Questo documento illustra due configurazioni di esempio per impostare un Bilanciatore del carico delle applicazioni esterno globale con backend di gruppi di istanze VM in un VPC condiviso questo ambiente:
- Nel primo esempio, il frontend del bilanciatore del carico vengono creati in un unico progetto di servizio.
- Nel secondo esempio, il frontend del bilanciatore del carico i componenti e la mappa URL vengono creati in un progetto di servizio, mentre il servizio di backend e i backend del bilanciatore sono creati in un servizio diverso progetto. Questo tipo di deployment, in cui la mappa URL in un progetto fa riferimento servizio di backend in un altro progetto, è noto come cross-project il riferimento ai servizi.
Entrambi gli esempi richiedono la stessa configurazione iniziale concedere autorizzazioni, configurare la rete e la subnet progetto host e configurare un VPC condiviso puoi iniziare a creare i bilanciatori del carico.
Queste non sono le uniche configurazioni di VPC condiviso supportate il bilanciatore del carico delle applicazioni esterno globale. Per altre architetture del VPC condiviso valide, consulta Architettura VPC condivisa.
Se non vuoi utilizzare una rete VPC condiviso, consulta Configura un bilanciatore del carico delle applicazioni esterno globale con un gruppo di istanze VM di backend.
Prima di iniziare
- Leggi la panoramica sul VPC condiviso.
- Leggi la panoramica sul bilanciatore del carico delle applicazioni esterno, inclusa la sezione sull'architettura del VPC condiviso.
Autorizzazioni obbligatorie
La configurazione di un bilanciatore del carico su una rete VPC condiviso richiede la configurazione iniziale e il provisioning da parte di un amministratore. Dopo la configurazione iniziale, del progetto di servizio può eseguire una delle seguenti operazioni:
- Esegui il deployment di tutti i componenti del bilanciatore del carico e dei relativi backend in un progetto di servizio.
- Esegui il deployment dei componenti di backend del bilanciatore del carico (servizio di backend e backend) nei progetti di servizio a cui può fare riferimento una mappa URL in un altro servizio o progetto host.
Questa sezione riassume le autorizzazioni necessarie per seguire la guida per configurare un bilanciatore del carico su una rete VPC condiviso.
Configura rete VPC condivisa
I ruoli seguenti sono obbligatori per le attività seguenti:
- Eseguire attività amministrative una tantum come l'impostazione VPC condiviso e abilitazione di un progetto host.
- Esegui attività amministrative che devono essere ripetute ogni volta che vuoi inizializzare un nuovo progetto di servizio. Ciò include il collegamento del progetto di servizio, il provisioning la configurazione delle risorse di networking e la concessione dell'accesso al servizio amministratore del progetto.
Queste attività devono essere eseguite nel progetto host del VPC condiviso. Me consiglia all'Amministratore del VPC condiviso di essere anche il proprietario Progetto host VPC condiviso. In questo modo, l'Amministratore di rete e Ruoli Amministratore sicurezza.
Attività | Ruolo richiesto |
---|---|
Configura un VPC condiviso, abilita il progetto host e concedi l'accesso a amministratori progetti di servizio | Amministratore VPC condiviso |
Crea subnet nel progetto host del VPC condiviso e concedi l'accesso a amministratori progetti di servizio | Amministratore rete |
Aggiungi e rimuovi regole firewall | Amministratore sicurezza |
Una volta eseguito il provisioning delle subnet, il proprietario del progetto host deve concedere Ruolo Utente di rete nel progetto host per chiunque (in genere il progetto di servizio amministratori, sviluppatori o account di servizio) che devono utilizzare questi Google Cloud.
Attività | Ruolo richiesto |
---|---|
Utilizza le reti VPC e le subnet appartenenti all'host progetto | Utente di rete |
Questo ruolo può essere concesso a livello di progetto o per singole subnet. Me di concedere il ruolo a singole subnet. La concessione del ruolo in il progetto dà accesso a tutte le subnet attuali e future nel rete VPC del progetto host.
Esegui il deployment del bilanciatore del carico e dei backend
Gli amministratori del progetto di servizio devono avere i seguenti ruoli nel progetto di servizio per creare risorse e backend di bilanciamento del carico. Queste autorizzazioni sono concesse automaticamente al proprietario o all'editor del progetto di servizio.
Attività | Ruolo richiesto |
---|---|
crea i componenti del bilanciatore del carico | Amministratore rete |
Creazione delle istanze | Amministratore istanze |
Creare e modificare i certificati SSL | Amministratore sicurezza |
Riferimento ai servizi di backend tra progetti
Se il bilanciatore del carico deve fare riferimento a servizi di backend di un altro servizio per progetti, noto anche come servizio tra progetti riferimento, bilanciatore del carico gli amministratori richiederanno il seguente ruolo nel progetto di servizio in cui servizio di backend creato.
Attività | Ruolo richiesto |
---|---|
Autorizzazioni per utilizzare i servizi in altri progetti | Utente dei servizi del bilanciatore del carico |
Questo ruolo può essere concesso a livello di progetto o per singolo backend i servizi di machine learning. Per istruzioni su come concedere questo ruolo, consulta la sezione esempio di riferimento del servizio in questa pagina.
