Instanz in einem freigegebenen VPC-Netzwerk in Dienstprojekten erstellen

In dieser Anleitung erfahren Sie, wie Sie eine Filestore-Instanz in einem freigegebenen VPC-Netzwerk aus einem Dienstprojekt erstellen.

Sie können Filestore-Instanzen in einem freigegebenen VPC-Netzwerk entweder im Hostprojekt oder in einem der zugehörigen Dienstprojekte erstellen. Beim Erstellen einer Instanz im Hostprojekt können Sie das freigegebene VPC-Netzwerk wie gewohnt auswählen und Dienstprojektclients können eine Verbindung zur Instanz herstellen. Wenn Sie die Instanz jedoch in einem Dienstprojekt erstellen möchten, müssen Sie zuerst den Zugriff auf private Dienste im freigegebenen VPC-Netzwerk vom Hostprojekt aus aktivieren.

Ziele

  • Aktivieren Sie den Zugriff auf private Dienste im freigegebenen VPC-Netzwerk.
  • Erstellen Sie eine Instanz im freigegebenen VPC-Netzwerk.
  • Stellen Sie die Instanz bereit.

Kosten

In dieser Anleitung werden die folgenden kostenpflichtigen Komponenten von Google Cloud verwendet:

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen. Neuen Google Cloud-Nutzern steht möglicherweise eine kostenlose Testversion zur Verfügung.

Nach Abschluss dieser Anleitung können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen. Weitere Informationen finden Sie unter Bereinigen.

Hinweis

  1. Die Abrechnung für das Cloud-Projekt muss aktiviert sein. So prüfen Sie, ob die Abrechnung für Ihr Projekt aktiviert ist.

  2. Erstellen Sie ein freigegebenes VPC-Netzwerk mit einem Hostprojekt und einem verbundenen Dienstprojekt.
  3. Filestore and Service Networking APIs aktivieren.

    Aktivieren Sie die APIs

Zugriff auf private Dienste im freigegebenen VPC-Netzwerk aktivieren

Zum Erstellen einer Filestore-Instanz in einem Dienstprojekt, das ein freigegebenes VPC-Netzwerk verwendet, muss für das freigegebene VPC-Netzwerk der Zugriff auf private Dienste aktiviert sein.

Prüfen, ob der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist

Prüfen Sie mit einer der folgenden Methoden, ob der Zugriff auf private Dienste bereits für das freigegebene VPC-Netzwerk aktiviert ist:

Cloud Console

  1. Wechseln Sie in der Cloud Console zur Seite „Filestore-Instanzen“.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen.

  3. Wählen Sie das freigegebene VPC-Netzwerk aus, das Sie verwenden möchten.

  4. Klicken Sie auf Erweiterte Netzwerkoptionen.

  5. Im Abschnitt Verbindung für den Zugriff auf private Dienste wird angezeigt, ob der Zugriff auf private Dienste aktiviert ist.

gcloud tool

gcloud beta services vpc-peerings list \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, das Sie für Ihre Filestore-Instanz verwenden möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Wenn der Zugriff auf private Dienste bereits aktiviert ist, zeigt die Antwort, dass ein Peering für servicenetworking-googleapis-com eingerichtet wurde:

network: projects/PROJECT_NUMBER/global/networks/SHARED_VPC_NAME
peering: servicenetworking-googleapis-com
reservedPeeringRanges: RANGES

Wenn der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist, können Sie dort Filestore-Instanzen erstellen. Andernfalls müssen Sie zuerst den Zugriff auf private Dienste aktivieren.

Zugriff auf private Dienste aktivieren

Sie müssen die Rolle "Inhaber" (roles/owner), "Bearbeiter" (roles/editor) oder "Administrator für die Netzwerkverwaltung" (roles/networkmanagement.admin) haben, um zugewiesene IP-Adressbereiche erstellen und private Verbindungen verwalten zu können. Wenden Sie sich an Ihren Netzwerkadministrator, wenn Sie diese Berechtigungen nicht haben. Weitere Informationen finden Sie unter Informationen zu Rollen.

Aktivieren Sie den Zugriff auf private Dienste in einem freigegebenen VPC-Netzwerk mit einer der folgenden Methoden:

Cloud Console

IP-Adressbereich im freigegebenen VPC-Netzwerk für von Google verwaltete Dienste reservieren

  1. Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerke“ auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Private Dienstverbindung aus.

  5. Wählen Sie auf dem Tab Private Dienstverbindung den Tab Diensten zugewiesene IP-Bereiche aus.

  6. Klicken Sie auf IP-Bereich zuweisen und konfigurieren Sie ihn so:

    • Name: google-service-range
    • Description: Peering range for Google managed services
    • IP-Bereich:

      • Wählen Sie Automatisch aus.
      • Geben Sie in das Textfeld 20 für das Präfix ein. Dieser Bereich wird von allen von Google Cloud verwalteten Diensten verwendet. In der Praxis muss er also möglicherweise etwas größer sein. Instanzen der Basic-Stufe erfordern das Präfix /29, High Scale-Instanzen erfordern das Präfix /24.
  7. Klicken Sie auf Zuweisen, um den zugewiesenen Bereich zu erstellen.

Private Verbindung für das freigegebene VPC-Netzwerk und das von Google verwaltete Netzwerk erstellen

  1. Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerke“ auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Private Dienstverbindung aus.

