Com esta checklist, você saberá como configurar o Google Cloud para cargas de trabalho corporativas escalonáveis e prontas para produção. Ela é destinada a administradores, que têm controle total sobre os recursos do Google Cloud na empresa.
Ela inclui 10 tarefas com procedimentos detalhados. Algumas tarefas podem ser realizadas de várias maneiras; descrevemos o caminho mais comum. Se você precisar desviar do caminho recomendado, monitore suas escolhas, porque elas podem ser importantes posteriormente na lista de verificação.
Lista de verificação
Clique em um item da lista de verificação para ver mais informações e clique na caixa ao concluir uma tarefa.
Nesta tarefa, você cria uma estrutura básica para pastas e projetos na sua hierarquia de recursos.
As pastas fornecem um mecanismo de agrupamento e isolamento entre projetos. Por exemplo, elas podem representar os principais departamentos da sua organização, como finanças ou varejo, ou ambientes como produção versus não produção.
Os projetos contêm seus recursos de nuvem, como máquinas virtuais, bancos de dados e buckets de armazenamento. Para considerações de design e práticas recomendadas para organizar seus recursos em projetos, consulte Decidir uma hierarquia de recursos para sua zona de destino do Google Cloud.
É possível definir políticas do IAM para controlar o acesso a diferentes níveis da hierarquia de recursos. Você definirá essas políticas como uma tarefa posterior nesta lista de verificação.
Quem realiza esta tarefa
Uma pessoa no grupo gcp-organization-admins@<your-domain>.com
que foi criado na tarefa 2.
O que você fará nesta tarefa
Crie a estrutura de hierarquia inicial com pastas e projetos.
Por que recomendamos realizar esta tarefa
A criação da estrutura é um requisito para uma tarefa posterior em que você define as políticas do IAM para controlar o acesso em diferentes níveis da hierarquia de recursos.
Planejar a hierarquia de recursos
Há muitas maneiras de criar sua hierarquia de recursos. O diagrama a seguir mostra um exemplo típico:
No exemplo, a hierarquia de recursos da organização contém três níveis de pastas:
Ambiente (produção e não produção) Ao separar ambientes uns dos outros, você controla melhor o acesso aos ambientes de produção e evita mudanças não intencionais de produção que afetam a produção acidentalmente.
Unidades empresariais. No diagrama, elas estão representadas como
Dept XeDept Y, e podem ser unidades empresariais como Engenharia e Marketing, e uma pastaSharedcom projetos contendo recursos compartilhados por toda a hierarquia, como rede, geração de registros e monitoramento.Equipes. São representadas no diagrama como
Team A,Team BeTeam C, e podem ser equipes como Desenvolvimento, Ciência de Dados, controle de qualidade e assim por diante.
Criar pastas iniciais na hierarquia de recursos
Nesta etapa, você cria pastas básicas para sua configuração inicial, conforme mostrado neste diagrama. As pastas permitem agrupar recursos.
Para criar pastas iniciais:
- Faça login no console do Google Cloud como usuário no Grupo do Google
gcp-organization-admins(criado na tarefa 2). No console, acesse a página Gerenciar recursos:
Crie estas duas pastas:
- Produção > Compartilhada
- Não produção > Compartilhada
Criar projetos iniciais na hierarquia de recursos
Depois de criar a hierarquia inicial, você cria projetos. Seguindo o princípio da separação de ambientes de produção e não produção, para esta lista de verificação, é preciso criar os seguintes projetos:
example-vpc-host-nonprod. Este projeto é usado para ajudar a conectar recursos de não produção de vários projetos a uma rede VPC comum.example-vpc-host-prod-draft. Esse projeto é um marcador para conectar recursos de produção de vários projetos a uma rede VPC comum no futuro.example-monitoring-nonprod. Esse projeto é usado para hospedar recursos de monitoramento de não produção.example-monitoring-prod-draft. Esse projeto é um marcador para hospedar recursos de monitoramento de produção no futuro.example-logging-nonprod. Esse projeto é usado para hospedar dados de registro exportados do ambiente de não produção.example-logging-prod-draftEsse projeto é um marcador usado para hospedar dados de registro exportados do ambiente de produção no futuro.
