Google Cloud で本番環境のワークロードを実行する前に、作業をサポートする初期基盤を構成することをおすすめします。Google Cloud の設定は、管理者がスケーラブルなワークロード用に Google Cloud を構成する際に役立ちます。設定プロセスでは、ベスト プラクティスを念頭に置いた基本的なアーキテクチャの作成に役立つインタラクティブな手順を提示します。
ビジネスニーズに合わせて、デフォルトの構成をすばやくデプロイしたり、設定プロセス全体で調整したりできます。目的のデプロイ ワークフローに応じて、コンソールから構成を直接デプロイすることも、Terraform をダウンロードしてデプロイし、独自の Infrastructure as Code（IaC）プロセスと統合することもできます。
このドキュメントでは、設定プロセスを完了するための手順と背景情報について説明します。これは、Google Cloud コンソールのインタラクティブ ガイドとしても提供されています。
この設定プロセスには、以下のフェーズが含まれます。
組織、管理者、課金を設定する: 階層の最上位ノードを設定し、初期管理者ユーザーを作成して、お支払い方法を関連付けます。
初期のアーキテクチャを作成する: 初期のフォルダとプロジェクト構造を選択して、アクセス権の割り当て、ロギングの構成、セキュリティ設定の適用を行い、ネットワークを設定します。
設定をデプロイする: 最初に選択したアーキテクチャが Terraform 構成ファイルにコンパイルされます。この設定は、Google Cloud コンソールですぐにデプロイできます。また、ファイルをダウンロードして、独自のワークフローを使用してカスタマイズしたり、反復処理を行うこともできます。
モニタリングとサポートの設定を適用する: 推奨されるモニタリングとサポートの設定を適用して、アーキテクチャを強化します。
組織、管理者、お支払い情報を設定する
最初のアーキテクチャを作成する
このタスクではネットワークの初期構成を設定します。この構成は、ニーズの変化に応じてスケーリングできます。
Virtual Private Cloud アーキテクチャ
Virtual Private Cloud（VPC）ネットワークは、Google の本番環境ネットワーク内に実装された物理ネットワークを仮想化したネットワークです。VPC ネットワークは、リージョンのサブネットワーク（サブネット）で構成されるグローバル リソースです。
VPC ネットワークは、Compute Engine 仮想マシン インスタンス、GKE コンテナ、App Engine フレキシブル環境インスタンスなどの Google Cloud リソースにネットワーク機能を提供します。
共有 VPC は、複数のプロジェクトのリソースを共通の VPC ネットワークに接続し、ネットワークの内部 IP アドレスを使用して相互に通信できるようにします。次の図は、サービス プロジェクトが接続された共有 VPC ネットワークの基本アーキテクチャを示しています。
共有 VPC を使用する場合は、ホスト プロジェクトを指定し、1 つ以上のサービス プロジェクトをホスト プロジェクトに接続します。ホスト プロジェクトの Virtual Private Cloud ネットワークは、共有 VPC ネットワークといいます。
この例の図には、本番環境と非本番環境のホスト プロジェクトがあり、それぞれに共有 VPC ネットワークが含まれています。ホスト プロジェクトを使用すると、以下のものを一元管理できます。
- ルート
- ファイアウォール
- VPN 接続
- サブネット
サービス プロジェクトとは、ホスト プロジェクトに接続されている任意のプロジェクトです。ホスト プロジェクトとサービス プロジェクトの間で、セカンダリ範囲を含むサブネットを共有できます。
このアーキテクチャでは、各共有 VPC ネットワークにパブリック サブネットとプライベート サブネットが含まれています。
- パブリック サブネットは、インターネットに接続するインスタンスで外部接続のために使用されます。
- プライベート サブネットは、パブリック IP アドレスが割り振られていない内部インスタンスで使用されます。
このタスクでは、サンプルの図に基づいてネットワークの初期構成を作成します。
このタスクを行うユーザー
このタスクを行うには、次のいずれかが必要です。
roles/compute.networkAdminロール。- [ユーザーとグループ] タスクで作成した
