Instanz in einem freigegebenen VPC-Netzwerk in Dienstprojekten erstellen

In dieser Anleitung erfahren Sie, wie Sie eine Filestore-Instanz aus einem Dienstprojekt in einem freigegebenen VPC-Netzwerk erstellen.

Sie können Filestore-Instanzen in einem freigegebenen VPC-Netzwerk entweder im Hostprojekt oder in einem der zugehörigen Dienstprojekte erstellen. Beim Erstellen einer Instanz im Hostprojekt können Sie das freigegebene VPC-Netzwerk wie gewohnt auswählen und Dienstprojektclients können eine Verbindung zur Instanz herstellen. Wenn Sie die Instanz jedoch in einem Dienstprojekt erstellen möchten, müssen Sie zuerst den Zugriff auf private Dienste im freigegebenen VPC-Netzwerk vom Hostprojekt aus aktivieren.

Lernziele

  • Aktivieren Sie den Zugriff auf private Dienste im freigegebenen VPC-Netzwerk.
  • Erstellen Sie eine Instanz im freigegebenen VPC-Netzwerk.
  • Stellen Sie die Instanz bereit.

Kosten

In diesem Dokument verwenden Sie die folgenden kostenpflichtigen Komponenten von Google Cloud:

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen. Neuen Google Cloud-Nutzern steht möglicherweise eine kostenlose Testversion zur Verfügung.

Nach Abschluss der in diesem Dokument beschriebenen Aufgaben können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen. Weitere Informationen finden Sie unter Bereinigen.

Hinweise

  1. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

  2. Erstellen Sie ein freigegebenes VPC-Netzwerk mit einem Hostprojekt und einem verbundenen Dienstprojekt.

  3. Filestore and Service Networking APIs aktivieren.

    Aktivieren Sie die APIs

Zugriff auf private Dienste im freigegebenen VPC-Netzwerk aktivieren

Zum Erstellen einer Filestore-Instanz in einem Dienstprojekt, das ein freigegebenes VPC-Netzwerk verwendet, muss für das freigegebene VPC-Netzwerk der Zugriff auf private Dienste aktiviert sein. Informationen zu bestimmten Filestore-Anforderungen finden Sie unter Reservierten IP-Adressbereich konfigurieren.

Prüfen, ob der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist

Prüfen Sie mit einer der folgenden Methoden, ob der Zugriff auf private Dienste bereits für das freigegebene VPC-Netzwerk aktiviert ist:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite Filestore-Instanzen auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen.

  3. Wählen Sie das freigegebene VPC-Netzwerk aus, das Sie verwenden möchten.

  4. Klicken Sie auf Erweiterte Netzwerkoptionen.

  5. Im Abschnitt Verbindung für den Zugriff auf private Dienste wird angezeigt, ob der Zugriff auf private Dienste aktiviert ist.

gcloud-CLI

Führen Sie dazu den Befehl services vpc-peerings list aus.

gcloud beta services vpc-peerings list \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, das Sie für Ihre Filestore-Instanz verwenden möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Wenn der Zugriff auf private Dienste bereits aktiviert ist, zeigt die Antwort, dass ein Peering für servicenetworking-googleapis-com eingerichtet wurde:

network: projects/PROJECT_NUMBER/global/networks/SHARED_VPC_NAME
peering: servicenetworking-googleapis-com
reservedPeeringRanges: RANGES

Wenn der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist, können Sie dort Filestore-Instanzen erstellen. Andernfalls müssen Sie zuerst den Zugriff auf private Dienste aktivieren.

Zugriff auf private Dienste aktivieren

Sie müssen die Rolle "Inhaber" (roles/owner), "Bearbeiter" (roles/editor) oder "Administrator für die Netzwerkverwaltung" (roles/networkmanagement.admin) haben, um zugewiesene IP-Adressbereiche erstellen und private Verbindungen verwalten zu können. Wenden Sie sich an Ihren Netzwerkadministrator, wenn Sie diese Berechtigungen nicht haben. Weitere Informationen finden Sie unter Informationen zu Rollen.

