Questo documento mostra due configurazioni di esempio per la configurazione di un bilanciatore del carico delle applicazioni esterno globale con backend di gruppi di istanze VM in un ambiente VPC condiviso:
- Nel primo esempio, i componenti frontend e di backend del bilanciatore del carico vengono creati in un progetto di servizio.
- Nel secondo esempio, i componenti frontend e la mappa URL del bilanciatore del carico vengono creati in un progetto di servizio, mentre il servizio di backend e i backend del bilanciatore del carico vengono creati in un progetto di servizio diverso. Questo tipo di implementazione, in cui la mappa URL in un progetto fa riferimento a un servizio di backend in un altro progetto, è denominato riferimento ai servizi tra progetti.
Entrambi gli esempi richiedono la stessa configurazione iniziale per concedere le autorizzazioni, configurare la rete e la subnet nel progetto host e configurare il VPC condiviso prima di poter iniziare a creare i bilanciatori del carico.
Queste non sono le uniche configurazioni di VPC condiviso supportate dall'Application Load Balancer esterno globale. Per altre architetture VPC condiviso valide, consulta Architettura VPC condivisa.
Se non vuoi utilizzare una rete VPC condiviso, consulta Configurare un bilanciatore del carico delle applicazioni esterno globale con backend di gruppi di istanze VM.
Prima di iniziare
- Leggi la panoramica della rete VPC condivisa.
- Leggi la panoramica di Application Load Balancer esterno, inclusa la sezione sull'architettura VPC condiviso.
Autorizzazioni obbligatorie
La configurazione di un bilanciatore del carico in una rete VPC condiviso richiede alcune operazioni di configurazione e provisioning iniziali da parte di un amministratore. Dopo la configurazione iniziale, il proprietario di un progetto di servizio può eseguire una delle seguenti operazioni:
- Esegui il deployment di tutti i componenti e dei backend del bilanciatore del carico in un progetto di servizio.
- Esegui il deployment dei componenti di backend del bilanciatore del carico (servizio di backend e backend) in progetti di servizio a cui è possibile fare riferimento da una mappa URL in un altro servizio o progetto host.
Questa sezione riassume le autorizzazioni necessarie per seguire questa guida per configurare un bilanciatore del carico su una rete VPC condiviso.
Configura rete VPC condivisa
I seguenti ruoli sono obbligatori per le seguenti attività:
- Esegui attività amministrative una tantum come la configurazione della VPC condiviso e l'attivazione di un progetto host.
- Esegui attività amministrative che devono essere ripetute ogni volta che vuoi eseguire l'onboarding di un nuovo progetto di servizio. Sono inclusi il collegamento del progetto di servizio, il provisioning e la configurazione delle risorse di rete e la concessione dell'accesso all'amministratore del progetto di servizio.
Queste attività devono essere eseguite nel progetto host VPC condiviso. È consigliabile che l'amministratore della VPC condivisa sia anche il proprietario del progetto host VPC condiviso. In questo modo vengono concessi automaticamente i ruoli Network Admin e Amministratore sicurezza.
Attività | Ruolo richiesto |
---|---|
Configura VPC condiviso, abilita il progetto host e concedi l'accesso agli amministratori dei progetti di servizio | Amministratore VPC condiviso |
Crea subnet nel progetto host VPC condiviso e concedi l'accesso agli amministratori dei progetti di servizio | Amministratore di rete |
Aggiungere e rimuovere regole firewall | Amministratore della sicurezza |
Dopo aver eseguito il provisioning delle subnet, il proprietario del progetto host deve concedere il ruolo Utente di rete nel progetto host a chiunque (in genere amministratori, sviluppatori o account di servizio dei progetti di servizio) debba utilizzare queste risorse.
Attività | Ruolo richiesto |
---|---|
Utilizza le reti e le subnet VPC appartenenti al progetto host | Utente di rete |
Questo ruolo può essere concesso a livello di progetto o per singole subnet. Ti consigliamo di concedere il ruolo alle singole subnet. La concessione del ruolo al progetto consente di accedere a tutte le subnet attuali e future nella rete VPC del progetto host.
Esegui il deployment del bilanciatore del carico e dei backend
Gli amministratori del progetto di servizio devono disporre dei seguenti ruoli nel progetto di servizio per creare risorse e backend di bilanciamento del carico. Queste autorizzazioni vengono concesse automaticamente al proprietario o all'editor del progetto di servizio.
Attività | Ruolo richiesto |
---|---|
Crea componenti del bilanciatore del carico | Amministratore di rete |
Creazione delle istanze | Amministratore istanza |
Crea e modifica i certificati SSL | Amministratore della sicurezza |
Fare riferimento ai servizi di backend tra progetti
Se il bilanciatore del carico deve fare riferimento a servizi di backend di altri progetti di servizio, noto anche come riferimento ai servizi tra progetti, gli amministratori del bilanciatore del carico avranno bisogno del seguente ruolo nel progetto di servizio in cui viene creato il servizio di backend.
Attività | Ruolo richiesto |
---|---|
Autorizzazioni per utilizzare i servizi in altri progetti | Utente di Load Balancer Services |
Questo ruolo può essere concesso a livello di progetto o per singoli servizi di backend. Per istruzioni su come concedere questo ruolo, consulta l'esempio di riferimento ai servizi tra progetti in questa pagina.
Per ulteriori informazioni su IAM, consulta le seguenti guide:
Prerequisiti
In questa sezione, devi eseguire i seguenti passaggi:
I passaggi descritti in questa sezione non devono essere eseguiti ogni volta che vuoi creare un nuovo bilanciatore del carico. Tuttavia, prima di procedere con la creazione del bilanciatore del carico, devi assicurarti di avere accesso alle risorse descritte qui.