  5. Wählen Sie auf dem Tab Private Dienstverbindung den Tab Private Verbindungen zu Diensten aus.

  6. Klicken Sie auf Verbindung erstellen.

  7. Wählen Sie für Zugewiesene Zuordnung die Option google-service-range aus.

  8. Klicken Sie auf Verbinden, um die Verbindung zu erstellen.

gcloud tool

  1. Reservieren Sie einen IP-Adressbereich im freigegebenen VPC-Netzwerk für von Google verwaltete Dienste, indem Sie Folgendes ausführen:

    gcloud compute addresses create google-service-range \
        --global \
        --purpose=VPC_PEERING \
        --prefix-length=PREFIX \
        --description="Peering range for Google managed services" \
        --network=SHARED_VPC_NAME \
        --project=PROJECT_ID
    

    Ersetzen Sie Folgendes:

    • PREFIX durch eine Präfixlänge. Instanzen der Basic-Stufe erfordern das Präfix /29 und Instanzen der High Scale-Stufe benötigen das Präfix /24. Dieser Bereich wird jedoch von allen von Google Cloud verwalteten Diensten verwendet. Wenn Sie mehrere Filestore-Instanzen oder andere von Google Cloud verwaltete Dienste verwenden möchten, benötigen Sie ein größeres Präfix, z. B. /20.
    • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.
  2. Erstellen Sie eine private Verbindung für das freigegebene VPC-Netzwerk und das verwaltete Google-Dienstnetzwerk, indem Sie Folgendes ausführen:

    gcloud services vpc-peerings connect \
        --service=servicenetworking.googleapis.com \
        --ranges=google-service-range \
        --network=SHARED_VPC_NAME \
        --project=HOST_PROJECT_ID
    

    Ersetzen Sie Folgendes:

    • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

    Der Befehl initiiert einen Vorgang mit langer Ausführungszeit und gibt einen Vorgangsnamen zurück.

  3. Prüfen Sie, ob der Vorgang erfolgreich war:

    gcloud services vpc-peerings operations describe \
        --name=OPERATION_NAME
    

    Ersetzen Sie OPERATION_NAME durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Weitere Informationen zum Zuweisen von IP-Adressbereichen und zum Erstellen privater Verbindungen finden Sie unter Zugriff auf private Dienste konfigurieren.

Optional: VPC Service Controls aktivieren

Sobald der Zugriff auf private Dienste aktiviert ist, können Sie optional VPC Service Controls aktivieren. Führen Sie dazu folgenden Befehl aus:

gcloud beta services vpc-peerings enable-vpc-service-controls \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID \
    --service=servicenetworking.googleapis.com

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Weitere Informationen zur Verwendung von Filestore mit VPC Service Controls finden Sie unter Instanzen mit einem Dienstperimeter sichern.

Filestore-Instanz im freigegebenen VPC-Netzwerk erstellen

Sobald in Ihrem freigegebenen VPC-Netzwerk der Zugriff auf private Dienste aktiviert ist, können Sie darin Filestore-Instanzen aus einem Dienstprojekt erstellen.

Cloud Console

  1. Wechseln Sie in der Cloud Console zur Seite „Filestore-Instanzen“.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen und konfigurieren Sie die Instanz wie folgt.

    • Legen Sie als Instanz-ID nfs-server fest.
    • Wählen Sie als Instanztyp die Option Basis aus.
    • Legen Sie Speichertyp auf HDD fest.
    • Setzen Sie Kapazität zuweisen auf 1 TB.
    • Legen Sie für Region den Wert us-central1 und für Zone den Wert us-central1-a fest.
    • Legen Sie für VPC-Netzwerk das freigegebene VPC-Netzwerk fest, das im Format "projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME" angezeigt wird.
    • Legen Sie Fileshare-Name auf vol1 fest.
    • Setzen Sie Zugewiesener IP-Bereich auf Automatisch zugewiesenen IP-Bereich verwenden.
    • Setzen Sie Zugriffssteuerungen auf Zugriff auf alle Clients gewähren.
  3. Klicken Sie auf Erstellen.

gcloud tool

gcloud beta filestore instances create nfs-server \
    --project=SERVICE_PROJECT_ID \
    --zone=us-central1-c \
    --tier=BASIC_HDD \
    --file-share=name="vol1",capacity=1TiB \
    --network=name="projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME",connect-mode=PRIVATE_SERVICE_ACCESS

Ersetzen Sie Folgendes:

  • SERVICE_PROJECT_ID durch die Projekt-ID des Dienstprojekts, in dem Sie eine Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.
  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

Instanz auf einem Dienstprojektclient bereitstellen

Nachdem Sie eine Filestore-Instanz in einem freigegebenen VPC-Netzwerk erstellt haben, können Sie diese Instanz für jeden Client im selben Netzwerk bereitstellen. Eine Anleitung zum Bereitstellen finden Sie unter Dateifreigaben auf Compute Engine-Clients bereitstellen.

Bereinigen

Damit Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, löschen Sie entweder das Projekt, das die Ressourcen enthält, oder Sie behalten das Projekt und löschen die einzelnen Ressourcen.

Filestore-Instanz löschen

Cloud Console

  1. Wechseln Sie in der Cloud Console zur Seite „Filestore-Instanzen“.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf die Instanz-ID nfs-server, um die Detailseite der Instanz zu öffnen.

  3. Klicken Sie auf Löschen .

  4. Geben Sie bei Aufforderung die Instanz-ID ein.

  5. Klicken Sie auf Löschen.

gcloud tool

Löschen Sie die nfs-server-Instanz:

gcloud filestore instances delete nfs-server --zone=us-central1-c

Nächste Schritte