPC 流日志会产生费用。如需了解详情，请参阅 Virtual Private Cloud 价格。
如需关闭专用 Google 访问通道，请从专用访问通道列中选择关闭。
启用专用 Google 访问通道后，没有外部 IP 地址的虚拟机实例可以访问 Google API 和服务。如需了解详情，请参阅专用 Google 访问通道。
如需开启 Cloud NAT，请从 Cloud NAT 列中选择开启。
开启 Cloud NAT 后，某些资源可以创建与互联网的出站连接。如需了解详情，请参阅 Cloud NAT 概览。
Cloud NAT 会产生费用。如需了解详情，请参阅 Virtual Private Cloud 价格。
点击继续关联服务项目。
将服务项目关联到宿主项目
服务项目是关联到宿主项目的任何项目。此连接可让服务项目参与共享 VPC。每个服务项目可以由不同部门或团队运营和管理，以实现职责分离。
如需详细了解如何将多个项目连接到一个公用 VPC 网络，请参阅共享 VPC 概览。
如需将服务项目关联到宿主项目并完成配置，请执行以下操作：
对于共享 VPC 网络表格中的每个子网，选择一个要连接的服务项目。为此，请从服务项目列中的选择项目下拉列表中进行选择。
您可以将一个服务项目连接到多个子网。
点击继续审核。
查看您的配置并进行更改。
您可以在部署配置文件之前进行修改。
点击确认草稿配置。您的网络配置将添加到您的配置文件中。
在后续任务中部署配置文件之前，您的网络不会部署。
后续步骤
设置混合连接，这有助于您将本地服务器或其他云服务提供商连接到 Google Cloud。
在此任务中，您需要在对等（本地或其他云）网络和 Google Cloud 网络之间建立连接，如下图所示。
此流程会创建高可用性 VPN，这是一种高可用性 (HA) 解决方案，您可以快速创建该解决方案，以通过公共互联网传输数据。
部署 Google Cloud 设置后，建议您使用 Cloud Interconnect 创建更稳健的连接。
如需详细了解对等网络与 Google Cloud 之间的连接，请参阅以下内容：
谁执行此任务
您必须拥有 Organization Administrator 角色 (roles/resourcemanager.organizationAdmin)。
您在此任务中执行的操作
在 VPC 网络与本地网络或其他云网络之间创建低延迟、高可用性的连接。您可以配置以下组件：
- Google Cloud 高可用性 VPN 网关：一个具有两个接口的区域级资源，每个接口都有自己的 IP 地址。您需要指定 IP 栈类型，用于确定您的连接是否支持 IPv6 流量。如需了解相关背景信息，请参阅高可用性 VPN。
- 对等 VPN 网关：对等网络上的网关，Google Cloud 高可用性 VPN 网关会连接到该网关。您需要输入对等网关用来连接到 Google Cloud 的外部 IP 地址。如需了解相关背景信息，请参阅配置对等 VPN 网关。
- Cloud Router 路由器：使用边界网关协议 (BGP) 在 VPC 与对等网络之间动态交换路由。您需要分配一个自治系统编号 (ASN) 作为 Cloud Router 路由器的标识符，并指定对等路由器使用的 ASN。如需了解相关背景信息，请参阅创建 Cloud Router 路由器以将 VPC 网络连接到对等网络。
- VPN 隧道：将 Google Cloud 网关连接到对等网关。您需要指定用于建立隧道的互联网密钥交换 (IKE) 协议。您可以输入自己之前生成的 IKE 密钥，也可以生成并复制新密钥。如需了解相关背景信息，请参阅配置 IKE。
我们为何建议执行此任务
高可用性 VPN 可在您的现有基础架构与 Google Cloud 之间提供高可用性的安全连接。
准备工作
完成以下任务：
- 在组织任务中创建超级用户和您的组织。
- 在用户和群组任务中添加用户并创建群组。
- 在管理员权限任务中，将 IAM 角色分配给群组。
- 在结算任务中创建或关联结算账号。
- 在层次结构和访问权限任务中，设置层次结构并分配访问权限。
- 在 VPC 网络任务中配置网络。
请从您的对等网络管理员处收集以下信息：
- 您的对等 VPN 网关名称：您的 Cloud VPN 所连接的网关。
- 对等接口 IP 地址 0：您的对等网络网关上的外部 IP 地址。
- 对等接口 IP 地址 1：另一个外部地址；但如果您的对等网络只有一个外部 IP 地址，也可以重复使用 IP 地址 0。