Configura la rete e le subnet nel progetto host
È necessaria una rete VPC condiviso con una subnet per i backend del bilanciatore del carico.Questo esempio utilizza la seguente rete, regione e subnet:
Rete. La rete si chiama
lb-network
.Subnet per i backend del bilanciatore del carico. Una subnet chiamata
lb-backend-subnet
nella regioneus-west1
utilizza10.1.2.0/24
per il suo intervallo IP principale.
Configura la sottorete per i backend del bilanciatore del carico
Questo passaggio non deve essere eseguito ogni volta che vuoi creare un nuovo bilanciatore del carico. Devi solo assicurarti che il progetto di servizio abbia accesso a una subnet nella rete VPC condiviso.Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud, vai alla pagina Reti VPC.
- Fai clic su Crea rete VPC.
- In Nome, inserisci
lb-network
. Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
Nella sezione Nuova subnet, inserisci le seguenti informazioni:
- Nome:
lb-backend-subnet
Regione:
us-west1
Intervallo di indirizzi IP:
10.1.2.0/24
- Nome:
Fai clic su Fine.
Fai clic su Crea.
gcloud
Crea una rete VPC con il comando
gcloud compute networks create
:gcloud compute networks create lb-network --subnet-mode=custom
Crea una subnet nella rete
lb-network
nella regioneus-west1
:gcloud compute networks subnets create lb-backend-subnet
--network=lb-network
--range=10.1.2.0/24
--region=us-west1
Concedi agli amministratori del progetto di servizio l'accesso alla subnet di backend
Gli amministratori dei progetti di servizio richiedono l'accesso alla subnetlb-backend-subnet
per poter eseguire il provisioning dei backend del bilanciatore del carico.
Un amministratore VPC condiviso deve concedere l'accesso alla subnet di backend agli amministratori dei progetti di servizio (o agli sviluppatori che eseguono il deployment di risorse e backend che utilizzano la subnet). Per le istruzioni, vedi Amministratori dei progetti di servizio per alcune subnet.
Configura le regole del firewall nel progetto host
Questo esempio utilizza la seguente regola firewall:fw-allow-health-check
. Una regola in entrata, applicabile alle istanze bilanciate in base al carico, che consente tutto il traffico TCP proveniente dai sistemi di controllo di integrità di Google Cloud in130.211.0.0/22
e35.191.0.0/16
. Questo esempio utilizza il tag di destinazioneload-balanced-backend
per identificare le istanze a cui deve essere applicato.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
- Fai clic su Crea regola firewall per creare la regola per consentire i controlli di integrità di Google Cloud:
- Nome:
fw-allow-health-check
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
130.211.0.0/22
e35.191.0.0/16
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80
per il numero di porta.
Come best practice, limita questa regola solo ai protocolli e alle porte corrispondenti a quelli utilizzati dal controllo di integrità. Se utilizzi
tcp:80
per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta80
per contattare le tue VM, ma non può utilizzare HTTPS sulla porta443
per contattarle. - Fai clic su Crea.
gcloud
Crea la regola firewall
fw-allow-health-check
per consentire i controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP proveniente dai probe del controllo di integrità. Tuttavia, puoi configurare un insieme più ristretto di porte per soddisfare le tue esigenze.gcloud compute firewall-rules create fw-allow-health-check \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=130.211.0.0/22,35.191.0.0/16 \ --target-tags=load-balanced-backend \ --rules=tcp
Configura VPC condiviso nel progetto host
Questo passaggio prevede l'abilitazione di un progetto host VPC condiviso, la condivisione delle subnet del progetto host e l'associazione di progetti di servizio al progetto host in modo che i progetti di servizio possano utilizzare la rete VPC condivisa. Per configurare VPC condiviso nel progetto host, consulta le seguenti pagine:
Il resto di queste istruzioni presuppone che tu abbia già configurato il VPC condiviso. Sono inclusi la configurazione dei criteri IAM per la tua organizzazione e la designazione dei progetti host e di servizio.
Non procedere finché non hai configurato il VPC condiviso e abilitato i progetti host e di servizio.
Dopo aver completato i passaggi definiti in questa sezione sui prerequisiti, puoi procedere con una delle seguenti configurazioni:
Configurare un bilanciatore del carico in un progetto di servizio
Configurare un bilanciatore del carico con un servizio di backend tra progetti
Configurare un bilanciatore del carico in un progetto di servizio
Dopo aver configurato la rete VPC nel progetto host e aver configurato il VPC condiviso, puoi passare al progetto di servizio, in cui devi creare tutti i componenti di bilanciamento del carico (servizio di backend, mappa di URL, proxy di destinazione e regola di forwarding) e i backend.
Questa sezione presuppone che tu abbia eseguito i passaggi preliminari descritti nella sezione precedente nel progetto host. In questa sezione, i componenti frontend e backend del bilanciatore del carico, insieme ai backend, vengono creati in un progetto di servizio.
La figura seguente mostra i componenti di un bilanciatore del carico delle applicazioni esterno globale in un progetto di servizio, collegato al progetto host in una rete VPC condiviso.
Questi passaggi devono essere eseguiti dall'amministratore del progetto di servizio (o da un sviluppatore che opera all'interno del progetto di servizio) e non richiedono l'intervento dell'amministratore del progetto host. I passaggi descritti in questa sezione sono simili ai passaggi standard per configurare un bilanciatore del carico delle applicazioni esterno globale.
L'esempio in questa pagina imposta esplicitamente un indirizzo IP riservato per la regola di inoltro dell'Application Load Balancer esterno globale, anziché consentire l'allocazione di un indirizzo IP temporaneo. Come best practice, ti consigliamo di prenotare gli indirizzi IP per le regole di inoltro.
