Con esta lista de tareas, podrás configurar Google Cloud para cargas de trabajo empresariales escalables y listas para la producción. Se diseñó para los administradores a los que se les otorga control total de los recursos de Google Cloud de la empresa.
La lista de tareas consta de diez actividades con procedimientos paso a paso. Algunas tareas se pueden lograr de varias maneras. En general, describimos el método que será útil para la mayor cantidad de usuarios. Mientras realizas las tareas de la lista, considera las necesidades de tu empresa. Si tomas decisiones que sean diferentes de las que recomendamos, ten en cuenta esas diferencias para las tareas posteriores de la lista.
Lista de tareas
Haz clic en un elemento de la lista de tareas para ver más información y en la casilla cuando completes una tarea.
En esta tarea, crearás una estructura básica para las carpetas y proyectos en tu jerarquía de recursos:
Las carpetas proporcionan un mecanismo de agrupación y límites de aislamiento entre proyectos. Por ejemplo, pueden representar los departamentos principales en tu organización, como finanzas o venta minorista, o entornos, como producción frente a no producción.
Los proyectos contienen los recursos de la nube como, por ejemplo, máquinas virtuales, bases de datos y depósitos de almacenamiento. Para obtener prácticas recomendadas relacionadas con los proyectos, consulta Especifica la estructura de tu proyecto.
Puedes establecer políticas de IAM para controlar el acceso en diferentes niveles de la jerarquía de recursos. Establecerás estas políticas como una tarea posterior en esta lista de tareas.
Quiénes deben realizar esta tarea
Una persona en el grupo gcp-organization-admins@<your-domain>.com que se creó en la tarea 2.
Qué debes hacer en esta tarea
Crea la estructura de jerarquía inicial con carpetas y proyectos.
Por qué recomendamos esta tarea
Crear la estructura es un requisito para una tarea posterior en la que estableces políticas de IAM a fin de controlar el acceso en diferentes niveles de la jerarquía de recursos.
Planifica la jerarquía de recursos
Hay muchas formas de crear la jerarquía de recursos. En el siguiente diagrama, se muestra un ejemplo típico:
En el ejemplo, la jerarquía de recursos de organización contiene tres niveles de carpetas:
Entorno (producción y no producción) Cuando se aíslan los entornos entre sí, se puede controlar mejor el acceso a los entornos de producción y evitar que los cambios que no sean de producción puedan afectarla de forma accidental.
Unidades de negocios. En el diagrama, se representan como
Dept XyDept Y, que podrían ser unidades de negocios como, por ejemplo, Ingeniería y Marketing, y una carpetaSharedcon proyectos que contienen recursos compartidos en la jerarquía, como herramientas de redes, registro y supervisión.Equipos. En el diagrama, se representan como
Team A,Team ByTeam C, que pueden ser equipos como Desarrollo, Ciencia de datos, Control de calidad, etcétera.
Crea carpetas iniciales en la jerarquía de recursos
En este paso, crearás carpetas básicas para la configuración inicial, como se muestra en este diagrama. Las carpetas te permiten agrupar recursos.
Para crear las carpetas iniciales, haz lo siguiente:
- Accede a Google Cloud Console como un usuario del Grupo de Google
gcp-organization-admins(creado en la tarea 2). En Cloud Console, ve a la página Administrar recursos:
Crea las siguientes dos carpetas:
- Producción > Compartidos
- No producción > Compartido
Crea proyectos iniciales en la jerarquía de recursos
Después de crear la jerarquía inicial, crea proyectos. De acuerdo con el principio de separación de los entornos de producción y de no producción, para esta lista de tareas debes crear los siguientes proyectos:
example-vpc-host-nonprod. Este proyecto se usa para conectar recursos de varios proyectos del entorno de no producción a la red de VPC común.example-vpc-host-prod-draft. Este proyecto es un marcador de posición para conectar finalmente recursos de producción de varios proyectos a una red de VPC común.example-monitoring-nonprod. Este proyecto se usa para alojar recursos de supervisión de tu entorno de no producción.example-monitoring-prod-draft. Este proyecto es un marcador de posición para alojar recursos de supervisión de producción.example-logging-nonprod. Este proyecto se usa para alojar los datos de registro exportados de tu entorno de no producción.example-logging-prod-draft. Este proyecto es un marcador de posición que se usa para alojar los datos de registro exportados del entorno de producción.