Per saperne di più su IAM, consulta le seguenti guide:
Prerequisiti
In questa sezione, devi eseguire i seguenti passaggi:
Non è necessario eseguire i passaggi di questa sezione ogni volta che vuoi un nuovo bilanciatore del carico. Tuttavia, devi assicurarti di avere accesso ai le risorse descritte qui prima di creare il bilanciatore del carico.
Configura la rete e le subnet nel progetto host
È necessaria una rete VPC condiviso con una subnet per il carico dai backend del bilanciatore.Questo esempio utilizza la rete, la regione e la subnet seguenti:
Rete. La rete è denominata
lb-network
.Subnet per i backend del bilanciatore del carico. Una subnet denominato
lb-backend-subnet
nel La regioneus-west1
utilizza10.1.2.0/24
come intervallo IP principale.
Configura la subnet per i backend del bilanciatore del carico
Non è necessario eseguire questo passaggio ogni volta che vuoi creare un nuovo con il bilanciatore del carico di rete passthrough esterno regionale. Devi solo assicurarti che il progetto di servizio abbia accesso a una subnet nella rete VPC condiviso.Tutti i passaggi in questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud, vai alla pagina Reti VPC.
- Fai clic su Crea rete VPC.
- In Nome, inserisci
lb-network
. Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
Nella sezione Nuova subnet, inserisci le informazioni seguenti:
- Nome:
lb-backend-subnet
Regione:
us-west1
Intervallo di indirizzi IP:
10.1.2.0/24
- Nome:
Fai clic su Fine.
Fai clic su Crea.
gcloud
Crea una rete VPC con il comando
gcloud compute networks create
:gcloud compute networks create lb-network --subnet-mode=custom
Crea una subnet nella rete
lb-network
nella regioneus-west1
:gcloud compute networks subnets create lb-backend-subnet
--network=lb-network
--range=10.1.2.0/24
--region=us-west1
Concede agli amministratori del progetto di servizio l'accesso alla subnet di backend
Gli amministratori dei progetti di servizio richiedono l'accessolb-backend-subnet
subnet in modo che possa eseguire il provisioning del carico
dai backend del bilanciatore.
Un amministratore della rete VPC condivisa deve concedere l'accesso alla subnet di backend del servizio amministratori di progetto (o sviluppatori che eseguono il deployment di risorse e backend che utilizzano la subnet). Per istruzioni, vedi Amministratori progetti di servizio per alcune subnet.
Configura le regole firewall nel progetto host
Questo esempio utilizza la seguente regola firewall:fw-allow-health-check
. Una regola in entrata, applicabile alle istanze con bilanciamento del carico, che consente tutto il traffico TCP da Google Cloud sistemi di controllo dell'integrità in130.211.0.0/22
e35.191.0.0/16
. Questo esempio utilizza il tag di destinazioneload-balanced-backend
per identificare le istanze a cui deve essere applicata.
Tutti i passaggi in questa sezione devono essere eseguiti nel progetto host.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
- Fai clic su Crea regola firewall per creare la regola che consente Controlli di integrità di Google Cloud:
- Nome:
fw-allow-health-check
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
130.211.0.0/22
e35.191.0.0/16
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80
per il numero di porta.
Come best practice, limita questa regola ai soli protocolli e porte che corrispondano a quelli usati dal controllo di integrità. Se utilizzi
tcp:80
per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta80
per contattare le VM, ma non può utilizzare HTTPS sulla porta443
contattarli. - Fai clic su Crea.
gcloud
Crea la regola firewall
fw-allow-health-check
per consentire Controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP dai probe del controllo di integrità. Tuttavia, puoi configurare un insieme di porte in modo da soddisfare le tue esigenze.gcloud compute firewall-rules create fw-allow-health-check \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=130.211.0.0/22,35.191.0.0/16 \ --target-tags=load-balanced-backend \ --rules=tcp
Configura un VPC condiviso nel progetto host
Questo passaggio implica l'abilitazione di un progetto host del VPC condiviso, condividendo le subnet il progetto host e il collegamento dei progetti di servizio al progetto host, i progetti di servizio possono usare la rete VPC condiviso. Per configurare VPC condiviso nel progetto host, consulta le seguenti pagine:
Le altre istruzioni presuppongono che tu abbia già configurato VPC condiviso. Ciò include la configurazione dei criteri IAM per organizzazione e designare dei progetti host e di servizio.
Non procedere finché non avrai configurato il VPC condiviso e abilitato l'host e progetti di servizio.
Dopo aver completato i passaggi definiti in questa sezione dei prerequisiti, puoi seguire una delle seguenti configurazioni:
Configura un bilanciatore del carico in un progetto di servizio
Configura un bilanciatore del carico con un servizio di backend tra progetti
Configura un bilanciatore del carico in un progetto di servizio
Dopo aver configurato la rete VPC nel progetto host e configurare un VPC condiviso, puoi spostare la tua attenzione in cui devi creare tutti i componenti di bilanciamento del carico (servizio di backend, mappa URL, proxy di destinazione e regola di forwarding) e i backend.
In questa sezione si presuppone che tu abbia eseguito i passaggi preliminari descritti nella sezione precedente del progetto host. In questa sezione, il carico vengono creati i componenti frontend e backend del bilanciatore del carico, in un progetto di servizio.
La figura seguente illustra i componenti di un bilanciatore del carico delle applicazioni esterno globale in uno progetto di servizio, collegato al progetto host in un VPC condiviso in ogni rete.