Crea un backend per il gruppo di istanze gestite
Il precursore della creazione di un gruppo di istanze gestite è la creazione di un modello di istanza, ovvero una risorsa che puoi utilizzare per creare istanze di macchine virtuali (VM). Il traffico proveniente dai client viene bilanciato sulle VM di un gruppo di istanze. Il gruppo di istanze gestite fornisce VM che eseguono i server di backend di un bilanciatore del carico delle applicazioni esterno. In questo esempio, i backend gestiscono i propri nomi host.
Console
Crea un modello di istanza
Nella console Google Cloud, vai alla pagina Modelli di istanza di Compute Engine.
Fai clic su Crea modello istanza.
In Nome, inserisci
backend-template
.Nella sezione Disco di avvio, assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 12 (bookworm). Fai clic su Cambia per modificare l'immagine, se necessario.
Espandi la sezione Opzioni avanzate.
Espandi la sezione Networking e nel campo Tag di rete inserisci
load-balanced-backend
.Per Interfacce di rete, seleziona Reti condivise con me (dal progetto host:
HOST_PROJECT_ID
).Nell'elenco Subnet condivisa, seleziona la subnet
lb-backend-subnet
dalla retelb-network
.Espandi la sezione Gestione e, nel campo Automazione, specifica il seguente script di avvio:
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Creare un gruppo di istanze gestite
Nella console Google Cloud, vai alla pagina Gruppi di istanze di Compute Engine.
Fai clic su Crea gruppo di istanze.
Seleziona Nuovo gruppo di istanze gestite (stateless) dalle opzioni.
Come nome del gruppo di istanze, inserisci
lb-backend
.Nell'elenco Modello di istanza, seleziona il modello di istanza
backend-template
creato nel passaggio precedente.Nella sezione Località, seleziona Zona singola e inserisci i seguenti valori:
In Regione, seleziona
us-west1
.In Zona, seleziona
us-west1-a
.
Nella sezione Scalabilità automatica, inserisci i seguenti valori:
In Modalità di scalabilità automatica, seleziona On: aggiungi e rimuovi istanze al gruppo.
In Numero minimo di istanze, seleziona
2
.In Numero massimo di istanze, seleziona
3
.
Nella sezione Mappatura delle porte, fai clic su Aggiungi porta e inserisci i seguenti valori:
In Nome porta, inserisci
http
.In Numero porta, inserisci
80
.
Fai clic su Crea.
gcloud
Crea un modello di istanza:
gcloud compute instance-templates create backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_ID
Crea un gruppo di istanze gestite e seleziona il modello di istanza creato nel passaggio precedente:
gcloud compute instance-groups managed create lb-backend \ --zone=us-west1-a \ --size=2 \ --template=backend-template \ --project=SERVICE_PROJECT_ID
Aggiungi una porta denominata al gruppo di istanze:
gcloud compute instance-groups set-named-ports lb-backend \ --named-ports=http:80 \ --zone=us-west1-a \ --project=SERVICE_PROJECT_ID
Crea un controllo di integrità
I controlli di integrità sono test che confermano la disponibilità dei backend. Crea un
controllo di integrità che utilizzi il protocollo HTTP e i probe sulla porta 80
. In seguito, agganci questo controllo di integrità al servizio di backend a cui fa riferimento il bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Controlli di integrità di Compute Engine.
Inserisci
lb-health-check
per il nome del controllo di integrità.Imposta il protocollo su HTTP.
Fai clic su Crea.
gcloud
Crea un controllo di integrità HTTP.
gcloud compute health-checks create http lb-health-check \ --use-serving-port \ --project=SERVICE_PROJECT_ID
Prenota l'indirizzo IP del bilanciatore del carico
Prenota un indirizzo IP esterno statico globale che può essere assegnato alla regola di forwarding del bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Indirizzi IP VPC.
Fai clic su Prenota indirizzo IP statico esterno.
In Nome, inserisci
lb-ipv4-1
.Imposta Network Service Tier su Premium.
Imposta Versione IP su IPv4.
Imposta Tipo su Globale.
Fai clic su Prenota.
gcloud
Crea un indirizzo IP esterno statico globale.
gcloud compute addresses create lb-ipv4-1 \ --ip-version=IPV4 \ --network-tier=PREMIUM \ --global --project=SERVICE_PROJECT_ID
Configura una risorsa del certificato SSL
Per un bilanciatore del carico che utilizza HTTPS come protocollo di richiesta e risposta, crea una risorsa del certificato SSL come descritto nelle seguenti risorse:
- Utilizzare i certificati SSL gestiti da Google
- Utilizzare i certificati SSL con gestione indipendente
Ti consigliamo di utilizzare un certificato gestito da Google.
Questo esempio presuppone che tu abbia creato un certificato SSL denominato
lb-ssl-cert
. Il certificato SSL è associato al proxy di destinazione che creerai in uno dei passaggi successivi.
Configura il bilanciatore del carico
Questa sezione mostra come creare le seguenti risorse per un bilanciatore del carico delle applicazioni esterno globale:
- Servizio di backend con un gruppo di istanze gestite come backend
- Mappa URL
- Certificato SSL (obbligatorio solo per il traffico HTTPS)
- Proxy di destinazione
- Regola di forwarding
In questo esempio, puoi utilizzare HTTP o HTTPS come protocollo di richiesta-risposta tra il client e il bilanciatore del carico. Per HTTPS, devi disporre di una risorsa del certificato SSL per configurare il proxy. Ti consigliamo di utilizzare un certificato gestito da Google.
Console
Avvia la configurazione
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Pubblico (esterno) e fai clic su Avanti.
