이 체크리스트는 확장 가능하며 프로덕션에 바로 사용 가능한 기업 워크로드를 위한 Google Cloud의 설정을 도와줍니다. 회사의 Google Cloud 리소스를 완전히 제어하는 업무를 맡은 관리자를 대상으로 작성된 체크리스트입니다.
이 체크리스트는 단계별 절차가 포함된 태스크 10개로 구성되어 있습니다. 다양한 방식으로 수행할 수 있는 태스크도 일부 있으나 일반적으로 대다수 사용자에게 유용한 방식을 설명하였습니다. 체크리스트를 진행하면서 자체 비즈니스 요구를 고려하세요. 권장사항과 다른 방식을 선택하는 경우 체크리스트 뒷부분의 태스크를 위해 변경 사항을 기록해 두세요.
체크리스트
체크리스트 항목을 클릭하여 자세한 내용을 확인하고 태스크를 완료하면 상자를 클릭합니다.
이 태스크에서는 리소스 계층 구조의 기본 폴더 및 프로젝트 구조를 만듭니다.
폴더는 프로젝트 간의 그룹화 메커니즘과 격리 경계를 제공합니다. 예를 들어 폴더는 재무 또는 소매와 같은 조직의 주요 부서 또는 프로덕션 및 비프로덕션과 같은 환경을 나타낼 수 있습니다.
프로젝트에는 가상 머신, 데이터베이스, 스토리지 버킷 같은 클라우드 리소스가 포함되어 있습니다. 프로젝트 관련 권장사항은 프로젝트 구조 지정을 참조하세요.
IAM 정책을 설정하여 리소스 계층 구조의 여러 수준에서 액세스를 제어할 수 있습니다. 이러한 정책은 이 체크리스트에서 후반 태스크로 설정합니다.
이 태스크를 수행할 수 있는 사용자
태스크 2에서 만든 gcp-organization-admins@<your-domain>.com 그룹에 속한 사용자입니다.
이 태스크에서 수행하는 작업
폴더와 프로젝트로 초기 계층 구조를 만듭니다.
이 태스크가 권장되는 이유
리소스 계층 구조의 여러 수준에서 액세스를 제어하기 위해서는 IAM 정책을 설정하는 후반 태스크에서 구조를 만들어야 합니다.
리소스 계층 구조 다이어그램
리소스 계층 구조를 만드는 방법에는 여러 가지가 있습니다. 다음 다이어그램에서는 일반적인 예시를 보여줍니다.
이 예시에서는 조직 리소스 계층 구조에 3개 수준의 폴더가 포함되어 있습니다.
환경(비프로덕션 및 프로덕션) 환경을 서로 격리하면 프로덕션 환경에 대한 액세스를 보다 효과적으로 제어하고 비프로덕션 변경사항이 의도치 않게 프로덕션에 영향을 미치는 것을 방지할 수 있습니다.
사업부: 다이어그램에서 사업부는 엔지니어링 및 마케팅 등의 사업부일 수 있는
Dept X및Dept Y, 그리고 네트워킹, 로깅, 모니터링 등 계층 구조 전체에 공유되는 리소스를 포함하는 프로젝트가 있는Shared폴더로 표시됩니다.팀: 다이어그램에
Team A,Team B,Team C로 표시되며 개발, 데이터 과학, QA 등의 팀일 수 있습니다.
초기 리소스 계층 구조 만들기
이 체크리스트 단계에서는 다음 다이어그램과 같이 초기 설정에 해당하는 기본 폴더 및 프로젝트를 만듭니다. 이 폴더 및 프로젝트는 체크리스트의 나머지 태스크에서 사용됩니다. 나중에 이 계층 구조에 내 조직을 반영할 수 있으며 Google Cloud에서 워크로드가 늘어나면 회사의 니즈에 맞게 맞춤설정할 수 있습니다.
초기 계층 구조를 만든 후 프로젝트를 만듭니다. 프로덕션 환경과 비프로덕션 환경을 구분하는 원칙에 따라 다음 프로젝트를 만들어야 합니다.
example-vpc-host-nonprod. 이 프로젝트를 사용하면 여러 프로젝트의 비프로덕션 리소스를 공통 VPC 네트워크에 연결하는 데 도움이 됩니다.example-vpc-host-prod-draft. 이 프로젝트는 여러 프로젝트의 프로덕션 리소스를 공통 VPC 네트워크에 연결하는 자리표시자입니다.example-monitoring-nonprod. 이 프로젝트는 비프로덕션 모니터링 리소스를 호스팅하는 데 사용됩니다.example-monitoring-prod-draft. 이 프로젝트는 프로덕션 모니터링 리소스를 호스팅하는 자리표시자입니다.example-logging-nonprod. 이 프로젝트는 비프로덕션 환경에서 내보낸 로그 데이터를 호스팅하는 데 사용됩니다.example-logging-prod-draft. 이 프로젝트는 프로덕션 환경에서 내보낸 로그 데이터를 호스팅하는 데 사용되는 자리표시자입니다.