Questi passaggi devono essere eseguiti dall'amministratore del progetto di servizio (o da una sviluppatore che opera nell'ambito del progetto di servizio) e non richiedono il coinvolgimento dell'amministratore del progetto host. I passaggi di questa sezione sono in modo simile ai passaggi standard per l'impostazione Bilanciatore del carico delle applicazioni esterno globale.
Nell'esempio in questa pagina viene impostato esplicitamente un indirizzo IP riservato la regola di forwarding del bilanciatore del carico delle applicazioni esterno globale, anziché consentire temporaneo da allocare. Come best practice, ti consigliamo prenotare indirizzi IP per le regole di forwarding.
Crea il backend di un gruppo di istanze gestite
Il precursore della creazione di un gruppo di istanze gestite è la creazione di istanza, ovvero una risorsa che puoi utilizzare per creare di Compute Engine (VM). Il traffico dai client viene bilanciato verso le VM in un gruppo di istanze. Il gruppo di istanze gestite fornisce VM che eseguono di backend di un bilanciatore del carico delle applicazioni esterno. In questo esempio, i backend e pubblicano i propri nomi host.
Console
Crea un modello di istanza
Nella console Google Cloud, vai alla pagina Modelli di istanza di Compute Engine.
Fai clic su Crea modello istanza.
In Nome, inserisci
backend-template
.Nella sezione Disco di avvio, assicurati che il disco di avvio sia impostato su un'istanza come Debian GNU/Linux 12 (bookworm). Fai clic su Cambia per modificare dell'immagine, se necessario.
Espandi la sezione Opzioni avanzate.
Espandi la sezione Networking e nel campo Tag di rete inserisci
load-balanced-backend
.In Interfacce di rete, seleziona Reti condivise con me (dall'host progetto:
HOST_PROJECT_ID
).Nell'elenco Subnet condivisa, seleziona
lb-backend-subnet
dalla retelb-network
.Espandi la sezione Gestione e, nel campo Automazione, specifica il seguente script di avvio:
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Creare un gruppo di istanze gestite
Nella console Google Cloud, vai alla pagina Gruppi di istanze di Compute Engine.
Fai clic su Crea gruppo di istanze.
Dalle opzioni, seleziona Nuovo gruppo di istanze gestite (stateless).
Come nome del gruppo di istanze, inserisci
lb-backend
.Nell'elenco Modello di istanza, seleziona il modello di istanza
backend-template
che hai creato nel passaggio precedente.Nella sezione Località, seleziona Zona singola e inserisci quanto segue valori:
In Regione, seleziona
us-west1
.In Zona, seleziona
us-west1-a
.
Nella sezione Scalabilità automatica, inserisci i seguenti valori:
In Modalità di scalabilità automatica, seleziona On: aggiungi e rimuovi istanze al gruppo.
In Numero minimo di istanze, seleziona
2
.In Numero massimo di istanze, seleziona
3
.
Nella sezione Mappatura delle porte, fai clic su Aggiungi porta e inserisci i seguenti valori:
In Nome porta, inserisci
http
.In Numero porta, inserisci
80
.
Fai clic su Crea.
gcloud
Crea un modello di istanza:
gcloud compute instance-templates create backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_ID
Crea un gruppo di istanze gestite e seleziona il modello di istanza creato nel passaggio precedente:
gcloud compute instance-groups managed create lb-backend \ --zone=us-west1-a \ --size=2 \ --template=backend-template \ --project=SERVICE_PROJECT_ID
Aggiungi una porta denominata al gruppo di istanze:
gcloud compute instance-groups set-named-ports lb-backend \ --named-ports=http:80 \ --zone=us-west1-a \ --project=SERVICE_PROJECT_ID
Crea un controllo di integrità
I controlli di integrità sono test che confermano la disponibilità dei backend. Crea un
controllo di integrità che utilizzi il protocollo HTTP e i probe sulla porta 80
. In seguito
collegare questo controllo di integrità al servizio di backend a cui fa riferimento il bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Controlli di integrità di Compute Engine.
Inserisci
lb-health-check
per il nome del controllo di integrità.Imposta il protocollo su HTTP.
Fai clic su Crea.
gcloud
Creare un controllo di integrità HTTP.
gcloud compute health-checks create http lb-health-check \ --use-serving-port \ --project=SERVICE_PROJECT_ID
Prenota l'indirizzo IP del bilanciatore del carico
Prenota un indirizzo IP esterno statico globale da assegnare di una regola di forwarding del bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Indirizzi IP VPC.
Fai clic su Prenota indirizzo IP statico esterno.
In Nome, inserisci
lb-ipv4-1
.Imposta Network Service Tier su Premium.
Imposta Versione IP su IPv4.
Imposta Tipo su Globale.
Fai clic su Prenota.
gcloud
Crea un indirizzo IP esterno statico globale.
gcloud compute addresses create lb-ipv4-1 \ --ip-version=IPV4 \ --network-tier=PREMIUM \ --global --project=SERVICE_PROJECT_ID
Configura una risorsa del certificato SSL
Per un bilanciatore del carico che utilizza HTTPS come protocollo di richiesta e risposta, crea una risorsa del certificato SSL, come descritto nelle risorse seguenti:
Ti consigliamo di utilizzare un certificato gestito da Google.
In questo esempio si presuppone che tu abbia creato un certificato SSL denominato
lb-ssl-cert
. Il certificato SSL è collegato al proxy di destinazione a cui
da creare in uno dei seguenti passaggi.