gcp-network-admins@YOUR_DOMAINグループのユーザー。
このタスクの内容
次のものを含むネットワークの初期構成を作成します。
- 開発環境に合わせて複数のホスト プロジェクトを作成します。
- 各ホスト プロジェクトに共有 VPC ネットワークを作成し、異なるリソースが同じネットワークを共有できるようにします。
- 各共有 VPC ネットワークに個別のサブネットを作成して、サービス プロジェクトへのネットワーク アクセスを提供します。
このタスクをおすすめする理由
各チームが共有 VPC を使用して、一元管理された共通の VPC ネットワークに接続できます。
始める前に
次の作業を行います。
- [組織] タスクで、特権管理者ユーザーと組織を作成します。
- [ユーザーとグループ] タスクで、ユーザーの追加とグループの作成を行います。
- [管理者権限] タスクでグループに IAM ロールを割り当てます。
- [課金] タスクで請求先アカウントを作成またはリンクします。
- [階層とアクセス] タスクで階層を設定し、アクセス権を割り当てます。
ネットワーク アーキテクチャを構成する
2 つのホスト プロジェクトを使用してネットワークの初期構成を作成し、非本番環境と本番環境のワークロードをセグメント化します。各ホスト プロジェクトには、複数のサービス プロジェクトで使用できる共有 VPC ネットワークが含まれています。ネットワークの詳細を構成し、後のタスクで構成ファイルをデプロイします。
ネットワークの初期構成を行うには、次の操作を行います。
[ユーザーとグループ] タスクで作成した
gcp-organization-admins@YOUR_DOMAINグループのユーザーで Google Cloud コンソールにログインします。ページの上部にある [組織を選択] プルダウン リストから組織を選択します。
[Google Cloud の設定] の [ネットワーキング] に移動します。
デフォルトのネットワーク アーキテクチャを確認します。
ネットワーク名を編集するには、次の操作を行います。
- 操作アイコン をクリックします。
- [ネットワーク名を編集する] を選択します。
- [ネットワーク名] フィールドに、小文字、数字、ハイフンを入力します。ネットワーク名は 25 文字以内で指定してください。
- [保存] をクリックします。
ファイアウォールの詳細を変更する
ホスト プロジェクトのデフォルトのファイアウォール ルールは、推奨されるベスト プラクティスに基づいています。1 つ以上のデフォルト ファイアウォール ルールを無効にできます。ファイアウォール ルールの概要については、VPC ファイアウォール ルールをご覧ください。
ファイアウォールの設定を変更するには、次の操作を行います。
操作アイコン をクリックします。
[ファイアウォール ルールを編集する] を選択します。
デフォルトのファイアウォール ルールの詳細については、デフォルト ネットワークの事前設定ルールをご覧ください。
ファイアウォール ルールを無効にするには、対応するチェックボックスをオフにします。
[ファイアウォール ルールのロギング] を無効にするには、[オフ] をクリックします。
デフォルトでは、Compute Engine インスタンスとの間のトラフィックは、監査目的でロギングされます。このプロセスには費用が発生します。詳細については、ファイアウォール ルールのロギングをご覧ください。
[保存] をクリックします。
サブネットの詳細を変更する
各 VPC ネットワークには 1 つ以上のサブネットが存在します。サブネットは、IP アドレス範囲が関連付けられたリージョン リソースです。このマルチリージョン構成では、IP 範囲が重複しないサブネットが 2 つ以上必要になります。
詳細については、サブネットをご覧ください。
各サブネットは、推奨のベスト プラクティスに従って構成されます。各サブネットをカスタマイズする場合は、次の操作を行います。
- 操作アイコン をクリックします。
- [サブネットを編集する] を選択します。
- [名前] フィールドに、小文字、数字、ハイフンを入力します。サブネット名は 25 文字以内で指定してください。
[リージョン] プルダウンから、サービス提供地点に近いリージョンを選択します。
サブネットごとに異なるリージョンを使用することをおすすめします。構成をデプロイした後にリージョンを変更することはできません。リージョンの選択については、リージョン リソースをご覧ください。
