Configuration du réseau du cluster Dataproc

Cette page explique les exigences et les options de configuration réseau du cluster Dataproc.

Conditions de connectivité Dataproc

Votre cluster Dataproc doit se trouver dans un réseau VPC qui répond aux exigences de routage et de pare-feu pour accéder de manière sécurisée aux API Google et à d'autres ressources.

Exigences de routage

Agent Dataproc exécuté sur les VM de cluster a besoin d'une route vers Internet pour accéder à l'API de contrôle Dataproc pour obtenir des jobs et des rapports sur leur état. Une fois créés, les réseaux VPC contenir une route par défaut générée par le système ; à Internet. Il n'est pas recommandé de supprimer la route par défaut vers Internet. utilisez plutôt des pare-feu pour contrôler l'accès au réseau. Notez que Les clusters réservés aux adresses IP internes ont besoin de cette route par défaut vers Internet pour accéder aux API de contrôle Dataproc et d'autres services Google tels que Cloud Storage, mais son trafic quittent les centres de données Google.

Exigences de pare-feu

Les machines virtuelles (VM) du cluster Dataproc doivent pouvoir communiquer entre elles à l'aide des protocoles ICMP, TCP (tous les ports) et UDP (tous les ports).

Le réseau VPC default Pare-feu default-allow-internal respecte les exigences de connectivité des clusters Dataproc et autorise le trafic d'entrée provenant de la plage source 10.128.0.0/9 toutes les VM du réseau VPC comme suit:

Règle Réseau Direction Priorité Plage source Protocoles:Ports
default-allow-internal default ingress 65534 10.128.0.0/9 tcp:0-65535,udp:0-65535,icmp

  • Si vous supprimez la règle de pare-feu default-allow-internal, le trafic entrant sur le réseau default est bloqué par règle implicite d'entrée interdite.

  • Si vous supprimez la règle de pare-feu default-allow-internal ou si vous n'utilisez pas le réseau VPC default, vous devez créer votre propre règle qui répond aux exigences de connectivité de Dataproc, puis l'appliquer au réseau VPC de votre cluster.

Bonne pratique : créez une règle de pare-feu d'entrée pour votre réseau VPC de cluster qui n'autorise la connectivité entrante qu'entre les VM du cluster à l'aide d'une plage d'adresses IP source ou en identifiant les VM du cluster par tag réseau ou compte de service.

Créer une règle de pare-feu d'entrée

Si vous ou votre administrateur réseau ou de sécurité créez une règle de pare-feu d'entrée à appliquer à un réseau VPC de cluster Dataproc, elle doit présenter les caractéristiques suivantes :

  • Le paramètre sources spécifie les sources des paquets. Toutes les VM de cluster Dataproc doivent pouvoir communiquer entre eux. Vous pouvez identifier les VM du cluster par la plage d'adresses IP, les tags sources ou les comptes de service associés aux VM.

  • La cible de la règle doit identifier les VM du cluster. La cible peut être toutes les VM du réseau VPC, ou vous pouvez identifier des VM par plage d'adresses IP, tag cible ou compte de service cible.

  • La règle doit inclure les éléments suivants : protocoles et ports:

    • TCP (tous les ports, 0 à 65 535)
    • UDP (tous les ports, de 0 à 65535)
    • ICMP

    Dataproc utilise des services qui s'exécutent sur plusieurs ports. La spécification de tous les ports facilite l'exécution des services.

Diagnostiquer les règles de pare-feu VPC

Pour auditer les paquets non traités par des règles de pare-feu de priorité supérieure, vous pouvez créer deux règles de pare-feu de refus avec une faible priorité (65534). Contrairement aux règles de pare-feu implicites, vous pouvez activer la journalisation des règles de pare-feu pour chacune de ces règles de faible priorité :

  1. Une règle de refus d'entrée (sources 0.0.0.0/0, tous les protocoles, toutes les cibles du réseau VPC)

  2. Une règle de refus de sortie (destinations 0.0.0.0/0, tous les protocoles, toutes les cibles du réseau VPC)

  • Grâce à ces règles de faible priorité et à la journalisation des règles de pare-feu, vous pouvez consigner les paquets non traités par des règles de pare-feu de priorité supérieure (et potentiellement plus spécifiques). Ces deux règles de faible priorité respectent également les bonnes pratiques de sécurité en mettant en œuvre une stratégie de "paquets supprimés" finale.

  • Recherchez ces règles dans les journaux des règles de pare-feu. déterminez si vous devez créer ou modifier des règles de priorité supérieure paquets. Par exemple, si des paquets envoyés entre un cluster Dataproc Les VM sont abandonnées, cela peut indiquer que vos règles de pare-feu doivent être ajusté.

Créer un réseau VPC

Au lieu d'utiliser le réseau VPC default, vous pouvez créer votre propre réseau VPC en mode automatique ou personnalisé. Lorsque vous créez le cluster, vous associez votre réseau cluster.

