Con esta lista de tareas, podrás configurar Google Cloud para cargas de trabajo empresariales escalables y listas para la producción. Se diseñó para los administradores a los que se les otorga control total de los recursos de Google Cloud de la empresa.
La lista de tareas consta de 10 tareas con procedimientos paso a paso. Algunas tareas se pueden lograr de varias maneras. En general, describimos el método que será útil para la mayor cantidad de usuarios. Mientras realizas las tareas de la lista, considera las necesidades de tu empresa. Si tomas decisiones que son diferentes de las que recomendamos, ten en cuenta esas diferencias para las tareas posteriores de la lista.
Haz clic en un elemento de la lista de tareas para ver los pasos detallados.
Lista de tareas
En esta tarea crearás una estructura básica para las carpetas y los proyectos en la jerarquía de recursos:
Las carpetas proporcionan un mecanismo de agrupación y límites de aislamiento entre proyectos. Por ejemplo, pueden representar los departamentos principales en tu organización, como finanzas o venta minorista, o entornos, como producción frente a no producción.
Los proyectos contienen los recursos de la nube como, por ejemplo, máquinas virtuales, bases de datos y depósitos de almacenamiento. Para obtener prácticas recomendadas relacionadas con los proyectos, consulta Especifica la estructura de tu proyecto.
Puedes establecer políticas de IAM para controlar el acceso en diferentes niveles de la jerarquía de recursos. Establecerás estas políticas como una tarea posterior en esta lista de tareas.
Quiénes deben realizar esta tarea
Una persona en el grupo gcp-organization-admins@<your-domain>.com que se creó en la tarea 2.
Qué debes hacer
Crea la estructura de jerarquía inicial con carpetas y proyectos.
Por qué recomendamos esta tarea
Crear la estructura es un requisito para una tarea posterior en la que estableces políticas de IAM a fin de controlar el acceso en diferentes niveles de la jerarquía de recursos.
Diagrama de la jerarquía de recursos
Hay muchas formas de crear la jerarquía de recursos. En el siguiente diagrama, se muestra un ejemplo típico:
En el ejemplo, la jerarquía de recursos de organización contiene tres niveles de carpetas:
Entorno (producción y no producción) Cuando se aíslan los entornos entre sí, se puede controlar mejor el acceso a los entornos de producción y evitar que los cambios que no sean de producción puedan afectarla de forma accidental.
Unidades de negocios. En el diagrama, se representan como
Dept XyDept Y, que podrían ser unidades de negocios como, por ejemplo, Ingeniería y Marketing, y una carpetaSharedcon proyectos que contienen recursos compartidos en la jerarquía, como herramientas de redes, registro y supervisión.Equipos. En el diagrama se representan como
Team A,Team ByTeam C, que pueden ser equipos como Desarrollo, Ciencia de datos o Control de calidad, entre otros.
Crea la jerarquía de recursos inicial
En estos pasos de la lista de tareas, creas carpetas y proyectos básicos para la configuración inicial, tal como se muestra en el siguiente diagrama. Estos se usarán en las tareas restantes de la lista. Más adelante, podrás crear esta jerarquía para duplicar tu organización y personalizarla según las necesidades de tu empresa a medida que incrementas las cargas de trabajo en Google Cloud.
- Asegúrate de haber accedido a Cloud Console como un usuario en el Grupo de Google
gcp-organization-adminsque se creó en la tarea 2. - Crea carpetas.
Sigue el procedimiento cuatro veces para crear las siguientes carpetas:
ProductionNon-ProductionShared, conProductioncomo carpeta superiorShared, conNon-Productioncomo carpeta superior
Luego, crearás proyectos. De acuerdo con el principio de separación de los entornos de producción y de no producción, para esta lista de tareas debes crear los siguientes proyectos:
example-vpc-host-nonprod. Este proyecto se usa para conectar recursos de varios proyectos del entorno de no producción a la red de VPC común.example-vpc-host-prod. Este proyecto se usa para conectar recursos del entorno de producción de varios proyectos a una red de VPC común.example-monitoring-nonprod. Este proyecto se usa para alojar recursos de supervisión de tu entorno de no producción.example-monitoring-prod. Este proyecto se utiliza para alojar recursos de supervisión del entorno de producción.example-logging-nonprod. Este proyecto se usa para alojar los datos de registro exportados de tu entorno de no producción.example-logging-prod. Este proyecto se usa para alojar datos de registro exportados del entorno de producción.