- In Deployment globale o in una regione singola, seleziona Ideale per carichi di lavoro globali e fai clic su Avanti.
- In Generazione del bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni esterno globale e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- Come nome del bilanciatore del carico, inserisci
l7-xlb-shared-vpc
.
Configura il frontend del bilanciatore del carico
Per il traffico HTTP:
Fai clic su Configurazione frontend.
In corrispondenza del nome del frontend del bilanciatore del carico, inserisci
http-fw-rule
.In Protocollo, seleziona HTTP.
Imposta Versione IP su IPv4.
In Indirizzo IP, seleziona
lb-ipv4-1
, ovvero l'indirizzo IP che hai prenotato in precedenza.Imposta Porta su
80
per consentire il traffico HTTP.Per completare la configurazione del frontend, fai clic su Fine.
Verifica che sia presente un segno di spunta blu accanto a Configurazione frontend prima di continuare.
Per il traffico HTTPS:
Fai clic su Configurazione frontend.
In corrispondenza del nome del frontend del bilanciatore del carico, inserisci
https-fw-rule
.In Protocollo, seleziona HTTPS.
Imposta Versione IP su IPv4.
In Indirizzo IP, seleziona
lb-ipv4-1
, ovvero l'indirizzo IP che hai prenotato in precedenza.Imposta Porta su
443
per consentire il traffico HTTPS.Nell'elenco Certificato, seleziona il certificato SSL che hai creato.
Per completare la configurazione del frontend, fai clic su Fine.
Verifica che sia presente un segno di spunta blu accanto a Configurazione frontend prima di continuare.
Configura il backend
Fai clic su Configurazione backend.
Nel menu Servizi e bucket di backend, fai clic su Crea un servizio di backend.
In corrispondenza del nome del servizio di backend, inserisci
lb-backend-service
.In Tipo di backend, seleziona Gruppo di istanze.
Imposta Protocollo su HTTP.
Nel campo Porta denominata, inserisci
http
. Si tratta dello stesso nome di porta che hai inserito durante la creazione del gruppo di istanze gestite.Per aggiungere backend al servizio di backend:
Nella sezione Backend, imposta il gruppo di istanze su
lb-backend
, ovvero il gruppo di istanze gestite che hai creato in un passaggio precedente.In Numeri di porta, inserisci
80
.Per aggiungere il backend, fai clic su Fine.
Per aggiungere un controllo di integrità, nell'elenco Controllo di integrità, seleziona
lb-health-check
, ovvero il controllo di integrità che hai creato in precedenza.Per creare il servizio di backend, fai clic su Crea.
Verifica che sia presente un segno di spunta blu accanto a Configurazione backend prima di continuare.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che
lb-backend-service
sia il servizio di backend predefinito per qualsiasi host e percorso senza corrispondenza.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Rivedi e finalizza la configurazione
Fai clic su Esamina e finalizza.
Rivedi le impostazioni di frontend e backend del bilanciatore del carico per assicurarti che siano configurate come vuoi.
Fai clic su Crea, quindi attendi che venga creato il bilanciatore del carico.
gcloud
Crea un servizio di backend per distribuire il traffico tra i backend:
gcloud compute backend-services create lb-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --port-name=http \ --health-checks=lb-health-check \ --global \ --project=SERVICE_PROJECT_ID
Aggiungi il tuo gruppo di istanze come backend del servizio di backend:
gcloud compute backend-services add-backend lb-backend-service \ --instance-group=lb-backend \ --instance-group-zone=us-west1-a \ --global \ --project=SERVICE_PROJECT_ID
Crea una mappa URL per instradare le richieste in entrata al servizio di backend:
gcloud compute url-maps create lb-map \ --default-service=lb-backend-service \ --global \ --project=SERVICE_PROJECT_ID
Crea un proxy di destinazione.
Per il traffico HTTP, crea un proxy HTTP di destinazione per instradare le richieste alla mappa URL:
gcloud compute target-http-proxies create http-proxy \ --url-map=lb-map \ --global \ --project=SERVICE_PROJECT_ID
Per il traffico HTTPS, crea un proxy HTTPS di destinazione per instradare le richieste alla mappa URL. Il proxy è la parte del bilanciatore del carico che contiene il certificato SSL per un bilanciatore del carico HTTPS, quindi in questo passaggio carichi anche il certificato SSL:
gcloud compute target-https-proxies create https-proxy \ --url-map=lb-map \ --ssl-certificates=lb-ssl-cert --global \ --project=SERVICE_PROJECT_ID
Creare una regola di forwarding.
Per il traffico HTTP, crea una regola di forwarding globale per instradare le richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create http-fw-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=lb-ipv4-1 \ --global \ --target-http-proxy=http-proxy \ --ports=80 \ --project=SERVICE_PROJECT_ID
Per il traffico HTTPS, crea una regola di forwarding globale per instradare le richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create https-fw-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=lb-ipv4-1 \ --global \ --target-https-proxy=https-proxy \ --ports=443 \ --project=SERVICE_PROJECT_ID
Testa il bilanciatore del carico
Quando il servizio di bilanciamento del carico è in esecuzione, puoi inviare il traffico alla regola di forwarding e osservare la distribuzione del traffico su diverse istanze.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
Fai clic sul bilanciatore del carico che hai appena creato.
Prendi nota dell'indirizzo IP del bilanciatore del carico. A questo indirizzo IP viene fatto riferimento come
LB_IP_ADDRESS
nei passaggi successivi.Nella sezione Backend, verifica che le VM siano in stato integro.
