Elenco di controllo per la configurazione di Google Cloud

Prima di eseguire carichi di lavoro di produzione su Google Cloud, ti consigliamo di configurare gli elementi di base iniziali per supportare il tuo lavoro. La configurazione di Google Cloud aiuta gli amministratori a configurare Google Cloud per carichi di lavoro scalabili. Il processo di configurazione ti guida attraverso una procedura interattiva che ti consente di creare un'architettura di base tenendo presenti le best practice.

Per adattarti alle esigenze della tua azienda, puoi eseguire rapidamente il deployment di una configurazione predefinita o apportare modifiche durante l'intero processo di configurazione. A seconda del flusso di lavoro di deployment che preferisci, puoi eseguire il deployment della configurazione direttamente dalla console oppure scaricare ed eseguire il deployment di Terraform per l'integrazione con il tuo processo Infrastructure as Code (IaC).

Questo documento include passaggi e informazioni di base per aiutarti a completare la procedura di configurazione, disponibile anche come guida interattiva nella console Google Cloud:

Vai alla configurazione di Google Cloud

La procedura di configurazione include le seguenti fasi:

• Definisci l'organizzazione, gli amministratori e la fatturazione: configura il nodo di primo livello della gerarchia, crea utenti amministratori iniziali e collega il tuo metodo di pagamento.

• Crea un'architettura iniziale: seleziona una cartella iniziale e una struttura del progetto, assegna l'accesso, imposta la rete e configura il logging.

• Esegui il deployment delle tue impostazioni: le scelte iniziali per l'architettura vengono compilate nei file di configurazione Terraform. Puoi eseguire rapidamente il deployment tramite la console Google Cloud o scaricare i file per personalizzare e ripetere utilizzando il tuo flusso di lavoro.

• Applica le impostazioni di sicurezza e assistenza: applica le impostazioni consigliate per monitoraggio, sicurezza e assistenza per rafforzare la tua architettura.

Specifica organizzazione, amministratori e fatturazione

Organizzazione

Una risorsa organizzazione in Google Cloud rappresenta la tua attività e funge da nodo di primo livello della tua gerarchia. Per creare la tua organizzazione, configura un servizio di identità Google e associalo al tuo dominio. Una volta completato questo processo, viene creata automaticamente una risorsa dell'organizzazione.

Per una panoramica della risorsa organizzazione, vedi quanto segue:

• Gestisci le risorse dell'organizzazione.
• Best practice per la pianificazione di account e organizzazioni.

Chi esegue questa attività

I due amministratori seguenti eseguono questa operazione:

• Un amministratore delle identità responsabile dell'assegnazione dell'accesso basato sui ruoli. Assegna a questa persona il ruolo di super amministratore di Cloud Identity. Per ulteriori informazioni sull'utente super amministratore, consulta Ruoli amministrativi predefiniti.

• Un amministratore di dominio con accesso all'host del dominio dell'azienda. Questa persona modifica le impostazioni del dominio, ad esempio le configurazioni DNS, nell'ambito della procedura di verifica del dominio.

Cosa fai in questa attività

• Se non lo hai già fatto, configura Cloud Identity per creare un account utente gestito per l'utente super amministratore.
• Collega Cloud Identity al tuo dominio, ad esempio example.com.
• Verifica il dominio. Questo processo crea il nodo radice della gerarchia delle risorse, noto come risorsa organizzazione.

Perché consigliamo questa attività

Nell'ambito della tua piattaforma Google Cloud, devi configurare quanto segue:

• Un servizio di identità Google per la gestione centralizzata delle identità.
• Una risorsa organizzazione per stabilire la radice della gerarchia e del controllo dell'accesso.

Opzioni del servizio di identità Google

Per amministrare le credenziali degli utenti di Google Cloud, puoi utilizzare uno dei seguenti servizi di identità Google o entrambi:

• Cloud Identity: gestisce a livello centralizzato utenti e gruppi. Puoi federare le identità tra Google e altri provider di identità. Per ulteriori informazioni, consulta la Panoramica di Cloud Identity.
• Google Workspace: gestisce utenti e gruppi e dà accesso a prodotti per la produttività e la collaborazione come Gmail e Google Drive. Per saperne di più, vedi Google Workspace.

Per informazioni dettagliate sulla pianificazione delle identità, consulta Pianificare il processo di onboarding per le identità aziendali.

Prima di iniziare

Per comprendere come gestire un account super amministratore, vedi Best practice per gli account super amministratore.

Configura un provider di identità e verifica il dominio

I passaggi da completare in questa attività dipendono dal fatto che tu sia un cliente nuovo o esistente. Identifica l'opzione più adatta alle tue esigenze:

• Nuovo cliente: configura Cloud Identity, verifica il dominio e crea la tua organizzazione.

• Cliente Google Workspace esistente: utilizza Google Workspace come provider di identità per gli utenti che accedono a Google Workspace e Google Cloud. Se prevedi di creare utenti che accedono solo a Google Cloud, attiva Cloud Identity.

• Cliente Cloud Identity esistente: verifica il dominio, assicurati che la tua organizzazione sia stata creata e conferma che Cloud Identity sia abilitato.

Nuovo cliente

Nuovo cliente: configura Cloud Identity e crea la tua organizzazione

Per creare la risorsa dell'organizzazione, devi prima configurare Cloud Identity, che consente di gestire utenti e gruppi che accedono alle risorse Google Cloud.

In questa attività devi configurare la versione gratuita di Cloud Identity.Puoi abilitare Cloud Identity Premium Edition dopo aver completato la configurazione iniziale. Per ulteriori informazioni, vedi Confronto tra funzionalità e versioni di Cloud Identity.

1. Identifica la persona che funge da amministratore di Cloud Identity (noto anche come super amministratore)

   Registra il nome utente dell'amministratore nel seguente formato: [e-mail]. Ad esempio, [e-mail]. Specifica questo nome utente quando crei il tuo primo utente amministratore.

2. Per completare la procedura di configurazione e creare l'account super amministratore, vai alla pagina di registrazione di Cloud Identity.

   Se ricevi un messaggio di errore quando configuri l'account amministratore, leggi l'errore "L'Account Google esiste già".

Verifica il dominio e crea la risorsa dell'organizzazione

Cloud Identity richiede la verifica della proprietà del dominio. Una volta completata la verifica, la tua risorsa dell'organizzazione Google Cloud verrà creata automaticamente per te.

1. Assicurati di aver creato un account super amministratore quando hai configurato il tuo provider di identità.

2. Verifica il dominio in Cloud Identity. Durante la procedura di verifica, tieni presente quanto segue:

   • Quando richiesto, non fare clic su Crea nuovi utenti. Creerai nuovi utenti in un'attività successiva.
   • Se non riesci a registrare il tuo dominio, vedi Non riesco a registrarmi a un servizio Google con il mio dominio.
   • L'elaborazione della verifica potrebbe richiedere diverse ore.

   Per i passaggi per verificare il dominio, vedi Verificare il dominio.

3. Al termine della procedura di verifica del dominio, fai clic su Configura subito la console Google Cloud.

4. Accedi alla console Google Cloud come utente super amministratore utilizzando l'indirizzo email specificato. Ad esempio, [e-mail].

5. Vai a Configurazione di Google Cloud: Organizzazione. L'organizzazione viene creata automaticamente.

   Vai a Organizzazione

6. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

Richiedere licenze utente di Cloud Identity aggiuntive

La versione gratuita di Cloud Identity include un'allocazione di licenze utente. Per la procedura per visualizzare e richiedere le licenze, vedi Tetto massimo di utenti per la versione gratuita di Cloud Identity.