Los nombres de proyecto tienen un límite de 30 caracteres. Por lo general, puedes usar el nombre de tu empresa en lugar de example, siempre y cuando no sobrepases el límite de 30 caracteres. Cuando crees proyectos en la jerarquía de recursos en el futuro, recomendamos utilizar una convención de nombres, como <business unit name>-<team name>-<application name>-<environment>, según la jerarquía de recursos de tu organización.
Sigue estos pasos para crear los proyectos:
En Cloud Console, ve a la página Administrar recursos:
Haz clic en Crear proyecto.
En la ventana Nuevo proyecto, ingresa el nombre de uno de los proyectos de la lista anterior.
Si se te solicita que selecciones una cuenta de facturación, selecciona la que desees usar para esta lista de tareas.
En Ubicación, haz clic en Navegar y, luego, configura la ubicación como se indica a continuación:
- Si el nombre del proyecto que estás creando termina en
prod, selecciona Producción > Compartido. - Si el nombre del proyecto que estás creando termina en
nonprod, selecciona No producción > Compartido.
- Si el nombre del proyecto que estás creando termina en
Haz clic en Crear.
Repite los pasos 2 a 6 con cada uno de los proyectos recomendados.
Verifica que todos los proyectos estén vinculados a la cuenta de facturación adecuada
Para poder realizar tareas más adelante en esta lista de tareas, los proyectos deben estar vinculados a una cuenta de facturación. Para obtener una lista actual de tus proyectos y cuentas de facturación vinculadas, visita la Tarea 5 en Cloud Console.
Si no tienes acceso a una cuenta de facturación activa, pasa a la siguiente tarea. Si intentas usar proyectos que no están vinculados a una cuenta de facturación, Cloud Console te pedirá que habilites la facturación. Cuando la cuenta de facturación esté lista, vuelve a revisar este paso y habilita la facturación en esos proyectos.
Sigue estos pasos para revisar o cambiar la configuración de la cuenta de facturación de los proyectos en Facturación de Cloud:
- Ve las cuentas de facturación en la página Facturación y selecciona la pestaña Mis proyectos. En la página, se enumeran todas las cuentas de facturación vinculadas a los proyectos de tu organización.
- Para cambiar la cuenta de facturación de cualquier proyecto, consulta Habilita, inhabilita o cambia la facturación de un proyecto.
En esta tarea configurarás la red inicial. Por lo general, debes seguir estos pasos:
- Diseña, crea y configura una arquitectura de nube privada virtual.
- Si tienes herramientas de redes locales o en otro proveedor de servicios en la nube, debes configurar la conectividad entre ese proveedor y Google Cloud.
- Configura una ruta para el tráfico externo de salida.
- Implementa controles de seguridad de red, como reglas de firewall.
- Selecciona una opción de tráfico de entrada preferida para los servicios alojados en la nube.
En esta tarea se muestra un ejemplo del elemento 1 como base para tu propia arquitectura de nube privada virtual.
Los elementos restantes (conectividad externa, configuración del tráfico de salida, implementación de las reglas de firewall y selección de la opción de entrada) dependen de las necesidades de tu negocio. Por lo tanto, no los incluimos en esta lista de tareas. Sin embargo, proporcionamos vínculos a la información adicional sobre estos parámetros.
Quiénes deben realizar esta tarea
Una persona en el grupo gcp-network-admins@<your-domain>.com que se creó en la tarea 2.
Qué debes hacer en esta tarea
Establece una configuración inicial de redes.
- Crea las redes de VPC compartida
- Configura la conectividad entre el proveedor externo y Google Cloud
- Configura una ruta para el tráfico externo de salida
- Implementa controles de seguridad de red
- Elige una opción de tráfico de entrada
Por qué recomendamos esta tarea
La VPC compartida permite que distintos equipos se conecten a una red de VPC común administrada de forma central desde varios productos diferentes.
La configuración de la conectividad híbrida permite la migración sin interrupciones de las aplicaciones a Google Cloud y, al mismo tiempo, se mantiene la conexión con las dependencias del servicio.