Configura il bilanciatore del carico
Questa sezione illustra come creare le risorse seguenti per un Bilanciatore del carico delle applicazioni esterno globale:
- Servizio di backend con un gruppo di istanze gestite come backend
- Mappa URL
- Certificato SSL (richiesto solo per il traffico HTTPS)
- Proxy di destinazione
- Regola di forwarding
In questo esempio, puoi utilizzare HTTP o HTTPS come protocollo di richiesta e risposta tra il client e il bilanciatore del carico. Per HTTPS, è necessaria una connessione SSL di certificazione per configurare il proxy. Ti consigliamo di utilizzare una Certificato gestito da Google.
Console
Avvia la configurazione
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- Per Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- Per Pubblico o interno, seleziona Rivolto al pubblico (esterno) e fai clic su Avanti.
- Per Deployment globale o in una regione singola, seleziona Ideale per carichi di lavoro e fai clic su Avanti.
- Per Generazione del bilanciatore del carico, seleziona Esterno globale Bilanciatore del carico delle applicazioni e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- Per il nome del bilanciatore del carico, inserisci
l7-xlb-shared-vpc
.
Configura il frontend del bilanciatore del carico
Per il traffico HTTP:
Fai clic su Configurazione frontend.
In corrispondenza del nome del frontend del bilanciatore del carico, inserisci
http-fw-rule
.In Protocollo, seleziona HTTP.
Imposta Versione IP su IPv4.
In Indirizzo IP, seleziona
lb-ipv4-1
, ovvero l'indirizzo IP che hai prenotato in precedenza.Imposta Porta su
80
per consentire il traffico HTTP.Per completare la configurazione del frontend, fai clic su Fine.
Verifica che sia presente un segno di spunta blu. accanto a Configurazione frontend prima di continuare.
Per il traffico HTTPS:
Fai clic su Configurazione frontend.
In corrispondenza del nome del frontend del bilanciatore del carico, inserisci
https-fw-rule
.Per Protocollo, seleziona HTTPS.
Imposta Versione IP su IPv4.
In Indirizzo IP, seleziona
lb-ipv4-1
, ovvero l'indirizzo IP che hai prenotato in precedenza.Imposta Porta su
443
per consentire il traffico HTTPS.Nell'elenco Certificato, seleziona il certificato SSL che che hai creato.
Per completare la configurazione del frontend, fai clic su Fine.
Verifica che sia presente un segno di spunta blu accanto a Configurazione frontend. prima di continuare.
Configura il backend
Fai clic su Configurazione backend.
Nel menu Servizi e bucket di backend, fai clic su Crea un servizio di backend.
In corrispondenza del nome del servizio di backend, inserisci
lb-backend-service
.In Tipo di backend, seleziona Gruppo di istanze.
Imposta Protocollo su HTTP.
Nel campo Porta denominata, inserisci
http
. Si tratta dello stesso nome di porta che hai inserito durante la creazione del gruppo di istanze gestite.Per aggiungere backend al servizio di backend:
Nella sezione Backend, imposta il Gruppo di istanze su
lb-backend
, che è il gruppo di istanze gestite che creato in un passaggio precedente.In Numeri di porta, inserisci
80
.Per aggiungere il backend, fai clic su Fine.
Per aggiungere un controllo di integrità, seleziona l'elenco Controllo di integrità.
lb-health-check
, che è il controllo di integrità che hai creato in precedenza.Per creare il servizio di backend, fai clic su Crea.
Verifica che sia presente un segno di spunta blu accanto a Configurazione backend prima di continuare.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che
lb-backend-service
sia il servizio di backend predefinito per qualsiasi host e percorso senza corrispondenza.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Rivedi e finalizza la configurazione
Fai clic su Esamina e finalizza.
Rivedi le impostazioni di frontend e backend del bilanciatore del carico per assicurarti in modo che sia configurato come desiderato.
Fai clic su Crea, quindi attendi il completamento della creazione del bilanciatore del carico.
gcloud
Crea un servizio di backend per distribuire il traffico tra i backend:
gcloud compute backend-services create lb-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --port-name=http \ --health-checks=lb-health-check \ --global \ --project=SERVICE_PROJECT_ID
Aggiungi il tuo gruppo di istanze come backend del servizio di backend:
gcloud compute backend-services add-backend lb-backend-service \ --instance-group=lb-backend \ --instance-group-zone=us-west1-a \ --global \ --project=SERVICE_PROJECT_ID
Crea una mappa URL per instradare le richieste in entrata al servizio di backend:
gcloud compute url-maps create lb-map \ --default-service=lb-backend-service \ --global \ --project=SERVICE_PROJECT_ID
Crea un proxy di destinazione.
Per il traffico HTTP, crea un proxy HTTP di destinazione per il routing richieste alla mappa URL:
gcloud compute target-http-proxies create http-proxy \ --url-map=lb-map \ --global \ --project=SERVICE_PROJECT_ID
Per il traffico HTTPS, crea un proxy HTTPS di destinazione per il routing richieste alla mappa URL. Il proxy è la parte del carico di fatturazione che contiene il certificato SSL per un bilanciatore del carico HTTPS quindi carichi anche il tuo certificato SSL in questo passaggio:
gcloud compute target-https-proxies create https-proxy \ --url-map=lb-map \ --ssl-certificates=lb-ssl-cert --global \ --project=SERVICE_PROJECT_ID
Creare una regola di forwarding.
