O recurso organization representa uma unidade administrativa ou uma função empresarial que partilha o mesmo conjunto de recursos e políticas comuns. O Google Distributed Cloud (GDC) air-gapped oferece isolamento físico entre organizações através de funcionalidades de multi-tenancy ao nível do hardware. Cada organização também tem os seus próprios componentes do plano de controlo para os respetivos serviços, que não são partilhados com outras organizações. Todos os recursos, como projetos, clusters e serviços, pertencem a uma organização em vez dos respetivos criadores. Por conseguinte, os recursos não são eliminados se o utilizador que os criou sair da organização. Em alternativa, todos os tipos de recursos seguem o ciclo de vida da organização. Para mais informações, consulte a hierarquia de recursos do GDC.
Conetividade de rede externa
Para ser útil, uma organização requer conetividade a redes externas. Isto permite que os administradores da plataforma (PA) e os operadores da aplicação (AO) façam a gestão da organização e dos respetivos recursos, e que os utilizadores finais consumam os serviços implementados na mesma. No GDC, toda a conetividade externa é fornecida por interconexões.
Quando uma organização é criada, não é associada automaticamente a nenhuma rede. Como operador, tem de executar passos de configuração adicionais para anexar uma organização a uma interconexão existente ou aprovisionar uma nova interconexão dedicada. Normalmente, isto envolve:
- Adicionar a organização a um
AttachmentGroup. - Criar recursos
Interconnectpara novas associações físicas ou lógicas. - Definir recursos
RoutePolicypara anunciar as rotas de rede da organização para a rede externa.
As organizações oferecem capacidades de rede melhoradas, incluindo a capacidade de as organizações com interconexões dedicadas usarem endereços IP externos sobrepostos, o que simplifica a gestão de IPs.
Para ver conceitos detalhados e procedimentos de configuração, consulte a vista geral do Interconnect.
Modelos de conetividade de interligação
As interconexões do GDC suportam duas configurações principais que se alinham com diferentes requisitos de segurança e gestão de IP.
Conetividade de rede externa partilhada
Este modelo permite que várias organizações se liguem a uma zona do GDC através de uma rede externa comum. Nesta configuração, o operador de infraestrutura (IO) gere normalmente a ligação física e a interligação BGP. Um requisito fundamental é que os endereços IP externos usados por cada organização têm de ser exclusivos na rede partilhada. Este modelo é mais simples de gerir para ambientes com um domínio de fidedignidade comum.
Conetividade de rede externa dedicada
Este modelo destina-se a organizações que requerem um maior grau de isolamento, estabelecendo ligação a uma rede externa distinta. Com a conetividade dedicada, o PA pode gerir a interligação BGP, o que lhe dá mais controlo.
Uma vantagem significativa deste modelo é a capacidade de as organizações usarem endereços IP externos sobrepostos. Esta capacidade simplifica a gestão de endereços IP, eliminando a necessidade de resolver conflitos de intervalos de IP em todos os inquilinos no universo da GDC.
Para ver conceitos detalhados e procedimentos de configuração, consulte a vista geral do Interconnect.
Arquiteturas de organizações
O GDC oferece duas arquiteturas para organizações:
- Arquitetura da organização com isolamento de ar da GDC v1 (organização v1)
- Arquitetura da organização isolada da GDC v2 (organização v2)
Superficialmente, as organizações com qualquer uma das arquiteturas são aprovisionadas, usadas e operadas de forma semelhante. No entanto, as arquiteturas de cluster, rede e armazenamento subjacentes são diferentes em cada tipo de organização.
Arquitetura da organização com lacuna de ar da GDC v1
Uma organização v1 é composta por dois clusters:
- Cluster de administrador da organização: executa os componentes do plano de controlo dos serviços geridos e do Marketplace para a organização. Também aloja alguns serviços de infraestrutura essenciais.
- Cluster do sistema: executa cargas de trabalho de máquinas virtuais (VM) e algumas cargas de trabalho do plano de dados do serviço gerido para a organização. O número de nós de trabalho depende da utilização do cluster.
O PA e o AO são necessários para aceder a estes tipos de clusters por vezes para implementar cargas de trabalho e gerir o sistema.
O armazenamento para clusters virtuais é processado por um controlador CSI específico do fornecedor no cluster.
Arquitetura da organização com lacuna de ar da GDC v2
Uma organização v2 consiste num cluster denominado cluster de infraestrutura da organização, que executa os componentes do plano de controlo e do plano de dados da organização. Este cluster também aloja o servidor da API de gestão onde todas as cargas de trabalho e os serviços que não são contentores são implementados. O servidor da API de gestão fornece uma camada onde os PAs e os AOs podem implementar cargas de trabalho, mas não interagir diretamente com o cluster de infraestrutura da organização.
O armazenamento para clusters virtuais é processado por um controlador CSI de proxy que permite ao controlador CSI do cluster de infraestrutura da organização processar operações.
Os componentes de rede, incluindo a gestão de endereços IP, o reencaminhamento de entrada e saída, e a estrutura VRF, oferecem melhorias em relação à arquitetura da organização v1 para a segurança e a usabilidade do sistema.
O que há de novo para organizações da v2?
A arquitetura de organização da V2 introduz alterações em vários componentes em comparação com a arquitetura de organização da V1.
API e arquitetura de cluster
A arquitetura de organização v2 fornece apenas um cluster para a organização, em vez dos dois clusters fornecidos na arquitetura anterior. A redução nos clusters permite uma utilização mais elástica dos recursos de hardware.