Aktivieren Sie den Zugriff auf private Dienste in einem freigegebenen VPC-Netzwerk mit einer der folgenden Methoden:

Google Cloud Console

IP-Adressbereich im freigegebenen VPC-Netzwerk für von Google verwaltete Dienste reservieren

  1. Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerke auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Private Dienstverbindung aus.

  5. Wählen Sie auf dem Tab Private Dienstverbindung den Tab Diensten zugewiesene IP-Bereiche aus.

  6. Klicken Sie auf IP-Bereich zuweisen und konfigurieren Sie ihn so:

    • Name: google-service-range
    • Description: Peering range for Google managed services

    • IP-Bereich:

      • Wählen Sie Automatisch aus.
      • Geben Sie in das Textfeld 20 für das Präfix ein. Dieser Bereich wird von allen von Google Cloud verwalteten Diensten verwendet. In der Praxis muss er also möglicherweise etwas größer sein. Instanzen der Basisstufe benötigen ein Präfix von /29 und zonale Instanzen mit einem höheren Kapazitätsbereich (zuvor hochskalierte SSD) und zonale Instanzen mit einem niedrigeren Kapazitätsbereich benötigen ein /26-Präfix.

  7. Klicken Sie auf Zuweisen, um den zugewiesenen Bereich zu erstellen.

Private Verbindung für das freigegebene VPC-Netzwerk und das Netzwerk der von Google verwalteten Dienste erstellen

  1. Rufen Sie in der Google Cloud Console die Seite VPC-Netzwerke auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Private Dienstverbindung aus.

  5. Wählen Sie auf dem Tab Private Dienstverbindung den Tab Private Verbindungen zu Diensten aus.

  6. Klicken Sie auf Verbindung erstellen.

  7. Wählen Sie für Zugewiesene Zuordnung die Option google-service-range aus.

  8. Klicken Sie auf Verbinden, um die Verbindung zu erstellen.

gcloud-CLI

  1. Reservieren Sie einen IP-Adressbereich im freigegebene VPC-Netzwerk für von Google verwaltete Dienste. Führen Sie dazu den folgenden compute addresses create-Befehl aus:

    gcloud compute addresses create google-service-range \
    --global \
    --purpose=VPC_PEERING \
    --prefix-length=PREFIX \
    --description="Peering range for Google managed services" \
    --network=SHARED_VPC_NAME \
    --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • PREFIX durch eine Präfixlänge. Instanzen der Basisstufe benötigen ein /29-Präfix und zonale Instanzen ein /26-Präfix. Dieser Bereich wird jedoch von allen von Google Cloud verwalteten Diensten verwendet. Wenn Sie mehrere Filestore-Instanzen oder andere von Google Cloud verwaltete Dienste verwenden möchten, benötigen Sie ein größeres Präfix, z. B. /20.
    • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

  2. Erstellen Sie mit dem Befehl services vpc-peerings connect eine private Verbindung für das freigegebene VPC-Netzwerk und das Netzwerk der von Google verwalteten Dienste:

    gcloud services vpc-peerings connect \
    --service=servicenetworking.googleapis.com \
    --ranges=google-service-range \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID

    Ersetzen Sie Folgendes:

    • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

    Der Befehl initiiert einen Vorgang mit langer Ausführungszeit und gibt einen Vorgangsnamen zurück.

  3. Prüfen Sie mit dem Befehl services vpc-peerings operations describe, ob der Vorgang erfolgreich war:

    gcloud services vpc-peerings operations describe \
    --name=OPERATION_NAME

    Ersetzen Sie OPERATION_NAME durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Weitere Informationen zum Zuweisen von IP-Adressbereichen und zum Erstellen privater Verbindungen finden Sie unter Zugriff auf private Dienste konfigurieren.