Cliente di Workspace

Cliente di Google Workspace esistente: verifica il dominio e attiva Cloud Identity

Se sei già cliente di Google Workspace, verifica il dominio, assicurati che la risorsa dell'organizzazione venga creata automaticamente e, facoltativamente, abilita Cloud Identity.

1. Per verificare il dominio in Google Workspace, vedi Verificare il dominio. Durante la procedura di verifica, tieni presente quanto segue:

   • Quando richiesto, non fare clic su Crea nuovi utenti. Creerai nuovi utenti in un'attività successiva.
   • Se non riesci a registrare il tuo dominio, vedi Non riesco a registrarmi a un servizio Google con il mio dominio.
   • L'elaborazione della verifica potrebbe richiedere diverse ore.

2. Accedi alla console Google Cloud come utente super amministratore.

3. Vai a Configurazione di Google Cloud: Organizzazione.

   Vai a Organizzazione

4. Seleziona Sono già cliente di Google Workspace.

5. Assicurati che il nome della tua organizzazione sia visualizzato nell'elenco Organizzazione.

6. Se vuoi creare utenti che accedono a Google Cloud, ma non ricevono licenze Google Workspace, procedi nel seguente modo.

   1. In Google Workspace, attiva Cloud Identity.

   2. Quando configuri Cloud Identity, disattiva l'assegnazione automatica delle licenze di Google Workspace.

Cliente di Cloud Identity

Cliente Cloud Identity esistente: verifica del dominio

Se sei già cliente di Cloud Identity, assicurati di aver verificato il tuo dominio e che la risorsa dell'organizzazione sia stata creata automaticamente.

1. Per assicurarti di aver verificato il dominio, vedi Verificare il dominio. Durante la procedura di verifica, tieni presente quanto segue:

   • Quando richiesto, non fare clic su Crea nuovi utenti. Creerai nuovi utenti in un'attività successiva.
   • Se non riesci a registrare il tuo dominio, consulta l'articolo Non riesco a registrarmi a un servizio Google con il mio dominio.
   • L'elaborazione della verifica potrebbe richiedere diverse ore.

2. Accedi alla console Google Cloud come utente super amministratore.

3. Vai a Configurazione di Google Cloud: Organizzazione.

   Vai a Organizzazione

4. Seleziona Sono già cliente di Cloud Identity.

5. Assicurati che il nome della tua organizzazione sia visualizzato nell'elenco Organizzazione.

6. Assicurati che Cloud Identity sia abilitato in Console di amministrazione Google: abbonamenti. Accedi come utente super amministratore.

Passaggi successivi

Creare gruppi e aggiungere membri.

Utenti e gruppi

In questa attività, creerai gruppi di utenti e account utente gestiti per gli amministratori della tua organizzazione Google Cloud.

Per ulteriori informazioni sulla gestione degli accessi su Google Cloud, consulta quanto segue:

• Panoramica di Identity and Access Management (IAM).
• Per le best practice, vedi Gestire l'identità e l'accesso.

Prima di iniziare

Trova ed esegui la migrazione degli utenti che hanno già un Account Google. Per informazioni dettagliate, consulta Aggiungere utenti con account non gestiti.

Chi esegue questa attività

Un amministratore delle identità responsabile della gestione dell'accesso a individui o gruppi nella tua organizzazione. Hai assegnato a questa persona come super amministratore nell'attività Organizzazione.

Cosa fai in questa attività

In questa attività, eseguirai le seguenti procedure di gestione utenti:

• Crea un gruppo per ogni funzione amministrativa consigliata, incluse organizzazione, fatturazione e amministrazione di rete.
• Creare account utente per gli amministratori.
• Assegna gli utenti a gruppi amministrativi che corrispondono alle loro responsabilità.

Puoi personalizzare le autorizzazioni per ciascun gruppo in un'attività successiva.

Perché consigliamo questa attività

Questa attività ti aiuta a implementare le seguenti best practice per la sicurezza:

• Principio del privilegio minimo: concedi agli utenti le autorizzazioni minime necessarie per eseguire il loro ruolo e rimuovi l'accesso non appena non è più necessario.

• Controllo controllo dell'accesso basato sui ruoli (RBAC): assegna autorizzazioni a gruppi di utenti in base al loro ruolo professionale. Non aggiungere autorizzazioni a singoli account utente.

Puoi utilizzare i gruppi per applicare in modo efficiente i ruoli IAM a un insieme di utenti. Questa pratica ti aiuta a semplificare la gestione degli accessi.

Crea gruppi amministrativi

Un gruppo è una raccolta denominata di Account Google e account di servizio. Ogni gruppo ha un indirizzo email univoco, ad esempio [e-mail]. Puoi creare gruppi per gestire gli utenti e applicare ruoli IAM su larga scala.

I gruppi seguenti sono consigliati per aiutarti ad amministrare le funzioni principali dell'organizzazione e a completare il processo di configurazione di Google Cloud.

Gruppo	Descrizione
gcp-organization-admins	Amministra tutte le risorse dell'organizzazione. Assegna questo ruolo solo agli utenti più affidabili.
gcp-billing-admins	Configura gli account di fatturazione e monitora l'utilizzo.
gcp-network-admins	Creare reti, subnet e regole firewall nel virtual private cloud.
gcp-hybrid-connectivity-admins	Creare dispositivi di rete come istanze Cloud VPN e router Cloud.
gcp-logging-admins	Utilizza tutte le funzionalità di Cloud Logging.
gcp-logging-viewers	Accesso in sola lettura a un sottoinsieme di log.
gcp-monitoring-admins	Stabilire e gestire criteri di sicurezza per l'intera organizzazione, tra cui criteri di gestione degli accessi e vincoli dell'organizzazione. Consulta il progetto delle basi aziendali di Google Cloud per ulteriori informazioni sulla pianificazione della tua infrastruttura di sicurezza Google Cloud.
gcp-security-admins	Stabilisci e gestisci i criteri di sicurezza per l'intera organizzazione, tra cui criteri di gestione degli accessi e vincoli dell'organizzazione.
gcp-developers	Progettare, programmare e testare le applicazioni.
gcp-devops	Crea o gestisci pipeline end-to-end a supporto dell'integrazione e della distribuzione continua, del monitoraggio e del provisioning del sistema.

Per creare gruppi amministrativi, segui questi passaggi:

1. Accedi alla console Google Cloud con l'account super amministratore creato nell'attività Organizzazione.

2. Vai a Configurazione di Google Cloud: Utenti e gruppi.

   Vai a Utenti e gruppi

3. Rivedi i dettagli dell'attività e fai clic su Continua con utenti e gruppi.

4. Esamina l'elenco dei gruppi amministrativi consigliati, quindi esegui una delle seguenti operazioni:

   • Per creare tutti i gruppi consigliati, fai clic su Crea tutti i gruppi.
   • Se vuoi creare un sottoinsieme dei gruppi consigliati, fai clic su Crea nelle righe scelte.

5. Fai clic su Continua.

Crea utenti amministrativi

Ti consigliamo di aggiungere per la prima volta utenti che completano le procedure di organizzazione, networking, fatturazione e altre procedure di configurazione. Puoi aggiungere altri utenti dopo aver completato la procedura di configurazione di Google Cloud.

Per aggiungere utenti amministrativi che eseguono attività di configurazione di Google Cloud, segui questi passaggi:

1. Esegui la migrazione degli account consumer in account utente gestiti controllati da Cloud Identity. Per i passaggi dettagliati, consulta quanto segue:

   • Migrazione degli account consumer.
   • Aggiungi utenti con account non gestiti.

2. Accedi alla Console di amministrazione Google con un account super amministratore.

3. Utilizza una delle seguenti opzioni per aggiungere utenti:

   • Per aggiungere collettivamente gli utenti, vedi Aggiungere o aggiornare più utenti da un file CSV.
   • Per aggiungere gli utenti singolarmente, vedi Aggiungere un account per un nuovo utente.