Per il traffico HTTP, crea una regola di forwarding globale per instradare il traffico richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create http-fw-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=lb-ipv4-1 \ --global \ --target-http-proxy=http-proxy \ --ports=80 \ --project=SERVICE_PROJECT_ID
Per il traffico HTTPS, crea una regola di forwarding globale per instradare il traffico richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create https-fw-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=lb-ipv4-1 \ --global \ --target-https-proxy=https-proxy \ --ports=443 \ --project=SERVICE_PROJECT_ID
Testa il bilanciatore del carico
Quando il servizio di bilanciamento del carico è in esecuzione, puoi inviare il traffico verso la regola di forwarding e osservare la distribuzione del traffico su di Compute Engine.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
Fai clic sul bilanciatore del carico che hai appena creato.
Prendi nota dell'indirizzo IP del bilanciatore del carico. Questo indirizzo IP è indicato come
LB_IP_ADDRESS
nei seguenti passaggi.Nella sezione Backend, verifica che le VM siano integre.
La colonna Integrità deve essere compilata, a indicare che le VM sono integro, ad esempio, se vengono create due istanze, viene visualizzato il messaggio
2 of 2
con un segno di spunta verde accanto. Se altrimenti prova a ricaricare la pagina. L'operazione può richiedere minuti per consentire alla console Google Cloud di indicare che le VM integro. Se i backend non appaiono in stato integro dopo alcuni minuti, la configurazione del firewall e il tag di rete assegnato di backend.Dopo che la console Google Cloud mostra che le istanze di backend sono è in stato integro, puoi testare il bilanciatore del carico puntando il browser web alla
https://LB_IP_ADDRESS
(ohttp://LB_IP_ADDRESS
). SostituisciLB_IP_ADDRESS
con l'IP del bilanciatore del carico indirizzo.Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome del che ha pubblicato la pagina (ad esempio,
Page served from: lb-backend-example-xxxx
). Se il browser non mostra la pagina, esamina le impostazioni di configurazione in questa guida.
gcloud
Prendi nota dell'indirizzo IP riservato:
gcloud compute addresses describe IP_ADDRESS_NAME \ --format="get(address)" \ --global
Puoi testare il bilanciatore del carico puntando il browser web a
https://LB_IP_ADDRESS
(o
http://LB_IP_ADDRESS
). Sostituisci
LB_IP_ADDRESS
con l'IP del bilanciatore del carico
indirizzo.
Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe eseguire il rendering di una pagina con informazioni minime sul backend in esecuzione in un'istanza Compute Engine. Se il browser non mostra questa pagina, rivedi la configurazione impostazioni in questa guida.
Configura un bilanciatore del carico con un servizio di backend tra progetti
L'esempio precedente in questa pagina mostra come configurare un VPC condiviso deployment in cui vengono creati tutti i componenti del bilanciatore del carico e i relativi backend in un progetto di servizio.
I bilanciatori del carico delle applicazioni esterni globali consentono anche di configurare un VPC condiviso deployment in cui una mappa URL in un progetto host o di servizio può fare riferimento al backend (e backend) situati in più progetti di servizio in Ambienti VPC condivisi. Questo è denominato cross-project il riferimento ai servizi.
Puoi usare i passaggi di questa sezione come riferimento per configurare le combinazioni supportate elencate qui:
- Regola di forwarding, proxy di destinazione e mappa di URL nel progetto host e nel backend in un progetto di servizio
- Regola di forwarding, proxy di destinazione e mappa di URL in un progetto di servizio e nel backend in un altro progetto di servizio
Requisiti per la configurazione
Se non lo hai già fatto, devi completare tutti i passaggi dei prerequisiti per impostare il VPC condiviso e configurare la rete, le subnet e il firewall regole richieste per questo esempio. Per istruzioni, consulta le sezioni seguenti su all'inizio di questa pagina:
- Autorizzazioni necessarie per configurare un VPC condiviso
- Configurazione prerequisito nel progetto host
In questa configurazione, la regola di forwarding, il proxy di destinazione e l'URL si trovano in un progetto di servizio, mentre il servizio di backend in un altro progetto di servizio.
- Nel progetto di servizio B configurerai quanto segue
di backend:
- Backend del gruppo di istanze gestite
- Controllo di integrità
- Servizio di backend globale
- Nel progetto di servizio A, configurerai quanto segue
risorse del frontend:
- Indirizzo IP
- Certificato SSL
- Mappa URL
- Proxy di destinazione
- Regola di forwarding
La figura seguente mostra un bilanciatore del carico delle applicazioni esterno globale in cui il carico al servizio di backend del bilanciatore in un progetto di servizio fa riferimento a una mappa URL in in un altro progetto di servizio.
Servizio tra progetti che fa riferimento a un bilanciatore del carico delle applicazioni esterno globale non richiede che le istanze di backend facciano parte dello stesso VPC o una rete VPC condiviso.
In questo esempio, le VM di backend nel progetto di servizio fanno parte Rete VPC condiviso creata nel progetto host. Tuttavia, puoi anche configurare una rete VPC autonoma (ovvero una rete VPC rete VPC), insieme alle regole firewall richieste, in un progetto di servizio. Puoi quindi creare istanze di backend (ad esempio un gruppo di istanze) che fanno parte di questa rete VPC autonoma, Dopo aver creato di backend, puoi seguire i passaggi rimanenti, come illustrato in ad esempio per creare un servizio di backend nel progetto di servizio e connetterlo una mappa di URL in un altro progetto di servizio usando un servizio tra progetti fare riferimento.