Nomes de projetos são limitados a 30 caracteres. Use o nome da sua
empresa em vez de example, desde que ele respeite o
limite de 30 caracteres. Ao criar projetos na hierarquia de recursos
futuramente, use um nome comum, como
<business unit name>-<team name>-<application name>-<environment>, de acordo com a hierarquia da sua organização.
Para criar projetos, faça o seguinte:
No console, acesse a página Gerenciar recursos:
Clique em Create Project.
Na janela Novo projeto, insira um dos nomes de projeto listados anteriormente.
Se for solicitado que você selecione uma conta de faturamento, escolha a que você quiser usar para esta lista de verificação.
Para Local, clique em Procurar e defina o local da seguinte maneira:
- Se o nome do projeto que você está criando terminar em
prod, selecione Produção > Compartilhado. - Se o nome do projeto que você está criando terminar em
nonprod, selecione Não produção > Compartilhado.
- Se o nome do projeto que você está criando terminar em
Clique em Criar
Repita as etapas de 2 a 6 para cada um dos projetos recomendados.
Confirmar projetos que estão vinculados à conta de faturamento adequada
Para executar tarefas posteriormente nesta lista de verificação, os projetos precisarão estar vinculados a uma conta de faturamento. Para ver uma lista atual dos seus projetos e das contas de faturamento vinculadas, acesse a Tarefa 5 no console do Cloud.
Se você não tiver acesso a uma conta de faturamento ativa, pule para a próxima tarefa. Se você tentar usar projetos não vinculados a uma conta de faturamento, o console do Cloud solicitará que você ative o faturamento. Quando você tiver uma conta de faturamento pronta, volte para esta etapa para ativar o faturamento desses projetos.
Para revisar ou alterar as contas de faturamento definidas para os projetos no Cloud Billing:
- Veja as contas de faturamento na página Faturamento e selecione a guia Meus projetos. A página lista todas as contas de faturamento vinculadas aos projetos da organização.
- Para alterar a conta de faturamento de qualquer projeto, consulte Ativar, desativar ou alterar o faturamento de um projeto.
Nesta tarefa, você definirá a configuração de rede inicial. Você precisa fazer o seguinte:
- Projete, crie e configure uma arquitetura de nuvem privada virtual.
- Se você tiver uma rede no local ou em outro provedor de nuvem, configure a conectividade entre esse provedor e o Google Cloud.
- Configure um caminho para tráfego de saída externo.
- Implemente controles de segurança de rede, como regras de firewall.
- Escolha uma opção preferencial de tráfego de entrada para serviços hospedados na nuvem.
Nesta tarefa, você verá um exemplo para o item 1 como base para sua própria arquitetura de nuvem privada virtual.
Os itens restantes, como conectividade externa, configuração do tráfego de saída, implementação de regras de firewall e escolha de uma opção de entrada, dependem das suas necessidades comerciais. Por isso, eles não são abordados nesta lista de verificação. No entanto, fornecemos links com mais informações sobre esses itens.
Quem realiza esta tarefa
Uma pessoa no grupo gcp-network-admins@<your-domain>.com
que foi criado na tarefa 2.
O que você fará nesta tarefa
Defina uma configuração de rede inicial.
- Crie redes VPC compartilhadas
- Configure a conectividade entre o provedor externo e o Google Cloud
- Configurar um caminho para o tráfego de saída externo
- Implementar controles de segurança de rede
- Escolher uma opção de tráfego de entrada
Por que recomendamos realizar esta tarefa
A VPC compartilhada permite que equipes separadas se conectem a uma rede VPC comum gerenciada centralmente a partir de vários produtos distintos.
A configuração da conectividade híbrida permite a migração perfeita de aplicativos para o Google Cloud enquanto ainda se conecta às dependências de serviço.
A criação de caminhos de entrada e saída seguros desde o início permite que suas equipes trabalhem de maneira produtiva no Google Cloud sem comprometer a segurança.
