外部 HTTP(S) ロードバランサの設定

Identity-Aware Proxy（IAP）を使用する外部 HTTP(S) ロードバランサは、次のバックエンドタイプでサポートされています。

インスタンスグループ
ゾーンネットワークエンドポイントグループ（NEG）
サーバーレス NEG: 1 つ以上の Cloud Run サービス
インターネット NEG: Google Cloud の外部にあるエンドポイント（カスタム送信元とも呼ばれます）

この設定ガイドでは、IAP を有効にした Compute Engine マネージドインスタンスグループバックエンドで外部 HTTP(S) ロードバランサを作成する方法を説明します。

この例がユースケースと一致しない場合は、次のいずれかのページをご覧ください。

Cloud Run については、Cloud Run を使用したロードバランサの設定をご覧ください。
IPv6 と SSL 証明書の設定を含むマルチリージョンの例については、マルチリージョンの外部 HTTPS ロードバランサの設定をご覧ください。
リージョン外部 HTTP(S) ロードバランサについては、リージョン外部 HTTP(S) ロードバランサの設定をご覧ください。
GKE を使用している場合、ロードバランサは通常、Kubernetes Ingress コントローラによって構成されます。詳細については、外部ロードバランシング向け Ingress の構成をご覧ください。

一般的なコンセプトについては、外部 HTTP(S) ロードバランサの概要をご覧ください。

グローバル外部 HTTP(S) ロードバランサ（従来）の既存のユーザーで、グローバル外部 HTTP(S) ロードバランサで新しいデプロイを計画する場合は、グローバル外部 HTTP(S) ロードバランサへの移行を計画するをご覧ください。

ロードバランサのトポロジ

HTTPS ロードバランサの場合は、次の図に示す構成を作成します。

マネージドインスタンスグループ（MIG）バックエンドを使用した HTTPS ロードバランサ。 — **図 1.** マネージドインスタンスグループ（MIG）バックエンドを使用した HTTPS ロードバランサ（クリックして拡大）

HTTP ロードバランサの場合は、次の図に示す構成を作成します。

マネージドインスタンスグループ（MIG）バックエンドを使用した HTTP ロードバランサ。 — **図 2.** マネージドインスタンスグループ（MIG）のバックエンドを使用した HTTP ロードバランサ（クリックして拡大）

図中のイベントの順序は、次のとおりです。

クライアントが転送ルールで定義された外部 IPv4 アドレスにコンテンツのリクエストを送信します。
HTTPS ロードバランサの場合、リクエストは、転送ルールによってターゲット HTTPS プロキシに転送されます。

HTTP ロードバランサの場合、リクエストは、転送ルールによってターゲット HTTP プロキシに転送されます。
ターゲットプロキシは、URL マップのルールを使用して、単一のバックエンドサービスがすべてのリクエストを受信していることを確認します。
ロードバランサは、このバックエンドサービスにはインスタンスグループが 1 つのみ存在していることを確認し、このグループに属する仮想マシン（VM）インスタンスの 1 つにリクエストを振り向けます。
その結果、その VM によって、ユーザーがリクエストしたコンテンツが配信されます。

始める前に

ロードバランサを作成する前に次の手順を完了します。

SSL 証明書リソースを設定する

HTTPS ロードバランサの場合、SSL 証明書リソースは、次のように作成します。

Google マネージド証明書を使用することをおすすめします。

この例では、SSL 証明書リソース www-ssl-cert をすでに利用していることを前提としています。

権限を設定する

このガイドの手順を完了するには、プロジェクト内に Compute Engine インスタンス、ファイアウォールルール、予約済み IP アドレスを作成する権限が必要になります。プロジェクトのオーナーまたは編集者ロール、あるいは次に示す Compute Engine IAM ロールが必要です。

タスク	必要なロール
インスタンスの作成	インスタンス管理者
ファイアウォールルールの追加と削除	セキュリティ管理者
ロードバランサのコンポーネントの作成	ネットワーク管理者
プロジェクトの作成（省略可）	プロジェクト作成者

