Prima di eseguire carichi di lavoro di produzione su Google Cloud, ti consigliamo configuri una base iniziale a supporto del tuo lavoro. Configurazione di Google Cloud aiuta gli amministratori a configurare Google Cloud per carichi di lavoro scalabili. Configurazione che ti guida attraverso una procedura interattiva che ti consente di creare di base tenendo presenti le best practice.
Per allinearti alle esigenze della tua azienda, puoi eseguire rapidamente il deployment di una configurazione o apportare modifiche durante l'intero processo di configurazione. In base a il flusso di lavoro di deployment che preferisci, puoi eseguire il deployment della configurazione direttamente dalla console o scaricare ed eseguire il deployment di Terraform si integrano con il tuo processo Infrastructure as Code (IaC).
Questo documento include passaggi e informazioni di base per aiutarti a completare di configurazione di Google, disponibile anche come guida interattiva in la console Google Cloud:
Vai alla configurazione di Google Cloud
La procedura di configurazione include le seguenti fasi:
Definisci la tua organizzazione, gli amministratori e la fatturazione: configura nodo di primo livello della gerarchia, creare utenti amministratori iniziali, e collega il tuo metodo di pagamento.
Crea un'architettura iniziale: seleziona una cartella e un progetto iniziali. strutturare, assegnare l'accesso, configurare il logging, applicare impostazioni di sicurezza e configurare la rete.
Esegui il deployment delle impostazioni: le scelte iniziali per l'architettura vengono compilate in di configurazione di Terraform. Puoi eseguire rapidamente il deployment la console Google Cloud o scarica i file per personalizzare e ripetere utilizzando il tuo flusso di lavoro.
Applica le impostazioni di monitoraggio e assistenza: applica il monitoraggio e il supporto consigliati e supportare le impostazioni per rafforzare l'architettura.
Specifica organizzazione, amministratori e fatturazione
Creare un'architettura iniziale
In questa attività imposterai la configurazione di networking iniziale, che puoi e scalare in base alle tue esigenze.
Architettura del virtual private cloud
Una rete Virtual Private Cloud (VPC) è una versione virtuale di una rete fisica implementata all'interno della rete di produzione di Google. Una rete VPC è una risorsa globale composta da due istanze subnet (subnet).
Le reti VPC forniscono funzionalità di networking le tue risorse Google Cloud, come la macchina virtuale istanze, container GKE e l'ambiente flessibile di App Engine di Compute Engine.
Un VPC condiviso collega le risorse da più di progetti a una rete VPC comune in modo che possano comunicare utilizzando gli indirizzi IP interni della rete. Il seguente diagramma mostra l'architettura base di una rete VPC condiviso con dei progetti di servizio.
Quando utilizzi un VPC condiviso, designi un progetto host e colleghi uno o e altri progetti di servizio. Le reti Virtual Private Cloud nel progetto host sono denominate reti VPC condiviso.
Il diagramma di esempio include progetti host di produzione e non di produzione, ciascuno una rete VPC condiviso. Puoi utilizzare un progetto host per gestisci quanto segue:
- Route
- Firewall
- Connessioni VPN
- Subnet
Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Puoi e condividere subnet, inclusi intervalli secondari, tra progetti host e di servizio.
In questa architettura, ogni rete VPC condiviso contiene subnet private:
- La subnet pubblica può essere utilizzata da istanze rivolte a internet per e la connettività privata.
- La subnet privata può essere utilizzata da istanze interne che non sono gli indirizzi IP pubblici allocati.
In questa attività creerai una configurazione di rete iniziale basata sull'esempio in questo diagramma.
Chi esegue questa attività
Per eseguire questa operazione, è necessario uno dei seguenti requisiti:
- Il ruolo
roles/compute.networkAdmin. - Inclusione in
gcp-network-admins@YOUR_DOMAINcreato nell'attività Utenti e gruppi.
Cosa fai in questa attività
Crea una configurazione di rete iniziale che includa quanto segue:
- Crea più progetti host per riflettere i tuoi ambienti di sviluppo.
