Avant d'exécuter des charges de travail de production sur Google Cloud, nous vous recommandons de configurer une base initiale pour vous aider. La configuration de Google Cloud aide les administrateurs à configurer Google Cloud pour des charges de travail évolutives. Le processus de configuration vous guide à travers une procédure interactive qui vous aide à créer une architecture de base en tenant compte des bonnes pratiques.
Pour vous aider à répondre aux besoins de votre entreprise, vous pouvez déployer rapidement une configuration par défaut ou effectuer des ajustements tout au long du processus. Selon votre workflow de déploiement préféré, vous pouvez déployer votre configuration directement à partir de la console ou télécharger et déployer Terraform pour intégrer votre propre processus IaC (Infrastructure as Code).
Ce document comprend des étapes et des informations générales pour vous aider à terminer le processus de configuration. Il est également disponible en tant que guide interactif dans la console Google Cloud :
Accéder à la configuration de Google Cloud
Le processus de configuration comprend les phases suivantes :
Établir votre organisation, vos administrateurs et votre facturation : configurez le nœud de premier niveau de votre hiérarchie, créez les utilisateurs administrateurs initiaux et connectez votre mode de paiement.
Créer une architecture initiale : sélectionnez un dossier et une structure de projet initiaux, attribuez des accès, configurez la journalisation, appliquez les paramètres de sécurité et configurez votre réseau.
Déployer vos paramètres : vos choix initiaux d'architecture sont compilés dans les fichiers de configuration Terraform. Vous pouvez les déployer rapidement via la console Google Cloud, ou télécharger les fichiers pour les personnaliser et les itérer à l'aide de votre propre workflow.
Appliquer les paramètres de surveillance et d'assistance : appliquez les paramètres de surveillance et d'assistance recommandés pour renforcer votre architecture.
Établir votre organisation, vos administrateurs et votre facturation
Créer une architecture initiale
Dans cette tâche, vous allez définir votre configuration de mise en réseau initiale, que vous pourrez adapter à vos besoins.
Architecture de cloud privé virtuel
Un réseau cloud privé virtuel (VPC) est une version virtuelle d'un réseau physique, implémentée au sein du réseau de production de Google. Un Réseau VPC est une ressource globale qui consiste en des sous-réseaux régionaux.
Les réseaux VPC fournissent des fonctionnalités de mise en réseau aux ressources Google Cloud, telles que des instances de machines virtuelles Compute Engine, des conteneurs GKE et des instances de l'environnement flexible App Engine.
Le VPC partagé connecte les ressources de différents projets à un réseau VPC commun, afin qu'elles puissent communiquer entre elles à l'aide des adresses IP internes du réseau. Le schéma suivant illustre l'architecture de base d'un réseau VPC partagé avec des projets de service associés.
Lorsque vous utilisez un VPC partagé, vous désignez un projet hôte et vous lui associez un ou plusieurs projets de service. Les réseaux cloud privés virtuels du projet hôte sont appelés "réseaux VPC partagés".
L'exemple de diagramme comporte des projets hôtes de production et hors production, qui contiennent chacun un réseau VPC partagé. Vous pouvez utiliser un projet hôte pour gérer les éléments suivants de manière centralisée :
- Routes
- Pare-feu
- Connexions VPN
- Sous-réseaux
Un projet de service est un projet associé à un projet hôte. Vous pouvez partager des sous-réseaux, y compris des plages secondaires, entre des projets hôtes et des projets de service.
Dans cette architecture, chaque réseau VPC partagé contient des sous-réseaux publics et privés :
- Le sous-réseau public peut être utilisé par des instances Web pour la connectivité externe.
- Le sous-réseau privé peut être utilisé par des instances orientées vers l'intérieur auxquelles aucune adresse IP publique n'est allouée.
Dans cette tâche, vous allez créer une configuration réseau initiale basée sur l'exemple de schéma.
Utilisateurs effectuant cette tâche
Vous devez disposer de l'un des éléments suivants pour effectuer cette tâche :
- Le rôle
roles/compute.networkAdmin. - Inclusion dans le groupe
gcp-network-admins@YOUR_DOMAINque vous avez créé dans la tâche Utilisateurs et groupes
Actions à effectuer dans cette tâche
Créez une configuration réseau initiale, y compris les éléments suivants :
- Créez plusieurs projets hôtes pour refléter vos environnements de développement.