詳細については、次のガイドをご覧ください。

マネージドインスタンスグループを作成する

Compute Engine バックエンドでロードバランサを設定するには、VM がインスタンスグループに属している必要があります。このガイドでは、Apache が稼働している Linux VM からなるマネージドインスタンスグループを作成し、ロードバランシングを設定する方法について説明します。マネージドインスタンスグループは、指定したインスタンステンプレートに基づいて各マネージドインスタンスを作成します。

このマネージドインスタンスグループの VM では、外部 HTTP(S) ロードバランサのバックエンドサーバーが実行されます。わかりやすく説明するために、バックエンドサーバーはそれぞれ独自のホスト名を提供します。

マネージドインスタンスグループを作成する前に、インスタンステンプレートを作成します。

コンソール

Google Cloud Console で、[インスタンステンプレート] ページに移動します。

[インスタンステンプレート] に移動
[インスタンステンプレートを作成] をクリックします。
[名前] に「lb-backend-template」と入力します。
[ブートディスク] が Debian GNU/Linux 10 (buster) などの Debian イメージに設定されていることを確認します。以降の手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。
[ファイアウォール] オプションは構成しないでください。

外部 HTTP(S) ロードバランサはプロキシであるため、[ファイアウォール] で、[HTTPS トラフィックを許可する] や [HTTP トラフィックを許可する] を選択する必要はありません。ファイアウォールルールの構成では、このロードバランサに必要な唯一のファイアウォールルールを作成します。
[詳細オプション] をクリックします。
[ネットワーキング] をクリックして次のフィールドを構成します。
1. [ネットワークタグ] に「allow-health-check」と入力します。

[管理] をクリックします。[起動スクリプト] フィールドに次のスクリプトを入力します。

#! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2

[作成] をクリックします。

gcloud

テンプレートを作成します。

gcloud compute instance-templates create TEMPLATE_NAME \
   --region=us-east1 \
   --network=default \
   --subnet=default \
   --tags=allow-health-check \
   --image-family=debian-10 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2'

Terraform

インスタンステンプレートを作成するには、google_compute_instance_template リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_instance_template" "default" {
  name = "lb-backend-template"
  disk {
    auto_delete  = true
    boot         = true
    device_name  = "persistent-disk-0"
    mode         = "READ_WRITE"
    source_image = "projects/debian-cloud/global/images/family/debian-11"
    type         = "PERSISTENT"
  }
  labels = {
    managed-by-cnrm = "true"
  }
  machine_type = "n1-standard-1"
  metadata = {
    startup-script = "#! /bin/bash\n     sudo apt-get update\n     sudo apt-get install apache2 -y\n     sudo a2ensite default-ssl\n     sudo a2enmod ssl\n     vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\" \\\n   http://169.254.169.254/computeMetadata/v1/instance/name)\"\n   sudo echo \"Page served from: $vm_hostname\" | \\\n   tee /var/www/html/index.html\n   sudo systemctl restart apache2"
  }
  network_interface {
    access_config {
      network_tier = "PREMIUM"
    }
    network    = "global/networks/default"
    subnetwork = "regions/us-east1/subnetworks/default"
  }
  region = "us-east1"
  scheduling {
    automatic_restart   = true
    on_host_maintenance = "MIGRATE"
    provisioning_model  = "STANDARD"
  }
  service_account {
    email  = "default"
    scopes = ["https://www.googleapis.com/auth/devstorage.read_only", "https://www.googleapis.com/auth/logging.write", "https://www.googleapis.com/auth/monitoring.write", "https://www.googleapis.com/auth/pubsub", "https://www.googleapis.com/auth/service.management.readonly", "https://www.googleapis.com/auth/servicecontrol", "https://www.googleapis.com/auth/trace.append"]
  }
  tags = ["allow-health-check"]
}