- Creare una rete VPC condiviso in ogni progetto host per consentire per condividere la stessa rete.
- Crea subnet distinte in ogni rete VPC condiviso per fornire ai progetti di servizio.
Perché consigliamo questa attività
Team distinti possono utilizzare il VPC condiviso per connettersi una rete VPC gestita centralmente.
Prima di iniziare
Completa le seguenti attività:
- Crea un utente super amministratore e la tua organizzazione nell' Attività Organizzazione.
- Aggiungi utenti e crea gruppi nella sezione Utenti e gruppi dell'attività.
- Assegna ruoli IAM ai gruppi nella Attività di accesso amministrativo.
- Crea o collega un account di fatturazione nell'attività Fatturazione.
- Configura la gerarchia e assegna l'accesso nel Attività Gerarchia e accesso.
Configurare l'architettura di rete
Crea la tua configurazione di rete iniziale con due progetti host da segmentare carichi di lavoro di produzione e non di produzione. Ogni progetto host contiene Rete VPC condiviso, che può essere utilizzata da più progetti di servizio. Tu configurare i dettagli della rete ed eseguire il deployment di un file di configurazione in un'attività successiva.
Per configurare la rete iniziale, segui questi passaggi.
Accedi alla console Google Cloud come utente dalla
gcp-organization-admins@YOUR_DOMAINgruppo creato nell'attività Utenti e gruppi.Seleziona la tua organizzazione dall'elenco a discesa Seleziona un'organizzazione nella parte superiore della pagina.
Vai a Configurazione di Google Cloud: Networking.
Esamina l'architettura di rete predefinita.
Per modificare il nome della rete:
- Fai clic su Azioni
- Seleziona Modifica nome rete.
- Nel campo Nome rete, inserisci lettere minuscole, numeri o e trattini. Il nome della rete non può superare i 25 caratteri.
- Fai clic su Salva.
Modifica dettagli firewall
Le regole firewall predefinite nel progetto host si basano sulle migliori pratiche. Puoi scegliere di disattivare una o più regole firewall predefinite. Per informazioni generali sulle regole firewall, vedi Regole firewall VPC.
Per modificare le impostazioni del firewall:
Fai clic su Azioni.
Seleziona Modifica regole firewall.
Per informazioni dettagliate su ogni regola firewall predefinita, consulta Regole precompilate nella rete predefinita.
Per disabilitare una regola firewall, deseleziona la casella di controllo corrispondente.
Per disabilitare il logging delle regole firewall, fai clic su Off.
Per impostazione predefinita, il traffico da e verso le istanze Compute Engine viene registrato per motivi di controllo. Questo processo prevede dei costi. Per ulteriori informazioni, consulta Logging delle regole firewall.
Fai clic su Salva.
Modifica i dettagli della subnet
Ogni rete VPC contiene almeno una subnet, di risorsa di regione con un intervallo di indirizzi IP associato. In questa area multiregionale devi avere almeno due subnet con intervalli IP che non si sovrappongono.
Per ulteriori informazioni, vedi Subnet.
Ogni subnet viene configurata utilizzando le best practice consigliate. Se vuoi personalizzare ciascuna subnet, segui questi passaggi:
- Fai clic su Azioni
- Seleziona Modifica subnet.
- Nel campo Nome, inserisci lettere minuscole, numeri o trattini. Il nome della subnet non può superare i 25 caratteri.
Dal menu a discesa Regione, seleziona una regione vicina al tuo punto di accesso del servizio.
Consigliamo una regione diversa per ogni subnet. Non puoi cambiare la regione dopo il deployment della configurazione. Per informazioni sulla scelta di un regione, consulta Risorse regionali.
Nel campo Intervallo di indirizzi IP, inserisci un intervallo in notazione CIDR: ad esempio 10.0.0.0/24.
L'intervallo inserito non deve sovrapporsi ad altre subnet in questa rete. Per per informazioni sugli intervalli validi, consulta Intervalli di subnet IPv4.