El diseño de rutas de entrada y salida seguras desde el comienzo permite a tus equipos trabajar de forma productiva en Google Cloud sin comprometer la seguridad.
Arquitectura de nube privada virtual
Google ofrece la nube privada virtual (VPC) para proporcionar funcionalidad de red a tus recursos de Google Cloud, como las instancias de máquina virtual de Compute Engine, los contenedores de GKE y el entorno flexible de App Engine. En el siguiente diagrama, se muestra la arquitectura multirregional básica:
Esta arquitectura tiene dos proyectos host de VPC compartida. Un proyecto host es para tu entorno de no producción, y el otro es para tu entorno de producción eventual (actualmente etiquetado como “production-draft”). La nube privada virtual compartida permite que las organizaciones conecten recursos de varios proyectos a una red común, de modo que los recursos se comuniquen entre sí de manera más segura y eficiente mediante las direcciones IP internas de esa red.
Un proyecto host de VPC compartida incluye una o más redes de VPC compartida. En esta arquitectura cada red de VPC compartida (tanto el borrador de producción como el entorno de no producción) incluye subredes públicas y privadas en dos regiones (en este caso, us-east1 y us-west1):
- La subred pública se puede usar con instancias que están conectadas a Internet a fin de proporcionar conectividad externa.
- La subred privada se puede usar en instancias que son solo para uso interno y no se le deben asignar direcciones IP públicas.
La arquitectura que se muestra en el diagrama anterior usa nombres de ejemplo para varios recursos. En tu configuración, puedes cambiar elementos del nombre, como tu empresa (example en los nombres de ejemplo) y la región que usas (us-east1 y us-west1 en los ejemplos).
Configura Herramientas de redes
Aunque la configuración de red varía según tu carga de trabajo, las siguientes actividades son comunes:
Crea redes de nube privada virtual (VPC) compartidas. La VPC compartida permite que una organización conecte recursos desde varios proyectos a una red de VPC común. Para crear una red de VPC compartida, usa Cloud Console.
Configura la conectividad entre el proveedor externo y Google Cloud. Si tienes herramientas de redes locales o en otro proveedor de servicios en la nube, puedes configurar Cloud VPN, un servicio que te ayuda a conectar de manera segura tu red de intercambio de tráfico con tu red de VPC de Google Cloud mediante una conexión de VPN IPSec. El servicio de Cloud VPN es adecuado para velocidades de hasta 3.0 Gbps. Si necesitas más ancho de banda para conectar tu sistema local a Google Cloud, consulta Interconexión de socio e Interconexión dedicada. A fin de crear una conexión de VPN, sigue las instrucciones en Crea una puerta de enlace y un túnel para las redes de VPC compartida de borrador de producción y de no producción que se crearon en el procedimiento anterior.
Configura una ruta para el tráfico externo de salida. Cloud NAT se usa para permitir que tus VM se conecten a Internet sin usar una dirección IP externa. Cloud NAT es un recurso regional. Puedes configurarlo para permitir tráfico de todos los rangos de IP principales y secundarios de las subredes de una región. También puedes configurarlo para que se aplique solo a algunos de esos rangos. A fin de configurar una ruta para el tráfico de salida externo, sigue las instrucciones en Crea NAT para todas las regiones en las redes de VPC compartida creadas en el procedimiento anterior para las redes de borrador de producción y de no producción.
Implementa controles de seguridad de red. Las reglas de firewall permiten o rechazan el tráfico desde y hacia las instancias de máquina virtual (VM) según la configuración que especifiques. Sigue las instrucciones en Usa reglas de firewall a fin de configurar estos controles para las redes de VPC compartida de borrador de producción y de no producción que se crearon en el procedimiento anterior.
Elige una opción de tráfico de entrada. Cloud Load Balancing te permite controlar cómo se distribuyen los recursos de procesamiento en las regiones. El balanceo de cargas te ayudará a cumplir con los requisitos de disponibilidad del tráfico externo entrante y del tráfico dentro de tu red de VPC. Cuando planifiques el diseño de la arquitectura de tu aplicación en Google Cloud, consulta Elige un balanceador de cargas para decidir qué tipo de balanceadores necesitas.