La colonna Stato integro deve essere compilata, a indicare che le VM sono in stato integro. Ad esempio, se vengono create due istanze, dovresti vedere un messaggio che indica
2 of 2
con un segno di spunta verde accanto. Se non è così, prova prima a ricaricare la pagina. Potrebbero essere necessari alcuni minuti prima che la console Google Cloud indichi che le VM sono in buono stato. Se dopo alcuni minuti i backend non sembrano essere operativi, esamina la configurazione del firewall e il tag di rete assegnato alle VM di backend.Dopo che la console Google Cloud indica che le istanze di backend sono in stato attivo, puoi testare il bilanciatore del carico indirizzando il browser web all'indirizzo
https://LB_IP_ADDRESS
(ohttp://LB_IP_ADDRESS
). SostituisciLB_IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico.Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome dell'istanza che ha pubblicato la pagina (ad esempio,
Page served from: lb-backend-example-xxxx
). Se il browser non visualizza questa pagina, controlla le impostazioni di configurazione riportate in questa guida.
gcloud
Prendi nota dell'indirizzo IP riservato:
gcloud compute addresses describe IP_ADDRESS_NAME \ --format="get(address)" \ --global
Puoi testare il bilanciatore del carico indirizzando il browser web a
https://LB_IP_ADDRESS
(o
http://LB_IP_ADDRESS
). Sostituisci
LB_IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico.
Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con informazioni minime sull'istanza di backend. Se il browser non visualizza questa pagina, controlla le impostazioni di configurazione riportate in questa guida.
Configura un bilanciatore del carico con un servizio di backend tra progetti
Questa sezione mostra come configurare un bilanciatore del carico con un servizio di backend tra progetti in un ambiente VPC condiviso.
Prima di iniziare
L'esempio precedente in questa pagina mostra come configurare un deployment VPC condiviso in cui tutti i componenti del bilanciatore del carico e i relativi backend vengono creati in un progetto di servizio. Gli Application Load Balancer esterni globali ti consentono anche di configurare i deployment di VPC condivisi in cui una mappa URL in un progetto host o di servizio fa riferimento a servizi di backend (e backend) situati in più progetti di servizio nell'ambiente VPC condiviso.
Puoi utilizzare i passaggi descritti in questa sezione come riferimento per configurare una delle combinazioni supportate elencate di seguito:
- Regola di inoltro, proxy di destinazione e mappa URL nel progetto host e servizio di backend in un progetto di servizio
- Regola di forwarding, proxy di destinazione e mappa URL in un progetto di servizio e servizio di backend in un altro progetto di servizio
Sebbene questa sezione utilizzi un ambiente VPC condiviso per configurare un deployment tra progetti, non è necessario un ambiente VPC condiviso. Per i bilanciatori del carico delle applicazioni esterni globali, il frontend del bilanciatore del carico può fare riferimento a servizi o bucket di backend di qualsiasi progetto all'interno della stessa organizzazione.
Requisiti per la configurazione
Se non l'hai già fatto, devi completare tutti i passaggi preliminari per configurare la VPC condiviso e la rete, le subnet e le regole firewall richieste per questo esempio. Per le istruzioni, consulta le seguenti sezioni all'inizio di questa pagina:
- Autorizzazioni necessarie per configurare la VPC condivisa
- Configurazione dei prerequisiti nel progetto host
In questa configurazione, la regola di forwarding, il proxy di destinazione e la mappa URL si trovano in un progetto di servizio, mentre il servizio di backend e i backend si trovano in un altro progetto di servizio.
- Nel progetto di servizio B, configurerai le seguenti risorse di backend:
- Backend del gruppo di istanze gestite
- Controllo di integrità
- Servizio di backend globale
- Nel progetto di servizio A, configurerai le seguenti risorse frontend:
- Indirizzo IP
- Certificato SSL
- Mappa URL
- Proxy di destinazione
- Regola di forwarding
La figura seguente mostra un bilanciatore del carico delle applicazioni esterno globale in cui il servizio di backend del bilanciatore del carico in un progetto di servizio viene fatto riferimento da una mappa URL in un altro progetto di servizio.
Il riferimento ai servizi tra progetti con un bilanciatore del carico delle applicazioni esterno globale non richiede che le istanze di backend appartengano alla stessa rete VPC o a una rete VPC condiviso.
In questo esempio, le VM di backend nel progetto di servizio fanno parte della rete VPC condiviso creata nel progetto host. Tuttavia, in un progetto di servizio puoi anche configurare una rete VPC autonoma (ovvero una rete VPC non condivisa), insieme alle regole firewall richieste. Puoi quindi creare istanze di backend (ad esempio un gruppo di istanze) che fanno parte di questa rete VPC autonoma. Dopo aver creato le istanze di backend, puoi seguire i passaggi rimanenti, come illustrato in questo esempio, per creare un servizio di backend nel progetto di servizio e collegarlo a una mappa URL in un altro progetto di servizio utilizzando il riferimento ai servizi tra progetti.
Configura i componenti di backend del bilanciatore del carico nel progetto di servizio B
In questa sezione devi configurare le seguenti risorse di backend nel progetto di servizio B:
- Gruppo di istanze gestite
- Controllo di integrità
- Servizio di backend globale
Crea un backend per il gruppo di istanze gestite
Il precursore della creazione di un gruppo di istanze gestite è la creazione di un modello di istanza, ovvero una risorsa che puoi utilizzare per creare istanze di macchine virtuali (VM). Il traffico proveniente dai client viene bilanciato sulle VM in un gruppo di istanze. Il gruppo di istanze gestite fornisce VM che eseguono i server di backend di un bilanciatore del carico delle applicazioni esterno. In questo esempio, i backend gestiscono i propri nomi host.