Ripeti questi passaggi per la subnet 2.
Per configurare altre subnet in questa rete, fai clic su Aggiungi subnet e ripeti questi passaggi.
Fai clic su Salva.
Le subnet vengono configurate automaticamente in base alle best practice. Se vuoi modificare la configurazione, Configurazione di Google Cloud: reti VPC, segui questi passaggi:
Per disattivare Log di flusso VPC, dalla colonna Log di flusso seleziona Disattivata.
Quando i log di flusso sono attivi, ogni subnet registra i flussi di rete che puoi analizzare per sicurezza, ottimizzazione delle spese e altri scopi. Per ulteriori informazioni informazioni, consulta Utilizzare i log di flusso VPC.
I log di flusso VPC sono soggetti a costi. Per ulteriori informazioni, vedi Prezzi di Virtual Private Cloud.
Per disattivare l'accesso privato Google, dalla colonna Accesso privato: Seleziona Spento.
Quando l'accesso privato Google è attivo, le istanze VM che non hanno un IP esterno possono raggiungere le API e i servizi Google. Per ulteriori informazioni, consulta Accesso privato Google.
Per attivare Cloud NAT, seleziona On dalla colonna Cloud NAT.
Quando Cloud NAT è attivo, alcune risorse possono creare connessioni in uscita a internet. Per ulteriori informazioni, consulta la panoramica di Cloud NAT.
Cloud NAT comporta costi. Per ulteriori informazioni, consulta i prezzi di Virtual Private Cloud.
Fai clic su Continua a collegare i progetti di servizio.
Collega i progetti di servizio ai progetti host
Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Questo collegamento consente al progetto di servizio di partecipare al VPC condiviso. Ciascuna che un progetto di servizio può essere gestito e amministrato da diversi reparti dei team in modo da creare una separazione delle responsabilità.
Per ulteriori informazioni sulla connessione di più progetti a un progetto Rete VPC, vedi Panoramica del VPC condiviso.
Per collegare i progetti di servizio ai progetti host e completare la configurazione, procedi nel seguente modo:
Per ogni subnet nella tabella Reti VPC condivise, seleziona una un progetto di servizio per la connessione. Per farlo, seleziona un'opzione dalla sezione Seleziona un progetto nella colonna Progetto di servizio.
Puoi connettere un progetto di servizio a più subnet.
Fai clic su Passa alla revisione.
Rivedi la configurazione e apporta le modifiche.
Puoi apportare modifiche fino a quando non esegui il deployment del file di configurazione.
Fai clic su Conferma configurazione di bozza. La configurazione di rete viene aggiunta a del file di configurazione.
Il deployment della rete non viene eseguito finché non esegui il deployment del file di configurazione in un'attività successiva.
Passaggi successivi
Configura la connettività ibrida, che ti aiuta a connetterti. server on-premise o altri cloud provider a Google Cloud.
In questa attività, stabilirai le connessioni tra il tuo peer (on-premise o altro cloud) e le reti Google Cloud, come nel diagramma seguente.
Questo processo crea una VPN ad alta disponibilità, soluzione ad alta disponibilità che puoi creare rapidamente per trasmettere i dati al pubblico internet.
Dopo aver eseguito il deployment della configurazione di Google Cloud, ti consigliamo di creare una connessione più solida utilizzando Cloud Interconnect.
Per ulteriori informazioni sulle connessioni tra le reti peer e Google Cloud, consulta le seguenti:
Chi esegue questa attività
Devi disporre del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin).
Cosa fai in questa attività
Crea connessioni a bassa latenza e ad alta disponibilità tra il tuo VPC on-premise o su altre reti cloud. Configuri i seguenti componenti:
- Gateway VPN ad alta disponibilità di Google Cloud: una risorsa di regione con due interfacce, ciascuna con il proprio indirizzo IP. Devi specificare il tipo di stack IP, determina se il traffico IPv6 è supportato nella connessione. Per informazioni di base, consulta la VPN ad alta disponibilità.