Arquitetura de nuvem privada virtual
O Google oferece uma nuvem privada virtual (VPC, na sigla em inglês) que agrega funcionalidade de rede aos recursos do Google Cloud como, como instâncias de máquina virtual do Compute Engine, contêineres do GKE e o ambiente flexível do App Engine. O diagrama a seguir exibe uma arquitetura básica multirregional:
Esta arquitetura tem dois projetos host com VPC compartilhada. Um é para o ambiente que não é de produção e o outro é para o futuro ambiente de produção (atualmente marcado como "production-draft"). Com a nuvem privada virtual compartilhada, as organizações conectam recursos de vários projetos a uma rede comum para que eles possam se comunicar de maneira mais segura e eficiente usando endereços IP internos dessa rede.
Um projeto host de VPC compartilhada contém uma ou mais redes VPC compartilhadas. Nesta
arquitetura, cada rede VPC compartilhada, tanto de produção quanto de não produção,
contém sub-redes públicas e privadas em duas regiões. Neste caso, us-east1
e us-west1:
- A sub-rede pública pode ser usada em instâncias voltadas para a Internet para fornecer conectividade externa.
- A sub-rede privada só pode ser usada em instâncias internas, e não pode ser alocada com endereços IP públicos.
A arquitetura exibida no diagrama anterior usa exemplos de nomes para
vários recursos. Para sua configuração, é possível alterar elementos do nome,
como sua empresa (example no exemplo de nomes) e a região usada (us-east1 e us-west1 nos exemplos).
Configurar rede
As configurações de rede variam de acordo com a carga de trabalho, mas as seguintes atividades são comuns:
Criar redes de nuvem privada virtual (VPC) compartilhadas. Uma VPC compartilhada permite que uma organização conecte recursos de vários projetos a uma rede VPC comum. Para criar uma rede VPC compartilhada, use o console do Cloud.
Configurar a conectividade entre o provedor externo e o Google Cloud. Se você tiver uma rede no local ou em outro provedor de nuvem, será possível configurar o Cloud VPN, um serviço que ajuda a conectar sua rede em peering com segurança à rede VPC do Google Cloud por uma conexão VPN com IPSec. O Cloud VPN é compatível com conexões de até 3,0 Gbps. Se você precisar de uma largura de banda maior para conectar seu sistema local ao Google Cloud, consulte Interconexão por parceiro e Interconexão dedicada. Para criar uma conexão VPN, siga as instruções em Como criar um gateway e um túnel para as redes VPC compartilhadas de produção e de não produção, criadas no procedimento anterior.
Configure um caminho para tráfego de saída externo. Use o Cloud NAT para permitir que as VMs se conectem à Internet sem usar endereços IP externos. O Cloud NAT é um recurso regional. É possível configurá-lo para permitir o tráfego de todos os intervalos de IP primário e secundário de sub-redes em uma região, ou é possível configurá-lo para aplicação em apenas alguns intervalos. Para configurar um caminho para o tráfego de saída externo, siga as instruções em Criar NAT para todas as regiões nas redes VPC compartilhadas criadas no procedimento anterior para redes de produção e de não produção.
Implementar controles de segurança de rede Com as regras de firewall, você permite ou rejeita o tráfego proveniente ou destinado às instâncias de máquina virtual (VM, na sigla em inglês) com base em uma configuração especificada. Siga as instruções em Como usar regras de firewall para configurar esses controles para redes VPC compartilhadas de produção e não de produção criadas no procedimento anterior.
Escolha uma opção de tráfego de entrada O Cloud Load Balancing permite controlar como os recursos de computação são distribuídos entre as regiões. O balanceamento de carga ajuda a atender aos requisitos de disponibilidade tanto para o tráfego externo de entrada quanto para o tráfego dentro da sua rede VPC. Ao planejar a arquitetura do seu aplicativo no Google Cloud, leia Como escolher um balanceador de carga para decidir quais tipos de balanceadores de carga você precisa.