マネージドインスタンスグループを作成して、インスタンステンプレートを選択します。

コンソール

Google Cloud コンソールで、[インスタンスグループ] ページに移動します。
[インスタンスグループ] ページに移動
[インスタンスグループを作成] をクリックします。
左側で [新しいマネージドインスタンスグループ（ステートレス）] を選択します。
[名前] に「lb-backend-example」と入力します。
[ロケーション] で [シングルゾーン] を選択します。
[リージョン] で、使用するリージョンを選択します。この例では us-east1 を使用しています。
[ゾーン] で us-east1-b を選択します。
[インスタンステンプレート] で、インスタンステンプレート lb-backend-template を選択します。
[自動スケーリングモード] で [オン: グループに対してインスタンスを追加および削除します] を選択します。

[インスタンスの最小数] を 2、[インスタンスの最大数] を 2 以上にそれぞれ設定します。
新しいインスタンスグループを作成するには、[作成] をクリックします。

gcloud

そのテンプレートに基づいてマネージドインスタンスグループを作成します。

gcloud compute instance-groups managed create lb-backend-example \
--template=TEMPLATE_NAME --size=2 --zone=us-east1-b

Terraform

マネージドインスタンスグループを作成するには、google_compute_instance_group_manager リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_instance_group_manager" "default" {
  name = "lb-backend-example"
  zone = "us-east1-b"
  named_port {
    name = "http"
    port = 80
  }
  version {
    instance_template = google_compute_instance_template.default.id
    name              = "primary"
  }
  base_instance_name = "vm"
  target_size        = 2
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

インスタンスグループに名前付きポートを追加する

インスタンスグループに HTTP サービスを定義し、ポート名を該当するポートにマッピングします。ロードバランシングサービスは、名前付きポートにトラフィックを転送します。詳細については、名前付きポートをご覧ください。

コンソール

Google Cloud コンソールで、[インスタンスグループ] ページに移動します。
[インスタンスグループ] ページに移動
インスタンスグループの名前をクリックします（この例では lb-backend-example）。
インスタンスグループの [概要] ページで、[EDIT] をクリックします。
[ポートマッピング] で、[ポートを追加] をクリックします。
1. ポート名に「http」と入力します。ポート番号に「80」と入力します。
[保存] をクリックします。

gcloud

gcloud compute instance-groups set-named-ports コマンドを使用します。

gcloud compute instance-groups set-named-ports lb-backend-example \
    --named-ports http:80 \
    --zone us-east1-b

Terraform

named_port 属性は、マネージドインスタンスグループサンプルに含まれています。

ファイアウォールルールを構成する

この例では、ファイアウォールルール fw-allow-health-check を作成します。これは Google Cloud ヘルスチェックシステム（130.211.0.0/22 と 35.191.0.0/16）からのトラフィックを許可する上り（内向き）ルールです。この例では、ターゲットタグ allow-health-check を使用して VM が識別されます。

コンソール

Google Cloud Console で [ファイアウォール] ページに移動します。
[ファイアウォール] ページに移動
[ファイアウォールルールを作成] をクリックして、ファイアウォールルールを作成します。
[名前] に「fw-allow-health-check」と入力します。
[ネットワーク] で Default を選択します。
[ターゲット] で [指定されたターゲットタグ] を選択します。
[ターゲットタグ] フィールドに「allow-health-check」を入力します。
[ソースフィルタ] を [IPv4 範囲] に設定します。
[送信元 IPv4 範囲] を 130.211.0.0/22 と 35.191.0.0/16 に設定します。
[プロトコルとポート] で [指定したプロトコルとポート] をオンにします。
[TCP] チェックボックスをオンにし、ポート番号に「80」と入力します。
[作成] をクリックします。

gcloud

gcloud compute firewall-rules create fw-allow-health-check \
    --network=default \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --target-tags=allow-health-check \
    --rules=tcp:80

Terraform

ファイアウォールルールを作成するには、google_compute_firewall リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_firewall" "default" {
  name          = "fw-allow-health-check"
  direction     = "INGRESS"
  network       = "global/networks/default"
  priority      = 1000
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  target_tags   = ["allow-health-check"]
  allow {
    ports    = ["80"]
    protocol = "tcp"
  }
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