Los nombres de proyecto tienen un límite de 30 caracteres. Por lo general, puedes usar el nombre de tu empresa en lugar de example, siempre y cuando no sobrepases el límite de 30 caracteres. Cuando crees proyectos en la jerarquía de recursos en el futuro, recomendamos utilizar una convención de nombres, como <business unit name>-<team name>-<application name>-<environment>, según la jerarquía de recursos de tu organización.
Sigue estos pasos para crear los proyectos:
En Cloud Console, ve a la página Administra recursos:
Haz clic en Crear proyecto.
En la ventana Nuevo proyecto, ingresa el nombre de uno de los proyectos de la lista anterior.
Si se te solicita que selecciones una cuenta de facturación, selecciona la que desees usar para esta lista de tareas.
En Ubicación, haz clic en Navegar y, luego, configura la ubicación como se indica a continuación:
- Si el nombre del proyecto que estás creando termina en
prod, selecciona Producción > Compartido. - Si el nombre del proyecto que estás creando termina en
nonprod, selecciona No producción > Compartido.
- Si el nombre del proyecto que estás creando termina en
Haz clic en Crear.
Repite los pasos 2 a 6 con cada uno de los proyectos recomendados.
En esta tarea, configurarás tu red inicial. Por lo general, debes seguir estos pasos:
- Diseña, crea y configura una arquitectura de nube privada virtual.
- Si tienes herramientas de redes locales o en otro proveedor de servicios en la nube, debes configurar la conectividad entre ese proveedor y Google Cloud.
- Configura una ruta para el tráfico externo de salida.
- Implementa controles de seguridad de red, como reglas de firewall.
- Selecciona una opción de tráfico de entrada preferida para los servicios alojados en la nube.
En esta tarea se muestra un ejemplo del elemento 1 como base para tu propia arquitectura de nube privada virtual.
Los elementos restantes (conectividad externa, configuración del tráfico de salida, implementación de las reglas de firewall y selección de la opción de entrada) dependen de las necesidades de tu negocio. Por lo tanto, no los incluimos en esta lista de tareas. Sin embargo, proporcionamos vínculos a la información adicional sobre estos parámetros.
Quiénes deben realizar esta tarea
Una persona en el grupo gcp-network-admins@<your-domain>.com que se creó en la tarea 2.
Qué debes hacer
Establece una configuración inicial de las herramientas de redes.
- Crea las redes de VPC compartida
- Configura la conectividad entre el proveedor externo y Google Cloud
- Configura una ruta para el tráfico externo de salida
- Implementa controles de seguridad de red
- Elige una opción de tráfico de entrada
Por qué recomendamos esta tarea
La VPC compartida permite que distintos equipos se conecten a una red de VPC común administrada de forma central desde varios productos diferentes.
La configuración de la conectividad híbrida permite la migración sin interrupciones de las aplicaciones a Google Cloud y, al mismo tiempo, se mantiene la conexión con las dependencias del servicio.
El diseño de rutas de entrada y salida seguras desde el comienzo permite a tus equipos trabajar de forma productiva en Google Cloud sin comprometer la seguridad.
Arquitectura de nube privada virtual
Google ofrece la nube privada virtual (VPC) para proporcionar funcionalidad de red a tus recursos de Google Cloud, como las instancias de máquina virtual de Compute Engine, los contenedores de GKE y el entorno flexible de App Engine. En el siguiente diagrama, se muestra la arquitectura multirregional básica:
Esta arquitectura tiene dos proyectos host de VPC compartida. Uno es para tu entorno de producción y el otro para el de no producción. Con la VPC compartida, las organizaciones pueden conectar recursos de varios proyectos a una red de VPC común, de modo que los recursos se comuniquen entre sí de manera más segura y eficiente mediante las direcciones IP internas de esa red.
Un proyecto host de VPC compartida incluye una o más redes de VPC compartida. En esta arquitectura cada red de VPC compartida (en entorno de producción y de no producción) incluye subredes públicas y privadas en dos regiones (en este caso, us-east1 y us-west1):
- La subred pública se puede usar para instancias que están conectadas a Internet a fin de proporcionar conectividad externa.
