Diese Checkliste unterstützt Ihnen bei der Einrichtung von Google Cloud für skalierbare, produktionsreife Unternehmensarbeitslasten. Die Checkliste richtet sich an Administratoren, die die vollständige Kontrolle über die Google Cloud-Ressourcen des Unternehmens haben.
Die Checkliste umfasst 10 Aufgaben mit Schritt-für-Schritt-Anleitungen. Manche Aufgaben können auf verschiedene Art und Weise erledigt werden. Im Allgemeinen wird der Weg beschrieben, der für die meisten Nutzer hilfreich ist. Berücksichtigen Sie beim Durchgehen der Checkliste die Anforderungen Ihres Unternehmens. Wenn Sie Entscheidungen treffen, die von unseren Empfehlungen abweichen, halten Sie diese Änderungen für spätere Aufgaben in der Checkliste fest.
Checkliste
Klicken Sie auf einen Checklisteneintrag, um weitere Informationen zu erhalten. Klicken Sie in das Kästchen, wenn Sie eine Aufgabe abgeschlossen haben.
In dieser Aufgabe legen Sie eine Grundstruktur für Ordner und Projekte in der Ressourcenhierarchie an:
Ordner bieten einen Gruppierungsmechanismus und grenzen Projekte voneinander ab. Beispielsweise stehen sie für die Hauptabteilungen Ihrer Organisation wie Finanzen und Einzelhandel oder für Umgebungen wie Produktion oder Nicht-Produktion.
Projekte enthalten Cloudressourcen wie virtuelle Maschinen, Datenbanken und Storage-Buckets. Best Practices für Projekte finden Sie unter Projektstruktur festlegen.
Sie können IAM-Richtlinien festlegen, um den Zugriff auf verschiedenen Ebenen der Ressourcenhierarchie zu steuern. Diese Richtlinien legen Sie später in einer anderen Aufgabe dieser Checkliste fest.
Wer führt diese Aufgabe aus?
Eine Person in der Gruppe gcp-organization-admins@<your-domain>.com, die in Aufgabe 2 erstellt wurde.
Was Sie in dieser Aufgabe tun
Erstellen Sie die erste Hierarchiestruktur mit Ordnern und Projekten.
Warum wir diese Aufgabe empfehlen
Das Erstellen der Struktur ist eine Voraussetzung für eine spätere Aufgabe, in der Sie IAM-Richtlinien festlegen, um den Zugriff auf verschiedenen Ebenen der Ressourcenhierarchie zu steuern.
Ressourcenhierarchie planen
Die Ressourcenhierarchie kann auf viele verschiedene Arten erstellt werden. Das folgende Diagramm zeigt ein typisches Beispiel:
In diesem Beispiel umfasst die Ressourcenhierarchie der Organisation drei Ordnerebenen:
Umgebung: Hier sind die einzelnen Umgebungen enthalten (Nicht-Produktion und Produktion). Wenn Sie die Umgebungen voneinander isolieren, können Sie den Zugriff auf Produktionsumgebungen besser kontrollieren und vermeiden, dass sich Änderungen, die nicht die Produktion betreffen, versehentlich auf die Produktion auswirken.
Geschäftsbereiche: Im Diagramm werden diese als
Dept XundDept Ydargestellt, bei denen es sich um Geschäftsbereiche wie Entwicklung und Marketing handeln kann, sowie alsShared-Ordner mit Projekten, die über die Hierarchie verteilte Ressourcen enthalten, z. B. Netzwerke, Logging und Monitoring.Teams: Im Diagramm werden diese als
Team A,Team BundTeam Cdargestellt. Dies können Teams wie Entwicklung, Data Science, QA usw. sein.
Erste Ordner in der Ressourcenhierarchie erstellen
In diesem Schritt erstellen Sie einfache Ordner für die Ersteinrichtung, wie in diesem Diagramm gezeigt. Ordner bieten die Möglichkeit, Ressourcen zu gruppieren.
So erstellen Sie die ersten Ordner:
- Melden Sie sich als ein Nutzer der Google Groups-Gruppe
gcp-organization-admins, die Sie in Aufgabe 2 erstellt haben, in der Cloud Console an. Wechseln Sie in der Cloud Console zur Seite Ressourcen verwalten.