[IP アドレス範囲] フィールドに、範囲を CIDR 表記で入力します（例: 10.0.0.0/24）。
入力する範囲は、このネットワーク内の他のサブネットと重ならないようにしてください。有効な範囲については、IPv4 サブネットの範囲をご覧ください。
サブネット 2 にも同じ手順を繰り返します。
このネットワークで追加のサブネットを構成するには、[サブネットを追加] をクリックして、上記の手順を繰り返します。
[保存] をクリックします。
サブネットは、ベスト プラクティスに従って自動的に構成されます。構成を変更する場合は、[Google Cloud 設定] の [VPC ネットワーク] ページで次の操作を行います。
VPC フローログをオフにするには、[Flow logs] 列で [オフ] を選択します。
フローログがオンの場合、各サブネットはネットワーク フローを記録します。これは、セキュリティや費用の最適化などの目的で分析できます。詳細については、VPC フローログを使用するをご覧ください。
VPC フローログには費用が発生します。詳細については、Virtual Private Cloud の料金をご覧ください。
限定公開の Google アクセスを無効にするには、[Private access] 列で [オフ] を選択します。
限定公開の Google アクセスが有効になっている場合、外部 IP アドレスのない VM インスタンスが Google API とサービスにアクセスできます。詳細については、限定公開の Google アクセスをご覧ください。
Cloud NAT を有効にするには、[Cloud NAT] 列で [オン] を選択します。
Cloud NAT を有効にすると、特定のリソースがインターネットへのアウトバウンド接続を作成できます。詳細については、Cloud NAT の概要をご覧ください。
Cloud NAT には費用が発生します。詳細については、Virtual Private Cloud の料金をご覧ください。
[サービス プロジェクトのリンクに進む] をクリックします。
サービス プロジェクトをホスト プロジェクトにリンクする
サービス プロジェクトとは、ホスト プロジェクトに接続されている任意のプロジェクトです。接続したサービス プロジェクトには、共有 VPC への参加が許可されます。各サービス プロジェクトを異なる部門やチームで運用、管理することで、責任を分離できます。
複数のプロジェクトを共通の VPC ネットワークに接続する方法については、共有 VPC の概要をご覧ください。
サービス プロジェクトをホスト プロジェクトにリンクして構成を完了するには、次の操作を行います。
[共有 VPC ネットワーク] テーブルの各サブネットに、接続するサービス プロジェクトを選択します。これを行うには、[サービス プロジェクト] 列の [プロジェクトを選択] プルダウンから選択します。
1 つのサービス プロジェクトを複数のサブネットに接続できます。
[続行して確認] をクリックします。
構成を確認して変更を行います。
構成ファイルをデプロイするまでは編集が可能です。
[ドラフトの構成の確定] をクリックします。ネットワークの構成が構成ファイルに追加されます。
後のタスクで構成ファイルをデプロイするまで、ネットワークはデプロイされません。
次のステップ
ハイブリッド接続をセットアップします。これにより、オンプレミス サーバーや他のクラウド プロバイダを Google Cloud に接続できます。
このタスクでは、次の図のように、ピア（オンプレミスまたは他のクラウド）ネットワークと Google Cloud ネットワーク間の接続を確立します。
このプロセスでは、HA VPN が作成されます。これは、パブリック インターネットを介してデータを転送するために迅速に作成できる高可用性（HA）ソリューションです。
Google Cloud の設定をデプロイしたら、Cloud Interconnect を使用してより堅牢な接続を作成することをおすすめします。
ピアリング ネットワークと Google Cloud 間の接続の詳細については、以下をご覧ください。
このタスクを行うユーザー
組織管理者ロール（roles/resourcemanager.organizationAdmin）を付与されている必要があります。
このタスクの内容