外部 IP アドレスを予約する

インスタンスが稼働し始めたので、次にロードバランサにユーザーが接続する際に使用するグローバル静的外部 IP アドレスを設定します。

コンソール

Google Cloud コンソールで、[外部 IP アドレス] ページに移動します。
[外部 IP アドレス] ページに移動
IPv4 アドレスを予約するには、[静的アドレスを予約] をクリックします。
[名前] に「lb-ipv4-1」と入力します。
[ネットワークサービス階層] に [プレミアム] を設定します。
[IP バージョン] を IPv4 に設定します。
[タイプ] を [グローバル] に設定します。
[予約] をクリックします。

gcloud

gcloud compute addresses create lb-ipv4-1 \
    --ip-version=IPV4 \
    --network-tier=PREMIUM \
    --global

予約された IPv4 アドレスをメモします。

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global

Terraform

IP アドレスを予約するには、google_compute_global_address リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_global_address" "default" {
  name       = "lb-ipv4-1"
  ip_version = "IPV4"
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

ロードバランサを設定する

この例では、クライアントとロードバランサ間に HTTP または HTTPS を使用します。HTTPS の場合、プロキシを構成するために SSL 証明書リソースが 1 つ以上必要になります。Google マネージド証明書を使用することをおすすめします。

フロントエンドで HTTPS を使用している場合でも、バックエンドでは HTTP を使用できます。Google では、Google Cloud VPC ネットワーク内にある Google Front End（GFE）とバックエンド間のトラフィックを自動的に暗号化します。

コンソール

構成を開始する

Google Cloud コンソールの [ロードバランシング] ページに移動します。
[ロードバランシング] に移動
[HTTP(S) ロードバランシング] で [構成を開始] をクリックします。
[インターネット接続または内部専用] で [インターネットから自分の VM へ] を選択します。
[グローバル / リージョン] で、[グローバル HTTP(S) ロードバランサ（従来型）] を選択します。
[続行] をクリックします。
ロードバランサの [名前] には、「web-map-https」や「web-map-http」などを入力します。

フロントエンドの構成

[フロントエンドの構成] をクリックします。
[プロトコル] を HTTPS または HTTP に設定します。
[IP アドレス] を前の手順で作成した lb-ipv4-1 に設定します。
[ポート] が、HTTPS トラフィックを許可する 443 か、HTTP トラフィックを許可する 80 になっていることを確認します。
[HTTPS] を選択した場合は、次の操作を行います。
1. [証明書] をクリックし、プライマリ SSL 証明書を選択します。
2. 省略可: SSL ポリシーを作成する
  1. [SSL ポリシー] リストで、[ポリシーの作成] を選択します。
  2. SSL ポリシーの名前を my-ssl-policy に設定します。
  3. [TLS の最小バージョン] で [TLS 1.0] を選択します。
  4. [プロファイル] で [モダン] を選択します。[有効な機能] と [無効な機能] が表示されます。
  5. [保存] をクリックします。
  SSL ポリシーを作成していない場合は、デフォルトの GCP SSL ポリシーが適用されます。
3. 省略可: [HTTP から HTTPS へのリダイレクトを有効にする] チェックボックスをオンにして、ポート 80 からポート 443 へのリダイレクトを有効にします。
  このチェックボックスをオンにすると、HTTPS ロードバランサと同じ IP アドレスを使用し、受信する HTTP リクエストをロードバランサの HTTPS フロントエンドにリダイレクトする追加の部分的な HTTP ロードバランサが作成されます。
  