4. Una volta aggiunti gli utenti, torna alla configurazione di Google Cloud: Utenti e gruppi (Crea utenti).

5. Fai clic su Continua.

Aggiungi utenti amministrativi ai gruppi

Aggiungi i membri che hai creato ai gruppi amministrativi che corrispondono ai loro compiti.

1. In Configurazione di Google Cloud: Utenti e gruppi (Aggiungi utenti a gruppi), rivedi i dettagli del passaggio.

2. In ogni riga Group:

   1. Fai clic su Aggiungi membri.
   2. Inserisci l'indirizzo email dell'utente.

   3. Nell'elenco a discesa Ruolo gruppo, seleziona le impostazioni di autorizzazione del gruppo dell'utente. Per ulteriori informazioni, vedi Impostare le autorizzazioni di visualizzazione, pubblicazione e moderazione.

      Ogni membro eredita tutti i ruoli IAM che concedi a un gruppo, indipendentemente dal ruolo del gruppo selezionato.

   4. Per aggiungere un altro utente a questo gruppo, fai clic su Aggiungi un altro membro e ripeti questi passaggi.

   5. Quando hai finito di aggiungere gli utenti al gruppo, fai clic su Salva.

3. Quando hai finito di aggiungere membri ai gruppi, fai clic su Conferma utenti e gruppi.

Passaggi successivi

Assegna le autorizzazioni ai gruppi di amministratori.

Accesso amministrativo

In questa attività utilizzerai Identity and Access Management (IAM) per assegnare raccolte di autorizzazioni a gruppi di amministratori a livello di organizzazione. Questo processo offre agli amministratori visibilità e controllo centralizzati su ogni risorsa cloud appartenente all'organizzazione.

Per una panoramica di Identity and Access Management in Google Cloud, consulta la panoramica di IAM.

Chi esegue questa attività

Per eseguire questa attività, devi essere una delle seguenti persone:

• Un utente super amministratore.
• Un utente con il ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin).

Cosa fai in questa attività

• Esamina un elenco dei ruoli predefiniti assegnati a ciascun gruppo di amministratori che hai creato nell'attività Utenti e gruppi.

• Se vuoi personalizzare un gruppo, puoi:

  • Aggiungere o rimuovere ruoli.
  • Se non prevedi di utilizzare un gruppo, puoi eliminarlo.

Perché consigliamo questa attività

Devi concedere esplicitamente tutti i ruoli amministrativi per la tua organizzazione. Questa attività consente di implementare le seguenti best practice per la sicurezza:

• Principio del privilegio minimo: fornisci agli utenti le autorizzazioni minime necessarie per eseguire i loro job e rimuovi l'accesso non appena non sono più necessari.

• Controllo controllo dell'accesso basato sui ruoli (RBAC): assegna autorizzazioni a gruppi di utenti in base ai loro job. Non concedere ruoli a singoli account utente.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.

Concedere l'accesso ai gruppi di amministratori

Per concedere l'accesso appropriato a ciascun gruppo di amministratori creato nell'attività Utenti e gruppi, esamina i ruoli predefiniti assegnati a ciascun gruppo. Puoi aggiungere o rimuovere ruoli per personalizzare l'accesso di ogni gruppo.

1. Assicurati di aver eseguito l'accesso alla console Google Cloud come utente super amministratore.

   In alternativa, puoi accedere come utente con il ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin).

2. Vai a Configurazione di Google Cloud: accesso amministrativo.

   Vai ad Accesso amministrativo

3. Seleziona il nome della tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

4. Esamina la panoramica dell'attività e fai clic su Continua accesso amministrativo.

5. Esamina i gruppi nella colonna Gruppo (entità) che hai creato nell'attività Utenti e gruppi.

   Nota: se non prevedi di utilizzare un gruppo, puoi eliminarlo.

6. Per ogni gruppo, esamina i ruoli IAM predefiniti. Puoi aggiungere o rimuovere i ruoli assegnati a ciascun gruppo per soddisfare le esigenze specifiche della tua organizzazione.

   Ogni ruolo contiene più autorizzazioni che consentono agli utenti di eseguire attività pertinenti. Per ulteriori informazioni sulle autorizzazioni in ciascun ruolo, consulta Riferimento ai ruoli IAM di base e predefiniti.

7. Quando è tutto pronto per assegnare ruoli a ciascun gruppo, fai clic su Salva e concedi l'accesso.

Passaggi successivi

Imposta la billing.

Fatturazione

In questa attività configurerai un account di fatturazione per pagare le risorse Google Cloud. Per farlo, devi associare una delle seguenti opzioni alla tua organizzazione.

• Un account di fatturazione Cloud esistente. Se non hai accesso all'account, puoi richiedere l'accesso all'amministratore dell'account di fatturazione.

• Un nuovo account di fatturazione Cloud.

Suggerimento: consigliamo di utilizzare un solo account di fatturazione per la tua organizzazione.

Per ulteriori informazioni sulla fatturazione, consulta la documentazione sulla fatturazione Cloud.

Chi esegue questa attività

Una persona nel gruppo di gcp-billing-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

• Crea o utilizza un account di fatturazione Cloud self-service esistente.
• Decidi se passare da un account self-service a un account con fatturazione.
• Configurare un account di fatturazione Cloud e un metodo di pagamento.

Perché consigliamo questa attività

Gli account di fatturazione Cloud sono collegati a uno o più progetti Google Cloud e vengono utilizzati per pagare le risorse che utilizzi, ad esempio macchine virtuali, networking e archiviazione.

Determinare il tipo di account di fatturazione

L'account di fatturazione che associ alla tua organizzazione è uno dei seguenti tipi.

• Self-service (o online): registrati online con una carta di credito o di debito. Ti consigliamo questa opzione se sei una piccola impresa o un privato. Quando crei un account di fatturazione online, questo viene configurato automaticamente come account self-service.

• Fatturato (oppure offline). Se hai già un account con fatturazione self-service, potresti avere l'idoneità per richiedere la fatturazione mensile non automatica se la tua attività soddisfa i requisiti di idoneità.

Non puoi creare un account con fatturazione mensile non automatica online, ma puoi richiedere la conversione di un account self-service in un account con fatturazione mensile non automatica.

Per ulteriori informazioni, vedi Tipi di account di fatturazione Cloud.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Configura l'account di fatturazione

Ora che hai scelto un tipo di account di fatturazione, associa l'account di fatturazione alla tua organizzazione. Una volta completata la procedura, potrai utilizzare il tuo account di fatturazione per pagare le risorse Google Cloud.

1. Accedi alla console Google Cloud come utente del gruppo gcp-billing-admins@YOUR_DOMAIN.

2. Vai a Configurazione di Google Cloud: Fatturazione.

   Vai a Fatturazione

3. Esamina la panoramica dell'attività e fai clic su Continua fatturazione.

4. Seleziona una delle seguenti opzioni per l'account di fatturazione:

   Crea un nuovo account

   Se la tua organizzazione non dispone di un account esistente, creane uno nuovo.

   1. Seleziona Voglio creare un nuovo account di fatturazione.
   2. Fai clic su Continua.

   3. Seleziona il tipo di account di fatturazione che vuoi creare. Per la procedura dettagliata, consulta quanto segue:

      • Per creare un nuovo account self-service, consulta Creare un nuovo account di fatturazione Cloud self-service.
      • Per eseguire la transizione di un account self-service esistente alla fatturazione mensile non automatica, consulta l'articolo Richiedere la fatturazione mensile con fatturazione mensile.