Configura i componenti di backend del bilanciatore del carico nel progetto di servizio B
In questa sezione, devi configurare le seguenti risorse di backend progetto di servizio B:
- Gruppo di istanze gestite
- Controllo di integrità
- Servizio di backend globale
Crea il backend di un gruppo di istanze gestite
Il precursore della creazione di un gruppo di istanze gestite è la creazione di istanza, ovvero una risorsa che puoi utilizzare per creare di Compute Engine (VM). Il traffico dai client viene bilanciato verso le VM in una gruppo di istanze gestite. Il gruppo di istanze gestite fornisce VM che eseguono il backend di un bilanciatore del carico delle applicazioni esterno. In questo esempio, i backend gestiscono e nomi host.
Console
Crea un modello di istanza
Nella console Google Cloud, vai alla pagina Modelli di istanza di Compute Engine.
Fai clic su Crea modello istanza.
In Nome, inserisci
backend-template
.Nella sezione Disco di avvio, assicurati che il disco di avvio sia impostato su un'istanza come Debian GNU/Linux 12 (bookworm). Fai clic su Cambia per modificare l'immagine, se necessario.
Espandi la sezione Opzioni avanzate.
Espandi la sezione Networking e nel campo Tag di rete inserisci
load-balanced-backend
.In Interfacce di rete, seleziona Reti condivise con me (dall'host progetto:
HOST_PROJECT_ID)
.Nell'elenco Subnet condivisa, seleziona
lb-backend-subnet
dalla retelb-network
.Espandi la sezione Gestione e nel campo Automazione: specifica il seguente script di avvio:
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Crea un gruppo di istanze gestite
Nella console Google Cloud, vai alla pagina Gruppi di istanze di Compute Engine.
Fai clic su Crea gruppo di istanze.
Dalle opzioni, seleziona Nuovo gruppo di istanze gestite (stateless).
Come nome del gruppo di istanze, inserisci
lb-backend
.Nell'elenco Modello di istanza, seleziona il modello di istanza
backend-template
che hai creato nel passaggio precedente.Nella sezione Località, seleziona Zona singola e inserisci quanto segue valori:
In Regione, seleziona
us-west1
.In Zona, seleziona
us-west1-a
.
Nella sezione Scalabilità automatica, inserisci i seguenti valori:
In Modalità di scalabilità automatica, seleziona On: aggiungi e rimuovi istanze al gruppo.
In Numero minimo di istanze, seleziona
2
.In Numero massimo di istanze, seleziona
3
.
Nella sezione Mappatura delle porte, fai clic su Aggiungi porta e inserisci i seguenti valori:
In Nome porta, inserisci
http
.In Numero porta, inserisci
80
.
Fai clic su Crea.
gcloud
Crea un modello di istanza:
gcloud compute instance-templates create backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_B_ID
Crea un gruppo di istanze gestite e seleziona il modello di istanza che creati nel passaggio precedente:
gcloud compute instance-groups managed create lb-backend \ --zone=us-west1-a \ --size=2 \ --template=backend-template \ --project=SERVICE_PROJECT_B_ID
Aggiungi una porta denominata al gruppo di istanze:
gcloud compute instance-groups set-named-ports lb-backend \ --named-ports=http:80 \ --zone=us-west1-a \ --project=SERVICE_PROJECT_B_ID
Crea un controllo di integrità
I controlli di integrità sono test che confermano la disponibilità dei backend. Crea un
controllo di integrità che utilizzi il protocollo HTTP e i probe sulla porta 80
. In seguito
collegare questo controllo di integrità al servizio di backend a cui fa riferimento il bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Controlli di integrità di Compute Engine.
Inserisci
lb-health-check
per il nome del controllo di integrità.Imposta il protocollo su HTTP.
Fai clic su Crea.
gcloud
Creare un controllo di integrità HTTP.
gcloud compute health-checks create http lb-health-check \ --use-serving-port \ --project=SERVICE_PROJECT_B_ID
Crea un servizio di backend globale
Creare un servizio di backend globale per distribuire il traffico tra i backend. Nell'ambito di questo passaggio, devi assegnare il controllo di integrità che hai creato e aggiungere il gruppo di istanze come backend del servizio di backend.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
Vai alla sezione Backend.
Fai clic su Crea servizio di backend.
In Servizio di backend globale, fai clic sul pulsante Crea accanto al servizio.
In corrispondenza del nome del servizio di backend, inserisci
cross-ref-backend-service
.In Tipo di backend, seleziona Gruppo di istanze.
Imposta Protocollo su HTTP.
Nel campo Porta denominata, inserisci
http
. Si tratta dello stesso nome di porta che hai inserito durante la creazione del gruppo di istanze gestite.Per aggiungere backend al servizio di backend:
Nella sezione Backend, imposta il Gruppo di istanze su
lb-backend
, che è il gruppo di istanze gestite che creato in un passaggio precedente.In Numeri di porta, inserisci
80
.Per aggiungere il backend, fai clic su Fine.