  このチェックボックスは、HTTPS プロトコルが選択されていて、予約済みの IP アドレスが使用されている場合にのみ選択できます。
[完了] をクリックします。

バックエンドの構成

[バックエンドの構成] をクリックします。
[バックエンドサービスとバックエンドバケットの作成または選択] で [バックエンドサービス] > [バックエンドサービスを作成] の順に選択します。
バックエンドサービスの名前（web-backend-service など）を追加します。
[プロトコル] で、HTTP を選択します。
[名前付きポート] に「http」と入力します。
[バックエンド] > [新しいバックエンド] > [インスタンスグループ] で、インスタンスグループ lb-backend-example を選択します。
[ポート番号] に「80」と入力します。
他のデフォルト設定はそのままにします。
[ヘルスチェック] で [ヘルスチェックを作成] を選択し、ヘルスチェックの名前（http-basic-check など）を追加します。
プロトコルを HTTP に設定し、[保存] をクリックします。
省略可: デフォルトのバックエンドセキュリティポリシーを構成します。デフォルトのセキュリティポリシーでは、ユーザーが構成したしきい値を超えるトラフィックをスロットリングします。デフォルトのセキュリティポリシーの詳細については、レート制限の概要をご覧ください。
1. Google Cloud Armor のデフォルトのセキュリティポリシーを無効にするには、バックエンドセキュリティポリシーのリストメニューで None を選択します。
2. [セキュリティ] セクションで [デフォルトのセキュリティポリシー] を選択します。
3. [ポリシー名] フィールドで、自動生成された名前を受け入れるか、セキュリティポリシーの名前を入力します。
4. [リクエスト数] フィールドで、デフォルトのリクエスト数を受け入れるか、1～10,000 の整数を入力します。
5. [間隔] フィールドで、間隔を選択します。
6. [キーへの適用] フィールドで、[すべて]、[IP アドレス]、[X-Forwarded-For IP アドレス] のいずれかの値を選択します。これらのオプションの詳細については、レート制限対象のクライアントを特定するをご覧ください。
他のデフォルト設定はそのままにします。
[作成] をクリックします。

ホストとパスのルール

[ホストとパスのルール] で、デフォルト設定をそのまま使用します。

確認と完了

[確認と完了] をクリックします。
ロードバランサの構成を確認します。
省略可: [同等のコード] をクリックして、ロードバランサの作成に使用する REST API リクエストを表示します。
[作成] をクリックします。

ロードバランサの作成が完了するまで待ちます。

HTTPS ロードバランサを作成し、[HTTP から HTTPS へのリダイレクトを有効にする] チェックボックスをクリックすると、-redirect サフィックスを付けて作成した HTTP ロードバランサも表示されます。

ロードバランサの名前をクリックします。
[ロードバランサの詳細] 画面で、ロードバランサの [IP:ポート] をメモします。

gcloud

ヘルスチェックを作成します。

  gcloud compute health-checks create http http-basic-check \
      --port 80

バックエンドサービスを作成します。

  gcloud compute backend-services create web-backend-service \
      --load-balancing-scheme=EXTERNAL \
      --protocol=HTTP \
      --port-name=http \
      --health-checks=http-basic-check \
      --global

インスタンスグループをバックエンドとしてバックエンドサービスに追加します。

  gcloud compute backend-services add-backend web-backend-service \
      --instance-group=lb-backend-example \
      --instance-group-zone=us-east1-b \
      --global

HTTP 用に、受信リクエストをデフォルトのバックエンドサービスに転送する URL マップを作成します。
```
  gcloud compute url-maps create web-map-http \
      --default-service web-backend-service
  
```
HTTPS 用に、受信リクエストをデフォルトのバックエンドサービスに転送する URL マップを作成します。
```
  gcloud compute url-maps create web-map-https \
      --default-service web-backend-service
  
```

HTTPS フロントエンドの設定

HTTP ロードバランサの場合、このセクションはスキップしてください。

HTTPS 用に、次のリンク先で示されているようにグローバル SSL 証明書リソースを作成します。
- Google マネージド SSL 証明書リソースの作成
- セルフマネージド SSL 証明書リソースの作成
HTTPS 用に、リクエストを URL マップに転送するターゲット HTTPS プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS ロードバランサ用の SSL 証明書を保持するため、この手順で証明書も読み込みます。
```
  gcloud compute target-https-proxies create https-lb-proxy \
      --url-map=web-map-https \
      --ssl-certificates=www-ssl-cert
  
```

HTTPS 用に、受信リクエストをプロキシに転送するグローバル転送ルールを作成します。

  gcloud compute forwarding-rules create https-content-rule \
      --load-balancing-scheme=EXTERNAL \
      --network-tier=PREMIUM \
      --address=lb-ipv4-1 \
      --global \
      --target-https-proxy=https-lb-proxy \
      --ports=443