VPC ネットワークとオンプレミスまたは他のクラウド ネットワークの間に低レイテンシで高可用性の接続を作成します。次のコンポーネントを構成します。
- Google Cloud HA VPN ゲートウェイ: それぞれ独自の IP アドレスを持つ 2 つのインターフェースがあるリージョン リソース。IP スタックタイプを指定します。これにより、接続で IPv6 トラフィックがサポートされるかどうかが決定されます。背景情報については、HA VPN をご覧ください。
- ピア VPN ゲートウェイ: Google Cloud HA VPN ゲートウェイが接続するピア ネットワーク上のゲートウェイ。ピア ゲートウェイが Google Cloud への接続に使用する外部 IP アドレスを入力します。背景情報については、ピア VPN ゲートウェイを構成するをご覧ください。
- Cloud Router: Border Gateway Protocol（BGP）を使用して、VPC とピア ネットワーク間でルートを動的に交換します。自律システム番号（ASN）を Cloud Router の ID として割り当て、ピアルーターで使用する ASN を指定します。背景情報については、Cloud Router を作成して VPC ネットワークをピア ネットワークに接続するをご覧ください。
- VPN トンネル: Google Cloud ゲートウェイをピア ゲートウェイに接続します。トンネルの確立に使用する Internet Key Exchange（IKE）プロトコルを指定します。以前に生成した独自の IKE 鍵を入力するか、新しい鍵を生成してコピーできます。背景情報については、IKE を構成するをご覧ください。
このタスクをおすすめする理由
HA VPN は、既存のインフラストラクチャと Google Cloud 間に安全で高可用性の接続を実現します。
始める前に
次の作業を行います。
- [組織] タスクで、特権管理者ユーザーと組織を作成します。
- [ユーザーとグループ] タスクで、ユーザーの追加とグループの作成を行います。
- [管理者権限] タスクでグループに IAM ロールを割り当てます。
- [課金] タスクで請求先アカウントを作成またはリンクします。
- [階層とアクセス] タスクで階層を設定し、アクセス権を割り当てます。
- [VPC ネットワーク] タスクでネットワークを構成します。
ピア ネットワーク管理者から次の情報を収集します。
- ピア VPN ゲートウェイ名: Cloud VPN が接続するゲートウェイ。
- ピア インターフェース IP アドレス 0: ピア ネットワーク ゲートウェイの外部 IP アドレス。
- ピア インターフェース IP アドレス 1: 2 番目の外部アドレス。ピア ネットワークに外部 IP アドレスが 1 つのみ存在する場合は、IP アドレス 0 を再利用できます。
- ピア自律システム番号（ASN）: ピア ネットワーク ルーターに割り当てられる固有識別子。
- Cloud Router ASN: Cloud Router に割り当てる固有識別子。
- Internet Key Exchange（IKE）鍵: ピア VPN ゲートウェイで 2 つの VPN トンネルを確立するために使用する鍵。既存の鍵がない場合は、この設定中に鍵を生成してピア ゲートウェイに適用できます。
接続を構成する
VPC ネットワークをピア ネットワークに接続する手順は次のとおりです。
組織管理者ロールを持つユーザーとしてログインします。
ページ上部の [選択元] プルダウン リストから組織を選択します。
[Google Cloud の設定] の [ハイブリッド接続] に移動します。
タスクの詳細を確認する手順は次のとおりです。
タスクの概要を確認し、[ハイブリッド接続を開始] をクリックします。
各タブをクリックしてハイブリッド接続の詳細を確認し、[続行] をクリックします。
各タスクのステップで何が行われるかを確認し、[続行] をクリックします。
収集する必要があるピア ゲートウェイの構成情報を確認して、[続行] をクリックします。
[ハイブリッド接続] 領域で、ビジネスニーズに基づいて接続する VPC ネットワークを特定します。
最初に選択したネットワークの行で、[構成] をクリックします。
[構成の概要] 領域で説明を確認し、[次へ] をクリックします。
[Google Cloud HA VPN ゲートウェイ] 領域で、次の操作を行います。