Também existe uma separação de rede do plano de controlo e do plano de dados que não estava disponível para organizações da v1. O servidor da API de gestão, ou plano de controlo, pode agora ser exposto numa rede do cliente diferente da rede do cliente à qual o plano de dados está exposto. Esta separação oferece uma camada de isolamento adicional opcional entre o aprovisionamento de recursos na nuvem e o consumo de recursos. Espera-se que os seus administradores e programadores tenham ligações a redes externas.
Armazenamento
A nova arquitetura de organização v2 remove as credenciais de armazenamento NetApp do cluster de utilizadores implementando o controlador CSI do KubeVirt em vez do controlador CSI do NetApp Trident que estava na arquitetura anterior. Esta atualização do controlador CSI reduz ainda mais os privilégios diretos da matriz de armazenamento.
Redes
As seguintes melhorias de rede estão disponíveis para organizações da v2:
- Encriptação de nó a nó
- Cluster dedicado para processar o tráfego de rede
- Redes de VMs simplificadas
- Utilização e gestão mais eficientes dos endereços IP
Encriptação de nó a nó
A arquitetura da organização v2 oferece encriptação entre os nós de hardware sem sistema operativo da organização, para que todo o tráfego de rede do cliente seja encriptado quando sai do nó físico, de modo a impedir que os comutadores de rede tenham visibilidade do tráfego não encriptado.
Cluster dedicado para processar o tráfego de rede
O cluster de perímetro é um cluster virtual escalável que processa todo o tráfego de entrada e saída (norte/sul) da organização. Este cluster também permite que o seu universo do GDC se mova para opções de sistema de deteção e prevenção de intrusões (IDPS) virtuais mais escaláveis no futuro.
Redes de VMs simplificadas
A arquitetura da organização v2 converge duas interfaces por VM da arquitetura anterior para uma única interface. As VMs são movidas para um modelo de rede de nuvem privada virtual (VPC) predefinido, o que significa que as VMs estão ligadas à rede ao nível da camada 3 (L3).
Os clientes também podem definir as suas próprias sub-redes, o que não é suportado para organizações da v1.
Utilização e gestão eficientes de endereços IP
A arquitetura da organização v2 permite endereços IP externos sobrepostos para organizações. Os endereços IP externos sobrepostos permitem que as organizações se liguem diretamente às redes dos clientes, eliminando a necessidade de um único espaço de endereços IP externos grande alinhado em todas as organizações no universo da GDC.
Os endereços IP também são fornecidos por organização, em vez de estarem ancorados a uma única sub-rede principal com âmbito zonal. Esta capacidade permite que os administradores especifiquem os seus próprios endereços IP, em vez de exigir que o operador especifique um. Esta funcionalidade oferece melhor elasticidade e isolamento para as organizações que pretendem um isolamento de rede forte ao não partilharem uma super-rede principal.
Para organizações da v1, eram necessários endereços IP NAT de saída um por projeto, por cluster de utilizador e por organização. Para organizações da v2, este requisito foi bastante melhorado para um por projeto, por organização. Esta alteração oferece uma maior eficiência na utilização de endereços IP fornecidos pelo cliente.
Diferenças funcionais entre as organizações v1 e v2
Uma organização v2 oferece todas as mesmas capacidades que uma organização v1. As únicas funcionalidades não disponíveis numa organização da versão 2 são as seguintes:
- Vertex AI
- CLI do serviço de base de dados
Que arquitetura vão usar as organizações multizonais?
Num universo GDC de várias zonas, se estiver a expandir uma organização existente para uma nova zona, a organização na nova zona tem de usar a mesma arquitetura que a zona existente. Por conseguinte, não é suportada a utilização de arquiteturas de organização diferentes por zona.
Como aprovisionar uma organização da versão 2
Quando aprovisiona uma organização, as organizações v2 são criadas por predefinição para os clientes não sujeitos a processos de acreditação.
No entanto, as organizações da v2 oferecem uma alteração arquitetónica significativa. Para implementações de clientes sujeitas a acreditação, a arquitetura de organização v1 permanece a predefinição até que a arquitetura de organização v2 conclua a acreditação.
A predefinição da arquitetura da organização é controlada por uma sinalização de funcionalidade configurada quando implementa uma zona.
Como forçar a arquitetura da organização
Em casos raros, pode querer substituir o comportamento de aprovisionamento predefinido e optar por forçar uma arquitetura de organização específica adicionando o campo spec.compatibilityOptions.architectureOverridePolicy ao recurso Organization durante o processo de aprovisionamento. Para mais informações, consulte a página Crie uma organização de clientes.
Não é recomendável substituir a arquitetura da organização predefinida, a menos que tenha um motivo forte para forçar um comportamento específico.
Por exemplo, pode forçar uma organização v1 se encontrar um problema significativo com uma organização v2 que bloqueie uma tarefa. Da mesma forma, pode forçar uma organização v2 se precisar de acreditação e precisar de uma única organização v2 para iniciar o processo de acreditação. Estas flags de substituição têm de ser removidas quando deixarem de ser estritamente necessárias para evitar o aprovisionamento futuro da organização com a arquitetura errada.
O que acontece às organizações v1 existentes?
As organizações existentes criadas antes da versão 1.14.2 do GDC com isolamento de ar permanecem na mesma arquitetura, mesmo que a zona do GDC seja atualizada para a versão 1.14.2 ou superior. Embora não esteja disponível nenhuma atualização no local para converter organizações v1 em organizações v2, as funcionalidades existentes nas organizações v1 vão continuar a ser suportadas até à descontinuação futura da arquitetura de organização v1.
Quaisquer novas funcionalidades no futuro podem ser adicionadas apenas a organizações da versão 2. Por conseguinte, recomendamos que mova as suas cargas de trabalho das organizações v1 para a nova arquitetura de organização v2 assim que possível. Um único universo isolado do GDC pode conter ambas as arquiteturas de organização em simultâneo, o que proporciona uma transição mais fácil.