Console
Crea un modello di istanza
Nella console Google Cloud, vai alla pagina Modelli di istanza di Compute Engine.
Fai clic su Crea modello istanza.
In Nome, inserisci
backend-template
.Nella sezione Disco di avvio, assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 12 (bookworm). Fai clic su Cambia per modificare l'immagine, se necessario.
Espandi la sezione Opzioni avanzate.
Espandi la sezione Networking e nel campo Tag di rete inserisci
load-balanced-backend
.In Interfacce di rete, seleziona Reti condivise con me (dal progetto host:
HOST_PROJECT_ID)
.Nell'elenco Subnet condivisa, seleziona la subnet
lb-backend-subnet
dalla retelb-network
.Espandi la sezione Gestione e, nel campo Automazione, specifica il seguente script di avvio:
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Crea un gruppo di istanze gestite
Nella console Google Cloud, vai alla pagina Gruppi di istanze di Compute Engine.
Fai clic su Crea gruppo di istanze.
Seleziona Nuovo gruppo di istanze gestite (stateless) dalle opzioni.
Come nome del gruppo di istanze, inserisci
lb-backend
.Nell'elenco Modello di istanza, seleziona il modello di istanza
backend-template
creato nel passaggio precedente.Nella sezione Località, seleziona Zona singola e inserisci i seguenti valori:
In Regione, seleziona
us-west1
.In Zona, seleziona
us-west1-a
.
Nella sezione Scalabilità automatica, inserisci i seguenti valori:
In Modalità di scalabilità automatica, seleziona On: aggiungi e rimuovi istanze al gruppo.
In Numero minimo di istanze, seleziona
2
.In Numero massimo di istanze, seleziona
3
.
Nella sezione Mappatura delle porte, fai clic su Aggiungi porta e inserisci i seguenti valori:
In Nome porta, inserisci
http
.In Numero porta, inserisci
80
.
Fai clic su Crea.
gcloud
Crea un modello di istanza:
gcloud compute instance-templates create backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_B_ID
Crea un gruppo di istanze gestite e seleziona il modello di istanza creato nel passaggio precedente:
gcloud compute instance-groups managed create lb-backend \ --zone=us-west1-a \ --size=2 \ --template=backend-template \ --project=SERVICE_PROJECT_B_ID
Aggiungi una porta denominata al gruppo di istanze:
gcloud compute instance-groups set-named-ports lb-backend \ --named-ports=http:80 \ --zone=us-west1-a \ --project=SERVICE_PROJECT_B_ID
Crea un controllo di integrità
I controlli di integrità sono test che confermano la disponibilità dei backend. Crea un
controllo di integrità che utilizzi il protocollo HTTP e i probe sulla porta 80
. In seguito, agganci questo controllo di integrità al servizio di backend a cui fa riferimento il bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Controlli di integrità di Compute Engine.
Inserisci
lb-health-check
per il nome del controllo di integrità.Imposta il protocollo su HTTP.
Fai clic su Crea.
gcloud
Crea un controllo di integrità HTTP.
gcloud compute health-checks create http lb-health-check \ --use-serving-port \ --project=SERVICE_PROJECT_B_ID
Crea un servizio di backend globale
Crea un servizio di backend globale per distribuire il traffico tra i backend. Come parte di questo passaggio, devi assegnare il controllo di integrità che hai creato al servizio di backend e aggiungere il gruppo di istanze come backend al servizio di backend.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
Vai alla sezione Backend.
Fai clic su Crea servizio di backend.
In Servizio di backend globale, fai clic sul pulsante Crea accanto.
In corrispondenza del nome del servizio di backend, inserisci
cross-ref-backend-service
.In Tipo di backend, seleziona Gruppo di istanze.
Imposta Protocollo su HTTP.
Nel campo Porta denominata, inserisci
http
. Si tratta dello stesso nome di porta che hai inserito durante la creazione del gruppo di istanze gestite.Per aggiungere backend al servizio di backend:
Nella sezione Backend, imposta il gruppo di istanze su
lb-backend
, ovvero il gruppo di istanze gestite che hai creato in un passaggio precedente.In Numeri di porta, inserisci
80
.Per aggiungere il backend, fai clic su Fine.
Per aggiungere un controllo di integrità, nell'elenco Controllo di integrità, seleziona
lb-health-check
, ovvero il controllo di integrità che hai creato in precedenza.(Facoltativo) Nella sezione Aggiungi autorizzazioni, inserisci le entità IAM di altri progetti (in genere un indirizzo email) che dispongono del ruolo Amministratore del bilanciatore del carico Compute (
roles/compute.loadBalancerAdmin
) in modo che possano utilizzare questo servizio di backend per i bilanciatori del carico nei propri progetti. Senza questa autorizzazione, non puoi utilizzare il riferimento ai servizi tra progetti.Se non disponi dell'autorizzazione per impostare i criteri di controllo dell'accesso per i servizi di backend in questo progetto, puoi comunque creare il servizio di backend ora e un utente autorizzato può eseguire questo passaggio in un secondo momento come descritto nella sezione Concedere all'amministratore del bilanciatore del carico Compute le autorizzazioni per utilizzare il servizio di backend. In questa sezione viene inoltre descritto come concedere l'accesso a tutti i servizi di backend di questo progetto, in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.