- La subred privada se puede usar en instancias que son solo para uso interno y no se le deben asignar direcciones IP públicas.
La arquitectura que se muestra en el diagrama anterior usa nombres de ejemplo para varios recursos. En tu configuración, puedes cambiar elementos del nombre, como tu empresa (example en los nombres de ejemplo) y la región que usas (us-east1 y us-west1 en los ejemplos).
Crea las redes de VPC compartida
En la página de selección de proyecto, selecciona
example-vpc-host-nonprod:Sigue las instrucciones que se brindan en Borra una red para borrar la red de VPC llamada
default.Sigue las instrucciones para crear una red de modo personalizado con los siguientes valores:
- En Nombre, ingresa
example-shared-vpc-nonprod-1. - En los parámetros de la sección Subred nueva, ingresa la siguiente información:
- En Nombre, ingresa
example-nonprod-us-east1-subnet-public. - Para el rango de direcciones IP, ingresa
10.1.0.0/24(siempre que esa dirección IP no entre en conflicto con el rango de IP existente de la red y sea suficiente para satisfacer tus requisitos de hosting). - En Acceso privado a Google, selecciona Activado para permitir que las VM se comuniquen con las API de Google sin una dirección IP externa.
- En Nombre, ingresa
- Selecciona Agregar subred y sigue las instrucciones para agregar los siguientes nombres de subredes:
example-nonprod-us-east1-subnet-private
IP address range: 10.2.0.0/24example-nonprod-us-west1-subnet-public
IP address range: 10.3.0.0/24example-nonprod-us-west1-subnet-private
IP address range: 10.4.0.0/24
- En Nombre, ingresa
Habilita el proyecto host de la red de VPC compartida con los siguientes valores:
- Para el proyecto, selecciona
example-vpc-host-nonprod. - En Seleccionar subredes, haz clic en Subredes individuales (permisos de nivel de subred) y selecciona todas las subredes que creaste antes.
- En Vincular proyectos de servicio, vincula todos los proyectos de supervisión y registro restantes de los entornos de no producción.
- Para el proyecto, selecciona
En la página de selección de proyecto, selecciona
example-vpc-host-prod:Repite los pasos 2 a 4 para el entorno de producción. Asegúrate de seleccionar todas las subredes de producción que se crearon antes.
Configura la conectividad entre el proveedor externo y Google Cloud
Si tienes herramientas de redes locales o en otro proveedor de servicios en la nube, puedes configurar Cloud VPN, un servicio que te ayuda a conectar de manera segura tu red de intercambio de tráfico con tu red de VPC de Google Cloud mediante una conexión de VPN IPSec. El servicio de Cloud VPN es adecuado para velocidades de hasta 3.0 Gbps. Si necesitas más ancho de banda para conectar tu sistema local a Google Cloud, consulta Interconexión de socio e Interconexión dedicada.
A fin de crear una conexión de VPN, sigue las instrucciones en Crea una puerta de enlace y un túnel para las redes de VPC compartidas de producción y no producción que se crearon en el procedimiento anterior.
Configura una ruta para el tráfico externo de salida
Cloud NAT se usa para permitir que tus VM se conecten a Internet sin usar una dirección IP externa. Cloud NAT Es un recurso regional. Puedes configurarlo para permitir tráfico de todos los rangos de IP principales y secundarios de las subredes de una región. También puedes configurarlo para que se aplique solo a algunos de esos rangos.
Sigue las instrucciones en Crea NAT para todas las regiones de las redes de VPC compartidas que se crearon en el procedimiento anterior en redes de producción y no producción.
Implementa controles de seguridad de red
Las reglas de firewall permiten o rechazan el tráfico desde y hacia las instancias de máquina virtual (VM) según la configuración que especifiques. Sigue las instrucciones en Usa reglas de firewall a fin de configurar estos controles para las redes de VPC compartida de producción y no producción que se crearon en el procedimiento anterior.
Elige una opción de tráfico de entrada
Cloud Load Balancing te permite distribuir recursos de procesamiento en una o varias regiones. Esto te permite cumplir con los requisitos de alta disponibilidad para el tráfico externo entrante y el tráfico dentro de tu red de VPC. Cuando planifiques el diseño de la arquitectura de tu aplicación en Google Cloud, consulta Elige un balanceador de cargas para decidir qué tipos de balanceadores necesitas.