Google Cloud で本番環境のワークロードを実行する前に、作業をサポートする初期基盤を構成することをおすすめします。Google Cloud の設定は、管理者がスケーラブルなワークロード用に Google Cloud を構成する際に役立ちます。設定プロセスでは、ベスト プラクティスを念頭に置いた基本的なアーキテクチャの作成に役立つインタラクティブな手順を提示します。
ビジネスニーズに合わせて、デフォルトの構成をすばやくデプロイしたり、設定プロセス全体で調整したりできます。目的のデプロイ ワークフローに応じて、コンソールから構成を直接デプロイすることも、Terraform をダウンロードしてデプロイし、独自の Infrastructure as Code（IaC）プロセスと統合することもできます。
このドキュメントでは、設定プロセスを完了するための手順と背景情報について説明します。これは、Google Cloud コンソールのインタラクティブ ガイドとしても提供されています。
この設定プロセスには、以下のフェーズが含まれます。
組織、管理者、課金を設定する: 階層の最上位ノードを設定し、初期管理者ユーザーを作成して、お支払い方法を関連付けます。
最初のアーキテクチャを作成する: 最初のフォルダとプロジェクト構造を選択し、アクセス権を割り当て、ネットワークを設定してロギングを構成します。
設定をデプロイする。最初に選択したアーキテクチャが Terraform 構成ファイルにコンパイルされます。この設定は、Google Cloud コンソールですぐにデプロイできます。また、ファイルをダウンロードして、独自のワークフローを使用してカスタマイズしたり、反復処理を行うこともできます。
セキュリティとサポートの設定を適用する: 推奨されるモニタリング、セキュリティ、サポートの設定を適用して、アーキテクチャを強化します。
組織、管理者、お支払い情報を設定する
最初のアーキテクチャを作成する
このタスクではネットワークの初期構成を設定します。この構成は、ニーズの変化に応じてスケーリングできます。
Virtual Private Cloud アーキテクチャ
Virtual Private Cloud（VPC）ネットワークは、Google の本番環境ネットワーク内に実装された物理ネットワークを仮想化したネットワークです。VPC ネットワークは、リージョンのサブネットワーク（サブネット）で構成されるグローバル リソースです。
VPC ネットワークは、Compute Engine 仮想マシン インスタンス、GKE コンテナ、App Engine フレキシブル環境インスタンスなどの Google Cloud リソースにネットワーク機能を提供します。
共有 VPC は、複数のプロジェクトのリソースを共通の VPC ネットワークに接続し、ネットワークの内部 IP アドレスを使用して相互に通信できるようにします。次の図は、サービス プロジェクトが接続された共有 VPC ネットワークの基本アーキテクチャを示しています。
共有 VPC を使用する場合は、ホスト プロジェクトを指定し、1 つ以上のサービス プロジェクトをホスト プロジェクトに接続します。ホスト プロジェクトの Virtual Private Cloud ネットワークは、共有 VPC ネットワークといいます。
この例の図には、本番環境と非本番環境のホスト プロジェクトがあり、それぞれに共有 VPC ネットワークが含まれています。ホスト プロジェクトを使用すると、以下のものを一元管理できます。
- ルート
- ファイアウォール
- VPN 接続
- サブネット
サービス プロジェクトとは、ホスト プロジェクトに接続されている任意のプロジェクトです。ホスト プロジェクトとサービス プロジェクトの間で、セカンダリ範囲を含むサブネットを共有できます。
このアーキテクチャでは、各共有 VPC ネットワークにパブリック サブネットとプライベート サブネットが含まれています。
- パブリック サブネットは、インターネットに接続するインスタンスで外部接続のために使用されます。
- プライベート サブネットは、パブリック IP アドレスが割り振られていない内部インスタンスで使用されます。
このタスクでは、サンプルの図に基づいてネットワークの初期構成を作成します。
このタスクを行うユーザー
このタスクを行うには、次のいずれかが必要です。
roles/compute.networkAdminロール。- 「ユーザーとグループ」タスクで作成した
gcp-network-admins@YOUR_DOMAINグループのユーザー。
このタスクの内容
次のものを含むネットワークの初期構成を作成します。
- 開発環境に合わせて複数のホスト プロジェクトを作成します。
- 各ホスト プロジェクトに共有 VPC ネットワークを作成し、異なるリソースが同じネットワークを共有できるようにします。
- 各共有 VPC ネットワークに個別のサブネットを作成して、サービス プロジェクトへのネットワーク アクセスを提供します。
このタスクをおすすめする理由
各チームが共有 VPC を使用して、一元管理された共通の VPC ネットワークに接続できます。
始める前に
次の作業を行います。
- 「組織」タスクで、特権管理者ユーザーと組織を作成します。
- 「ユーザーとグループ」タスクで、ユーザーの追加とグループの作成を行います。
- 「管理者権限」タスクでグループに IAM ロールを割り当てます。
- [課金] タスクで請求先アカウントを作成またはリンクします。
- 「階層とアクセス」タスクで階層を設定し、アクセス権を割り当てます。
ネットワーク アーキテクチャを構成する
2 つのホスト プロジェクトを使用してネットワークの初期構成を作成し、非本番環境と本番環境のワークロードをセグメント化します。各ホスト プロジェクトには、複数のサービス プロジェクトで使用できる共有 VPC ネットワークが含まれています。ネットワークの詳細を構成し、後のタスクで構成ファイルをデプロイします。
ネットワークの初期構成を行うには、次の操作を行います。
「ユーザーとグループ」タスクで作成した
