Configurazione di rete del cluster Dataproc

Questa pagina illustra i requisiti e le opzioni di configurazione della rete del cluster Dataproc.

Requisiti di connettività Dataproc

Il cluster Dataproc deve trovarsi in una rete VPC che soddisfi i requisiti di route e firewall per accedere in modo sicuro alle API di Google e ad altre risorse.

Requisiti delle route

L'agente Dataproc in esecuzione sulle VM del cluster ha bisogno di una route a internet per accedere all'API di controllo Dataproc e ottenere i job e lo stato dei report. Una volta create, le reti VPC contengono una route predefinita generata dal sistema verso internet. Non è consigliabile eliminare la route predefinita a internet; utilizza invece i firewall per controllare l'accesso alla rete. Tieni presente che anche i cluster solo IP interni richiedono questa route predefinita a internet per accedere alle API di controllo Dataproc e ad altri servizi Google, come Cloud Storage, ma il loro traffico non esce dai data center Google.

Requisiti del firewall

Le macchine virtuali (VM) del cluster Dataproc devono essere in grado di comunicare tra loro utilizzando i protocolli ICMP, TCP (tutte le porte) e UDP (tutte le porte).

La regola firewall default per la rete VPC di default-allow-internal soddisfa i requisiti di connettività dei cluster Dataproc e consente il traffico in entrata dall'intervallo di origine 10.128.0.0/9 da tutte le VM sulla rete VPC nel modo seguente:

Regola Rete Direzione Priorità Intervallo di origine Protocolli:Porte
default-allow-internal default In entrata 65534 10.128.0.0/9 tcp:0-65535,udp:0-65535,icmp

  • Se elimini la regola firewall default-allow-internal, il traffico in entrata nella rete default viene bloccato dalla regola di negazione in entrata implicita.

  • Se elimini la regola firewall default-allow-internal o non utilizzi la rete VPC default, devi creare una regola personalizzata che soddisfi i requisiti di connettività di Dataproc e quindi applicarla alla rete VPC del cluster.

Best practice: crea una regola firewall in entrata per la rete VPC del cluster che consenta la connettività in entrata solo tra le VM cluster utilizzando un intervallo IP di origine o identificando le VM del cluster in base al tag di rete o all'account di servizio.

Crea una regola firewall in entrata

Se tu o l'amministratore di rete o dell'amministratore della sicurezza create una regola firewall in entrata da applicare a una rete VPC di cluster Dataproc, questa deve avere le seguenti caratteristiche:

  • Il parametro sources specifica le origini dei pacchetti. Tutte le VM dei cluster Dataproc devono essere in grado di comunicare tra loro. Puoi identificare le VM nel cluster in base all'intervallo di indirizzi IP, ai tag di origine o agli account di servizio associati alle VM.

  • Il target della regola deve identificare le VM del cluster. La destinazione può essere tutte le VM nella rete VPC oppure puoi identificare le VM in base all'intervallo di indirizzi IP, al tag di destinazione o all'account di servizio di destinazione.

  • La regola deve includere i seguenti protocolli e porte:

    • TCP (tutte le porte, da 0 a 65535)
    • UDP (tutte le porte, da 0 a 65535)
    • ICMP

    Dataproc utilizza servizi che vengono eseguiti su più porte. La specifica di tutte le porte consente di eseguire correttamente i servizi.

Diagnosticare le regole firewall VPC

Per controllare i pacchetti non elaborati da regole firewall con priorità più alta, puoi creare due regole firewall di negazione a bassa priorità (65534). A differenza delle regole firewall implicite, puoi abilitare il logging delle regole firewall per ciascuna di queste regole a bassa priorità:

  1. Una regola di negazione in entrata (origini 0.0.0.0/0, tutti i protocolli, tutte le destinazioni nella rete VPC)

  2. Una regola di negazione in uscita (destinazioni 0.0.0.0/0, tutti i protocolli, tutte le destinazioni nella rete VPC)

  • Grazie al logging di queste regole a bassa priorità e di queste regole firewall, puoi creare pacchetti di log non elaborati da regole firewall con priorità più elevata e potenzialmente più specifiche. Queste due regole a bassa priorità si allineano inoltre alle best practice di sicurezza implementando una strategia di "eliminazione dei pacchetti finali".

  • Esamina i log delle regole firewall per individuare queste regole per determinare se è necessario creare o modificare regole con priorità più elevata per consentire i pacchetti. Ad esempio, se i pacchetti inviati tra le VM dei cluster Dataproc vengono eliminati, questo può essere un segnale che le regole firewall devono essere modificate.

Crea una rete VPC

Anziché utilizzare la rete VPC default, puoi creare la tua modalità automatica o una rete VPC personalizzata. Quando crei il cluster, associ la tua rete al cluster.