- 对等自治系统编号 (ASN)：分配给您的对等网络路由器的唯一标识符。
- Cloud Router 路由器 ASN：您将分配给 Cloud Router 路由器的唯一标识符。
- 互联网密钥交换 (IKE) 密钥：用于与对等 VPN 网关建立两个 VPN 隧道的密钥。如果您还没有密钥，则可以在此设置过程中生成这些密钥，然后将其应用于您的对等网关。
配置连接
如需将 VPC 网络连接到对等网络，请执行以下操作：
以拥有 Organization Administrator 角色的用户身份登录。
从页面顶部的请选择下拉列表中选择您的组织。
前往 Google Cloud 设置：混合连接。
执行以下操作，以查看任务详情：
查看任务概览，然后点击开始混合连接。
点击每个标签页了解混合连接的各项内容，然后点击继续。
查看每个任务步骤的预期目标，然后点击继续。
查看您需要收集的对等网关配置信息，然后点击继续。
在混合连接区域，根据您的业务需求确定您要连接的 VPC 网络。
在您选择的第一个网络对应的行中，点击配置。
在配置概览区域，阅读相关说明，然后点击下一步。
在 Google Cloud 高可用性 VPN 网关区域，执行以下操作：
在 Cloud VPN 网关名称字段中，输入网关名称，可以使用小写字母、数字和连字符，且不得超过 60 个字符。
在 VPN 隧道内部 IP 栈类型区域，选择以下栈类型之一：
- IPv4 和 IPv6（推荐）：可以同时支持 IPv4 和 IPv6 流量。如果您打算允许在隧道中传输 IPv6 流量，建议您使用此设置。
- IPv4：只能支持 IPv4 流量。
栈类型决定了 VPC 网络与对等网络之间的隧道中允许传输的流量类型。创建网关后，无法再修改栈类型。如需了解相关背景信息，请参阅以下内容：
点击下一步。
在对等 VPN 网关区域，执行以下操作：
在对等 VPN 网关名称字段中，输入您的对等网络管理员提供的名称。该名称可以使用小写字母、数字和连字符，且不得超过 60 个字符。
在对等接口 IP 地址 0 字段中，输入您的对等网络管理员提供的对等网关接口外部 IP 地址。
在对等接口 IP 地址 1 字段中，执行以下操作之一：
- 如果您的对等网关有另一个接口，则输入其 IP 地址。
- 如果您的对等网关只有一个接口，则输入您在对等接口 IP 地址 0 中输入的地址。
如需了解相关背景信息，请参阅配置对等 VPN 网关。
点击下一步。
在 Cloud Router 路由器区域，执行以下操作：
在 Cloud Router 路由器 ASN 字段中，输入您的对等网络管理员提供的要分配给 Cloud Router 路由器的自治系统编号。如需了解相关背景信息，请参阅创建 Cloud Router 路由器。
在对等路由器 ASN 字段中，输入您的对等网络管理员提供的对等网络路由器自治系统编号。
在 VPN 隧道 0 区域，执行以下操作：
在隧道 0 名称字段中，输入一个名称，可以使用小写字母、数字和连字符，且不得超过 60 个字符。
在 IKE 版本区域，选择以下选项之一：
- IKEv2（推荐）：支持 IPv6 流量。
- IKEv1：如果您不打算允许在隧道中传输 IPv6 流量，则可使用此设置。
如需了解相关背景信息，请参阅配置 VPN 隧道。
在 IKE 预共享密钥字段中，输入您在对等网关配置中使用的密钥（由您的对等网络管理员提供）。如果您还没有密钥，可以点击生成并复制，然后将生成的密钥提供给您的对等网络管理员。
在 VPN 隧道 1 区域，重复上一步，为另一个隧道应用设置。您可以配置此隧道来实现冗余和额外的吞吐量。
点击保存。
针对您要连接到对等网络的任何其他 VPC 网络，重复这些步骤。
部署后事项
部署 Google Cloud 设置配置后，完成以下步骤以确保您的网络连接已完成：
与您的对等网络管理员协调，让您的对等网络设置与混合连接设置保持一致。部署完成后，系统会提供有关您的对等网络的具体说明，包括以下内容：
- 隧道设置。
- 防火墙设置。
- IKE 设置。
验证您创建的网络连接。例如，您可以使用 Network Intelligence Center 检查网络之间的连接。如需了解详情，请参阅 Connectivity Tests 概览。
如果您的业务需要更稳健的连接，不妨使用 Cloud Interconnect。如需了解详情，请参阅选择 Network Connectivity 产品。
后续步骤
部署配置，包括层次结构和访问权限、日志记录、网络和混合连接的设置。
部署设置
应用监控和支持设置