省略可: HTTPS の場合は、グローバル SSL ポリシーを作成して HTTPS プロキシに接続します。
グローバル SSL ポリシーを作成するには:
```
  gcloud compute ssl-policies create my-ssl-policy \
      --profile MODERN \
      --min-tls-version 1.0
  
```
SSL ポリシーをグローバルターゲット HTTPS プロキシに接続するには:
```
  gcloud compute target-https-proxies update https-lb-proxy \
      --ssl-policy my-ssl-policy
  
```

HTTP フロントエンドの設定

HTTPS ロードバランサの場合、このセクションはスキップしてください。

HTTP 用に、リクエストを URL マップに転送するターゲット HTTP プロキシを作成します。
```
  gcloud compute target-http-proxies create http-lb-proxy \
      --url-map=web-map-http
  
```

HTTP 用に、受信リクエストをプロキシに転送するグローバル転送ルールを作成します。

  gcloud compute forwarding-rules create http-content-rule \
      --load-balancing-scheme=EXTERNAL \
      --address=lb-ipv4-1 \
      --global \
      --target-http-proxy=http-lb-proxy \
      --ports=80

Terraform

ヘルスチェックを作成するには、google_compute_health_check リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_health_check" "default" {
  name               = "http-basic-check"
  check_interval_sec = 5
  healthy_threshold  = 2
  http_health_check {
    port               = 80
    port_specification = "USE_FIXED_PORT"
    proxy_header       = "NONE"
    request_path       = "/"
  }
  timeout_sec         = 5
  unhealthy_threshold = 2
}

バックエンドサービスを作成するには、google_compute_backend_service リソースを使用します。

この例では、高度なトラフィック管理能力を使用してグローバル外部 HTTP(S) ロードバランサを設定する load_balancing_scheme="EXTERNAL_MANAGED" を使用します。グローバル外部 HTTP(S) ロードバランサ（従来）を作成するには、スクリプトを実行する前に load_balancing_scheme を EXTERNAL に変更します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック

resource "google_compute_backend_service" "default" {
  name                            = "web-backend-service"
  connection_draining_timeout_sec = 0
  health_checks                   = [google_compute_health_check.default.id]
  load_balancing_scheme           = "EXTERNAL_MANAGED"
  port_name                       = "http"
  protocol                        = "HTTP"
  session_affinity                = "NONE"
  timeout_sec                     = 30
  backend {
    group           = google_compute_instance_group_manager.default.instance_group
    balancing_mode  = "UTILIZATION"
    capacity_scaler = 1.0
  }
}

URL マップを作成するには、google_compute_url_map リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック
```
resource "google_compute_url_map" "default" {
  name            = "web-map-http"
  default_service = google_compute_backend_service.default.id
}
```
ターゲット HTTP プロキシを作成するには、google_compute_target_http_proxy リソースを使用します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック
```
resource "google_compute_target_http_proxy" "default" {
  name    = "http-lb-proxy"
  url_map = google_compute_url_map.default.id
}
```
転送ルールを作成するには、google_compute_global_forwarding_rule リソースを使用します。

この例では、高度なトラフィック管理能力を使用してグローバル外部 HTTP(S) ロードバランサを設定する load_balancing_scheme="EXTERNAL_MANAGED" を使用します。グローバル外部 HTTP(S) ロードバランサ（従来）を作成するには、スクリプトを実行する前に load_balancing_scheme を EXTERNAL に変更します。

lb/external_http_lb_mig_backend/main.tf

GitHub で表示フィードバック
```
resource "google_compute_global_forwarding_rule" "default" {
  name                  = "http-content-rule"
  ip_protocol           = "TCP"
  load_balancing_scheme = "EXTERNAL_MANAGED"
  port_range            = "80-80"
  target                = google_compute_target_http_proxy.default.id
  ip_address            = google_compute_global_address.default.id
}
```