   4. Verifica che il tuo account di fatturazione sia stato creato:

      1. Se hai creato un account con fatturazione mensile non automatica, attendi fino a 5 giorni lavorativi per ricevere un'email di conferma.

      2. Vai alla pagina Fatturazione.

      3. Seleziona la tua organizzazione dall'elenco Seleziona da nella parte superiore della pagina. Se l'account è stato creato correttamente, viene visualizzato nell'elenco degli account di fatturazione.

   Usa il mio account esistente

   Se hai già un account di fatturazione, puoi associarlo alla tua organizzazione.

   1. Seleziona Ho identificato un account di fatturazione da questo elenco che vorrei utilizzare per completare la procedura di configurazione.
   2. Nell'elenco a discesa Fatturazione, seleziona l'account che vuoi associare alla tua organizzazione.
   3. Fai clic su Continua.
   4. Rivedi i dettagli e fai clic su Conferma account di fatturazione.

   Utilizza l'account di un altro utente

   Se un altro utente ha accesso a un account di fatturazione esistente, puoi chiedergli di associare l'account di fatturazione alla tua organizzazione oppure di concederti l'accesso per completare l'associazione.

   1. Seleziona Voglio utilizzare un account di fatturazione gestito da un altro account utente Google.
   2. Fai clic su Continua.
   3. Inserisci l'indirizzo email dell'amministratore dell'account di fatturazione.
   4. Fai clic su Contatta l'amministratore.
   5. Attendi che l'amministratore dell'account di fatturazione ti contatti per fornirti ulteriori istruzioni.

Passaggi successivi

Crea una gerarchia di risorse e assegna l'accesso.

Creare un'architettura iniziale

Gerarchia e accesso

In questa attività configurerai la gerarchia delle risorse creando e assegnando l'accesso alle seguenti risorse:

Cartelle

Fornire un meccanismo di raggruppamento e limiti di isolamento tra i progetti. Ad esempio, le cartelle possono rappresentare i reparti principali della tua organizzazione, come finanza o retail, oppure ambienti come la produzione o non di produzione.

Progetti

Contengono le risorse Google Cloud, ad esempio macchine virtuali, database e bucket di archiviazione.

Per considerazioni sulla progettazione e best practice per organizzare le risorse in progetti, vedi Decidere una gerarchia delle risorse per la zona di destinazione di Google Cloud.

Chi esegue questa attività

Questa attività può essere eseguita da una persona del gruppo gcp-organization-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

• Crea una struttura gerarchica iniziale che includa cartelle e progetti.
• Imposta i criteri IAM per controllare l'accesso alle cartelle e ai progetti.

Perché consigliamo questa attività

La creazione di una struttura per cartelle e progetti consente di gestire le risorse Google Cloud e assegnare l'accesso in base al funzionamento dell'organizzazione. Ad esempio, puoi organizzare e fornire l'accesso alle risorse in base all'unica raccolta di regioni geografiche, alle strutture delle società controllate o ai framework di responsabilità della tua organizzazione.

Pianifica la gerarchia delle risorse

La gerarchia delle risorse consente di creare confini e condividere risorse all'interno dell'organizzazione per svolgere attività comuni. Puoi creare la gerarchia utilizzando una delle seguenti configurazioni iniziali, in base alla struttura organizzativa:

• Semplici orientati all'ambiente:

  • Isola gli ambienti come Non-production e Production.
  • Implementa criteri, requisiti normativi e controlli di accesso distinti in ogni cartella di ambiente.
  • Ideale per le piccole aziende con ambienti centralizzati.

• Semplicità orientata ai team:

  • Isola i team come Development e QA.
  • Isola l'accesso alle risorse utilizzando le cartelle di ambiente figlio in ogni cartella del team.
  • Ideale per piccole aziende con team autonomi.

• Orientamento all'ambiente:

  • Dare priorità all'isolamento di ambienti come Non-production e Production.
  • In ogni cartella di ambiente, isola le unità aziendali.
  • In ogni unità aziendale, isola i team.
  • Ideale per le grandi aziende con ambienti centralizzati.

• Orientate alle unità aziendali:

  • Dai la priorità all'isolamento delle unità aziendali come Human Resources e Engineering per garantire che gli utenti possano accedere solo alle risorse e ai dati di cui hanno bisogno.
  • In ogni unità aziendale, isola i team.
  • In ogni team, isola gli ambienti.
  • Ideale per le grandi aziende con team autonomi.

Ogni configurazione ha una cartella Common per i progetti che contengono risorse condivise. Potrebbero essere inclusi il logging e il monitoraggio dei progetti.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.

Configura cartelle e progetti iniziali

Seleziona la gerarchia di risorse che rappresenta la struttura organizzativa.

Importante: se nella tua organizzazione esistono già cartelle e progetti, la nuova gerarchia delle risorse che crei viene visualizzata insieme alle risorse esistenti. Se esistono risorse identiche a quelle della gerarchia proposta, queste vengono unite automaticamente.

Per configurare cartelle e progetti iniziali:

1. Accedi alla console Google Cloud come utente dal gruppo gcp-organization-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: gerarchia e accesso.

   Vai a Gerarchia e accesso

4. Esamina la panoramica dell'attività, quindi fai clic su Avvia accanto a Gerarchia delle risorse.

5. Seleziona una configurazione iniziale.

6. Fai clic su Continua e configura.

7. Personalizza la gerarchia delle risorse in base alla struttura organizzativa. Ad esempio, puoi personalizzare quanto segue:

   • Nomi delle cartelle.

   • Progetti di servizio per ogni team. Per concedere l'accesso ai progetti di servizio, puoi creare quanto segue:

     • Un gruppo per ogni progetto di servizio.
     • Utenti in ogni gruppo.

     Per una panoramica dei progetti di servizio, vedi VPC condiviso.

   • Progetti richiesti per il monitoraggio, il logging e il networking.

   • Progetti personalizzati.

8. Fai clic su Continua.

9. Concedi l'accesso alle tue cartelle e ai tuoi progetti.

Concedi l'accesso alle tue cartelle e ai tuoi progetti

Nell'attività Accesso amministrativo, hai concesso l'accesso amministrativo ai gruppi a livello di organizzazione. In questa attività configurerai l'accesso ai gruppi che interagiscono con le cartelle e i progetti appena configurati.

Suggerimento: ti consigliamo di implementare il principio del privilegio minimo concedendo il livello di accesso minimo necessario alle risorse per ogni livello.

Progetti, cartelle e organizzazioni hanno ciascuno i propri criteri IAM, che vengono ereditati tramite la gerarchia delle risorse:

• Organizzazione: i criteri si applicano a tutte le cartelle e a tutti i progetti nell'organizzazione.
• Cartella: i criteri si applicano ai progetti e ad altre cartelle all'interno della cartella.
• Progetto: i criteri si applicano solo al progetto e alle relative risorse.

Aggiorna i criteri IAM per le cartelle e i progetti:

1. Nella sezione Configura il controllo dell'accesso di Gerarchia e accesso, consenti ai tuoi gruppi di accedere alle tue cartelle e ai tuoi progetti:

   1. Nella tabella, esamina l'elenco dei ruoli IAM consigliati concessi a ciascun gruppo per ciascuna risorsa.

   2. Se vuoi modificare i ruoli assegnati a ciascun gruppo, fai clic su Modifica nella riga desiderata.

      Per ulteriori informazioni su ciascun ruolo, consulta Ruoli IAM di base e predefiniti.

2. Fai clic su Continua.

3. Rivedi le modifiche e fai clic su Conferma configurazione di bozza.

Passaggi successivi

Configura una posizione centrale per archiviare e analizzare i dati di log.

