このチェックリストは、本番環境に対応したスケーラブルなエンタープライズ ワークロード向けに Google Cloud をセットアップする際に役立ちます。これは、企業の Google Cloud リソース全体を管理する管理者を対象にしています。
チェックリストには 10 個のタスクが含まれており、それぞれのタスクで具体的な手順を説明しています。タスクの中には複数の方法で実行できるものもありますが、ここでは最も一般的な方法について説明します。推奨の方法とは異なる方法を選択する必要がある場合は、チェックリストの後半で重要となる可能性があるため、選択内容を記録しておいてください。
チェックリスト
チェックリストの項目をクリックして詳細を確認し、タスクが完了したらチェックボックスをオンにしてください。
このタスクでは、リソース階層内にフォルダとプロジェクトという基本構造を作成します。
フォルダ。
プロジェクトをグループ化してプロジェクトを分離できます。たとえば、財務部門や小売部門などの主要部門のフォルダを作成できます。本番環境と非本番環境などのフォルダを作成することもできます。
-
仮想マシン、データベース、ストレージ バケットなどのクラウド リソースが含まれます。プロジェクト内のリソースを整理するための設計上の考慮事項とベスト プラクティスについては、Google Cloud ランディング ゾーンのリソース階層を決定するをご覧ください。
IAM ポリシーを設定すると、リソース階層のさまざまなレベルでアクセスを制御できます。これらのポリシーは、このチェックリストの後半のタスクで設定します。
このタスクを実行するユーザー
タスク 2 で作成した grp-gcp-organization-admins@<your-domain>.com グループのユーザー、またはタスク 3 で定義した管理者アクセス権を持つユーザー。
このタスクの内容
フォルダとプロジェクトを使用して、初期の階層構造を作成します。
このタスクをおすすめする理由
構造の作成は、後のタスクで必要となります。その際、IAM ポリシーを設定し、異なるレベルのリソース階層でアクセスを制御します。
リソース階層の計画
リソース階層の作成方法は 1 つではありません。次の図に、典型的な例を示します。
この例では、組織のリソース階層に 3 つのレベルのフォルダが存在します。
環境（非本番環境と本番環境）。環境を相互に分離することで、本番環境へのアクセスをより適切に制御でき、本番環境以外の変更内容が本番環境に誤って影響を与える事態を回避できます。
ビジネス ユニット。この図では、
Dept XとDept Yがあります。これらは、エンジニアリングやマーケティングなどのビジネス ユニットです。Sharedフォルダには、ネットワーク、ロギング、モニタリングなど、階層全体で共有されるリソースを含むプロジェクトが存在します。チーム。この図では、
Team A、Team B、Team Cがあります。これらは、開発、データ サイエンス、QA などのチームを表します。
リソース階層に初期フォルダを作成する
このステップでは、この図に示されるように、初期設定用の基本的なフォルダを作成します。フォルダによって、リソースをグループ化できます。
初期フォルダを作成するには:
- タスク 2 で作成した
grp-gcp-organization-adminsGoogle グループのユーザー、またはタスク 3 で定義した管理者アクセス権を持つユーザーとして、Google Cloud コンソールにログインします。 Google Cloud コンソールで、[リソースの管理] ページに移動します。
次の 2 つのフォルダを作成します。
- Production > Shared
- Non-Production > Shared
リソース階層に初期プロジェクトを作成する
初期の階層を作成したら、プロジェクトを作成します。このチェックリストでは、本番環境と非本番環境を分離する原則に従って、次のプロジェクトを作成する必要があります。
example-vpc-host-nonprod。このプロジェクトは、複数のプロジェクトの非本番環境リソースを共通の VPC ネットワークに接続するために使用されます。example-vpc-host-prod-draft。このプロジェクトは、最終的に複数のプロジェクトの本番環境リソースを、共通の VPC ネットワークに接続するために使用されるプレースホルダです。example-monitoring-nonprod。このプロジェクトは、非本番環境のモニタリング リソースをホストするために使用されます。example-monitoring-prod-draft。このプロジェクトは、最終的に本番環境のモニタリング リソースをホストするために使用されるプレースホルダです。example-logging-nonprod。このプロジェクトは、非本番環境からエクスポートされたログデータをホストするために使用されます。example-logging-prod-draft。このプロジェクトは、最終的に本番環境からエクスポートされたログデータをホストするために使用されるプレースホルダです。