프로젝트 이름은 30자(영문 기준)로 제한됩니다. 일반적으로 30자 제한 내에서 입력 가능한 경우 회사 이름을 example 자리에 사용합니다. 이후 리소스 계층 구조에서 프로젝트를 만들 때 조직의 리소스 계층 구조에 따라 <business unit name>-<team name>-<application name>-<environment>와 같은 이름 지정 규칙을 사용하는 것이 좋습니다.
프로젝트를 만들려면 다음 안내를 따르세요.
Cloud Console에서 리소스 관리 페이지로 이동합니다.
프로젝트 만들기를 클릭합니다.
새 프로젝트 창에 앞에 나온 프로젝트 이름 중 하나를 입력합니다.
결제 계정을 선택하라는 메시지가 나타나면 이 체크리스트에서 사용할 결제 계정을 선택합니다.
위치에서 찾아보기를 클릭한 후 다음과 같이 위치를 설정합니다.
- 만들려는 프로젝트 이름이
prod로 끝난다면 프로덕션 > 공유를 선택합니다. - 만들려는 프로젝트 이름이
nonprod로 끝난다면 비프로덕션 > 공유를 선택합니다.
- 만들려는 프로젝트 이름이
만들기를 클릭합니다.
권장되는 프로젝트마다 2~6단계를 반복하세요.
이 태스크에서는 초기 네트워킹 구성을 설정합니다. 일반적으로 다음과 같이 수행해야 합니다.
- Virtual Private Cloud 아키텍처를 설계하고 만들고 구성합니다.
- 온프레미스 네트워킹 또는 다른 클라우드 제공업체의 네트워킹이 있는 경우 해당 제공업체와 Google Cloud 간에 연결을 구성합니다.
- 외부 이그레스 트래픽 경로를 설정합니다.
- 방화벽 규칙과 같은 네트워크 보안 제어를 구현합니다.
- 클라우드에서 호스팅되는 서비스에 원하는 인그레스 트래픽 옵션을 선택합니다.
이 태스크에서는 항목 1을 자체 Virtual Private Cloud 아키텍처의 기준으로 한 예시를 보여줍니다.
외부 연결, 이그레스 트래픽 구성, 방화벽 규칙 구현, 인그레스 옵션 선택 등 나머지 항목은 비즈니스 요구에 따라 달라집니다. 따라서 이 체크리스트에서는 이 같은 항목을 다루지 않습니다. 대신, 해당 항목에 대한 추가 정보가 담긴 링크를 제공합니다.
이 태스크를 수행할 수 있는 사용자
태스크 2에서 만든 gcp-network-admins@<your-domain>.com 그룹에 속한 사용자입니다.
이 태스크에서 수행하는 작업
초기 네트워킹 구성을 설정합니다.
- 공유 VPC 네트워크 만들기
- 외부 제공업체 및 Google Cloud 간 연결 구성
- 외부 이그레스 트래픽 경로 설정
- 네트워크 보안 제어 구현
- 인그레스 트래픽 옵션 선택
이 태스크가 권장되는 이유
공유 VPC를 사용하면 별도의 팀은 서로 다른 여러 제품에서 일반적인 중앙 관리형 VPC 네트워크에 연결할 수 있습니다.
하이브리드 연결을 구성하면 서비스 종속 항목에 대한 연결을 유지하면서 애플리케이션을 Google Cloud로 원활하게 마이그레이션할 수 있습니다.
처음부터 안전한 인그레스 및 이그레스 경로를 설계하면 팀은 보안을 침해하지 않고 Google Cloud에서 생산성을 발휘할 수 있습니다.
Virtual Private Cloud 아키텍처
Google에서 제공하는 Virtual Private Cloud(VPC)는 Compute Engine 가상 머신 인스턴스, GKE 컨테이너, App Engine 가변형 환경과 같은 Google Cloud 리소스에 네트워킹 기능을 제공합니다. 다음 다이어그램에서는 기본적인 멀티 리전 아키텍처를 보여줍니다.