Centralizza logging

In questa attività configurerai Cloud Logging per il routing dei log dai progetti della tua organizzazione a un bucket di log centrale.

Nota: Cloud Logging include un'allocazione mensile gratuita. Potrebbero esserti addebitati costi all'aumento dell'utilizzo delle risorse. Per i dettagli sui prezzi, vedi Riepilogo dei prezzi di Cloud Logging.

Chi esegue questa attività

Devi disporre di uno dei seguenti requisiti:

• Il ruolo Amministratore Logging (roles/logging.admin).
• Appartenenza al gruppo gcp-logging-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Organizza a livello centralizzato i log creati in progetti in tutta l'organizzazione per favorire la sicurezza, l'auditing e la conformità.

Perché consigliamo questa attività

La configurazione dell'archiviazione e della conservazione dei log semplifica l'analisi e preserva l'audit trail.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Organizzare centralmente il logging

Cloud Logging consente di archiviare, cercare, analizzare, monitorare e creare avvisi su dati di log ed eventi di Google Cloud. Puoi anche raccogliere ed elaborare i log da applicazioni, risorse on-premise e altri cloud. Per una panoramica su come Logging esegue il routing e l'archiviazione dei log, consulta Panoramica del routing e dell'archiviazione.

Per archiviare i dati di log in un bucket di log centrale:

1. Accedi alla console Google Cloud come utente dal gruppo gcp-logging-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: Centralizza il logging.

   Vai a Centralizza logging

4. Rivedi la panoramica dell'attività e fai clic su Avvia configurazione del logging.

5. Rivedi i dettagli dell'attività.

6. Per eseguire il routing dei log a un bucket di log centrale, assicurati che l'opzione Archivia gli audit log delle attività di amministrazione a livello di organizzazione in un bucket di log sia selezionata.

7. Nel campo Nome bucket di log, inserisci un nome per il bucket di log centrale.

8. Dall'elenco Regione del bucket di log, seleziona la regione in cui sono archiviati i dati di log.

   Per saperne di più, consulta Località dei bucket di log.

9. Consigliamo di archiviare i log per 365 giorni. Per personalizzare il periodo di conservazione, inserisci il numero di giorni nel campo Periodo di conservazione.

   I log archiviati per più di 30 giorni sono soggetti a un costo di conservazione. Per saperne di più, consulta il riepilogo dei prezzi di Cloud Logging.

10. Fai clic su Continua.

11. Rivedi i dettagli di configurazione del router dei log e fai clic su Conferma configurazione di bozza.

    Il deployment della configurazione del logging non viene eseguito finché non ne esegui il deployment in un'attività successiva.

Passaggi successivi

Configurare il networking.

Reti VPC

In questa attività devi impostare la configurazione di networking iniziale, che puoi scalare in base alle tue esigenze.

Architettura del virtual private cloud

Una rete Virtual Private Cloud (VPC) è una versione virtuale di una rete fisica implementata all'interno della rete di produzione di Google. Una rete VPC è una risorsa globale formata da subnet (subnet) regionali.

Le reti VPC forniscono funzionalità di networking alle tue risorse Google Cloud come istanze di macchine virtuali Compute Engine, container GKE e istanze dell'ambiente flessibile di App Engine.

Un VPC condiviso connette risorse di più progetti a una rete VPC comune in modo che possano comunicare tra loro utilizzando gli indirizzi IP interni della rete. Il seguente diagramma mostra l'architettura di base di una rete VPC condiviso con progetti di servizio collegati.

Quando utilizzi un VPC condiviso, designi un progetto host, a cui colleghi uno o più progetti di servizio. Le reti Virtual Private Cloud nel progetto host sono denominate reti VPC condiviso.

Il diagramma di esempio include progetti host di produzione e non di produzione, ciascuno contenente una rete VPC condiviso. Puoi usare un progetto host per gestire a livello centrale quanto segue:

• Route
• Firewall
• Connessioni VPN
• Subnet

Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Puoi condividere subnet, inclusi intervalli secondari, tra progetti host e di servizio.

In questa architettura, ogni rete VPC condiviso contiene subnet pubbliche e private:

• La subnet pubblica può essere utilizzata da istanze per internet per la connettività esterna.
• La subnet privata può essere utilizzata da istanze interne a cui non sono allocati indirizzi IP pubblici.

In questa attività creerai una configurazione di rete iniziale basata sul diagramma di esempio.

Chi esegue questa attività

Per eseguire questa operazione, è necessario uno dei seguenti requisiti:

• Il ruolo roles/compute.networkAdmin.
• Inclusione nel gruppo gcp-network-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Crea una configurazione di rete iniziale che includa quanto segue:

• Crea più progetti host per riflettere i tuoi ambienti di sviluppo.
• Crea una rete VPC condiviso in ciascun progetto host per consentire a risorse diverse di condividere la stessa rete.
• Crea subnet distinte in ogni rete VPC condiviso per fornire accesso di rete ai progetti di servizio.

Perché consigliamo questa attività

Team distinti possono utilizzare il VPC condiviso per connettersi a una rete VPC comune gestita centralmente.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Configurare l'architettura di rete

Crea la tua configurazione di rete iniziale con due progetti host per segmentare carichi di lavoro di produzione e non di produzione. Ogni progetto host contiene una rete VPC condiviso che può essere utilizzata da più progetti di servizio. Configurerai i dettagli della rete e quindi eseguirai il deployment di un file di configurazione in un'attività successiva.

Per configurare la rete iniziale, segui questi passaggi.

1. Accedi alla console Google Cloud come utente dal gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona un'organizzazione nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: Networking.

   Vai a Networking

4. Esamina l'architettura di rete predefinita.

5. Per modificare il nome della rete:

   1. Fai clic su Azioni
   2. Seleziona Modifica nome rete.
   3. Nel campo Nome rete, inserisci lettere minuscole, numeri o trattini. Il nome della rete non può superare i 25 caratteri.
   4. Fai clic su Salva.

Modifica dettagli firewall

Le regole firewall predefinite nel progetto host si basano sulle best practice consigliate. Puoi scegliere di disattivare una o più regole firewall predefinite. Per informazioni generali sulle regole firewall, vedi Regole firewall VPC.

Per modificare le impostazioni del firewall:

1. Fai clic su Azioni.

2. Seleziona Modifica regole firewall.

3. Per informazioni dettagliate su ogni regola firewall predefinita, consulta Regole precompilate nella rete predefinita.

4. Per disabilitare una regola firewall, deseleziona la casella di controllo corrispondente.

5. Per disabilitare il logging delle regole firewall, fai clic su Off.

   Per impostazione predefinita, il traffico da e verso le istanze di Compute Engine viene registrato a scopo di controllo. Questo processo prevede dei costi. Per ulteriori informazioni, consulta Logging delle regole firewall.

6. Fai clic su Salva.

Modifica i dettagli della subnet

Ogni rete VPC contiene almeno una subnet, ovvero una risorsa di regione con un intervallo di indirizzi IP associato. In questa configurazione multiregionale, devi avere almeno due subnet con intervalli IP non sovrapposti.

Per ulteriori informazioni, vedi Subnet.

Ogni subnet viene configurata utilizzando le best practice consigliate. Se vuoi personalizzare ciascuna subnet, segui questi passaggi:

1. Fai clic su Azioni
2. Seleziona Modifica subnet.
3. Nel campo Nome, inserisci lettere minuscole, numeri o trattini. Il nome della subnet non può superare i 25 caratteri.

4. Dal menu a discesa Regione, seleziona una regione vicina al tuo punto di servizio.

   Consigliamo una regione diversa per ogni subnet. Non puoi cambiare la regione dopo il deployment della configurazione. Per informazioni sulla scelta di una regione, consulta Risorse regionali.