Optional: VPC Service Controls aktivieren

Sobald der Zugriff auf private Dienste aktiviert ist, können Sie optional VPC Service Controls aktivieren. Führen Sie dazu den Befehl services vpc-peerings enable-vpc-service-controls aus:

gcloud beta services vpc-peerings enable-vpc-service-controls \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID \
    --service=servicenetworking.googleapis.com

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Weitere Informationen zur Verwendung von Filestore mit VPC Service Controls finden Sie unter Instanzen mit einem Dienstperimeter sichern.

Filestore-Instanz im freigegebenen VPC-Netzwerk erstellen

Sobald in Ihrem freigegebenen VPC-Netzwerk der Zugriff auf private Dienste aktiviert ist, können Sie darin Filestore-Instanzen aus einem Dienstprojekt erstellen.

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite Filestore-Instanzen auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen und konfigurieren Sie die Instanz wie folgt.

    • Legen Sie als Instanz-ID nfs-server fest.
    • Wählen Sie als Instanztyp die Option Basis aus.
    • Legen Sie Speichertyp auf HDD fest.
    • Setzen Sie Kapazität zuweisen auf 1 TB.
    • Legen Sie für Region den Wert us-central1 und für Zone den Wert us-central1-a fest.
    • Legen Sie unter VPC-Netzwerk das freigegebene VPC-Netzwerk fest. Dieses wird im Format „projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME“ angezeigt.
    • Legen Sie Fileshare-Name auf vol1 fest.
    • Setzen Sie Zugewiesener IP-Bereich auf Automatisch zugewiesenen IP-Bereich verwenden.
    • Setzen Sie Zugriffssteuerungen auf Zugriff auf alle Clients gewähren.

  3. Klicken Sie auf Erstellen.

gcloud-CLI

Führen Sie dazu den Befehl instances create aus.

gcloud filestore instances create nfs-server \
    --project=SERVICE_PROJECT_ID \
    --zone=us-central1-c \
    --tier=BASIC_HDD \
    --file-share=name="vol1",capacity=1TiB \
    --network=name="projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME",connect-mode=PRIVATE_SERVICE_ACCESS

Ersetzen Sie Folgendes:

  • SERVICE_PROJECT_ID durch die Projekt-ID des Dienstprojekts, in dem Sie eine Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.
  • SHARED_VPC_NAME durch den Namen des freigegebenen VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

Optional: Subnetzrouten importieren

Wenn Ihre Filestore-Instanzen öffentliche IP-Adressen verwenden (IP-Adressen außerhalb von RFC 1918) und Sie PSA aktivieren möchten, müssen Sie die öffentlichen IP-Subnetzrouten der Instanz in das freigegebene VPC-Netzwerk importieren. Aktualisieren Sie dazu das VPC-Peering des Dienstnetzwerks, um das Importieren von Subnetzrouten mit öffentlichen IP-Adressen zu ermöglichen. Weitere Informationen finden Sie unter Peering-Verbindung aktualisieren.

Instanz auf einem Dienstprojektclient bereitstellen

Nachdem Sie eine Filestore-Instanz in einem freigegebenen VPC-Netzwerk erstellt haben, können Sie diese Instanz für jeden Client im selben Netzwerk bereitstellen. Eine Anleitung zum Bereitstellen finden Sie unter Dateifreigaben auf Compute Engine-Clients bereitstellen.

Bereinigen

Damit Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, löschen Sie entweder das Projekt, das die Ressourcen enthält, oder Sie behalten das Projekt und löschen die einzelnen Ressourcen.

Filestore-Instanz löschen

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite Filestore-Instanzen auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf die Instanz-ID nfs-server, um die Detailseite der Instanz zu öffnen.

  3. Klicken Sie auf Löschen .

  4. Geben Sie bei Aufforderung die Instanz-ID ein.

  5. Klicken Sie auf Löschen.

gcloud-CLI

Löschen Sie die Instanz nfs-server mit dem Befehl instances delete:

gcloud filestore instances delete nfs-server --zone=us-central1-c

Nächste Schritte