Terraform 構成を適用または削除する方法については、Terraform の基本的なコマンドをご覧ください。

外部 HTTP(S) ロードバランサで IAP を有効にする

IAP を有効または無効にするように構成できます（デフォルトは無効です）。有効にした場合、oauth2-client-id と oauth2-client-secret の値を指定する必要があります。

IAP を有効にするには、バックエンドサービスを更新して、--iap=enabled フラグに oauth2-client-id と oauth2-client-secret を追加します。

gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --iap=enabled,oauth2-client-id=ID,oauth2-client-secret=SECRET \
    --global

ドメインをロードバランサに接続する

ロードバランサが作成されたら、ロードバランサに関連付けられた IP アドレスをメモします（例: 30.90.80.100）。ドメイン登録サービスを使用して A レコードを作成し、ドメインがロードバランサを参照するようにします。SSL 証明書に複数のドメインを追加する場合は、それぞれについて A レコードを追加して、すべてがロードバランサの IP アドレスを指すようにする必要があります。たとえば、www.example.com と example.com に A レコードを作成するには、次のようにします。

NAME                  TYPE     DATA
www                   A        30.90.80.100
@                     A        30.90.80.100

Google Domains を使用している場合は、Google Domains のヘルプで詳細をご確認ください。

インスタンスに送信されるトラフィックをテストする

ロードバランシングサービスが稼働中になったので、転送ルールへトラフィックを送信できます。また、各インスタンスに分散されるトラフィックを監視できます。

コンソール

Google Cloud コンソールで、[ロードバランシング] ページに移動します。

[ロードバランシング] ページに移動
作成したロードバランサをクリックします。
[バックエンド] セクションで、VM が正常であることを確認します。[正常] 列には、両方の VM が正常であること（2/2）が示されます。それ以外の場合は、最初にページを再読み込みしてみてください。VM が正常な状態であることが Google Cloud コンソールに表示されるまでに時間がかかる場合があります。数分経ってもバックエンドが正常に動作しない場合は、ファイアウォールの構成と、バックエンド VM に割り当てられているネットワークタグを確認します。
HTTPS 用に Google マネージド証明書を使用している場合は、証明書リソースのステータスが ACTIVE であることを確認します。詳細については、Google マネージド SSL 証明書リソースのステータスをご覧ください。
Google Cloud コンソールでバックエンドインスタンスが正常であることを確認したら、ウェブブラウザ（https://IP_ADDRESS または http://IP_ADDRESS）でロードバランサをテストできます。IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。
HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。
ページを提供したインスタンスの名前とそのゾーン（Page served from: lb-backend-example-xxxx など）を示すコンテンツを含むページがブラウザで表示されます。お使いのブラウザでこのページがレンダリングされない場合は、このガイドの構成設定を確認してください。

gcloud

gcloud compute addresses describe lb-ipv4-1 \
   --format="get(address)" \
   --global

数分経過したら、次の curl コマンドを実行して設定をテストします。

curl http://IP_ADDRESS

または

curl https://HOSTNAME

次のステップ

GKE での Cloud Load Balancing の有効化について読む。
インスタンスグループの詳細を確認する。
負荷分散とスケーリングについて確認する。

外部 HTTP(S) ロードバランサの設定

ロードバランサのトポロジ

始める前に

SSL 証明書リソースを設定する

権限を設定する

マネージド インスタンス グループを作成する

コンソール

gcloud

Terraform

コンソール

gcloud

Terraform

インスタンス グループに名前付きポートを追加する

コンソール

gcloud

Terraform

ファイアウォール ルールを構成する

コンソール

gcloud

Terraform

外部 IP アドレスを予約する

コンソール

gcloud

Terraform

ロードバランサを設定する

コンソール

gcloud

HTTPS フロントエンドの設定

HTTP フロントエンドの設定

Terraform

外部 HTTP(S) ロードバランサで IAP を有効にする

ドメインをロードバランサに接続する

インスタンスに送信されるトラフィックをテストする

コンソール

gcloud

次のステップ

マネージドインスタンスグループを作成する

インスタンスグループに名前付きポートを追加する

ファイアウォールルールを構成する