プロジェクト名は 30 文字に制限されています。example の部分に自社の名前を使用しても構いませんが、30 文字以内にしてください。今後リソース階層にプロジェクトを作成する場合、組織のリソース階層に応じて、<business unit
name>-<team name>-<application name>-<environment> のような命名規則を使用することをおすすめします。
プロジェクトを作成するには:
Google Cloud コンソールで、[リソースの管理] ページに移動します。
[プロジェクトを作成] をクリックします。
[新しいプロジェクト] ウィンドウで、前述のプロジェクト名のいずれかを入力します。
請求先アカウントを選択するように求められたら、このチェックリストで使用する請求先アカウントを選択します。
[場所] で、[参照] をクリックし、次のように場所を設定します。
- 作成するプロジェクトの名前の末尾が
prodの場合は、[Production] > [Shared] を選択します。 - 作成しているプロジェクトの名前の末尾が
nonprodの場合は、[Non-Production] > [Shared] を選択します。
- 作成するプロジェクトの名前の末尾が
[作成] をクリックします。
初期設定用として推奨されているプロジェクトごとに手順 2～6 を繰り返します。
プロジェクトが適切な請求先アカウントにリンクされていることの確認
このチェックリストのタスクをあとで行うには、プロジェクトを請求先アカウントにリンクする必要があります。自身のプロジェクトとリンクされた請求先アカウントの最新リストについては、Google Cloud コンソールのタスク 5 をご覧ください。
有効な請求先アカウントにアクセスできない場合は、次のタスクに進みます。請求先アカウントにリンクされていないプロジェクトを使用しようとすると、課金を有効にするよう求めるメッセージが Google Cloud コンソールに表示されます。請求先アカウントの準備ができている場合は、このステップに戻って、それらのプロジェクトの課金を有効にします。
プロジェクトに対して設定されている請求先アカウントを Cloud Billing で確認または変更するには:
- [お支払い] ページで請求先アカウントを表示し、[マイ プロジェクト] タブを選択します。このページには、組織のプロジェクトにリンクされているすべての請求先アカウントが表示されます。
- プロジェクトの請求先アカウントを変更するには、プロジェクトの課金の有効化、無効化、変更をご覧ください。
このタスクでは、ネットワークの初期構成を設定します。通常、次のことを行う必要があります。
- Virtual Private Cloud アーキテクチャの設計、作成、構成を行います。
- オンプレミス ネットワークまたは別のクラウド プロバイダのネットワークがある場合は、そのプロバイダと Google Cloud 間の接続を構成します。
- 外部の下り（外向き）トラフィックのパスを設定します。
- ファイアウォール ルールなどのネットワーク セキュリティを実装します。
- クラウドでホストされているサービスについて、上り（内向き）トラフィックの優先オプションを選択します。
ここでは、独自の Virtual Private Cloud アーキテクチャの基盤として項目 1 の例について説明します。
残りの項目（外部接続、下りトラフィックの構成、ファイアウォール ルールの実装、上りオプションの選択）が必要かどうかはビジネスニーズによって異なるため、このチェックリストには含まれていません。代わりに、これらの項目の追加情報へのリンクを提示します。
このタスクを実行するユーザー
タスク 2 で作成した grp-gcp-network-admins@<your-domain>.com グループのユーザー。
このタスクの内容
ネットワークの初期構成を設定します。
- 共有 VPC ネットワークを作成する
- 外部プロバイダと Google Cloud 間の接続を構成する
- 外部の下り（外向き）トラフィックのパスを設定する
- ネットワーク セキュリティを実装する
- 上り（内向き）トラフィックのオプションを選択する
このタスクをおすすめする理由
共有 VPC を使用すると、異なるプロダクトを使用している個々のチームが、一元管理された共通の VPC ネットワークに接続できます。
ハイブリッド接続を構成すると、依存関係のあるサービスに接続したまま、アプリケーションを Google Cloud にシームレスに移行できます。
最初から安全な上り（内向き）経路と下り（外向き）経路を設計することで、チームはセキュリティを犠牲にすることなく Google Cloud 内で効率よく作業できます。