Ambiente Assured Workloads: quando utilizzi un ambiente Assured Workloads per la conformità normativa, il cluster, la relativa rete VPC e i relativi bucket Cloud Storage devono essere contenuti all'interno dell'ambiente Assured Workloads.

Crea un cluster che utilizza la tua rete VPC

Google Cloud CLI

Utilizza gcloud dataproc clusters create con il flag ‑‑network o ‑‑subnet per creare un cluster su una subnet della tua rete. Se utilizzi il flag ‐‐network, il cluster utilizzerà una subnet con lo stesso nome della rete specificata nella regione in cui viene creato il cluster.

--network example. Poiché le reti automatiche vengono create con subnet in ogni regione e a ciascuna subnet viene assegnato il nome di rete, puoi passare il nome della rete VPC in modalità automatica al flag ‑‑network. Il cluster utilizzerà la subnet VPC in modalità automatica nella regione specificata con il flag ‐‐region.

gcloud dataproc clusters create CLUSTER_NAME \
    --network NETWORK_NAME \
    --region=REGION \
    ... other args ...

--subnet example. Puoi utilizzare il flag ‑‑subnet per creare un cluster che utilizza una modalità automatica o una subnet di rete VPC personalizzata nella regione del cluster. Specifica il percorso completo della risorsa della subnet.

gcloud dataproc clusters create CLUSTER_NAMEW \
    --subnet projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME \
    --region=REGION \
    ... other args ...

API REST

Puoi specificare il campo networkUri o subnetUri GceClusterConfig come parte di una richiesta clusters.create.

Esempio

POST /v1/projects/my-project-id/regions/us-central1/clusters/
{
  "projectId": "PROJECT_ID",
  "clusterName": CLUSTER_NAME,
  "config": {
    "configBucket": "",
    "gceClusterConfig": {
      "subnetworkUri": SUBNET_NAME,
    },
    ...

Console

Seleziona la tua rete nella sezione Configurazione rete nel riquadro Personalizza cluster. Dopo aver scelto la rete, il selettore Subnet mostra le subnet disponibili nella regione selezionata per il cluster.

Crea un cluster che utilizza una rete VPC in un altro progetto

Un cluster Dataproc può utilizzare una rete VPC condivisa definita in un progetto host. Il progetto in cui viene creato il cluster Dataproc è denominato progetto di servizio.

  1. Trova il numero di progetto del cluster Dataproc:

    1. Apri la pagina Impostazioni IAM e amministrazione nella console Google Cloud. Seleziona il progetto in cui creerai il cluster Dataproc. Copia l'ID progetto.

  2. Un'entità con il ruolo Amministratore VPC condiviso deve eseguire i seguenti passaggi. Per informazioni di base, consulta le istruzioni per la configurazione di un VPC condiviso.

    1. Assicurati che il progetto host del VPC condiviso sia abilitato.

    2. Collega il progetto con il cluster Dataproc al progetto host.

    3. Segui le istruzioni in questo passaggio secondario per configurare entrambi i seguenti account di servizio in modo da avere il ruolo Utente di rete per il progetto host:

      1. Apri la pagina IAM e amministrazione nella console Google Cloud.

      2. Utilizza il selettore di progetti per selezionare il nuovo progetto host.

      3. Fai clic su Concedi l'accesso.

      4. Compila il modulo Concedi l'accesso. Ripeti questi passaggi per aggiungere entrambi gli account di servizio:

        1. Aggiungi entità: inserisci l'account di servizio.

        2. Assegna ruoli: inserisci "Rete Compute" nella casella di filtro, quindi seleziona il ruolo Utente di rete Compute.

        3. Fai clic su Salva.

  3. Dopo che entrambi gli account di servizio hanno ricevuto il ruolo Network User per il progetto host, crea un cluster che utilizzi la rete VPC condivisa.

Crea un cluster che utilizza una subnet VPC in un altro progetto

Un cluster Dataproc può utilizzare una subnet VPC condivisa definita in un progetto host. Il progetto in cui viene creato il cluster Dataproc è denominato progetto di servizio.

  1. Trova il numero di progetto del cluster Dataproc:

    1. Apri la pagina Impostazioni IAM e amministrazione nella console Google Cloud. Seleziona il progetto in cui creerai il cluster Dataproc. Copia l'ID progetto.

  2. Un'entità con il ruolo Amministratore VPC condiviso deve eseguire i seguenti passaggi. Per informazioni di base, consulta le istruzioni per la configurazione di un VPC condiviso.