Per aggiungere un controllo di integrità, seleziona l'elenco Controllo di integrità.
lb-health-check
, che è il controllo di integrità che hai creato in precedenza.Per creare il servizio di backend, fai clic su Crea.
gcloud
Crea un servizio di backend globale per distribuire il traffico tra i backend:
gcloud compute backend-services create cross-ref-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --port-name=http \ --health-checks=lb-health-check \ --global \ --project=SERVICE_PROJECT_B_ID
Aggiungi il tuo gruppo di istanze come backend del servizio di backend:
gcloud compute backend-services add-backend cross-ref-backend-service \ --instance-group=lb-backend \ --instance-group-zone=us-west1-a \ --global \ --project=SERVICE_PROJECT_B_ID
Concedi all'amministratore del bilanciatore del carico le autorizzazioni per utilizzare il servizio di backend
Se vuoi che i bilanciatori del carico facciano riferimento ai servizi di backend in un altro servizio
progetti, l'amministratore del bilanciatore del carico deve avere compute.backendServices.use
autorizzazione. Per concedere questa autorizzazione, puoi utilizzare il modello
il ruolo IAM denominato
Utente dei servizi del bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser
).
Questo ruolo deve essere concesso dall'amministratore del progetto di servizio e può essere applicato all'indirizzo
a livello di progetto o di servizio di backend individuale.
Questo passaggio non è obbligatorio se hai già concesso le autorizzazioni richieste a livello di servizio di backend durante la creazione del backend . Puoi saltare questa sezione o continuare per scoprire come concedere l'accesso a tutti i servizi di backend in questo in modo da non dover concedere l'accesso ogni volta che crei di servizio di backend.
In questo esempio, un amministratore del progetto di servizio del progetto di servizio B deve eseguire uno
uno dei seguenti comandi per concedere l'autorizzazione compute.backendServices.use
a un amministratore del bilanciatore del carico
dal progetto di servizio A. Questa operazione può essere eseguita in
a livello di progetto (per tutti i servizi di backend nel progetto) o per servizio di backend.
Console
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend in: del progetto.
Sono necessari compute.backendServices.setIamPolicy
e
resourcemanager.projects.setIamPolicy
autorizzazioni per completare questo passaggio.
Nella console Google Cloud, vai a Bilanciamento del carico condiviso servizi.
Nella sezione Tutte le autorizzazioni del servizio di backend (a livello di progetto autorizzazioni), seleziona il tuo progetto.
Se il riquadro delle autorizzazioni non è visibile, fai clic su Mostra autorizzazioni . A destra si apre il riquadro Autorizzazioni a livello di progetto.
Fai clic su
Aggiungi entità.In Nuove entità, inserisci l'indirizzo email o un altro tipo identificativo dell'utente.
In Ruolo, seleziona Utente dei servizi del bilanciatore del carico Compute Ruolo nell'elenco a discesa.
(Facoltativo) Aggiungi una condizione al ruolo.
Fai clic su Salva.
Autorizzazioni a livello di risorsa per singoli servizi di backend
Per concedere le autorizzazioni al singolo backend, segui questi passaggi dei servizi nel tuo progetto.
Devi disporre dell'autorizzazione compute.backendServices.setIamPolicy
per
completa questo passaggio.
Nella console Google Cloud, vai a Bilanciamento del carico condiviso servizi.
Nella sezione Autorizzazioni per i singoli servizio di backend (a livello di risorsa) autorizzazioni), seleziona il servizio di backend che vuoi concedere a cui accedono.
Fai clic su
Aggiungi entità.In Nuove entità, inserisci l'indirizzo email o un altro tipo identificativo dell'utente.
In Ruolo, seleziona Utente dei servizi del bilanciatore del carico Compute Ruolo nell'elenco a discesa.
Fai clic su Salva.
gcloud
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend in: del progetto.
Sono necessari compute.backendServices.setIamPolicy
e
resourcemanager.projects.setIamPolicy
autorizzazioni per completare questo passaggio.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser"
Autorizzazioni a livello di risorsa per singoli servizi di backend
A livello di servizio di backend, gli amministratori dei progetti di servizio possono utilizzare uno dei due
seguenti comandi per concedere il ruolo Utente dei servizi del bilanciatore del carico Compute
(roles/compute.loadBalancerServiceUser
).
Devi disporre dell'autorizzazione compute.backendServices.setIamPolicy
per
completa questo passaggio.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'
o
gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --project=SERVICE_PROJECT_B_ID \ --region=us-west1
Per utilizzare questi comandi, sostituisci LOAD_BALANCER_ADMIN
con il
principal dell'utente, per
esempio, test-user@gmail.com
.
Puoi anche configurare le autorizzazioni IAM in modo che vengano applicate solo a un sottoinsieme di servizi di backend regionali mediante condizioni specificando gli attributi della condizione.
Configura i componenti frontend del bilanciatore del carico nel progetto di servizio A
In questa sezione, devi configurare le seguenti risorse di frontend progetto di servizio A:
- Indirizzo IP
- Certificato SSL
- Mappa URL
- Proxy di destinazione
- Regola di forwarding
Prenota l'indirizzo IP del bilanciatore del carico
Prenota un indirizzo IP esterno statico globale da assegnare di una regola di forwarding del bilanciatore del carico.
Console
Nella console Google Cloud, vai alla pagina Indirizzi IP VPC.
Fai clic su Prenota indirizzo IP statico esterno.
In Nome, inserisci
cross-ref-ip-address
.Imposta Network Service Tier su Premium.
