此核对清单可帮助您设置 Google Cloud，以运行支持生产环境的可扩缩企业工作负载。此核对清单是专为受到信任、可完全控制公司 Google Cloud 资源的管理员而设计的。
该核对清单包括 10 项任务，每项任务都包含分步步骤。某些任务可使用多种方法，但我们通常介绍能帮助最多用户的那一种。在完成该核对清单后，请考虑您自己的业务需求。如果您的选择与我们建议的不同，请在执行该核对清单中的后续任务时注意这些区别。
点击核对清单项目可以查看该项目的详细步骤。
核对清单
在此任务中，您将为资源层次结构中的文件夹和项目创建基本结构：
文件夹在项目之间提供了分组机制和隔离边界。例如，文件夹可表示您的组织中的主要部门（例如财务或零售），也可表示环境（例如生产与非生产）。
您可以设置 IAM 政策来控制资源层次结构不同级层的访问权限。在此核对清单的后续任务中，您将设置这些政策。
谁执行此任务
您在任务 2 中创建的 gcp-organization-admins@<your-domain>.com 群组中的人员。
您需要执行的操作
使用文件夹和项目创建初始层次结构。
我们为何建议执行此任务
在后续任务中，您将设置 IAM 政策来控制资源层次结构不同级层的访问权限，因此必须创建此结构。
资源层次结构图
您可以通过很多方法创建资源层次结构。下图展示了一个典型示例。
在此示例中，组织资源层次结构包含三个级别的文件夹：
环境（非生产与生产）。 通过将环境彼此隔离，您可以更好地控制对生产环境的访问权限，并避免非生产更改意外影响生产。
业务部门。在该图中，这些项表示为
Dept X和Dept Y，它们可能是工程、营销等业务部门，还有一个Shared文件夹，其中包含资源（例如网络、日志记录和监控）跨层次结构共享的项目。团队。在该图中，这些项表示为
Team A、Team B和Team C，它们可能是开发、数据科学、质量检查等团队。
创建初始资源层次结构
在这些核对清单步骤中，您将按下图所示，为初始设置创建基本文件夹和项目。这些文件夹和项目用于该核对清单的剩余任务。之后，您可以基于此层次结构进行构建，以镜像您的组织，并且随着 Google Cloud 上的工作负载不断增加，根据公司需要对层次结构进行自定义。
- 确保您以任务 2 中创建的
gcp-organization-adminsGoogle 网上论坛群组中的用户身份登录 Cloud Console。 - 创建文件夹。
按照该流程操作四次，创建以下文件夹：
ProductionNon-ProductionShared，使用Production作为父文件夹Shared，使用Non-Production作为父文件夹
接下来，您将创建项目。根据分离生产和非生产环境的原则，对于本核对清单，您需要创建以下项目：
example-vpc-host-nonprod。此项目用于将多个项目中的非生产资源连接到一个公用 VPC 网络。example-vpc-host-prod。此项目用于将多个项目中的生产资源连接到一个公用 VPC 网络。example-monitoring-nonprod。此项目用于托管非生产监控资源。example-monitoring-prod。此项目用于托管生产监控资源。example-logging-nonprod。此项目用于托管从非生产环境中导出的日志数据。example-logging-prod。此项目用于托管从生产环境中导出的日志数据。
项目名称长度不得超过 30 个字符。通常，您可以使用您的公司名称来代替 example，只是需要将公司名称长度限制在 30 个字符以内。将来在资源层次结构中创建项目时，我们建议您根据自己组织的资源层次结构使用命名惯例，例如 <business unit name>-<team name>-<application name>-<environment>。
如需创建项目，请执行以下操作：
在 Cloud Console 中，转到管理资源页面：
点击创建项目。
在新建项目窗口中，输入一个之前列出的项目名称。
如果系统提示您选择结算帐号，请选择您要用于此核对清单的结算帐号。
对于位置，请点击浏览，然后按以下方式设置位置：
- 如果您创建的项目名称以
prod结尾，请选择生产 > 共享。 - 如果您创建的项目的名称以
nonprod结尾，请选择非生产 > 共享。
- 如果您创建的项目名称以
点击创建。
对每个推荐的项目重复第 2 步到第 6 步。
在此任务中，您将设置初始网络配置。通常，您需要执行以下操作：
- 设计、创建和配置虚拟私有云架构。
- 如果您有本地网络或其他云服务商中的网络，请在该服务商与 Google Cloud 之间配置连接。
- 设置外部出站流量的路径。
- 实施防火墙规则等网络安全控制措施。
- 为在云端托管的服务选择首选入站流量选项。
此任务展示了一个第 1 项的示例，作为您自己的虚拟私有云架构基础。
剩余内容（外部连接、出站流量配置、实施防火墙规则以及选择入站选项）取决于您的业务需求。因此，我们未在此核对清单中进行介绍。不过，我们提供了相关链接供您详细了解这些内容。
谁执行此任务
您在任务 2 中创建的 gcp-network-admins@<your-domain>.com 群组中的人员。
您需要执行的操作