- Gateway VPN peer: il gateway sulla tua rete peer a cui Google Cloud un gateway VPN ad alta disponibilità si connette. Inserisci indirizzi IP esterni che il gateway peer utilizza per connettersi a Google Cloud. Per informazioni di base, consulta Configurare il gateway VPN peer.
- Router Cloud: utilizza il protocollo BGP (Border Gateway Protocol) per lo scambio dinamico tra le tue route VPC e le reti peer. Assegni un ASN (Autonomous System Number) come identificatore per il tuo router Cloud e specificare l'ASN utilizzato dal router peer. Per informazioni di base, consulta Creare un router Cloud per connettere una rete VPC a una rete peer.
- Tunnel VPN: collega il gateway Google Cloud al gateway peer. Tu specifichi IKE (Internet Key Exchange) da utilizzare per stabilire il tunnel. Puoi inserire la tua chiave IKE generata in precedenza oppure generarne e copiarne una nuova chiave. Per informazioni di base, consulta l'articolo Configurare IKE.
Perché consigliamo questa attività
Una VPN ad alta disponibilità offre un ambiente sicuro e ad alta disponibilità connessione tra la tua infrastruttura esistente e Google Cloud.
Prima di iniziare
Completa le seguenti attività:
- Crea un utente super amministratore e la tua organizzazione nell' Attività Organizzazione.
- Aggiungi utenti e crea gruppi nella sezione Utenti e gruppi dell'attività.
- Assegna ruoli IAM ai gruppi nella Attività di accesso amministrativo.
- Crea o collega un account di fatturazione nell'attività Fatturazione.
- Configura la gerarchia e assegna l'accesso nel Attività Gerarchia e accesso.
- Configura la rete nel Attività Reti VPC.
Raccogli le seguenti informazioni dall'amministratore di rete peer:
- Nome gateway VPN peer: il gateway a cui Cloud VPN si connette.
- Indirizzo IP dell'interfaccia peer 0: un indirizzo IP esterno sulla tua rete peer. gateway VPN ad alta disponibilità.
- Indirizzo IP dell'interfaccia peer 1: un secondo indirizzo esterno oppure riutilizza l'IP 0 se la rete peer ha un solo indirizzo IP esterno.
- ASN (Peer Autonomous System Number): un identificatore univoco assegnato al tuo router di rete peer.
- ASN router Cloud: un identificatore univoco che assegnerai al tuo router Cloud.
- Chiavi IKE (Internet Key Exchange): chiavi che utilizzi per stabilire due tunnel VPN con il gateway VPN peer. Se non hai chiavi esistenti, puoi generarle durante la configurazione e poi applicarle al gateway peer.
Configura le tue connessioni
Segui questi passaggi per connettere le tue reti VPC al peer reti:
Accedi come utente con il ruolo Amministratore organizzazione.
Seleziona la tua organizzazione dall'elenco a discesa Seleziona da in alto della pagina.
Vai a Configurazione di Google Cloud: connettività ibrida.
Per esaminare i dettagli dell'attività:
Rivedi la panoramica dell'attività e fai clic su Avvia connettività ibrida.
Fai clic su ciascuna scheda per scoprire di più sulla connettività ibrida e fai clic su Continua.
Scopri cosa aspettarti in ogni passaggio dell'attività e fai clic su Continua.
Rivedi le informazioni di configurazione del gateway peer che devi raccogliere e fai clic su Continua.
Nell'area Connessioni ibride, identifica le reti VPC da mettere in contatto, in base alle esigenze della tua attività.
Nella riga relativa alla prima rete scelta, fai clic su Configura.
Nell'area Panoramica della configurazione, leggi la descrizione e fai clic su Avanti.
Nell'area Gateway VPN ad alta disponibilità di Google Cloud, esegui la seguenti:
Nel campo Nome gateway Cloud VPN, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.