Environnement Assured Workloads : lorsque vous utilisez un environnement Assured Workloads pour la conformité réglementaire, le cluster, son réseau VPC et ses buckets Cloud Storage doivent être contenus dans l'environnement Assured Workloads.

Créer un cluster utilisant votre réseau VPC

Console

Sélectionnez votre réseau dans la section "Configuration du réseau" du panneau Personnaliser le cluster. Une fois le réseau choisi, le sélecteur Sous-réseau affiche le ou les sous-réseaux disponibles dans la région sélectionnée pour le cluster.

Google Cloud CLI

Utilisez gcloud dataproc clusters create avec l'élément ‑‑network ou ‑‑subnet pour créer un cluster sur un sous-réseau de votre réseau. Si vous utilisez l'option "‐‐network", le cluster utilisera un sous-réseau avec ayant le même nom que le réseau spécifié dans la région où le cluster est créé.

--network example. Étant donné que les réseaux automatiques sont créés avec des sous-réseaux dans chaque région, et que chaque sous-réseau reçoit le nom du réseau, vous pouvez transmettre le nom du réseau VPC en mode automatique à l'indicateur ‑‑network. Le cluster utilisera le sous-réseau VPC en mode automatique région spécifiée avec l'indicateur "‐‐region".

gcloud dataproc clusters create CLUSTER_NAME \
    --network NETWORK_NAME \
    --region=REGION \
    ... other args ...

--subnet example. Vous pouvez utiliser l'indicateur ‑‑subnet pour créer un cluster qui utilise un sous-réseau de réseau VPC en mode automatique ou personnalisé dans la région du cluster. Spécifiez le chemin d'accès complet à la ressource du sous-réseau.

gcloud dataproc clusters create CLUSTER_NAMEW \
    --subnet projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
    --region=REGION \
    ... other args ...

API REST

Vous pouvez spécifier le champ networkUri ou subnetworkUri de la propriété GceClusterConfig dans le cadre d'une requête clusters.create.

Exemple

POST /v1/projects/my-project-id/regions/us-central1/clusters/
{
  "projectId": "PROJECT_ID",
  "clusterName": CLUSTER_NAME,
  "config": {
    "configBucket": "",
    "gceClusterConfig": {
      "subnetworkUri": SUBNET_NAME,
    },
    ...

Créer un cluster utilisant un réseau VPC dans un autre projet

Un cluster Dataproc peut utiliser Réseau VPC partagé défini dans un projet hôte. Le projet dans lequel le cluster Dataproc est créé appelé projet de service.

  1. Recherchez le numéro de projet du cluster Dataproc :

    1. Ouvrez la page Paramètres de IAM et administration dans la console Google Cloud. Sélectionnez le projet dans lequel vous allez créer le cluster Dataproc. Copiez l'ID du projet.

  2. Un compte principal doté du rôle Administrateur de VPC partagé doit procéder comme suit. Consultez les instructions de configuration du VPC partagé pour obtenir des informations générales.

    1. Assurez-vous que le projet hôte du VPC partagé est activé.

    2. Associer le projet au cluster Dataproc au projet hôte.

    3. Configurez le compte de service de l'agent de service Dataproc (service-[project-number]@dataproc-accounts.iam.gserviceaccount.com) pour qu'il dispose du rôle Utilisateur de réseau dans le projet hôte :

      1. Ouvrez le tableau de bord IAM et Administrateur de la console Google Cloud.

      2. Utilisez le sélecteur de projet pour choisir le nouveau projet hôte.

      3. Cliquez sur Accorder l'accès.

      4. Remplissez le formulaire "Accorder l'accès" :

        1. Ajouter des comptes principaux: saisissez le compte de service.

        2. Attribuer des rôles: insérez "Compute Network" Dans la zone de filtre, sélectionnez le rôle Utilisateur de réseau Compute.

        3. Cliquez sur Enregistrer.

  3. Une fois que le compte de service dispose du rôle Network User pour le projet hôte, créer un cluster qui utilise le réseau VPC partagé.

Créer un cluster qui utilise un sous-réseau VPC dans un autre projet

Un cluster Dataproc peut utiliser Sous-réseau VPC partagé défini dans un projet hôte. Le projet dans lequel le cluster Dataproc est créé appelé projet de service.

  1. Recherchez le numéro de projet du cluster Dataproc :

    1. Ouvrez le tableau de bord IAM & Administrateur la page Paramètres de console Google Cloud. Sélectionnez le projet dans lequel vous allez créer le cluster Dataproc. Copiez l'ID du projet.

  2. Un compte principal doté du rôle Administrateur de VPC partagé doit procéder comme suit. Consultez les instructions de configuration du VPC partagé pour obtenir des informations générales.

    1. Assurez-vous que le projet hôte du VPC partagé est activé.

    2. Associez le projet avec le cluster Dataproc au projet hôte.

    3. Configurez les Compte de service de l'agent de service Dataproc (service-[project-number]@dataproc-accounts.iam.gserviceaccount.com) l'utilisateur du réseau pour le projet hôte:

      1. Ouvrez la page Réseaux VPC dans la console Google Cloud.

      2. Sélectionnez le projet hôte à l'aide du sélecteur de projet.

      3. Cliquez sur le réseau contenant le sous-réseau que votre cluster Dataproc utilisera.

      4. Sur la page Détails du réseau VPC, cochez la case à côté du du sous-réseau que votre cluster utilisera.

      5. Si le panneau d'informations n'est pas ouvert, cliquez sur Afficher le panneau d'informations.

      6. Pour chaque compte de service, procédez comme suit :

        1. Dans le panneau d'informations, cliquez sur Ajouter un compte principal.

        2. Remplissez le formulaire d'octroi d'accès :

          1. Ajouter des comptes principaux: saisissez le compte de service.

          2. Attribuer des rôles: insérez "Compute Network" Dans la zone de filtre, sélectionnez le rôle Utilisateur de réseau de Compute.

          3. Cliquez sur Enregistrer.

  3. Une fois que le compte de service dispose du rôle Network User pour le projet hôte, créez un cluster qui utilise le sous-réseau VPC partagé.

Créer un cluster Dataproc avec des adresses IP internes uniquement

Vous pouvez créer un cluster Dataproc isolé de l'Internet public dont les instances de VM communiquent via un sous-réseau IP privé (les VM du cluster ne sont pas attribuées d'adresses IP publiques). Pour ce faire, le sous-réseau doit comporter Accès privé à Google activé permettant aux nœuds du cluster d'accéder aux API et services Google, Cloud Storage, à partir d'adresses IP internes.

Console

Vous pouvez créer un cluster Dataproc avec l'accès privé à Google. activé à partir de Dataproc Créer un cluster de la console Google Cloud. Cliquez sur Adresse IP interne uniquement dans le panneau Personnaliser le cluster pour activer cette fonctionnalité pour votre cluster.

CLI gcloud

Vous pouvez créer un cluster Dataproc avec des adresses IP internes uniquement à l'aide de la commande gcloud dataproc clusters create avec l'option ‑‑no-address.

Utiliser les options "--no-address" et "--network" : utilisez l'option ‑‑no-address avec l'option ‑‑network pour créer un cluster qui utilise un sous-réseau portant le même nom que le réseau de la région dans laquelle le cluster est créé.

gcloud dataproc clusters create CLUSTER_NAME \
    --no-address \
    --network NETWORK_NAME \
    --region=REGION \
    ... other args ...

Par exemple, comme les réseaux automatiques sont créés avec des sous-réseaux dans chaque région portant le même nom que le réseau automatique, vous pouvez lui transmettre à ‑‑network flag pour créer un cluster qui utilisera le sous-réseau automatique dans la région du cluster.

Utilisez les options "‐‐no-address" et "‐‐subnet" : Utilisez l'indicateur ‑‑no-address avec ‑‑subnet pour créer cluster qui utilisera un sous-réseau automatique ou personnalisé dans la région où le cluster sera créé. Transmettez à l'indicateur ‑‑subnet le chemin d'accès complet à la ressource du sous-réseau.

gcloud dataproc clusters create cluster-name \
    --no-address \
    --subnet projects/project-id/regions/region/subnetworks/subnetwork-name \
    --region=region \
    ... other args ...

API REST

Vous pouvez définir le champ GceClusterConfig internalIpOnly sur true dans le cadre d'une requête clusters.create pour activer seulement les adresses IP internes.

Exemple :

POST /v1/projects/my-project-id/regions/us-central1/clusters/
{
  "projectId": "my-project-id",
  "clusterName": "example-cluster",
  "config": {
    "configBucket": "",
    "gceClusterConfig": {
      "subnetworkUri": "custom-subnet-1",
      "zoneUri": "us-central1-b",
      "internalIpOnly": true
    },
    ...

Étant donné que, par défaut, les clusters associés à des adresses IP internes uniquement n'ont pas accès à Internet, les tâches qui téléchargent des dépendances sur Internet (par exemple, des tâches qui téléchargent des packages de dépendance Spark depuis Maven Central) échoueront. Il existe plusieurs solutions pour éviter ce problème :

  1. Utilisez Cloud NAT pour autoriser l'accès du cluster à Internet.

  2. Créez une image personnalisée incluant les dépendances (par exemple, les packages de dépendance Spark dans /usr/lib/spark/jars/).

  3. Chargez les dépendances dans un bucket Cloud Storage, puis utilisez une action d'initialisation pour télécharger les dépendances du bucket lors de la création du cluster.

Réseaux Dataproc et VPC Service Controls

VPC Service Controls permet aux administrateurs de définir un périmètre de sécurité autour des ressources des services gérés par Google afin de contrôler les communications avec et entre ces services.

Notez les limites et stratégies suivantes lorsque vous utilisez des réseaux VPC Service Controls avec des clusters Dataproc :