    1. Assicurati che il progetto host del VPC condiviso sia abilitato.

    2. Collega il progetto con il cluster Dataproc al progetto host.

    3. Segui le istruzioni in questo passaggio per configurare entrambi i seguenti account di servizio in modo da avere il ruolo Utente di rete per il progetto host:

      1. Apri la pagina Reti VPC nella console Google Cloud.

      2. Utilizza il selettore di progetti per selezionare il progetto host.

      3. Fai clic sulla rete che contiene la subnet che verrà utilizzata dal cluster Dataproc.

      4. Nella pagina Dettagli rete VPC, fai clic sulla casella di controllo accanto al nome della subnet che verrà utilizzata dal cluster.

      5. Se il riquadro Informazioni non è aperto, fai clic su Mostra riquadro informazioni.

      6. Svolgi i seguenti passaggi per ogni account di servizio:

        1. Nel riquadro delle informazioni, fai clic su Aggiungi entità.

        2. Compila il modulo Concedi accesso:

          1. Aggiungi entità: inserisci l'account di servizio.

          2. Assegna ruoli: inserisci "Rete Compute" nella casella di filtro, quindi seleziona il ruolo Utente di rete Compute.

          3. Fai clic su Salva.

  3. Dopo che entrambi gli account di servizio hanno il ruolo Network User per il progetto host, crea un cluster che utilizzi la subnet VPC condivisa.

Crea un cluster Dataproc solo con indirizzi IP interni

Puoi creare un cluster Dataproc isolato dalla rete internet pubblica le cui istanze VM comunicano su una subnet IP privata (alle VM cluster non vengono assegnati indirizzi IP pubblici). A tale scopo, nella subnet deve essere abilitato l'accesso privato Google per consentire ai nodi cluster di accedere alle API e ai servizi Google, ad esempio Cloud Storage, da IP interni.

Interfaccia a riga di comando gcloud

Puoi creare un cluster Dataproc solo con indirizzi IP interni utilizzando il comando gcloud dataproc clusters create con il flag ‑‑no-address.

Utilizza i flag ‐‐no-address e ‐‐network: utilizza il flag ‑‑no-address con il flag ‑‑network per creare un cluster che utilizzerà una subnet con lo stesso nome della rete nella regione in cui viene creato il cluster.

gcloud dataproc clusters create CLUSTER_NAME \
    --no-address \
    --network NETWORK_NAME \
    --region=REGION \
    ... other args ...

Ad esempio, poiché le reti automatiche vengono create con subnet in ogni regione con lo stesso nome della rete automatica, puoi passare il nome della rete automatica a ‑‑network flag per creare un cluster che utilizzerà la subnet automatica nella regione del cluster.

Utilizza i flag ‐‐no-address e ‐‐subnet: utilizza il flag ‑‑no-address con i flag ‑‑subnet per creare un cluster che utilizzerà una subnet automatica o personalizzata nella regione in cui verrà creato il cluster. Passa il flag ‑‑subnet per il percorso completo della risorsa della subnet.

gcloud dataproc clusters create cluster-name \
    --no-address \
    --subnet projects/project-id/regions/region/subnetworks/subnetwork-name \
    --region=region \
    ... other args ...

API REST

Puoi impostare il campo GceClusterConfig internalIpOnly su true come parte di una richiesta clusters.create per abilitare solo gli indirizzi IP interni.

Esempio:

POST /v1/projects/my-project-id/regions/us-central1/clusters/
{
  "projectId": "my-project-id",
  "clusterName": "example-cluster",
  "config": {
    "configBucket": "",
    "gceClusterConfig": {
      "subnetworkUri": "custom-subnet-1",
      "zoneUri": "us-central1-b",
      "internalIpOnly": true
    },
    ...

Console

Puoi creare un cluster Dataproc con accesso privato Google abilitato dalla pagina Crea un cluster di Dataproc nella console Google Cloud. Fai clic su Solo IP interno nel riquadro Personalizza cluster per abilitare questa funzionalità per il tuo cluster.

Poiché, per impostazione predefinita, i cluster solo IP interno non hanno accesso a internet, i job che scaricano dipendenze da internet, ad esempio quelli che scaricano pacchetti di dipendenze di Spark da Maven Central, non andranno a buon fine. Esistono diverse soluzioni per evitare il problema:

  1. Utilizza Cloud NAT per abilitare l'accesso del cluster a internet.

  2. Crea un'immagine personalizzata che includa le dipendenze (ad esempio, pacchetti di dipendenze Spark in /usr/lib/spark/jars/).

  3. Carica le dipendenze in un bucket Cloud Storage, quindi utilizza un'azione di inizializzazione per scaricare le dipendenze dal bucket durante la creazione del cluster.

Reti Dataproc e Controlli di servizio VPC

Con Controlli di servizio VPC, gli amministratori possono definire un perimetro di sicurezza intorno alle risorse dei servizi gestiti da Google per controllare le comunicazioni con quei servizi.

Tieni presente le seguenti limitazioni e strategie quando utilizzi le reti Controlli di servizio VPC con i cluster Dataproc: