HTTP(S) 負荷分散用の HTTP から HTTPS へのリダイレクトの設定

このページでは、HTTP から HTTPS へのリダイレクトについて説明します。他のタイプのリダイレクトについては、URL リダイレクトをご覧ください。

次の例は、すべてのリクエストをポート 80 からポート 443 にリダイレクトする方法を示しています。

HTTP トラフィックを HTTPS にリダイレクトするには、次のことを行う必要があります。

HTTPS LB1 を作成します（ここでは web-map-https）。
LB1 をテストします。
LB1 で使用されているのと同じ IP アドレスと URL マップで構成されたリダイレクトを使用して、HTTP LB2（バックエンドなし）を作成します（ここでは web-map-http）。
リダイレクトをテストします。

次の図のように、LB1 は、予想されるロードバランサコンポーネントを備えた通常の HTTPS ロードバランサコンポーネントです。

LB2 は、LB1 と同じ IP アドレスを持つ HTTP ロードバランサであり、URL マップにリダイレクト命令が指定されていますが、バックエンドは存在しません。

HTTP から HTTPS へのリダイレクト構成（クリックして拡大） — HTTP から HTTPS へのリダイレクト構成

内部負荷分散に HTTP から HTTPS へのリダイレクトを設定する方法については、内部 HTTP(S) ロードバランサの HTTP から HTTPS へのリダイレクトを設定するをご覧ください。

基本的な HTTPS ロードバランサ（LB1）の設定

この例では、HTTPS ロードバランサの設定とテストについて説明します。

この設定ガイドでは、次のリソースを使用するシンプルな外部 HTTPS ロードバランサの作成方法について説明します。

デフォルトの Virtual Private Cloud（VPC）ネットワーク
Compute Engine マネージドインスタンスグループ
バックエンドトラフィックにポート 80 を指定する名前付きポート
デフォルトの URL マップ
シンプルなバックエンドヘルスチェック
シンプルなフロントエンド転送ルール
予約済み外部 IP アドレス
SSL 証明書

この例がユースケースと一致しない場合は、次のいずれかのページをご覧ください。

Cloud Run については、Cloud Run を使用したロードバランサの設定をご覧ください。
IPv6 と SSL 証明書の設定を含むコンテンツベースのマルチリージョンの例については、マルチリージョンのコンテンツベースの外部 HTTPS ロードバランサの設定をご覧ください。
GKE を使用している場合、ロードバランサは通常、Kubernetes Ingress コントローラによって構成されます。詳細については、外部負荷分散向け Ingress の構成をご覧ください。

一般的なコンセプトについては、外部 HTTP(S) 負荷分散の概要をご覧ください。

HTTPS ロードバランサのトポロジ

このガイドでは、次の図に示す構成を作成します。

この図のイベントの順序は次のとおりです。

クライアントが転送ルールで定義された外部 IPv4 アドレスにコンテンツのリクエストを送信します。
転送ルールによって、リクエストがターゲット HTTPS プロキシに振り向けられます。
ターゲットプロキシは、URL マップのルールを使用して、単一のバックエンドサービスがすべてのリクエストを受信していることを確認します。
ロードバランサは、このバックエンドサービスにはインスタンスグループが 1 つのみ存在していることを確認し、このグループに属する仮想マシン（VM）インスタンスの 1 つにリクエストを振り向けます。
その結果、その VM によって、ユーザーがリクエストしたコンテンツが配信されます。

始める前に

設定が前提条件を満たしていることを確認します。

SSL 証明書リソースを設定する

次の説明に従って、SSL 証明書リソースを作成します。

Google マネージド証明書を使用することをおすすめします。

この例では、SSL 証明書リソース www-ssl-cert をすでに利用していることを前提としています。

権限を設定する

このガイドの手順を完了するには、プロジェクト内に Compute Engine インスタンス、ファイアウォールルール、予約済み IP アドレスを作成する権限が必要になります。プロジェクトのオーナーまたは編集者ロール、あるいは次に示す Compute Engine IAM ロールが必要です。

タスク	必要なロール
インスタンスの作成	インスタンス管理者
ファイアウォールルールの追加と削除	セキュリティ管理者
ロードバランサのコンポーネントの作成	ネットワーク管理者
プロジェクトの作成（省略可）	プロジェクト作成者