이 아키텍처에는 공유 VPC 호스트 프로젝트가 2개 있습니다. 호스트 프로젝트 하나는 비프로덕션 환경용이고 다른 하나는 최종 프로덕션 환경용(현재 '프로덕션-초안'으로 라벨 지정됨)입니다. 공유 Virtual Private Cloud를 사용하면 조직에서 여러 프로젝트의 리소스를 공통 네트워크에 연결할 수 있으므로 리소스가 네트워크의 내부 IP 주소를 사용하여 더욱 안전하고 효율적으로 서로 통신할 수 있습니다.
공유 VPC 호스트 프로젝트에는 공유 VPC 네트워크가 하나 이상 포함됩니다. 이 아키텍처에서는 각 공유 VPC 네트워크(프로덕션-초안 및 비프로덕션)에 두 리전(이 경우 us-east1 및 us-west1)의 공개 및 비공개 서브넷이 포함됩니다.
- 공개 서브넷은 외부 연결을 위해 인터넷에 연결되는 인스턴스에서 사용할 수 있습니다.
- 비공개 서브넷은 내부 방향의 인스턴스에만 사용할 수 있으며 공개 IP 주소를 할당하면 안 됩니다.
앞의 다이어그램에 표시된 아키텍처는 다양한 리소스의 예시 이름을 사용합니다. 자체 설정에서는 회사(예시 이름의 example) 및 사용 리전(예시의 us-east1 및 us-west1)과 같은 이름 요소를 변경하면 됩니다.
네트워킹 구성
네트워킹 설정은 워크로드에 따라 다르지만 다음 활동이 일반적입니다.
공유 Virtual Private Cloud(VPC) 네트워크를 만듭니다. 공유 VPC를 사용하면 조직에서 여러 프로젝트의 리소스를 공통 VPC 네트워크에 연결할 수 있습니다. 공유 VPC 네트워크를 만들려면 Cloud Console에서 Google Cloud 설정 체크리스트를 사용합니다. Console을 사용하면 특정 태스크를 자동화하여 시간을 절약할 수 있습니다. 필요한 경우 언제든지 이 페이지를 다시 참조할 수 있습니다.
외부 제공업체와 Google Cloud 간 연결을 구성합니다. 온프레미스 네트워킹 또는 다른 클라우드 제공업체의 네트워킹이 있는 경우 IPSec VPN 연결을 통해 피어 네트워크를 Google Cloud VPC 네트워크에 안전하게 연결하는 데 도움이 되는 서비스인 Cloud VPN을 설정할 수 있습니다. Cloud VPN은 최대 3.0Gbps 속도에 적합합니다. 온프레미스 시스템을 Google Cloud에 연결하는 데 더 높은 대역폭이 필요하면 Partner Interconnect 및 Dedicated Interconnect를 참조하세요. VPN 연결을 만들려면 이전 절차에서 만든 프로덕션-초안 및 비프로덕션 공유 VPC 네트워크 모두에서 게이트웨이 및 터널 만들기의 안내를 따르세요.
외부 이그레스 트래픽 경로를 설정합니다. Cloud NAT를 사용하면 외부 IP 주소를 사용하지 않고도 VM에서 인터넷에 연결할 수 있습니다. Cloud NAT는 리전별 리소스입니다. 특정 리전에서 서브넷의 모든 기본 및 보조 IP 범위에서 발생하는 트래픽을 허용하도록 구성하거나 해당 범위 중 일부에만 적용하도록 구성할 수 있습니다. 외부 이그레스 트래픽 경로를 설정하려면 이전 절차에서 프로덕션-초안 및 비프로덕션 네트워크에 만든 공유 VPC 네트워크의 모든 리전에 NAT 만들기의 안내를 따르세요.
네트워크 보안 제어를 구현합니다. 방화벽 규칙을 사용하면 개발자가 지정한 구성을 기준으로 가상 머신(VM) 인스턴스 간의 트래픽을 허용하거나 거부할 수 있습니다. 방화벽 규칙 사용의 안내를 따라 이전 절차에서 만든 프로덕션-초안 및 비프로덕션 공유 VPC 네트워크의 제어를 구성합니다.
인그레스 트래픽 옵션을 선택합니다. Cloud Load Balancing을 사용하면 컴퓨팅 리소스가 여러 리전에 분산되는 방식을 제어할 수 있습니다. 부하 분산을 사용하면 들어오는 외부 트래픽과 VPC 네트워크 내 트래픽의 가용성 요구사항을 충족할 수 있습니다. Google Cloud에서 애플리케이션 아키텍처를 계획할 때 부하 분산기 선택을 검토하여 필요한 부하 분산기 유형을 결정하세요.