Cette checklist vous aide à configurer Google Cloud pour des charges de travail d'entreprise évolutives prêtes pour la production. Elle s'adresse aux administrateurs qui disposent d'un contrôle complet sur les ressources Google Cloud de l'entreprise.
Cette checklist comprend 10 tâches avec des procédures détaillées. Certaines tâches peuvent être effectuées de plusieurs manières. En règle générale, nous décrivons la méthode qui s'applique au plus grand nombre d'utilisateurs. À mesure que vous parcourez la checklist, tenez compte des besoins de votre entreprise. Si vous choisissez des options différentes de celles recommandées, notez-les. Cela vous servira pour les tâches suivantes de la checklist.
Checklist
Cliquez sur un élément de la checklist pour afficher plus d'informations et cochez la case lorsque vous terminez une tâche.
Dans le cadre de cette tâche, vous allez créer une structure de base pour les dossiers et les projets présents dans la hiérarchie des ressources.
Les dossiers constituent un mécanisme de regroupement et une façon d'isoler les projets les uns des autres. Par exemple, ils peuvent représenter les principaux services de votre organisation, tels que finance ou commerce, ou des environnements en production ou hors production.
Les projets contiennent vos ressources cloud, telles que des machines virtuelles, des bases de données et des buckets de stockage. Pour connaître les bonnes pratiques liées aux projets, consultez Spécifier la structure du projet.
Vous pouvez définir des règles IAM pour contrôler l'accès à différents niveaux de la hiérarchie des ressources. Vous définirez ces règles dans une tâche ultérieure de la checklist.
Utilisateurs effectuant cette tâche
Une personne du groupe gcp-organization-admins@<your-domain>.com que vous avez créé à la tâche 2.
Actions à effectuer dans cette tâche
Créez la structure hiérarchique initiale avec des dossiers et des projets.
Raisons pour lesquelles nous recommandons cette tâche
La création de la structure est nécessaire pour réaliser une tâche ultérieure dans laquelle vous définissez des stratégies IAM afin de contrôler l'accès à différents niveaux de la hiérarchie des ressources.
Planifier la hiérarchie des ressources
Il existe de nombreuses manières de créer une hiérarchie de ressources. Le diagramme suivant montre un exemple type :
Dans l'exemple, la hiérarchie de ressources de l'organisation contient trois niveaux de dossiers :
Environnement (hors production et production). En isolant les environnements les uns des autres, vous pouvez mieux contrôler l'accès aux environnements de production et éviter que des changements non liés à la production n'aient un impact accidentel sur celle-ci.
Unités commerciales. Sur le diagramme, les unités commerciales sont représentées comme
Dept XetDept Y, ce qui peut correspondre à des unités commerciales telles que "Ingénierie" et "Marketing", ainsi qu'un dossierSharedpartagé de projets contenant des ressources partagées sur toute la hiérarchie, comme la mise en réseau, la journalisation et la surveillance.Équipes. Sur le diagramme, les équipes sont représentées comme
Team A,Team BetTeam C, ce qui peut correspondre à "Développement", "Science des données", "Contrôle qualité", etc.
Créer des dossiers initiaux dans la hiérarchie des ressources
Au cours de cette étape, vous allez créer des dossiers de base pour votre configuration initiale, comme illustré dans ce schéma. Les dossiers vous permettent de regrouper des ressources.
Pour créer les dossiers initiaux :
- Connectez-vous à Google Cloud Console en tant qu'utilisateur du Groupe Google
gcp-organization-admins(créé dans la tâche 2). Dans la console Google Cloud, accédez à la page Gérer les ressources.
Créez les deux dossiers suivants :
- Production > Partagé
- Hors production > Partagé
Créer des projets initiaux dans la hiérarchie des ressources
Après avoir créé la hiérarchie initiale, vous créez des projets. En suivant le principe de séparation des environnements de production et de non-production, vous devez créer les projets suivants pour cette checklist :
example-vpc-host-nonprod. Ce projet aide à connecter les ressources hors production de différents projets à un réseau VPC commun.example-vpc-host-prod-draftCe projet est un espace réservé pour associer les ressources de production de différents projets à un réseau VPC commun.example-monitoring-nonprod. Ce projet est utilisé pour l'hébergement de ressources de surveillance hors production.example-monitoring-prod-draftCe projet est un espace réservé qui vous permettra d'héberger les ressources de surveillance de la production.example-logging-nonprod. Ce projet permet d'héberger des données de journaux exportées depuis votre environnement hors production.example-logging-prod-draftCe projet est un espace réservé permettant d'héberger les données de journaux exportées à partir de votre environnement de production.
Les noms de projet ne peuvent pas comporter plus de 30 caractères. Habituellement, vous pouvez utiliser le nom de votre entreprise au lieu de example, tant que vous ne dépassez pas la limite de 30 caractères. À mesure que vous créez des projets dans la hiérarchie des ressources, nous vous conseillons d'adopter une convention d'attribution de noms telle que <business unit name>-<team name>-<application name>-<environment>, conformément à la hiérarchie des ressources de votre organisation.
Pour créer les projets :
Dans la console Google Cloud, accédez à la page Gérer les ressources.
Cliquez sur Créer un projet.
Dans la fenêtre Nouveau projet qui s'affiche, saisissez l'un des noms de projet précédemment répertoriés.
Si vous êtes invité à sélectionner un compte de facturation, choisissez le compte que vous souhaitez utiliser pour cette checklist.
Pour Emplacement, cliquez sur Parcourir, puis définissez l'emplacement comme suit :
- Si le nom du projet que vous créez se termine par
prod, sélectionnez Production > Partagé. - Si le nom du projet que vous créez se termine par
nonprod, sélectionnez Hors production > Partagé.
- Si le nom du projet que vous créez se termine par
Cliquez sur Créer.
Répétez les étapes 2 à 6 pour chacun des produits recommandés.
Confirmez que les projets sont associés au compte de facturation approprié
Pour que vous puissiez effectuer ultérieurement les tâches de cette checklist, les projets doivent être associés à un compte de facturation. Pour obtenir la liste actuelle de vos projets et des comptes de facturation associés, consultez la tâche 5 dans la console Google Cloud.
Si vous n'avez pas accès à un compte de facturation actif, passez à la tâche suivante. Si vous essayez d'utiliser des projets qui ne sont pas associés à un compte de facturation, la console Google Cloud vous invite à activer la facturation. Lorsqu'un compte de facturation est prêt, revenez à cette étape pour activer la facturation sur ces projets.
Pour consulter ou modifier les comptes de facturation définis pour les projets dans Cloud Billing :
- Affichez les comptes de facturation sur la page Facturation, puis sélectionnez l'onglet Mes projets. La page répertorie tous les comptes de facturation associés aux projets de votre organisation.
- Pour changer le compte de facturation d'un projet, consultez la section Activer, désactiver ou modifier la facturation pour un projet.
Dans cette tâche, vous allez définir votre configuration de mise en réseau initiale. Généralement, vous devez effectuer les opérations suivantes :
- Concevez, créez et configurez une architecture de cloud privé virtuel.
- Si vous disposez d'une infrastructure sur site ou auprès d'un autre fournisseur cloud, configurez la connectivité entre ce fournisseur et Google Cloud.
- Configurez un chemin d'accès pour le trafic de sortie externe.
- Mettez en œuvre des contrôles de sécurité du réseau, tels que des règles de pare-feu.
- Choisissez l'option de trafic d'entrée de votre choix pour les services hébergés dans le cloud.
Cette tâche décrit un exemple pour l'élément 1, qui vous sert de base pour votre propre architecture de cloud privé virtuel.
Les éléments restants (connectivité externe, configuration de trafic de sortie, mise en œuvre des règles de pare-feu et choix d'une option de sortie) dépendent des besoins de votre entreprise. Pour cette raison, la checklist ne traite pas ces éléments. Nous proposons toutefois des liens comportant des informations supplémentaires à leur sujet.
Utilisateurs effectuant cette tâche
Une personne du groupe gcp-network-admins@<your-domain>.com que vous avez créé à la tâche 2.
Actions à effectuer dans cette tâche
Créez une configuration de mise en réseau initiale.
- Créer des réseaux VPC partagés
- Configurer la connectivité entre le fournisseur externe et Google Cloud
- Configurer un chemin d'accès pour le trafic de sortie externe
- Mettre en œuvre des contrôles de sécurité du réseau
- Choisir une option de trafic d'entrée
Raisons pour lesquelles nous recommandons cette tâche
Le VPC partagé permet à des équipes distinctes de se connecter à un réseau VPC commun centralisé à partir de plusieurs produits différents.
La configuration de la connectivité hybride permet de migrer en toute simplicité des applications vers Google Cloud, tout en continuant à se connecter aux dépendances de service.
Concevoir des chemins d'entrée et de sortie sécurisés dès le départ permet à vos équipes de travailler de manière efficace dans Google Cloud sans compromettre la sécurité.
Architecture de cloud privé virtuel
Google propose le cloud privé virtuel (VPC), qui fournit des fonctionnalités de mise en réseau aux ressources Google Cloud, telles que les instances de machines virtuelles Compute Engine, les conteneurs GKE et l'environnement flexible App Engine. Le schéma suivant décrit une architecture multirégionale de base :
Cette architecture comprend deux projets hôtes de VPC partagé. L'un est associé à votre environnement hors production, tandis que l'autre est destiné à votre environnement de production final (actuellement nommé "production-draft"). Le cloud privé virtuel partagé permet aux organisations de connecter des ressources provenant de différents projets à un réseau commun, afin que ces ressources puissent communiquer entre elles de manière plus sécurisée et plus efficace à l'aide des adresses IP internes de ce réseau.
Un projet hôte de VPC partagé contient un ou plusieurs réseaux VPC partagés. Dans cette architecture, chaque réseau VPC partagé (production-draft et hors production) dispose de sous-réseaux publics et privés dans deux régions (ici, us-east1 et us-west1) :
- Le sous-réseau public peut être utilisé pour les instances Web afin de fournir une connectivité externe.
- Vous pouvez utiliser le sous-réseau privé pour les instances exclusivement destinées à un usage interne, sans avoir besoin de leur allouer des adresses IP publiques.
L'architecture décrite dans le schéma précédent utilise des exemples de noms pour plusieurs ressources. Pour votre configuration, vous pouvez modifier une partie du nom, comme votre entreprise (example dans les exemples de noms), ainsi que la région que vous utilisez (us-east1 et us-west1 dans les exemples).
Configurer la mise en réseau
Bien que les configurations de réseau varient en fonction de votre charge de travail, les activités suivantes sont courantes :
Créez des réseaux VPC (Virtual Private Cloud) partagés. Un VPC partagé permet à une organisation de connecter des ressources provenant de différents projets à un réseau VPC commun. Pour créer un réseau VPC partagé, utilisez la console Google Cloud.
Configurez la connectivité entre le fournisseur externe et Google Cloud. Si vous disposez d'une infrastructure sur site ou auprès d'un autre fournisseur cloud, vous pouvez configurer le service Cloud VPN, qui vous aide à connecter de manière sécurisée votre réseau de pairs à votre réseau VPC Google Cloud via une connexion VPN IPSec. Cloud VPN convient parfaitement aux vitesses atteignant jusqu'à 3 Gbit/s. Si vous souhaitez bénéficier d'une bande passante plus élevée pour connecter votre système sur site à Google Cloud, consultez les pages sur l'interconnexion partenaire et l'interconnexion dédiée. Pour créer une connexion VPN, suivez les instructions de la section Créer une passerelle et un tunnel pour les réseaux VPC partagés production-draft et hors production que vous avez créés lors de l'étape précédente.
Configurez un chemin d'accès pour le trafic de sortie externe. Vous pouvez utiliser Cloud NAT pour permettre à vos VM de se connecter à Internet sans adresse IP externe. Cloud NAT est une ressource régionale. Vous pouvez la configurer de sorte qu'elle autorise le trafic provenant de toutes les plages d'adresses IP primaires et secondaires ou de tous les sous-réseaux d'une région, ou vous pouvez la configurer de sorte qu'elle ne s'applique qu'à certaines de ces plages. Afin de configurer un chemin d'accès pour le trafic de sortie externe, suivez les instructions de la section Créer une passerelle NAT pour toutes les régions des réseaux VPC partagés créés à l'étape précédente pour les réseaux production-draft et hors production.
Mettez en œuvre des contrôles de sécurité du réseau. Les règles de pare-feu permettent d'autoriser ou de refuser le trafic depuis et vers vos instances de machines virtuelles (VM), en fonction d'une configuration spécifiée. Suivez les instructions décrites sur la page Utiliser des règles de pare-feu afin de configurer ces contrôles pour les réseaux VPC partagés production-draft et hors production que vous avez créés lors de l'étape précédente.
Choisissez une option de trafic d'entrée. Cloud Load Balancing vous permet de contrôler la répartition des ressources de calcul dans plusieurs régions. L'équilibrage de charge vous aide à répondre aux exigences de disponibilité en termes de trafic externe entrant et de trafic au sein de votre réseau VPC. Au moment de la planification de l'architecture de votre application sur Google Cloud, consultez la page Choisir un équilibreur de charge pour déterminer les types d'équilibreurs de charge adaptés à votre utilisation.