詳細については、次のガイドをご覧ください。

マネージドインスタンスグループを作成する

Compute Engine バックエンドでロードバランサを設定するには、VM がインスタンスグループに属している必要があります。このガイドでは、Apache が稼働している Linux VM からなるマネージドインスタンスグループを作成し、負荷分散を設定する方法について説明します。

このマネージドインスタンスグループの VM で外部 HTTPS ロードバランサのバックエンドサーバーを実行します。わかりやすく説明するために、バックエンドサーバーはそれぞれ独自のホスト名を提供します。

Console

Google Cloud Console で、[インスタンスグループ] ページに移動します。
[インスタンスグループ] ページに移動
[インスタンスグループを作成] をクリックします。
左側で [新しいマネージドインスタンスグループ] を選択します。
[名前] に「lb-backend-example」と入力します。
[ロケーション] で [シングルゾーン] を選択します。
[リージョン] で、使用するリージョンを選択します。この例では us-east1 を使用しています。
[ゾーン] で us-east1-b を選択します。
[インスタンステンプレート] で [新しいインスタンステンプレートを作成] を選択します。
[名前] に「lb-backend-template」と入力します。
[ブートディスク] が Debian GNU/Linux 9 (stretch) などの Debian イメージに設定されていることを確認します。これらの手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。

[管理、セキュリティ、ディスク、ネットワーク、単一テナンシー] の [管理] タブで、次のスクリプトを [起動スクリプト] フィールドに挿入します。

#! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://169.254.169.254/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html

[ネットワーキング] タブで、ネットワークタグを追加します。allow-health-check
[保存して次へ] をクリックします。
[自動スケーリングモード] で [自動スケーリングしない] を選択します。
[インスタンスの数] に「2」と入力します。
新しいインスタンスグループを作成するには、[作成] をクリックします。

gcloud

テンプレートを作成します。

gcloud compute instance-templates create lb-backend-template \
   --region=us-east1 \
   --network=default \
   --subnet=default \
   --tags=allow-health-check \
   --image-family=debian-9 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://169.254.169.254/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2'

そのテンプレートに基づいてマネージドインスタンスグループを作成します。

gcloud compute instance-groups managed create lb-backend-example \
   --template=lb-backend-template --size=2 --zone=us-east1-b

インスタンスグループへの名前付きポートの追加

インスタンスグループに HTTP サービスを定義し、ポート名を該当するポートにマッピングします。負荷分散サービスが構成されると、名前を指定したポートにトラフィックが転送されます。

Console

Google Cloud Console で、[インスタンスグループ] ページに移動します。
[インスタンスグループ] ページに移動
インスタンスグループの名前（この例では lb-backend-example）をクリックし、[グループを編集] をクリックします。
[ポート名のマッピングを指定する] をクリックします。
[項目を追加] をクリックします。
ポート名に「http」と入力します。ポート番号に「80」と入力します。
[保存] をクリックします。

gcloud

gcloud compute instance-groups set-named-ports コマンドを使用します。

gcloud compute instance-groups set-named-ports lb-backend-example \
    --named-ports http:80 \
    --zone us-east1-b

ファイアウォールルールの構成

この例では、ファイアウォールルール fw-allow-health-check を作成します。これは Google Cloud ヘルスチェックシステム（130.211.0.0/22 と 35.191.0.0/16）からのトラフィックを許可する上り（内向き）ルールです。この例では、ターゲットタグ allow-health-check を使用して VM が識別されます。

Console

Google Cloud Console で [ファイアウォール] ページに移動します。
[ファイアウォール] ページに移動
[ファイアウォールルールを作成] をクリックして、2 つ目のファイアウォールルールを作成します。
[名前] に「fw-allow-health-check」と入力します。
[ネットワーク] で Default を選択します。
[ターゲット] で [指定されたターゲットタグ] を選択します。
[ターゲットタグ] フィールドに「allow-health-check」を入力します。
[ソースフィルタ] を IP ranges に設定します。
[ソース IP の範囲] を 130.211.0.0/22 と 35.191.0.0/16 に設定します。
[プロトコルとポート] で [指定したプロトコルとポート] をオンにします。
[tcp] チェックボックスをオンにし、ポート番号に「80」と入力します。
[作成] をクリックします。

gcloud

gcloud compute firewall-rules create fw-allow-health-check \
    --network=default \
    --action=allow \
    --direction=ingress \
    --source-ranges=130.211.0.0/22,35.191.0.0/16 \
    --target-tags=allow-health-check \
    --rules=tcp:80