Erstellen Sie die folgenden zwei Ordner:
- Produktion > Freigegeben
- Nicht-Produktion > Freigegeben
Erste Projekte in der Ressourcenhierarchie erstellen
Nach dem Erstellen der ersten Hierarchie legen Sie Projekte an. Nach dem Prinzip der Trennung von Produktions- und Nicht-Produktionsumgebungen müssen Sie für diese Checkliste die folgenden Projekte erstellen:
example-vpc-host-nonprod: Dieses Projekt wird zum Verbinden von Nicht-Produktionsressourcen aus mehreren Projekten mit einem gemeinsamen VPC-Netzwerk verwendet.example-vpc-host-prod-draft: Dieses Projekt ist ein Platzhalter, um letztendlich Produktionsressourcen aus mehreren Projekten mit einem gemeinsamen VPC-Netzwerk zu verbinden.example-monitoring-nonprod: Dieses Projekt wird zum Hosten von Monitoring-Ressourcen in der Nicht-Produktionsumgebung verwendet.example-monitoring-prod-draft: Dieses Projekt ist ein Platzhalter, wo Ressourcen für die Produktionsüberwachung gehostet werden.example-logging-nonprod: Dieses Projekt wird zum Hosten exportierter Logdaten aus der Nicht-Produktionsumgebung verwendet.example-logging-prod-draft: Dieses Projekt ist ein Platzhalter, der letztendlich zum Hosten exportierter Logdaten aus der Produktionsumgebung verwendet wird.
Projektnamen dürfen nicht länger als 30 Zeichen sein. Normalerweise verwenden Sie den Namen Ihres Unternehmens anstelle von example, solange dieser nicht länger ist als 30 Zeichen. Wenn Sie in Zukunft Projekte in der Ressourcenhierarchie erstellen, empfehlen wir einer Benennungskonvention wie <business unit name>-<team name>-<application name>-<environment> zu folgen, je nach Ressourcenhierarchie Ihrer Organisation.
So erstellen Sie Projekte:
Wechseln Sie in der Cloud Console zur Seite Ressourcen verwalten.
Klicken Sie auf Projekt erstellen.
Geben Sie im Fenster Neues Projekt einen der oben aufgelisteten Projektnamen ein.
Wenn Sie zur Auswahl eines Rechnungskontos aufgefordert werden, wählen Sie das Rechnungskonto aus, das Sie für diese Checkliste verwenden möchten.
Klicken Sie bei Speicherort auf Durchsuchen und legen Sie den Speicherort so fest:
- Endet der Name des zu erstellenden Projekts auf
prod, wählen Sie Produktion > Freigegeben aus. - Endet der Name des zu erstellenden Projekts auf
nonprod, wählen Sie Nicht-Produktion > Freigegeben aus.
- Endet der Name des zu erstellenden Projekts auf
Klicken Sie auf Erstellen.
Wiederholen Sie die Schritte 2 bis 6 für jedes der empfohlenen Projekte.
Verknüpfung der Projekte mit dem geeigneten Rechnungskonto bestätigen
Für die Durchführung der Aufgaben weiter unten auf dieser Checkliste müssen Projekte mit einem Rechnungskonto verknüpft sein. Eine aktuelle Liste Ihrer Projekte und verknüpften Rechnungskonten finden Sie unter Aufgabe 5 in der Cloud Console.
Wenn Sie keinen Zugriff auf ein aktives Rechnungskonto haben, fahren Sie mit der nächsten Aufgabe fort. Wenn Sie versuchen, Projekte zu verwenden, die nicht mit einem Rechnungskonto verknüpft sind, werden Sie von der Cloud Console aufgefordert, die Abrechnung zu aktivieren. Kehren Sie zu diesem Schritt zurück, wenn ein Rechnungskonto fertig ist, um die Abrechnung für diese Projekte zu aktivieren.
So prüfen oder ändern Sie Rechnungskonten, die für die Abrechnung von Projekten festgelegt wurden:
- Rufen Sie auf der Seite Abrechnung die Rechnungskonten auf und wählen Sie den Tab Meine Projekte aus. Auf dieser Seite werden alle Rechnungskonten aufgeführt, die mit den Projekten Ihrer Organisation verknüpft sind.