设置初始网络配置。
- 创建共享 VPC 网络
- 配置外部提供商与 Google Cloud 之间的连接
- 设置外部出站流量的路径
- 实施网络安全控制
- 选择入站流量选项
我们为何建议执行此任务
通过共享 VPC，不同的团队可以从多个不同产品连接到一个集中管理的公用 VPC 网络。
配置混合连接后，您可以将应用无缝迁移到 Google Cloud，同时仍连接到服务依赖项。
从一开始就设计安全的入站和出站流量路径，可让您的团队能够在 Google Cloud 中高效地工作，而且不会影响安全性。
虚拟私有云架构
Google 提供 Virtual Private Cloud (VPC)，它可为 Compute Engine 虚拟机实例、GKE 容器和 App Engine 柔性环境等 Google Cloud 资源提供网络功能。下图展示了一个基本的多地区架构：
此架构包含两个共享 VPC 宿主项目。一个宿主项目用于生产环境，另一个用于非生产环境。借助共享 VPC，组织可以将多个项目中的资源连接到一个公用 VPC 网络，以便资源可以通过该网络使用内部 IP 地址更加安全高效地相互通信。
共享 VPC 宿主项目包含一个或多个共享 VPC 网络。在此架构中，每个共享 VPC 网络（生产和非生产）均包含跨两个地区（在此示例中为 us-east1 和 us-west1）的公共和专用子网：
- 公共子网可用于面向互联网以提供外部连接的实例。
- 专用子网可用于仅面向内部且不应分配有公共 IP 地址的实例。
上图中显示的架构为各项资源使用的是示例名称。对于自定义设置，您可以更改名称的元素，例如您的公司（在示例名称中为 example）以及您使用的地区（在示例中为 us-east1 和 us-west1。
创建共享 VPC 网络
在项目选择器页面选择
example-vpc-host-nonprod：按照删除网络的说明删除名为
default的 VPC 网络。按照相关说明使用以下值创建自定义模式网络：
- 对于名称，请输入
example-shared-vpc-nonprod-1。 - 对于新子网部分的参数：
- 对于名称，请输入
example-nonprod-us-east1-subnet-public。 - 对于 IP 地址范围，请输入
10.1.0.0/24（只要该 IP 地址与现有的网络 IP 地址范围不冲突，并足以满足您的托管需求）。 - 对于专用 Google 访问通道，请选择开启，以便让虚拟机能够在没有外部 IP 地址的情况下与 Google API 通信。
- 对于名称，请输入
- 选择添加子网，然后按照说明添加以下子网名称：
example-nonprod-us-east1-subnet-private
IP address range: 10.2.0.0/24example-nonprod-us-west1-subnet-public
IP address range: 10.3.0.0/24example-nonprod-us-west1-subnet-private
IP address range: 10.4.0.0/24
- 对于名称，请输入
使用以下值启用共享 VPC 宿主项目：
- 对于项目，请选择
example-vpc-host-nonprod。 - 在选择子网下，点击个别子网（子网级权限），然后选择您之前创建的所有非生产子网。
- 在关联服务项目中，关联所有剩余监控和日志记录非生产项目。
- 对于项目，请选择
在项目选择器页面选择
example-vpc-host-prod：对生产环境重复第 2 步到第 4 步。请务必选择之前创建的所有生产子网。
配置外部提供商与 Google Cloud 之间的连接
如果您有本地网络或其他云服务商中的网络，则可以设置 Cloud VPN，借助该服务，您可以通过 IPSec VPN 连接将对等互连网络安全地连接到 Google Cloud VPC 网络。Cloud VPN 适合速度最高为 3.0 Gbps 的带宽。如果您需要使用更高的带宽将本地系统连接到 Google Cloud，请参阅合作伙伴互连和专用互连。
如需为您在上一过程中创建的生产和非生产共享 VPC 网络创建 VPN 连接，请按照创建网关和隧道的说明执行操作。
设置外部出站流量的路径
借助 Cloud NAT，您可以将自己的虚拟机连接到互联网，而无需使用外部 IP 地址。Cloud NAT 是一种地区性资源。您可以将其配置为允许来自一个区域中子网的所有主要和次要 IP 范围的流量，也可以将其配置为仅应用于这些范围中的一部分。
按照创建 NAT 的说明，为您在上一过程中创建的生产和非生产共享 VPC 网络中的所有区域执行此操作。
实施网络安全控制
通过防火墙规则，您可以根据自己指定的配置允许或拒绝流量传入和传出虚拟机实例。按照使用防火墙规则的说明，为您在上一过程中创建的生产和非生产共享 VPC 网络配置这些控制措施。
选择入站流量选项
借助 Cloud Load Balancing，您能够将计算资源分布到单个或多个区域。这样您就可以同时满足针对传入的外部流量和 VPC 网络中流量的高可用性要求。在 Google Cloud 上规划应用架构时，请查看选择负载平衡器以决定您需要的负载平衡器的类型。