- Créez un réseau VPC partagé dans chaque projet hôte pour permettre à des ressources distinctes de partager le même réseau.
- Créez des sous-réseaux distincts dans chaque réseau VPC partagé pour fournir un accès réseau aux projets de service.
Raisons pour lesquelles nous recommandons cette tâche
Des équipes distinctes peuvent utiliser un VPC partagé pour se connecter à un réseau VPC commun géré de manière centralisée.
Avant de commencer
Effectuez les tâches suivantes :
- Créez un super-administrateur et votre organisation dans la tâche Organisation.
- Ajoutez des utilisateurs et créez des groupes dans la tâche Utilisateurs et groupes.
- Attribuez des rôles IAM aux groupes dans la tâche Accès administrateur.
- Créez ou associez un compte de facturation dans la tâche Facturation.
- Configurez votre hiérarchie et attribuez des droits d'accès dans la tâche Hiérarchie et accès.
Configurer l'architecture réseau
Créez votre configuration réseau initiale avec deux projets hôtes pour segmenter les charges de travail hors production et de production. Chaque projet hôte contient un réseau VPC partagé, qui peut être utilisé par plusieurs projets de service. Vous allez configurer les détails du réseau, puis déployer un fichier de configuration dans une tâche ultérieure.
Pour configurer votre réseau initial, procédez comme suit :
Connectez-vous à la console Google Cloud en tant qu'utilisateur du groupe
gcp-organization-admins@YOUR_DOMAINque vous avez créé dans la tâche Utilisateurs et groupes.Sélectionnez votre organisation dans la liste déroulante Sélectionnez une organisation en haut de la page.
Accédez à la page Configuration de Google Cloud : mise en réseau.
Examinez l'architecture réseau par défaut.
Pour modifier le nom du réseau, procédez comme suit :
- Cliquez sur Actions.
- Sélectionnez Modifier le nom du réseau.
- Dans le champ Nom du réseau, saisissez des lettres minuscules, des chiffres ou des tirets. Le nom du réseau ne peut pas dépasser 25 caractères.
- Cliquez sur Enregistrer.
Modifier les détails du pare-feu
Les règles de pare-feu par défaut du projet hôte sont basées sur les bonnes pratiques recommandées. Vous pouvez choisir de désactiver une ou plusieurs des règles de pare-feu par défaut. Pour en savoir plus sur les règles de pare-feu, consultez la section Règles de pare-feu VPC.
Pour modifier les paramètres de pare-feu, procédez comme suit :
Cliquez sur Actions.
Sélectionnez Modifier les règles de pare-feu.
Pour en savoir plus sur chaque règle de pare-feu par défaut, consultez la section Règles préremplies dans le réseau par défaut.
Pour désactiver une règle de pare-feu, décochez la case correspondante.
Pour désactiver la journalisation des règles de pare-feu, cliquez sur Désactivé.
Par défaut, le trafic en provenance et à destination des instances Compute Engine est enregistré à des fins d'audit. Ce processus entraîne des coûts. Pour plus d'informations, consultez Journalisation des règles de pare-feu.
Cliquez sur Enregistrer.
Modifier les détails du sous-réseau
Chaque réseau VPC contient au moins un sous-réseau, qui est une ressource régionale à laquelle une plage d'adresses IP est associée. Dans cette configuration multirégionale, vous devez disposer d'au moins deux sous-réseaux avec des plages d'adresses IP qui ne se chevauchent pas.
Pour en savoir plus, consultez la section Sous-réseaux.
Chaque sous-réseau est configuré en suivant les bonnes pratiques recommandées. Si vous souhaitez personnaliser chaque sous-réseau, procédez comme suit :
- Cliquez sur Actions.
- Sélectionnez Modifier les sous-réseaux.
- Dans le champ Nom, saisissez des lettres minuscules, des chiffres ou des tirets. Le nom de sous-réseau ne peut pas dépasser 25 caractères.
Dans la liste déroulante Région, sélectionnez une région proche de votre point de service.
Nous recommandons une région différente pour chaque sous-réseau. Vous ne pouvez pas modifier la région une fois que vous avez déployé votre configuration. Pour en savoir plus sur le choix d'une région, consultez la section Ressources régionales.
Dans le champ Plage d'adresses IP, saisissez une plage au format CIDR (par exemple, 10.0.0.0/24).