- Weitere Informationen zum Ändern des Rechnungskontos eines Projekts finden Sie unter Abrechnung für ein Projekt aktivieren, deaktivieren oder ändern.
In dieser Aufgabe erstellen Sie Ihre anfängliche Netzwerkkonfiguration. Normalerweise gehen Sie so vor:
- Entwerfen, erstellen und konfigurieren Sie eine Virtual Private Cloud-Architektur.
- Wenn Sie ein lokales Netzwerk oder Netzwerke bei einem anderen Cloud-Anbieter haben, konfigurieren Sie die Konnektivität zwischen diesem Anbieter und Google Cloud.
- Richten Sie einen Pfad für externen ausgehenden Traffic ein.
- Implementieren Sie Netzwerksicherheitsfunktionen wie Firewallregeln.
- Wählen Sie eine bevorzugte Option für eingehenden Traffic für Dienste aus, die in der Cloud gehostet werden.
Diese Aufgabe zeigt Ihnen ein Beispiel für Punkt 1 als Basis für Ihre eigene Virtual Private Cloud-Architektur.
Die übrigen Punkte — externe Konnektivität, Konfigurieren des ausgehenden Traffics, Implementieren von Firewallregeln und Auswählen einer Option für eingehenden Traffic — hängen von den Anforderungen Ihres Unternehmens ab. Daher werden sie in dieser Checkliste nicht von uns abgedeckt. Jedoch bieten wir Ihnen Links, über die Sie zu weiteren Informationen zu diesen Punkten gelangen.
Wer führt diese Aufgabe aus?
Eine Person in der Gruppe gcp-network-admins@<your-domain>.com, die in Aufgabe 2 erstellt wurde.
Was Sie in dieser Aufgabe tun
Richten Sie eine erste Netzwerkkonfiguration ein.
- Erstellen Sie freigegebene VPC-Netzwerke.
- Konnektivität zwischen dem externen Anbieter und Google Cloud konfigurieren
- Pfad für externen ausgehenden Traffic einrichten
- Netzwerksicherheitsfunktionen implementieren
- Option für eingehenden Traffic auswählen
Warum wir diese Aufgabe empfehlen
Eine freigegebene VPC ermöglicht es verschiedenen Teams, von mehreren unterschiedlichen Produkten aus ein gemeinsames, zentral verwaltetes VPC-Netzwerk aufzubauen.
Durch die Konfiguration von Hybridkonnektivität lassen sich Anwendungen nahtlos zu Google Cloud migrieren, während gleichzeitig eine Verbindung zu Dienstabhängigkeiten hergestellt wird.
Wenn Sie von Anfang an sichere Wege für eingehenden und ausgehenden Traffic festlegen, können Ihre Teams produktiv und ohne Sicherheitseinschränkungen in Google Cloud arbeiten.
Virtual-Private-Cloud-Architektur
Google bietet eine Virtual Private Cloud (VPC), die Netzwerkfunktionen für Google Cloud-Ressourcen wie Instanzen virtueller Maschinen von Compute Engine, GKE-Container und die flexible App Engine-Umgebung bereitstellt. Im folgenden Diagramm ist eine grundlegende Architektur mit mehreren Regionen dargestellt:
Die Architektur verfügt über zwei Shared VPC-Hostprojekte. Ein Hostprojekt wird für Ihre Nicht-Produktionsumgebung und das andere für Ihre letztendliche Produktionsumgebung (derzeit als "production-draft" bezeichnet) bereitgestellt. Eine freigegebene Virtual Private Cloud ermöglicht Organisationen, Ressourcen aus mehreren Projekten zu einem gemeinsamen Netzwerk zu verbinden. Ressourcen können so über interne IP-Adressen dieses Netzwerks sicherer und effizienter miteinander kommunizieren.
Ein Shared VPC-Hostprojekt enthält ein oder mehrere Shared VPC-Netzwerke. In dieser Architektur enthält jedes freigegebene VPC-Netzwerk (sowohl für die Produktions- als auch die Nicht-Produktionsumgebung) öffentliche und private Subnetze in zwei Regionen (in diesem Fall us-east1 und us-west1):
- Das öffentliche Subnetz kann für Instanzen verwendet werden, die aus dem Internet zugänglich sind, um externe Konnektivität bereitzustellen.