外部 IP アドレスの予約

インスタンスが稼働し始めたので、次にロードバランサにユーザーが接続する際に使用するグローバル静的外部 IP アドレスを設定します。

Console

Google Cloud Console で、[外部 IP アドレス] ページに移動します。
[外部 IP アドレス] ページに移動
IPv4 アドレスを予約するには、[静的アドレスを予約] をクリックします。
[名前] に「lb-ipv4-1」と入力します。
[ネットワークサービス階層] に [プレミアム] を設定します。
[IP バージョン] を IPv4 に設定します。
[タイプ] を [グローバル] に設定します。
[予約] をクリックします。

gcloud

gcloud compute addresses create lb-ipv4-1 \
    --ip-version=IPV4 \
    --global

予約されている IPv4 アドレスをメモします。

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global

ロードバランサの設定

この例では、クライアントとロードバランサの間で HTTPS を使用しているため、プロキシを構成する SSL 証明書リソースが 1 つ以上必要になります。Google マネージド証明書を使用することをおすすめします。

Console

Google Cloud Console で、[負荷分散] ページに移動します。

[負荷分散] ページに移動
[ロードバランサを作成] をクリックします。
[HTTP(S) 負荷分散] で [構成を開始] をクリックします。
[インターネットから自分の VM へ] をオンにし、[続行] をクリックします。
ロードバランサの名前に「web-map-https」を入力します。
[バックエンドの構成] をクリックします。
1. [バックエンドサービスとバックエンドバケットの作成または選択] で [バックエンドサービス] > [バックエンドサービスを作成] の順に選択します。
2. バックエンドサービスの名前（web-backend-service など）を追加します。
3. [プロトコル] で、HTTP を選択します。
4. [名前付きポート] に「http」と入力します。
5. [バックエンド] > [新しいバックエンド] > [インスタンスグループ] で、インスタンスグループ lb-backend-example を選択します。
6. [ポート番号] に「80」と入力します。
7. 他のデフォルト設定は残します。
8. [ヘルスチェック] で [ヘルスチェックを作成] を選択し、ヘルスチェックの名前（http-basic-check など）を追加します。
9. プロトコルを HTTP に設定し、[保存して次へ] をクリックします。
10. 他のデフォルト設定は残します。
11. [作成] をクリックします。
[ホストとパスのルール] で、デフォルト設定をそのまま使用します。
[フロントエンド構成] で、次の値を使用します。

[プロトコル] を HTTPS に設定します。
[IP アドレス] を前の手順で作成した lb-ipv4-1 に設定します。
[ポート] を 443 に設定し、HTTPS トラフィックを許可します。
[証明書] プルダウンリストをクリックし、プライマリ SSL 証明書を選択します。
[完了] をクリックします。

[確認と完了] をクリックします。
ロードバランサの構成が完了したら、[作成] をクリックします。
ロードバランサの作成が完了するまで待ちます。
ロードバランサの名前をクリックします。
[ロードバランサの詳細] 画面で、ロードバランサの IP: ポートをメモします。

gcloud

ヘルスチェックを作成します。

gcloud compute health-checks create http http-basic-check \
    --port 80

バックエンドサービスを作成します。

gcloud compute backend-services create web-backend-service \
    --protocol=HTTP \
    --port-name=http \
    --health-checks=http-basic-check \
    --global

インスタンスグループをバックエンドとしてバックエンドサービスに追加します。

gcloud compute backend-services add-backend web-backend-service \
    --instance-group=lb-backend-example \
    --instance-group-zone=us-east1-b \
    --global

デフォルトのバックエンドサービスに受信リクエストをルーティングする URL マップを作成します。
```
gcloud compute url-maps create web-map-https \
    --default-service web-backend-service
```
まだ作成していない場合は、次に示すようにグローバル SSL 証明書リソースを作成します。
- Google マネージド SSL 証明書リソースの作成
- セルフマネージド SSL 証明書リソースの作成
次の例では、certificate-file という証明書ファイルと private-key-file という秘密鍵ファイルがあることを前提としています。この例では、www-ssl-cert という SSL 証明書リソースを作成します。
```
gcloud compute ssl-certificates create www-ssl-cert \
    --certificate=certificate-file \
    --private-key=private-key-file \
    --global
```
URL マップにリクエストの経路を指定するターゲット HTTPS プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS 負荷分散用の SSL 証明書を保持するため、この手順で証明書も読み込みます。
```
gcloud compute target-https-proxies create https-lb-proxy \
    --url-map web-map-https --ssl-certificates www-ssl-cert
```