La plage que vous saisissez ne doit pas chevaucher d'autres sous-réseaux de ce réseau. Pour en savoir plus sur les plages valides, consultez la section Plages de sous-réseaux IPv4.
Répétez ces étapes pour le Sous-réseau 2.
Pour configurer des sous-réseaux supplémentaires dans ce réseau, cliquez sur Ajouter un sous-réseau et répétez ces étapes.
Cliquez sur Enregistrer.
Vos sous-réseaux sont automatiquement configurés conformément aux bonnes pratiques. Si vous souhaitez modifier la configuration, procédez comme suit sur la page Configuration de Google Cloud : réseaux VPC :
Pour désactiver les journaux de flux VPC, sélectionnez Désactivé dans la colonne Journaux de flux.
Lorsque les journaux de flux sont activés, chaque sous-réseau enregistre les flux réseau que vous pouvez analyser à des fins de sécurité, d'optimisation des dépenses et autres. Pour en savoir plus, consultez la page Utiliser des journaux de flux VPC.
Les journaux de flux VPC entraînent des coûts. Pour en savoir plus, consultez la page Tarifs du cloud privé virtuel.
Pour désactiver l'Accès privé à Google, dans la colonne Accès privé, sélectionnez Désactivé.
Lorsque l'Accès privé à Google est activé, les instances de VM sans adresses IP externes peuvent accéder aux API et services Google. Pour plus d'informations, consultez Accès privé à Google.
Pour activer Cloud NAT, dans la colonne Cloud NAT, sélectionnez Activé.
Lorsque Cloud NAT est activé, certaines ressources peuvent créer des connexions sortantes vers Internet. Pour en savoir plus, consultez la présentation de Cloud NAT.
Cloud NAT entraîne des coûts. Pour en savoir plus, consultez la page Tarifs du cloud privé virtuel.
Cliquez sur Continuer avec l'association des projets de service.
Associer des projets de service à vos projets hôtes
Un projet de service est un projet associé à un projet hôte. Ce rattachement permet au projet de service de participer à un VPC partagé. Chaque projet de service peut être exploité et géré par différents départements ou équipes afin de créer une séparation des responsabilités.
Pour en savoir plus sur la connexion de plusieurs projets à un réseau VPC commun, consultez la page Présentation du VPC partagé.
Pour associer des projets de service à vos projets hôtes et terminer la configuration, procédez comme suit :
Pour chaque sous-réseau du tableau Réseaux VPC partagés, sélectionnez un projet de service à connecter. Pour ce faire, sélectionnez-le dans la liste déroulante Sélectionner un projet de la colonne Projet de service.
Vous pouvez connecter un projet de service à plusieurs sous-réseaux.
Cliquez sur Continuer vers la vérification.
Vérifiez votre configuration et apportez des modifications.
Vous pouvez apporter des modifications jusqu'au déploiement de votre fichier de configuration.
Cliquez sur Confirmer le brouillon de configuration. Votre configuration réseau est ajoutée à votre fichier de configuration.
Votre réseau ne sera déployé que lorsque vous déploierez votre fichier de configuration dans une tâche ultérieure.
Étape suivante
Configurez une connectivité hybride, qui vous aide à connecter des serveurs sur site ou d'autres fournisseurs cloud à Google Cloud.
Dans cette tâche, vous établissez des connexions entre vos réseaux de pairs (sur site ou dans un autre cloud) et vos réseaux Google Cloud, comme illustré dans le diagramme suivant.
Ce processus crée un VPN haute disponibilité, une solution que vous pouvez créer rapidement pour transmettre des données sur Internet public.
Une fois votre configuration Google Cloud déployée, nous vous recommandons de créer une connexion plus robuste à l'aide de Cloud Interconnect.
Pour plus d'informations sur les connexions entre les réseaux de pairs et Google Cloud, consultez les ressources suivantes :
Utilisateurs effectuant cette tâche
Vous devez disposer du rôle Administrateur de l'organisation (roles/resourcemanager.organizationAdmin).
Actions à effectuer dans cette tâche
Créez des connexions haute disponibilité et à faible latence entre vos réseaux VPC et vos réseaux sur site ou d'autres réseaux cloud. Vous configurez les composants suivants :
- Passerelle VPN haute disponibilité Google Cloud : ressource régionale dotée de deux interfaces, chacune avec sa propre adresse IP. Vous spécifiez le type de pile IP, qui détermine si le trafic IPv6 est accepté dans votre connexion. Pour en savoir plus, consultez la page VPN haute disponibilité.