- Das private Subnetz kann für Instanzen verwendet werden, die nur intern verwendet werden und denen keine öffentlichen IP-Adressen zugewiesen werden sollten.
Die Architektur im obigen Diagramm verwendet Beispielnamen für diverse Ressourcen. Für die eigene Einrichtung können Sie Elemente der Namen ändern und Ihren Unternehmensnamen (example in den Beispielnamen) und die verwendete Region (us-east1 und us-west1 in den Beispielen) verwenden.
Netzwerk konfigurieren
Obwohl die Netzwerkeinrichtung je nach Arbeitslast variiert, sind in der Regel die folgenden Aktivitäten erforderlich:
Freigegebene Virtual Private Cloud-Netzwerke (VPC) erstellen Eine freigegebene VPC ermöglicht einer Organisation, Ressourcen aus mehreren Projekten zu einem gemeinsamen VPC-Netzwerk zu verbinden. Verwenden Sie zum Erstellen eines freigegebenen VPC-Netzwerks die Cloud Console.
Konnektivität zwischen dem externen Anbieter und Google Cloud konfigurieren. Wenn Sie ein lokales Netzwerk oder Netzwerke bei einem anderen Cloud-Anbieter haben, können Sie Cloud VPN einrichten. Dieser Dienst ermöglicht eine sichere Verbindung zwischen dem Peer-Netzwerk und dem Google Cloud VPC-Netzwerk über eine IPsec-VPN-Verbindung. Cloud VPN eignet sich für Geschwindigkeiten bis zu 3,0 Gbit/s. Wenn Sie eine höhere Bandbreite für die Verbindung Ihres lokalen Systems mit Google Cloud benötigen, finden Sie entsprechende Informationen unter Partner Interconnect und Dedicated Interconnect. Folgen Sie der Anleitung unter Gateway und Tunnel erstellen, um eine VPN-Verbindung für die freigegebenen VPC-Netzwerke sowohl der Produktions- als auch der Nicht-Produktionsumgebung zu konfigurieren, die im vorherigen Verfahren erstellt wurden.
Richten Sie einen Pfad für externen ausgehenden Traffic ein. Sie können Cloud NAT verwenden, damit sich Ihre VMs ohne Verwendung externer IP-Adressen mit dem Internet verbinden können. Cloud NAT ist eine regionale Ressource. Sie können diese so konfigurieren, dass Traffic aus allen primären und sekundären IP-Bereichen von Subnetzen in einer Region oder nur aus bestimmten Bereichen zugelassen wird. Folgen Sie zum Einrichten eines Pfads für externen ausgehenden Traffic den Anweisungen unter NAT erstellen für alle Regionen in den freigegebenen VPC-Netzwerken, die in der vorherigen Prozedur sowohl für Produktions- als auch für Nicht-Produktionsnetzwerke erstellt wurden.
Netzwerksicherheitsfunktionen implementieren. Mit Firewallregeln können Sie den Traffic zu und von Ihren VM-Instanzen (virtuellen Maschinen) mithilfe einer von Ihnen festgelegten Konfiguration zulassen oder ablehnen. Folgen Sie der Anleitung unter Firewallregeln verwenden, um diese Steuerelemente für die freigegebenen VPC-Netzwerke sowohl der Produktions- als auch der Nicht-Produktionsumgebung zu konfigurieren, die im vorherigen Verfahren erstellt wurden.
Option für eingehenden Traffic auswählen. Mit Cloud Load Balancing können Sie festlegen, wie Computing-Ressourcen über Regionen verteilt werden. Das Load-Balancing bietet eine Unterstützung, um die Verfügbarkeitsanforderungen sowohl für eingehenden externen Traffic als auch für Traffic innerhalb Ihres VPC-Netzwerks zu erfüllen. Sehen Sie sich bei der Planung Ihrer Anwendungsarchitektur auf Google Cloud die Informationen unter Load-Balancer auswählen an, um zu entscheiden, welche Typen von Load-Balancern Sie benötigen.