Nell'area Tipo di stack IP interno del tunnel VPN, seleziona una delle i seguenti tipi di stack:
- IPv4 e IPv6 (opzione consigliata): può supportare il traffico IPv4 e IPv6. Consigliamo questa impostazione se prevedi di consentire il traffico IPv6 nel tunnel.
- IPv4: può supportare solo il traffico IPv4.
Il tipo di stack determina il tipo di traffico consentito nella tunnel tra la tua rete VPC e la tua rete peer. Tu non possono modificare il tipo di stack dopo aver creato il gateway. Per informazioni di base, consulta quanto segue:
Fai clic su Avanti.
Nell'area Gateway VPN peer:
Nel campo Nome gateway VPN peer, inserisci il nome fornito dal tuo amministratore di rete peer. Puoi inserire fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.
Nel campo Indirizzo IP dell'interfaccia peer 0, inserisci il gateway peer all'indirizzo IP esterno dell'interfaccia fornito dall'amministratore di rete peer.
Nel campo Indirizzo IP dell'interfaccia peer 1, esegui una delle seguenti operazioni:
- Se il gateway peer ha una seconda interfaccia, inserisci il relativo indirizzo IP.
- Se il gateway peer ha una sola interfaccia, inserisci lo stesso indirizzo inserito in Indirizzo IP dell'interfaccia peer 0.
Per informazioni di base, consulta Configurare il gateway VPN peer.
Fai clic su Avanti.
Nell'area Router Cloud, segui questi passaggi:
Nel campo ASN router Cloud, inserisci il numero di sistema autonomo (Autonomous System Number) assegnare al router Cloud, come fornito dalla rete peer amministratore. Per informazioni di base, consulta Creare un router Cloud.
Nel campo ASN router peer, inserisci il nome del router di rete peer Numero di sistema autonomo (Autonomous System Number), fornito dall'amministratore di rete peer.
Nell'area Tunnel VPN 0:
Nel campo Nome tunnel 0, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.
Nell'area Versione IKE, seleziona una delle seguenti opzioni:
- IKEv2 (opzione consigliata): supporta il traffico IPv6.
- IKEv1: utilizza questa impostazione se non prevedi di consentire il traffico IPv6 in nel tunnel.
Per informazioni di base, consulta Configurare i tunnel VPN.
Nel campo Chiave precondivisa IKE, inserisci la chiave che utilizzi nel gateway peer come fornita dall'amministratore di rete peer. In caso contrario una chiave esistente, puoi fare clic su Genera e copia e assegnare all'amministratore di rete peer.
Nell'area Tunnel VPN 1, ripeti il passaggio precedente per applicare le impostazioni per nel secondo tunnel. Configuri questo tunnel per la ridondanza e e la velocità effettiva effettiva.
Fai clic su Salva.
Ripeti questi passaggi per tutte le altre reti VPC che vuoi per connetterti alla rete peer.
Dopo il deployment
Dopo aver eseguito il deployment della configurazione di configurazione di Google Cloud, completa i seguenti passaggi per assicurarti che la connessione di rete sia completa:
Collabora con l'amministratore di rete peer per allineare la tua rete peer le impostazioni di connettività ibrida. Dopo il deployment, istruzioni specifiche per la rete peer, tra cui:
- Impostazioni tunnel.
- Impostazioni del firewall.
- Impostazioni IKE.
Convalida le connessioni di rete che hai creato. Ad esempio, puoi utilizzare Network Intelligence Center per controllare la connettività tra le reti. Per ulteriori informazioni, vedi Panoramica di Connectivity Tests.
Se le esigenze della tua attività richiedono una connessione più solida, utilizza e Cloud Interconnect. Per ulteriori informazioni, vedi Scelta di un prodotto per la connettività di rete.
Passaggi successivi
Implementare la configurazione, che include le impostazioni per la gerarchia e l'accesso, il logging, la rete e la connettività ibrida.
Esegui il deployment delle impostazioni
Applica le impostazioni di monitoraggio e assistenza