[Cloud VPN ゲートウェイ名] フィールドに、英小文字、数字、ハイフンを使用して最大 60 文字を入力します。
[VPN トンネルの内部 IP スタックタイプ] 領域で、次のいずれかのスタックタイプを選択します。
- IPv4 と IPv6（推奨）: IPv4 トラフィックと IPv6 トラフィックの両方をサポートできます。トンネルで IPv6 トラフィックを許可する場合は、この設定をおすすめします。
- IPv4: IPv4 トラフィックのみをサポートできます。
スタックタイプによって、VPC ネットワークとピア ネットワーク間のトンネルで許可されるトラフィックのタイプが決定されます。ゲートウェイの作成後にスタックタイプを変更することはできません。背景情報については、以下をご覧ください。
[次へ] をクリックします。
[ピア VPN ゲートウェイ] 領域で、次の操作を行います。
[ピア VPN ゲートウェイの名前] フィールドに、ピア ネットワーク管理者によって指定された名前を入力します。英小文字、数字、ハイフンを使用して最大 60 文字を入力できます。
[ピア インターフェース IP アドレス 0] フィールドに、ピア ネットワーク管理者によって指定されたピア ゲートウェイ インターフェースの外部 IP アドレスを入力します。
[ピア インターフェース IP アドレス 1] フィールドで、次のいずれかを行います。
- ピア ゲートウェイに 2 つ目のインターフェースがある場合は、その IP アドレスを入力します。
- ピア ゲートウェイにインターフェースが 1 つのみ存在する場合は、[ピア インターフェース IP アドレス 0] に入力したのと同じアドレスを入力します。
背景情報については、ピア VPN ゲートウェイを構成するをご覧ください。
[次へ] をクリックします。
[Cloud Router] 領域で、次の操作を行います。
[Cloud Router の ASN] フィールドに、ピア ネットワーク管理者によって指定された、Cloud Router に割り当てる自律システム番号を入力します。背景情報については、Cloud Router を作成するをご覧ください。
[ピアルーターの ASN] フィールドに、ピア ネットワーク管理者によって指定されたピア ネットワーク ルーターの自律システム番号を入力します。
[VPN トンネル 0] 領域で、次の操作を行います。
[トンネル 0 の名前] フィールドに、英小文字、数字、ハイフンを使用して最大 60 文字を入力します。
[IKE バージョン] 領域で、次のいずれかを選択します。
- IKEv2 - 推奨: IPv6 トラフィックをサポートします。
- IKEv1: トンネルで IPv6 トラフィックを許可しない場合は、この設定を使用します。
背景情報については、VPN トンネルを構成するをご覧ください。
[IKE 事前共有キー] フィールドに、ピア ネットワーク管理者によって指定された、ピア ゲートウェイ構成で使用する鍵を入力します。既存の鍵がない場合は、[生成してコピー] をクリックして、鍵をピア ネットワーク管理者に渡します。
[VPN トンネル 1] 領域で、前のステップを繰り返して 2 番目のトンネルの設定を適用します。このトンネルは、冗長性と追加のスループットのために構成します。
[保存] をクリックします。
ピア ネットワークに接続する他の VPC ネットワークに対して、前述の手順を繰り返します。
デプロイ後
Google Cloud 設定構成をデプロイしたら、次の手順でネットワーク接続が完了していることを確認します。
ピア ネットワーク管理者と連携して、ピア ネットワークをハイブリッド接続設定に合わせます。デプロイ後、ピア ネットワークに固有の次のような手順が提示されます。
- トンネルの設定。
- ファイアウォールの設定。
- IKE 設定。
作成したネットワーク接続を検証します。たとえば、Network Intelligence Center を使用してネットワーク間の接続を確認できます。詳細については、接続テストの概要をご覧ください。
ビジネスニーズでより堅牢な接続が必要な場合は、Cloud Interconnect を使用します。詳細については、Network Connectivity プロダクトの選択をご覧ください。
次のステップ
構成をデプロイする。構成には、階層とアクセス、ロギング、ネットワーク、ハイブリッド接続の設定が含まれます。
設定をデプロイする
モニタリングとサポートの設定を適用する