Per creare il servizio di backend, fai clic su Crea.
gcloud
Crea un servizio di backend globale per distribuire il traffico tra i backend:
gcloud compute backend-services create cross-ref-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --port-name=http \ --health-checks=lb-health-check \ --global \ --project=SERVICE_PROJECT_B_ID
Aggiungi il tuo gruppo di istanze come backend del servizio di backend:
gcloud compute backend-services add-backend cross-ref-backend-service \ --instance-group=lb-backend \ --instance-group-zone=us-west1-a \ --global \ --project=SERVICE_PROJECT_B_ID
Configura i componenti frontend del bilanciatore del carico nel progetto di servizio A
In questa sezione, devi configurare le seguenti risorse frontend nel progetto di servizio A:
- Indirizzo IP
- Certificato SSL
- Mappa URL
- Proxy di destinazione
- Regola di forwarding
Prenota l'indirizzo IP del bilanciatore del carico
Prenota un indirizzo IP esterno statico globale che può essere assegnato alla regola di forwarding del bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Indirizzi IP VPC.
Fai clic su Prenota indirizzo IP statico esterno.
In Nome, inserisci
cross-ref-ip-address
.Imposta Network Service Tier su Premium.
Imposta Versione IP su IPv4.
Imposta Tipo su Globale.
Fai clic su Prenota.
gcloud
Crea un indirizzo IP esterno statico globale.
gcloud compute addresses create cross-ref-ip-address \ --ip-version=IPV4 \ --network-tier=PREMIUM \ --global \ --project=SERVICE_PROJECT_A_ID
Configura una risorsa del certificato SSL
Per un bilanciatore del carico che utilizza HTTPS come protocollo di richiesta e risposta, crea una risorsa del certificato SSL come descritto nelle seguenti risorse:
- Utilizzare i certificati SSL gestiti da Google
- Utilizzare i certificati SSL con gestione indipendente
Ti consigliamo di utilizzare un certificato gestito da Google.
Questo esempio presuppone che tu abbia creato un certificato SSL denominato
lb-ssl-cert
. Il certificato SSL è associato al proxy di destinazione che creerai in uno dei passaggi successivi.
Crea i componenti frontend
Console
Avvia la configurazione
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Pubblico (esterno) e fai clic su Avanti.
- In Deployment globale o in una regione singola, seleziona Ideale per carichi di lavoro globali e fai clic su Avanti.
- In Generazione del bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni esterno globale e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- Inserisci il nome del bilanciatore del carico:
cross-ref-lb-shared-vpc
. - Tieni aperta la pagina per continuare.
Configura il frontend
Per HTTP:
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-http-forwarding-rule
. - Imposta Protocollo su
HTTP
. - Seleziona l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico, denominato cross-ref-ip-address.
- Imposta Porta su
80
. - Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, hai bisogno di una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse del certificato SSL, consulta Certificati SSL. I certificati gestiti da Google non sono supportati con i bilanciatori del carico delle applicazioni esterni a livello di regione.
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-https-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. - Seleziona l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico, denominato cross-ref-ip-address.
- Assicurati che Porta sia impostata su
443
per consentire il traffico HTTPS. - Fai clic sull'elenco Certificato.
- Se hai già una risorsa del certificato SSL con gestione indipendente che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
- In caso contrario, seleziona Crea un nuovo certificato.
- Inserisci un nome per il certificato SSL.
- Carica i file in formato PEM nei campi appropriati:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
- Per aggiungere risorse del certificato oltre alla risorsa del certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Seleziona un certificato dall'elenco Certificati o fai clic su Crea un nuovo certificato e segui le istruzioni precedenti.
- Fai clic su Fine.
Configura il backend
- Fai clic su Configurazione backend.
- Fai clic su Servizi di backend tra progetti.
- In ID progetto, inserisci l'ID progetto per il progetto di servizio B.
- Dall'elenco Seleziona servizi di backend, seleziona i servizi di backend
del progetto di servizi B che vuoi utilizzare. Per questo esempio, inserisci
cross-ref-backend-service
. - Fai clic su OK.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che cross-ref-backend-service sia l'unico servizio di backend per qualsiasi host e percorso senza corrispondenza.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Rivedi e finalizza la configurazione
- Fai clic su Crea.
gcloud
(Facoltativo) Prima di creare un bilanciatore del carico con servizi di backend con riferimenti incrociati, scopri se i servizi di backend a cui vuoi fare riferimento possono essere richiamati utilizzando una mappa URL:
gcloud compute backend-services list-usable \ --global \ --project=SERVICE_PROJECT_B_ID
Crea una mappa URL per instradare le richieste in entrata al servizio di backend:
gcloud compute url-maps create cross-ref-url-map \ --default-service=projects/SERVICE_PROJECT_B_ID/global/backendServices/cross-ref-backend-service \ --global \ --project=SERVICE_PROJECT_A_ID
Crea un proxy di destinazione.
Per il traffico HTTP, crea un proxy HTTP di destinazione per instradare le richieste alla mappa URL:
gcloud compute target-http-proxies create cross-ref-http-proxy \ --url-map=cross-ref-url-map \ --global \ --project=SERVICE_PROJECT_A_ID
Per il traffico HTTPS, crea un proxy HTTPS di destinazione per instradare le richieste alla mappa URL. Il proxy è la parte del bilanciatore del carico che contiene il certificato SSL per un bilanciatore del carico HTTPS, quindi in questo passaggio carichi anche il tuo certificato SSL:
gcloud compute target-https-proxies create cross-ref-https-proxy \ --url-map=cross-ref-url-map \ --ssl-certificates=lb-ssl-cert \ --global \ --project=SERVICE_PROJECT_A_ID
Creare una regola di forwarding.