- Passerelle VPN de pairs : passerelle de votre réseau de pairs à laquelle la passerelle VPN haute disponibilité Google Cloud se connecte. Vous saisissez les adresses IP externes que votre passerelle de pairs utilise pour se connecter à Google Cloud. Pour plus d'informations, consultez la page Configurer la passerelle VPN de pairs.
- Cloud Router : utilise le protocole BGP (Border Gateway Protocol) pour échanger de manière dynamique des routes entre votre VPC et vos réseaux de pairs. Vous attribuez un numéro de système autonome (ASN) comme identifiant à votre routeur Cloud Router et spécifiez l'ASN utilisé par votre routeur pair. Pour plus d'informations, consultez la page Créer un routeur Cloud Router pour connecter un réseau VPC à un réseau de pairs.
- Tunnels VPN : connectez la passerelle Google Cloud à la passerelle de pairs. Vous spécifiez le protocole IKE (Internet Key Exchange) à utiliser pour établir le tunnel. Vous pouvez saisir votre propre clé IKE générée précédemment, ou générer et copier une nouvelle clé. Pour obtenir des informations générales, consultez la page Configurer l'IKE.
Raisons pour lesquelles nous recommandons cette tâche
Un VPN haute disponibilité fournit une connexion sécurisée et à disponibilité élevée entre votre infrastructure existante et Google Cloud.
Avant de commencer
Effectuez les tâches suivantes :
- Créez un super-administrateur et votre organisation dans la tâche Organisation.
- Ajoutez des utilisateurs et créez des groupes dans la tâche Utilisateurs et groupes.
- Attribuez des rôles IAM aux groupes dans la tâche Accès administrateur.
- Créez ou associez un compte de facturation dans la tâche Facturation.
- Configurez votre hiérarchie et attribuez l'accès à la tâche Hiérarchie et accès.
- Configurez votre réseau dans la tâche Réseaux VPC.
Recueillez les informations suivantes auprès de votre administrateur réseau de pairs :
- Nom de votre passerelle VPN de pairs : passerelle à laquelle votre Cloud VPN se connecte.
- Adresse IP de l'interface de pairs 0 : adresse IP externe de votre passerelle de réseau de pairs.
- Adresse IP de l'interface de pairs 1 : une deuxième adresse externe, ou vous pouvez réutiliser l'adresse IP 0 si votre réseau de pairs ne possède qu'une seule adresse IP externe.
- Numéro de système autonome (ASN) de pairs : identifiant unique attribué à votre routeur de réseau de pairs.
- ASN du routeur Cloud Router : identifiant unique que vous attribuerez à votre routeur Cloud Router.
- Clés IKE (Internet Key Exchange) : clés que vous utilisez pour établir deux tunnels VPN avec votre passerelle VPN de pairs. Si vous ne possédez pas de clés, vous pouvez les générer lors de cette configuration, puis les appliquer à votre passerelle de pairs.
Configurer vos connexions
Procédez comme suit pour connecter vos réseaux VPC à vos réseaux de pairs :
Connectez-vous en tant qu'utilisateur disposant du rôle "Administrateur de l'organisation".
Sélectionnez votre organisation dans le menu déroulant Sélectionnez une organisation en haut de la page.
Accédez à Configuration de Google Cloud : connectivité hybride.
Pour consulter les détails de la tâche, procédez comme suit :
Consultez la présentation des tâches, puis cliquez sur Démarrer la connectivité hybride.
Cliquez sur chaque onglet pour en savoir plus sur la connectivité hybride, puis cliquez sur Continuer.
Découvrez ce à quoi vous attendre à chaque étape de la tâche, puis cliquez sur Continuer.
Vérifiez les informations de configuration de la passerelle de pairs que vous devez collecter, puis cliquez sur Continuer.
Dans la zone Connexions hybrides, identifiez les réseaux VPC que vous souhaitez connecter en fonction des besoins de votre entreprise.
Sur la ligne du premier réseau que vous avez choisi, cliquez sur Configurer.
Dans la zone Présentation de la configuration, lisez la description et cliquez sur Suivant.