5. Nel campo Intervallo di indirizzi IP, inserisci un intervallo con la notazione CIDR, ad esempio 10.0.0.0/24.

   L'intervallo inserito non deve sovrapporsi ad altre subnet in questa rete. Per informazioni sugli intervalli validi, vedi Intervalli di subnet IPv4.

   Nota :per espandere l'intervallo IPv4 principale di una subnet esistente, riduci la lunghezza del prefisso. Ad esempio, per espandere 10.0.0.0/24, utilizza 10.0.0.0/20.

6. Ripeti questi passaggi per la subnet 2.

7. Per configurare altre subnet in questa rete, fai clic su Aggiungi subnet e ripeti questi passaggi.

8. Fai clic su Salva.

Le subnet vengono configurate automaticamente in base alle best practice. Se vuoi modificare la configurazione, nella pagina Configurazione di Google Cloud: reti VPC segui questi passaggi:

1. Per disattivare Log di flusso VPC, seleziona Off dalla colonna Log di flusso.

   Quando i log di flusso sono attivi, ogni subnet registra i flussi di rete che puoi analizzare per sicurezza, ottimizzazione delle spese e altri scopi. Per ulteriori informazioni, consulta Utilizzare i log di flusso VPC.

   I log di flusso VPC sono soggetti a costi. Per ulteriori informazioni, consulta i prezzi di Virtual Private Cloud.

2. Per disattivare l'accesso privato Google, seleziona Off dalla colonna Accesso privato.

   Quando l'accesso privato Google è attivo, le istanze di VM che non hanno indirizzi IP esterni possono raggiungere le API e i servizi Google. Per maggiori informazioni, vedi Accesso privato Google.

3. Per attivare Cloud NAT, seleziona On dalla colonna Cloud NAT.

   Quando Cloud NAT è attivo, alcune risorse possono creare connessioni in uscita verso internet. Per ulteriori informazioni, consulta la panoramica di Cloud NAT.

   Cloud NAT comporta costi. Per ulteriori informazioni, consulta i prezzi di Virtual Private Cloud.

4. Fai clic su Continua a collegare i progetti di servizio.

Collega i progetti di servizio ai progetti host

Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Questo collegamento consente al progetto di servizio di partecipare al VPC condiviso. Ogni progetto di servizio può essere gestito e amministrato da reparti o team diversi per creare una separazione delle responsabilità.

Per ulteriori informazioni sulla connessione di più progetti a una rete VPC comune, vedi Panoramica del VPC condiviso.

Per collegare i progetti di servizio ai progetti host e completare la configurazione:

1. Per ogni subnet nella tabella Reti VPC condivise, seleziona un progetto di servizio da connettere. Per farlo, seleziona un'opzione dal menu a discesa Seleziona un progetto nella colonna Progetto di servizio.

   Puoi connettere un progetto di servizio a più subnet.

2. Fai clic su Passa alla revisione.

3. Rivedi la configurazione e apporta le modifiche.

   Puoi apportare modifiche fino a quando non esegui il deployment del file di configurazione.

4. Fai clic su Conferma configurazione di bozza. La configurazione di rete viene aggiunta al file di configurazione.

   Il deployment della rete non viene eseguito finché non esegui il deployment del file di configurazione in un'attività successiva.

Passaggi successivi

Configura la connettività ibrida, che ti consente di connettere server on-premise o altri cloud provider a Google Cloud.

Connettività ibrida

In questa attività, stabilirai le connessioni tra le tue reti peer (on-premise o altri cloud) e le tue reti Google Cloud, come nel diagramma seguente.

Questo processo crea una VPN ad alta disponibilità, ovvero una soluzione ad alta disponibilità che puoi creare rapidamente per trasmettere i dati sulla rete internet pubblica.

Dopo aver eseguito il deployment della configurazione di Google Cloud, ti consigliamo di creare una connessione più solida utilizzando Cloud Interconnect.

Per ulteriori informazioni sulle connessioni tra le reti peer e Google Cloud, consulta quanto segue:

• Panoramica di Cloud VPN
• Scegliere un prodotto per la connettività di rete

Chi esegue questa attività

Devi disporre del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin).

Cosa fai in questa attività

Crea connessioni a bassa latenza e ad alta disponibilità tra le tue reti VPC e le tue reti on-premise o altre reti cloud. Configuri i seguenti componenti:

• Gateway VPN ad alta disponibilità di Google Cloud: una risorsa di regione con due interfacce, ciascuna con il proprio indirizzo IP. Specifica il tipo di stack IP, che determina se il traffico IPv6 è supportato nella connessione. Per informazioni in background, consulta la pagina VPN ad alta disponibilità.
• Gateway VPN peer: il gateway sulla tua rete peer a cui si connette il gateway VPN ad alta disponibilità di Google Cloud. Inserisci gli indirizzi IP esterni che il gateway peer utilizza per connettersi a Google Cloud. Per informazioni di base, consulta Configurare il gateway VPN peer.
• Router Cloud: utilizza il protocollo BGP (Border Gateway Protocol) per scambiare dinamicamente le route tra le reti VPC e peer. Puoi assegnare un ASN (Autonomous System Number) come identificatore per il router Cloud e specificare l'ASN utilizzato dal router peer. Per informazioni di base, consulta Creare un router Cloud per connettere una rete VPC a una rete peer.
• Tunnel VPN: collega il gateway Google Cloud al gateway peer. Devi specificare il protocollo IKE (Internet Key Exchange) da utilizzare per stabilire il tunnel. Puoi inserire la tua chiave IKE generata in precedenza o generare e copiare una nuova chiave. Per informazioni di base, consulta l'articolo Configurare IKE.

Perché consigliamo questa attività

Una VPN ad alta disponibilità fornisce una connessione sicura e ad alta disponibilità tra lGoogle Cloud#39;infrastruttura

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.
• Configura la tua rete nell'attività Reti VPC.

Raccogli le seguenti informazioni dall'amministratore di rete peer:

• Nome gateway VPN peer: il gateway a cui si connette Cloud VPN.
• Indirizzo IP dell'interfaccia peer 0: un indirizzo IP esterno sul gateway della rete peer.
• Indirizzo IP dell'interfaccia peer 1: un secondo indirizzo esterno oppure puoi riutilizzare l'indirizzo IP 0 se la tua rete peer ha un solo indirizzo IP esterno.
• ASN (Peer Autonomous System Number): un identificatore univoco assegnato al tuo router di rete peer.
• ASN del router Cloud: un identificatore univoco che assegnerai al tuo router Cloud.
• Chiavi IKE (Internet Key Exchange): chiavi che utilizzi per stabilire due tunnel VPN con il gateway VPN peer. Se non hai chiavi esistenti, puoi generarle durante la configurazione e poi applicarle al gateway peer.

Configura le tue connessioni

Per connettere le reti VPC alle reti peer:

1. Accedi come utente con il ruolo Amministratore organizzazione.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: connettività ibrida.

   Vai a Connettività ibrida

4. Per esaminare i dettagli dell'attività:

   1. Rivedi la panoramica dell'attività e fai clic su Avvia connettività ibrida.

   2. Fai clic su ciascuna scheda per scoprire di più sulla connettività ibrida e fai clic su Continua.

   3. Scopri cosa aspettarti in ogni passaggio dell'attività e fai clic su Continua.

   4. Rivedi le informazioni di configurazione del gateway peer che devi raccogliere e fai clic su Continua.

5. Nell'area Connessioni ibride, identifica le reti VPC che vuoi connettere, in base alle tue esigenze aziendali.

6. Nella riga relativa alla prima rete scelta, fai clic su Configura.

7. Nell'area Panoramica della configurazione, leggi la descrizione e fai clic su Avanti.

8. Nell'area Gateway VPN ad alta disponibilità di Google Cloud, segui questi passaggi:

   1. Nel campo Nome gateway Cloud VPN, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

   2. Nell'area Tipo di stack IP interno del tunnel VPN, seleziona uno dei seguenti tipi di stack:

      • IPv4 e IPv6 (opzione consigliata): può supportare il traffico IPv4 e IPv6. Consigliamo questa impostazione se prevedi di consentire il traffico IPv6 nel tunnel.
      • IPv4: può supportare solo il traffico IPv4.