Virtual Private Cloud アーキテクチャ
Google の Virtual Private Cloud（VPC）は、Compute Engine 仮想マシン インスタンス、GKE コンテナ、App Engine フレキシブル環境などの Google Cloud リソースにネットワーク機能を提供します。次の図は、基本的なマルチリージョン アーキテクチャを示しています。
このアーキテクチャには、2 つの共有 VPC ホスト プロジェクトがあります。1 つのホスト プロジェクトは非本番環境用、もう 1 つのプロジェクトは最終的な本番環境用です（現時点で「production-draft」というラベルが付いています）。共有 Virtual Private Cloud を使用して、組織は複数のプロジェクトから共通のネットワークにリソースを接続できるため、そのネットワークの内部 IP アドレスを使用して、安全で効率的な相互通信を行うことができます。
共有 VPC ホスト プロジェクトには、1 つ以上の共有 VPC ネットワークが含まれています。このアーキテクチャでは、各共有 VPC ネットワーク（本番環境ドラフトと非本番環境の両方）には、2 つのリージョン（この場合、us-east1 と us-west1）にまたがるパブリック サブネットとプライベート サブネットが含まれます。
- パブリック サブネットは、インターネットに接続しているインスタンスに使用され、外部接続を提供します。
- プライベート サブネットは、内部環境にのみ接続しているインスタンスに使用でき、パブリック IP アドレスを割り振ることはできません。
前の図のアーキテクチャでは、リソースにサンプル名を使用しています。自社用に設定する場合は、会社（上の例では example）や使用しているリージョン（上の例では us-east1、us-west1）などの名前を適宜変更してください。
ネットワークを構成する
ネットワークの設定はワークロードによって異なりますが、次の共通アクティビティがあります。
共有 Virtual Private Cloud（VPC）ネットワークを作成する。組織は、共有 VPC を使用して複数のプロジェクトのリソースを共通の VPC ネットワークに接続できます。共有 VPC ネットワークを作成するには、Google Cloud コンソールを使用します。
外部プロバイダと Google Cloud の間の接続を構成する。オンプレミス ネットワークまたは別のクラウド プロバイダのネットワークがある場合は、Cloud VPN を設定できます。Cloud VPN は、IPSec VPN 接続を介してピア ネットワークを Google Cloud VPC ネットワークに安全に接続できるサービスです。Cloud VPN は 3.0 Gbps までの速度に適しています。オンプレミス システムを Google Cloud に接続する際により多くの帯域幅が必要な場合は、Partner Interconnect と Dedicated Interconnect をご覧ください。VPN 接続を作成するには、ゲートウェイとトンネルの作成の手順に沿って、前の手順で作成した本番環境ドラフトと非本番環境の両方の共有 VPC ネットワークにゲートウェイとトンネルを作成してください。
外部の下り（外向き）トラフィックのパスを設定します。Cloud NAT を使用して、外部 IP アドレスを使用せずに VM がインターネットに接続できるようにします。Cloud NAT はリージョン リソースです。リージョン内のサブネットのすべてのプライマリ IP 範囲とセカンダリ IP 範囲から送信されるトラフィックを許可するような構成も、範囲の一部のみに許可を適用するような構成も可能です。外部下り（外向き）トラフィックのパスを設定するには、NAT の作成の手順に沿って、前の手順で本番環境ドラフトと非本番環境の両方のネットワークに作成した共有 VPC ネットワークのすべてのリージョンに NAT を作成します。
ネットワーク セキュリティを実装する。ファイアウォール ルールを使用すると、指定した構成に基づいて、仮想マシン（VM）インスタンスとの間で発生するトラフィックを許可または拒否できます。ファイアウォール ルールの使用の手順に沿って、前の手順で本番環境ドラフトと非本番環境の両方に作成した共有 VPC ネットワークにセキュリティ制御を構成します。
上り（内向き）トラフィックのオプションを選択する。Cloud Load Balancing を使用して、コンピューティング リソースをリージョン間でどのように分散させるかを制御できます。ロード バランシングにより、外部から受信したトラフィックと VPC ネットワーク内のトラフィックの両方で高可用性要件を満たすことができます。Google Cloud でアプリケーション アーキテクチャを計画する場合は、ロードバランサの選択を確認し、必要なロードバランサの種類を決定してください。