Per il traffico HTTP, crea una regola di forwarding globale per instradare le richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create cross-ref-http-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=cross-ref-ip-address \ --global \ --target-http-proxy=cross-ref-http-proxy \ --ports=80 \ --project=SERVICE_PROJECT_A_ID
Per il traffico HTTPS, crea una regola di forwarding globale per instradare le richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create cross-ref-https-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=cross-ref-ip-address \ --global \ --target-https-proxy=cross-ref-https-proxy \ --ports=443 \ --project=SERVICE_PROJECT_A_ID
Concedi all'amministratore del bilanciatore del carico Compute le autorizzazioni per utilizzare il servizio di backend
Se vuoi che i bilanciatori del carico facciano riferimento ai servizi di backend in altri progetti di servizi, l'amministratore del bilanciatore del carico deve disporre dell'autorizzazione compute.backendServices.use
. Per concedere questa autorizzazione, puoi utilizzare il ruolo IAM predefinito chiamato Utente dei servizi bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser
). Questo ruolo deve essere concesso dall'amministratore del progetto di servizio e può essere applicato a livello di progetto o a livello di singolo servizio di backend.
Questo passaggio non è obbligatorio se hai già concesso le autorizzazioni richieste a livello di servizio di backend durante la creazione del servizio di backend. Puoi saltare questa sezione o continuare a leggere per scoprire come concedere l'accesso a tutti i servizi di backend in questo progetto in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.
In questo esempio, un amministratore del progetto di servizio B deve eseguire uno
tra i seguenti comandi per concedere l'autorizzazione compute.backendServices.use
a un amministratore del bilanciatore del carico del progetto di servizio A. Questa operazione può essere eseguita a livello di progetto (per tutti i servizi di backend del progetto) o per singolo servizio di backend.
Console
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend nel tuo progetto:
Per completare questo passaggio, sono necessarie le autorizzazioni compute.backendServices.setIamPolicy
e resourcemanager.projects.setIamPolicy
.
Nella console Google Cloud, vai alla pagina IAM.
Seleziona il progetto.
Fai clic su
Concedi accesso.Nel campo Nuovi amministratori, inserisci l'indirizzo email dell'amministratore o un altro identificatore.
Nell'elenco Seleziona un ruolo, seleziona Utente servizi bilanciatore del carico Compute.
(Facoltativo) Aggiungi una condizione al ruolo.
Fai clic su Salva.
Autorizzazioni a livello di risorsa per i singoli servizi di backend
Per concedere le autorizzazioni ai singoli servizi di backend nel progetto:
Per completare questo passaggio, devi disporre dell'autorizzazione compute.backendServices.setIamPolicy
.
Nella console Google Cloud, vai alla pagina Backend.
Nell'elenco dei backend, seleziona il servizio di backend a cui vuoi concedere l'accesso e fai clic su
Autorizzazioni.Fai clic su
Aggiungi entità.Nel campo Nuovi amministratori, inserisci l'indirizzo email dell'amministratore o un altro identificatore.
Nell'elenco Seleziona un ruolo, seleziona Utente servizi bilanciatore del carico Compute.
Fai clic su Salva.
gcloud
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend nel tuo progetto:
Per completare questo passaggio, sono necessarie le autorizzazioni compute.backendServices.setIamPolicy
e resourcemanager.projects.setIamPolicy
.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser"
Autorizzazioni a livello di risorsa per i singoli servizi di backend
A livello di servizio di backend, gli amministratori dei progetti di servizi possono utilizzare uno dei seguenti comandi per concedere il ruolo Utente dei servizi bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser
).
Per completare questo passaggio, devi disporre dell'autorizzazione compute.backendServices.setIamPolicy
.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'
o
gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --project=SERVICE_PROJECT_B_ID \ --region=us-west1
Per utilizzare questi comandi, sostituisci LOAD_BALANCER_ADMIN
con il principale dell'utente, ad esempio test-user@gmail.com
.
Puoi anche configurare le autorizzazioni IAM in modo che si applichino solo a un sottoinsieme di servizi di backend regionali utilizzando le condizioni e specificando gli attributi condizione.
Testa il bilanciatore del carico
La configurazione del bilanciatore del carico potrebbe richiedere diversi minuti. Quando il servizio di bilanciamento del carico è in esecuzione, puoi inviare traffico alla regola di forwarding nel progetto di servizio A e osservare la distribuzione del traffico su diverse istanze VM nel progetto di servizio B.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico nel progetto di servizio A.
Fai clic sul bilanciatore del carico che hai appena creato.
Prendi nota dell'indirizzo IP del bilanciatore del carico. A questo indirizzo IP viene fatto riferimento come
LB_IP_ADDRESS
nei passaggi successivi.Puoi testare il bilanciatore del carico indirizzando il browser web a
https://LB_IP_ADDRESS
(ohttp://LB_IP_ADDRESS
). SostituisciLB_IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico.Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome dell'istanza che ha pubblicato la pagina (ad esempio,
Page served from: lb-backend-example-xxxx
). Se il browser non visualizza questa pagina, controlla le impostazioni di configurazione riportate in questa guida.
gcloud
Prendi nota dell'indirizzo IP riservato:
gcloud compute addresses describe IP_ADDRESS_NAME \ --format="get(address)" \ --global --project=SERVICE_PROJECT_A_ID
Puoi testare il bilanciatore del carico indirizzando il browser web a
https://LB_IP_ADDRESS
(o
http://LB_IP_ADDRESS
). Sostituisci
LB_IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico.
Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con informazioni minime sull'istanza di backend. Se il browser non visualizza questa pagina, controlla le impostazioni di configurazione riportate in questa guida.
Passaggi successivi
- Limita l'utilizzo delle funzionalità VPC condiviso, come il riferimento ai servizi tra progetti, nel tuo progetto utilizzando i vincoli dei criteri dell'organizzazione per il bilanciamento del carico cloud.
- Scopri come risolvere i problemi relativi a un bilanciatore del carico delle applicazioni esterno globale.
- Pulisci la configurazione del bilanciamento del carico.