      Il tipo di stack determina il tipo di traffico consentito nel tunnel tra la rete VPC e la rete peer. Non puoi modificare il tipo di stack dopo aver creato il gateway. Per informazioni di base, consulta quanto segue:

      • Supporto IPv6
      • Tipi di stack e sessioni BGP

   3. Fai clic su Avanti.

9. Nell'area Gateway VPN peer:

   1. Nel campo Nome gateway VPN peer, inserisci il nome fornito dall'amministratore della rete peer. Puoi inserire fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

   2. Nel campo Indirizzo IP dell'interfaccia peer 0, inserisci l'indirizzo IP esterno dell'interfaccia del gateway peer fornito dall'amministratore di rete peer.

   3. Nel campo Indirizzo IP dell'interfaccia peer 1, esegui una delle seguenti operazioni:

      • Se il gateway peer ha una seconda interfaccia, inserisci il relativo indirizzo IP.
      • Se il gateway peer ha una sola interfaccia, inserisci lo stesso indirizzo inserito in Indirizzo IP dell'interfaccia peer 0.

      Per informazioni di base, consulta Configurare il gateway VPN peer.

   4. Fai clic su Avanti.

10. Nell'area Router Cloud, segui questi passaggi:

    1. Nel campo ASN router Cloud, inserisci il numero di sistema autonomo che vuoi assegnare al router Cloud, come fornito dall'amministratore di rete peer. Per informazioni di base, consulta Creare un router Cloud.

    2. Nel campo ASN router peer, inserisci il numero di sistema autonomo del router peer, come fornito dall'amministratore di rete peer.

11. Nell'area Tunnel VPN 0:

    1. Nel campo Nome tunnel 0, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

    2. Nell'area Versione IKE, seleziona una delle seguenti opzioni:

       • IKEv2 (opzione consigliata): supporta il traffico IPv6.
       • IKEv1: utilizza questa impostazione se non prevedi di consentire il traffico IPv6 nel tunnel.

       Per informazioni di base, consulta Configurare i tunnel VPN.

    3. Nel campo Chiave precondivisa IKE, inserisci la chiave che utilizzi nella configurazione del gateway peer, come fornita dall'amministratore di rete peer. Se non disponi di una chiave esistente, puoi fare clic su Genera e copia, quindi fornire la chiave all'amministratore di rete peer.

       Nota: se dimentichi la chiave generata in questo passaggio, puoi trovarla dopo il deployment. La chiave è archiviata nella cartella gcp-internal-cloud-setup nel progetto Progetto di connettività ibrida. Per la procedura per accedere a una chiave utilizzando Secret Manager, vedi Elencare i secret e visualizzare i dettagli dei secret.

12. Nell'area Tunnel VPN 1, ripeti il passaggio precedente per applicare le impostazioni per il secondo tunnel. Configuri questo tunnel per la ridondanza e la velocità effettiva aggiuntiva.

13. Fai clic su Salva.

14. Ripeti questi passaggi per tutte le altre reti VPC che vuoi connettere alla tua rete peer.

Dopo il deployment

Dopo aver eseguito il deployment della configurazione di configurazione di Google Cloud, completa questi passaggi per assicurarti che la connessione di rete sia completa:

1. Collabora con l'amministratore di rete peer per allineare la tua rete peer alle impostazioni di connettività ibrida. Dopo il deployment, vengono fornite istruzioni specifiche per la rete peer, tra cui:

   • Impostazioni tunnel.
   • Impostazioni del firewall.
   • Impostazioni IKE.

2. Convalida le connessioni di rete che hai creato. Ad esempio, puoi utilizzare Network Intelligence Center per controllare la connettività tra le reti. Per ulteriori informazioni, vedi Panoramica di Connectivity Tests.

3. Se le tue esigenze aziendali richiedono una connessione più solida, utilizza Cloud Interconnect. Per ulteriori informazioni, vedi Scelta di un prodotto per la connettività di rete.

Passaggi successivi

Esegui il deployment della configurazione, che include le impostazioni per la gerarchia e l'accesso, il logging, la rete e la connettività ibrida.

Esegui il deployment delle impostazioni

Esegui il deployment o scarica

Quando completi la procedura di configurazione di Google Cloud, le impostazioni delle attività seguenti vengono compilate in file di configurazione Terraform:

• Gerarchia e accesso
• Centralizza il logging
• Reti VPC
• Connettività ibrida

Per applicare le impostazioni, rivedi le selezioni e scegli un metodo di deployment.

Chi esegue questa attività

Una persona nel gruppo di gcp-organization-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Esegui il deployment dei file di configurazione per applicare le impostazioni di configurazione.

Perché consigliamo questa attività

Per applicare le impostazioni selezionate, devi eseguire il deployment dei file di configurazione.

Prima di iniziare

Devi completare le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Si consiglia di svolgere le seguenti attività:

• Consolida i dati dei log in un'unica posizione nell'attività Centralizza il logging.
• Configura la rete iniziale nell'attività Reti VPC.
• Connetti reti peer a Google Cloud nell'attività Connettività ibrida.

Rivedi i dettagli di configurazione

Per assicurarti che le impostazioni di configurazione siano complete, procedi nel seguente modo:

1. Accedi alla console Google Cloud come utente dal gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: deployment o download.

   Vai al deployment o al download

4. Rivedi le impostazioni di configurazione selezionate. Fai clic su una delle seguenti schede ed esamina le impostazioni:

   • Gerarchia e accesso alle risorse
   • Logging
   • Reti VPC
   • Connettività ibrida

Esegui il deployment della configurazione

Ora che hai rivisto i dettagli di configurazione, utilizza una delle seguenti opzioni:

• Esegui il deployment direttamente dalla console: utilizza questa opzione se non hai un flusso di lavoro di deployment Terraform esistente e vuoi un metodo di deployment semplice. Puoi eseguire il deployment con questo metodo una sola volta.

• Scarica ed esegui il deployment del file Terraform: utilizza questa opzione se vuoi automatizzare la gestione delle risorse utilizzando un flusso di lavoro di deployment Terraform. Puoi eseguire il download e il deployment utilizzando questo metodo più volte.

Esegui il deployment utilizzando una delle seguenti opzioni:

Esegui il deployment direttamente

Se non hai un flusso di lavoro Terraform esistente e vuoi un semplice deployment una tantum, puoi eseguire il deployment direttamente dalla console.

Avviso: se prevedi di eseguire il deployment utilizzando il tuo flusso di lavoro Terraform in futuro, non fare clic su Esegui il deployment direttamente.

1. Fai clic su Esegui il deployment direttamente.

2. Attendi alcuni minuti per il completamento del deployment.

3. Se il deployment non riesce, segui questi passaggi:

   1. Per ritentare il deployment, fai clic su Riprova processo.
   2. Se il deployment non riesce dopo diversi tentativi, puoi contattare un amministratore per ricevere assistenza. Per farlo, fai clic su Contatta l'amministratore dell'organizzazione.

Download e deployment

Se vuoi eseguire l'iterazione del deployment utilizzando il flusso di lavoro del deployment Terraform, scarica ed esegui il deployment dei file di configurazione.