gcp-organization-admins@YOUR_DOMAINグループのユーザーで Google Cloud コンソールにログインします。ページの上部にある [組織を選択] プルダウン リストから組織を選択します。
[Google Cloud の設定] の [ネットワーキング] に移動します。
デフォルトのネットワーク アーキテクチャを確認します。
ネットワーク名を編集するには、次の操作を行います。
- 操作アイコン をクリックします。
- [ネットワーク名を編集する] を選択します。
- [ネットワーク名] フィールドに、小文字、数字、ハイフンを入力します。ネットワーク名は 25 文字以内で指定してください。
- [保存] をクリックします。
ファイアウォールの詳細を変更する
ホスト プロジェクトのデフォルトのファイアウォール ルールは、推奨されるベスト プラクティスに基づいています。ファイアウォール ルールの概要については、VPC ファイアウォール ルールをご覧ください。
ファイアウォールの設定を変更するには、次の操作を行います。
操作アイコン をクリックします。
[ファイアウォール ルールを編集する] を選択します。
デフォルトのファイアウォール ルールの詳細については、デフォルト ネットワークの事前設定ルールをご覧ください。
ファイアウォール ルールを無効にするには、対応するチェックボックスをオフにします。
[ファイアウォール ルールのロギング] を無効にするには、[オフ] をクリックします。
デフォルトでは、Compute Engine インスタンスとの間のトラフィックは、監査目的でロギングされます。このプロセスには費用が発生します。詳細については、ファイアウォール ルールのロギングをご覧ください。
[保存] をクリックします。
サブネットの詳細を変更する
各 VPC ネットワークには 1 つ以上のサブネットが存在します。サブネットは、IP アドレス範囲が関連付けられたリージョン リソースです。このマルチリージョン構成では、IP 範囲が重複しないサブネットが 2 つ以上必要になります。
詳細については、サブネットをご覧ください。
各サブネットは、推奨のベスト プラクティスに従って構成されます。各サブネットをカスタマイズする場合は、次の操作を行います。
- 操作アイコン をクリックします。
- [サブネットを編集する] を選択します。
- [名前] フィールドに、小文字、数字、ハイフンを入力します。サブネット名は 25 文字以内で指定してください。
[リージョン] プルダウンから、サービス提供地点に近いリージョンを選択します。
サブネットごとに異なるリージョンを使用することをおすすめします。構成をデプロイした後にリージョンを変更することはできません。リージョンの選択については、リージョン リソースをご覧ください。
[IP アドレス範囲] フィールドに、範囲を CIDR 表記で入力します（例: 10.0.0.0/24）。
入力する範囲は、このネットワーク内の他のサブネットと重ならないようにしてください。有効な範囲については、IPv4 サブネットの範囲をご覧ください。
サブネット 2 にも同じ手順を繰り返します。
このネットワークで追加のサブネットを構成するには、[サブネットを追加] をクリックして、上記の手順を繰り返します。
[保存] をクリックします。
サブネットは、ベスト プラクティスに従って自動的に構成されます。構成を変更する場合は、[Google Cloud 設定] の [VPC ネットワーク] ページで次の操作を行います。
VPC フローログをオフにするには、[Flow logs] 列で [オフ] を選択します。
フローログがオンの場合、各サブネットはネットワーク フローを記録します。これは、セキュリティや費用の最適化などの目的で分析できます。詳細については、VPC フローログを使用するをご覧ください。
VPC フローログには費用が発生します。詳細については、Virtual Private Cloud の料金をご覧ください。
限定公開の Google アクセスを無効にするには、[Private access] 列で [オフ] を選択します。
限定公開の Google アクセスが有効になっている場合、外部 IP アドレスのない VM インスタンスが Google API とサービスにアクセスできます。詳細については、限定公開の Google アクセスをご覧ください。
Cloud NAT を有効にするには、[Cloud NAT] 列で [オン] を選択します。
Cloud NAT を有効にすると、特定のリソースがインターネットへのアウトバウンド接続を作成できます。詳細については、Cloud NAT の概要をご覧ください。
Cloud NAT には費用が発生します。詳細については、Virtual Private Cloud の料金をご覧ください。
[サービス プロジェクトのリンクに進む] をクリックします。
サービス プロジェクトをホスト プロジェクトにリンクする
サービス プロジェクトとは、ホスト プロジェクトに接続されている任意のプロジェクトです。接続したサービス プロジェクトには、共有 VPC への参加が許可されます。各サービス プロジェクトを異なる部門やチームで運用、管理することで、責任を分離できます。
複数のプロジェクトを共通の VPC ネットワークに接続する方法については、共有 VPC の概要をご覧ください。
サービス プロジェクトをホスト プロジェクトにリンクして構成を完了するには、次の操作を行います。
[共有 VPC ネットワーク] テーブルの各サブネットに、接続するサービス プロジェクトを選択します。これを行うには、[サービス プロジェクト] 列の [プロジェクトを選択] プルダウンから選択します。
1 つのサービス プロジェクトを複数のサブネットに接続できます。
[続行して確認] をクリックします。
構成を確認して変更を行います。
構成ファイルをデプロイするまでは編集が可能です。
[ドラフトの構成の確定] をクリックします。ネットワークの構成が構成ファイルに追加されます。
後のタスクで構成ファイルをデプロイするまで、ネットワークはデプロイされません。
次のステップ
設定をデプロイする
セキュリティとサポートの設定を適用する