Dans la zone Passerelle VPN haute disponibilité Google Cloud, procédez comme suit :
Dans le champ Nom de la passerelle Cloud VPN, saisissez jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans la zone Type de pile d'adresses IP internes du tunnel VPN, sélectionnez l'un des types de pile suivants :
- IPv4 et IPv6 (recommandé) : accepte le trafic IPv4 et IPv6. Nous vous recommandons ce paramètre si vous prévoyez d'autoriser le trafic IPv6 dans votre tunnel.
- IPv4 : ne peut accepter que le trafic IPv4.
Le type de pile détermine le type de trafic autorisé dans le tunnel entre votre réseau VPC et votre réseau homologue. Vous ne pouvez pas modifier le type de pile une fois la passerelle créée. Pour en savoir plus, consultez les ressources suivantes :
Cliquez sur Suivant.
Dans la zone Passerelle VPN de pairs, procédez comme suit :
Dans le champ Nom de la passerelle VPN de pairs, saisissez le nom fourni par votre administrateur réseau de pairs. Vous pouvez saisir jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans le champ Adresse IP de l'interface de pairs 0, saisissez l'adresse IP externe de l'interface de la passerelle de pairs fournie par votre administrateur réseau de pairs.
Dans le champ Adresse IP de l'interface de pairs 1, effectuez l'une des opérations suivantes :
- Si votre passerelle de pairs dispose d'une deuxième interface, saisissez son adresse IP.
- Si votre passerelle de pairs ne comporte qu'une seule interface, saisissez la même adresse que celle que vous avez saisie dans le champ Adresse IP de l'interface de pairs 0.
Pour plus d'informations, consultez la page Configurer la passerelle VPN de pairs.
Cliquez sur Suivant.
Dans la zone Cloud Router, procédez comme suit :
Dans le champ Numéro ASN du routeur cloud, saisissez le numéro de système autonome que vous souhaitez attribuer à votre routeur Cloud Router, tel que fourni par l'administrateur de votre réseau de pairs. Pour plus d'informations, consultez la page Créer un routeur Cloud Router.
Dans le champ Numéro ASN du routeur de pairs, saisissez le numéro de système autonome de votre routeur de réseau de pairs, tel qu'il vous a été fourni par votre administrateur réseau de pairs.
Dans la zone Tunnel VPN 0, procédez comme suit :
Dans le champ Nom du tunnel 0, saisissez jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans la zone version de l'IKE, sélectionnez l'une des options suivantes :
- IKEv2 (recommandé) : accepte le trafic IPv6.
- IKEv1 : utilisez ce paramètre si vous ne prévoyez pas d'autoriser le trafic IPv6 dans le tunnel.
Pour en savoir plus, consultez Configurer des tunnels VPN.
Dans le champ Clé IKE pré-partagée, saisissez la clé que vous utilisez dans la configuration de votre passerelle de pairs, telle que fournie par l'administrateur de votre réseau de pairs. Si vous ne disposez pas d'une clé, vous pouvez cliquer sur Générer et copier, puis attribuer la clé à votre administrateur réseau de pairs.
Dans la zone Tunnel VPN 1, répétez l'étape précédente pour appliquer les paramètres du deuxième tunnel. Vous configurez ce tunnel pour assurer la redondance et un débit supplémentaire.
Cliquez sur Enregistrer.
Répétez ces étapes pour tous les autres réseaux VPC que vous souhaitez connecter à votre réseau de pairs.
Après le déploiement
Une fois que vous avez déployé votre configuration Google Cloud, procédez comme suit pour vous assurer que votre connexion réseau est complète :
Collaborez avec votre administrateur réseau de pairs pour aligner votre réseau de pairs sur vos paramètres de connectivité hybride. Une fois le déploiement effectué, des instructions spécifiques sont fournies pour votre réseau homologue, y compris les suivantes :
- Paramètres des tunnels
- Paramètres de pare-feu
- Paramètres IKE
Validez les connexions réseau que vous avez créées. Par exemple, vous pouvez utiliser Network Intelligence Center pour vérifier la connectivité entre les réseaux. Pour en savoir plus, consultez la présentation des Tests de connectivité.
Si vos besoins commerciaux nécessitent une connexion plus robuste, utilisez Cloud Interconnect. Pour en savoir plus, consultez la page Choisir un produit de Connectivité réseau.
Étape suivante
Déployez votre configuration, qui comprend les paramètres de votre hiérarchie et de vos accès, de la journalisation, du réseau et de la connectivité hybride.
Déployer vos paramètres
Appliquer les paramètres de surveillance et d'assistance