1. Per scaricare il file di configurazione, fai clic su Scarica come Terraform.

2. Il pacchetto scaricato contiene file di configurazione Terraform in base alle impostazioni selezionate nelle attività seguenti:

   • Gerarchia e accesso
   • Centralizza il logging
   • Reti VPC
   • Connettività ibrida

   Se vuoi eseguire il deployment solo di file di configurazione pertinenti alle tue responsabilità, puoi evitare di scaricare file non pertinenti. Per farlo, deseleziona le caselle di controllo relative ai file di configurazione che non ti servono.

3. Fai clic su Scarica. Un pacchetto terraform.tar.gz che include i file selezionati viene scaricato nel file system locale.

4. Per la procedura dettagliata di deployment, vedi Eseguire il deployment degli elementi di base utilizzando Terraform scaricato dalla console.

Passaggi successivi

Esamina le best practice sul monitoraggio.

Applicare le impostazioni di sicurezza e assistenza

Monitoraggio

Cloud Monitoring viene configurato automaticamente per i progetti Google Cloud. In questa attività imparerai le best practice facoltative per il monitoraggio.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Chi esegue questa attività

Una persona nel gruppo di gcp-monitoring-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Esaminare e implementare le best practice facoltative per il monitoraggio.

Perché consigliamo questa attività

Puoi implementare le best practice di monitoraggio per:

• Agevola la collaborazione tra gli utenti che monitorano la tua organizzazione.
• Monitora la tua infrastruttura Google Cloud in un unico posto.
• Raccogliere importanti metriche e log delle applicazioni.

Esaminare e implementare le best practice per il monitoraggio

Cloud Monitoring raccoglie metriche, eventi e metadati da servizi Google Cloud, monitor sintetici, strumentazione delle applicazioni e altri componenti di applicazioni comuni. Cloud Monitoring viene configurato automaticamente per i progetti Google Cloud.

In questa attività puoi implementare le best practice riportate di seguito per creare sulla configurazione predefinita di Cloud Monitoring.

• Per favorire la collaborazione, crea un criterio dell'organizzazione che conceda il ruolo Visualizzatore Monitoring a ogni entità dell'organizzazione per ogni progetto.

• Per monitorare l'infrastruttura Google Cloud in un unico posto, configura un progetto in modo che legga le metriche di più progetti Google Cloud utilizzando gli ambiti delle metriche.

• Per raccogliere le metriche e i log delle applicazioni per le macchine virtuali, segui questi passaggi:

  • Per Compute Engine, installa Ops Agent.
  • Per Google Kubernetes Engine (GKE), configura Google Cloud Managed Service per Prometheus.

Passaggi successivi

Configura le impostazioni di sicurezza iniziali.

Sicurezza

In questa attività configurerai le impostazioni e i prodotti di sicurezza per proteggere la tua organizzazione.

Importante: i criteri che applichi in questa attività sono un primo passaggio per la configurazione della sicurezza. Le sfide specifiche della tua organizzazione richiedono l'esecuzione di controlli di sicurezza, la comprensione della superficie di attacco per la tua architettura e così via.

Chi esegue questa attività

Per completare questa attività devi disporre di uno dei seguenti requisiti:

• I ruoli Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin) e Amministratore Centro sicurezza (roles/securitycenter.admin).
• Appartenenza al gruppo gcp-organization-admins@<your-domain>.com creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Applica i criteri dell'organizzazione consigliati in base alle seguenti categorie:

• Gestione degli accessi.
• Comportamento dell'account di servizio.
• Configurazione della rete VPC.

Puoi inoltre abilitare Security Command Center per centralizzare la segnalazione di vulnerabilità e minacce.

Perché consigliamo questa attività

L'applicazione dei criteri dell'organizzazione consigliati consente di limitare le azioni degli utenti che non sono in linea con la tua strategia di sicurezza.

L'abilitazione di Security Command Center consente di creare una posizione centralizzata per analizzare vulnerabilità e minacce.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Applica i criteri dell'organizzazione consigliati

I criteri dell'organizzazione si applicano a livello di organizzazione e vengono ereditati dalle cartelle e dai progetti. In questa attività, rivedi e applica l'elenco dei criteri consigliati. Puoi modificare i criteri dell'organizzazione in qualsiasi momento. Per ulteriori informazioni, consulta Introduzione al servizio Criteri dell'organizzazione.

1. Accedi alla console Google Cloud con un utente del gruppo gcp-organization-admins@<your-domain>.com che hai creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dal menu a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Configurazione di Google Cloud: Sicurezza.

   Vai a Sicurezza

4. Esamina la panoramica dell'attività e fai clic su Continua la sicurezza.

5. Esamina l'elenco dei criteri dell'organizzazione consigliati. Se non vuoi applicare una norma consigliata, fai clic sulla relativa casella di controllo per rimuoverla.

   Per una spiegazione dettagliata di ciascun criterio dell'organizzazione, vedi Vincoli dei criteri dell'organizzazione.

Centralizza la segnalazione di vulnerabilità e minacce

Per centralizzare i servizi di segnalazione di vulnerabilità e minacce, abilita Security Command Center. Questo ti aiuta a rafforzare la tua postura di sicurezza e a mitigare i rischi. Per maggiori informazioni, consulta la panoramica di Security Command Center.

1. Nella pagina Configurazione di Google Cloud: Sicurezza, in Security Command Center, assicurati che la casella di controllo Abilita Security Command Center: Standard sia attivata.

   Questa attività abilita il livello Standard gratuito. Puoi eseguire l'upgrade alla versione Premium in un secondo momento. Per ulteriori informazioni, consulta Livelli di servizio di Security Command Center.

2. Fai clic su Applica i criteri dell'organizzazione e Security Command Center.

Passaggi successivi

Scegli un piano di assistenza.

Assistenza

In questa attività sceglierai un piano di assistenza adatto alle tue esigenze aziendali.

Chi esegue questa attività

Una persona nel gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Scegli un piano di assistenza in base alle esigenze della tua azienda.

Perché consigliamo questa attività

Un piano di assistenza premium fornisce un'assistenza business-critical per risolvere rapidamente i problemi con l'aiuto degli esperti di Google Cloud.

Scegli un'opzione di assistenza

Riceverai automaticamente l'Assistenza di base gratuita, che include l'accesso alle seguenti risorse:

• Documentazione
• Discussioni e assistenza dalla community
• Assistenza per problemi di fatturazione

Ai clienti aziendali consigliamo di registrarsi all'Assistenza Premium, che offre assistenza tecnica individuale con gli ingegneri dell'Assistenza Google. Per confrontare i piani di assistenza, vedi Assistenza clienti Google Cloud.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Attiva l'assistenza

Identifica e seleziona un'opzione di assistenza.

1. Esamina e seleziona un piano di assistenza. Per ulteriori informazioni, consulta l'assistenza clienti Google Cloud.

2. Accedi alla console Google Cloud con un utente del gruppo gcp-organization-admins@<your-domain>.com che hai creato nell'attività Utenti e gruppi.

3. Vai a Configurazione di Google Cloud: Assistenza.

   Vai all'assistenza

4. Rivedi i dettagli dell'attività e fai clic su Visualizza le offerte di assistenza per selezionare un'opzione di assistenza.

5. Dopo aver configurato l'opzione di assistenza, torna alla pagina Configurazione di Google Cloud: Assistenza e fai clic su Contrassegna l'attività come completata.

Passaggi successivi

Ora che hai completato la configurazione di Google Cloud, puoi estendere la configurazione iniziale, eseguire il deployment di soluzioni predefinite ed eseguire la migrazione dei flussi di lavoro esistenti. Per ulteriori informazioni, vedi Estendi la configurazione iniziale e inizia a creare.