Imposta Versione IP su IPv4.
Imposta Tipo su Globale.
Fai clic su Prenota.
gcloud
Crea un indirizzo IP esterno statico globale.
gcloud compute addresses create cross-ref-ip-address \ --ip-version=IPV4 \ --network-tier=PREMIUM \ --global \ --project=SERVICE_PROJECT_A_ID
Configura una risorsa del certificato SSL
Per un bilanciatore del carico che utilizza HTTPS come protocollo di richiesta e risposta, crea una risorsa del certificato SSL, come descritto nelle risorse seguenti:
Ti consigliamo di utilizzare un certificato gestito da Google.
In questo esempio si presuppone che tu abbia creato un certificato SSL denominato
lb-ssl-cert
. Il certificato SSL è collegato al proxy di destinazione a cui
da creare in uno dei seguenti passaggi.
crea i componenti frontend
Console
La console Google Cloud non è supportata per il backend tra progetti La console Google Cloud non è supportata per il backend tra progetti riferimento ai servizi. Tuttavia, puoi fare riferimento al servizio di backend in progetto di servizio B dalla mappa URL nel progetto di servizio A utilizzando il metodo Google Cloud CLI.
gcloud
(Facoltativo) Prima di creare un bilanciatore del carico con servizi di backend di riferimenti incrociati, scopri se è possibile fare riferimento ai servizi di backend a cui vuoi fare riferimento utilizzando una mappa URL:
gcloud compute backend-services list-usable \ --global \ --project=SERVICE_PROJECT_B_ID
Crea una mappa URL per instradare le richieste in entrata al servizio di backend:
gcloud compute url-maps create cross-ref-url-map \ --default-service=projects/SERVICE_PROJECT_B_ID/global/backendServices/cross-ref-backend-service \ --global \ --project=SERVICE_PROJECT_A_ID
Crea un proxy di destinazione.
Per il traffico HTTP, crea un proxy HTTP di destinazione per il routing richieste alla mappa URL:
gcloud compute target-http-proxies create cross-ref-http-proxy \ --url-map=cross-ref-url-map \ --global \ --project=SERVICE_PROJECT_A_ID
Per il traffico HTTPS, crea un proxy HTTPS di destinazione per il routing richieste alla mappa URL. Il proxy è la parte del carico bilanciatore che contiene il certificato SSL per un carico HTTPS con il bilanciatore del carico di rete, così puoi caricare anche Certificato SSL in questo passaggio:
gcloud compute target-https-proxies create cross-ref-https-proxy \ --url-map=cross-ref-url-map \ --ssl-certificates=lb-ssl-cert --global \ --project=SERVICE_PROJECT_A_ID
Creare una regola di forwarding.
Per il traffico HTTP, crea una regola di forwarding globale per instradare il traffico richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create cross-ref-http-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=cross-ref-ip-address \ --global \ --target-http-proxy=cross-ref-http-proxy \ --ports=80 \ --project=SERVICE_PROJECT_A_ID
Per il traffico HTTPS, crea una regola di forwarding globale per instradare il traffico richieste in entrata al proxy di destinazione:
gcloud compute forwarding-rules create cross-ref-https-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --address=cross-ref-ip-address \ --global \ --target-https-proxy=cross-ref-https-proxy \ --ports=443 \ --project=SERVICE_PROJECT_A_ID
Testa il bilanciatore del carico
La configurazione del bilanciatore del carico può richiedere diversi minuti. Quando è in esecuzione, puoi inviare il traffico alla regola di forwarding nel progetto di servizio A e osserva come il traffico viene distribuito su diverse VM nel progetto di servizio B.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico. nel progetto di servizio A.
Fai clic sul bilanciatore del carico che hai appena creato.
Prendi nota dell'indirizzo IP del bilanciatore del carico. Questo indirizzo IP è indicato come
LB_IP_ADDRESS
nei seguenti passaggi.Puoi testare il bilanciatore del carico puntando il browser web a
https://LB_IP_ADDRESS
(ohttp://LB_IP_ADDRESS
). SostituisciLB_IP_ADDRESS
con l'IP del bilanciatore del carico indirizzo.Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome del che ha pubblicato la pagina (ad esempio,
Page served from: lb-backend-example-xxxx
). Se il browser non mostra la pagina, esamina le impostazioni di configurazione in questa guida.
gcloud
Prendi nota dell'indirizzo IP riservato:
gcloud compute addresses describe IP_ADDRESS_NAME \ --format="get(address)" \ --global --project=SERVICE_PROJECT_A_ID
Puoi testare il bilanciatore del carico puntando il browser web a
https://LB_IP_ADDRESS
(o
http://LB_IP_ADDRESS
). Sostituisci
LB_IP_ADDRESS
con l'IP del bilanciatore del carico
indirizzo.
Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe eseguire il rendering di una pagina con informazioni minime sul backend in esecuzione in un'istanza Compute Engine. Se il browser non mostra questa pagina, rivedi la configurazione impostazioni in questa guida.
Passaggi successivi
- Limita le funzionalità della VPC condiviso, ad esempio il servizio tra progetti vengono utilizzati nel progetto utilizzando i vincoli dei criteri dell'organizzazione Cloud Load Balancing.
- Scopri come risolvere i problemi relativi a un bilanciatore del carico delle applicazioni esterno globale.
- Pulisci la configurazione del bilanciamento del carico.