受信リクエストをプロキシにルーティングするグローバル転送ルールを作成します。

gcloud compute forwarding-rules create https-content-rule \
    --address=lb-ipv4-1 \
    --global \
    --target-https-proxy=https-lb-proxy \
    --ports=443

インスタンスに送信されるトラフィックのテスト

負荷分散サービスが稼働中になったので、転送ルールへトラフィックを送信できます。また、各インスタンスに分散されるトラフィックを監視できます。

Console

Google Cloud Console で、[負荷分散] ページに移動します。

[負荷分散] ページに移動
作成したロードバランサをクリックします。
[バックエンド] セクションで、VM が正常であることを確認します。[正常] 列には、両方の VM が正常であること（2/2）が示されます。それ以外の場合は、最初にページを再読み込みしてみてください。VM が正常な状態であることが Cloud Console に表示されるまでに時間がかかる場合があります。数分経ってもバックエンドが正常に動作しない場合は、ファイアウォールの構成と、バックエンド VM に割り当てられているネットワークタグを確認します。

Google マネージド証明書を使用している場合は、証明書リソースのステータスが ACTIVE であることを確認します。詳しくは、Google マネージド SSL 証明書リソースのステータスをご覧ください。
Cloud Console でバックエンドインスタンスが正常であることを確認したら、https://IP_ADDRESS にアクセスし、ウェブブラウザでロードバランサをテストできます。IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。
テストに自己署名証明書を使用した場合、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

ページを提供したインスタンスの名前とそのゾーン（Page served from: lb-backend-example-xxxx など）を示すコンテンツを含むページがブラウザで表示されます。お使いのブラウザでこのページがレンダリングされない場合は、このガイドの構成設定を確認してください。

完了すると、Cloud Console に HTTPS ロードバランサに関する情報が次のように表示されます。

HTTPS ロードバランサ

HTTPS ロードバランサへのトラフィックのリダイレクト

LB1 を作成し、動作確認を完了したところで、LB2（バックエンドが存在しない部分的な HTTP ロードバランサ）を作成して HTTP トラフィックを LB1 にリダイレクトできます。

この例では、301 レスポンスコードを使用しています。別のレスポンスコードを使用することもできます。

リダイレクトを構成するには、Google Cloud Console を使用するか、YAML ファイルをインポートします。

gcloud コマンドラインツールを使用する場合は、ターゲット HTTP プロキシがトラフィックをリダイレクトする URL マップを参照している必要があります。Cloud Console を使用している場合、この処理は自動的に行われます。

Console

構成を開始する

Google Cloud Console で、[Cloud Load balancing] ページに移動します。
[Cloud Load balancing] に移動
[HTTP(S) 負荷分散] で [構成を開始] をクリックします。
[インターネットから自分の VM へ] をオンにし、[続行] をクリックします。
ロードバランサの [名前] に「web-map-http」と入力します。
ウィンドウを開いたままにして続行します。

バックエンド構成をスキップする

[バックエンドの構成] セクションをスキップします。
このロードバランサにバックエンドは必要ありません。

URL マップでリダイレクトを構成する

ページの左側の列で、[ホストとパスのルール] をクリックします。
[詳細なホストとパスのルール（URL リダイレクト、URL の書き換え）] を選択します。
[アクション] で、[クライアントを別のホスト / パスにリダイレクト] を選択します。
[ホストのリダイレクト] は空欄のままにします。
[パスのリダイレクト] で、[フルパスのリダイレクト] を選択します。
[パス値] は空欄のままにします。
[リダイレクトのレスポンスコード] で、[301 - Moved Permanently（恒久的に移動した）] を選択します。
[HTTPS リダイレクト] で、[有効] を選択します。
[完了] をクリックします。
ロードバランサ構成ページを開いたままにして続行します。

LB1 で使用されている IP アドレスで HTTP 転送ルールを構成する

ロードバランサの構成ページで、[フロントエンドの構成] をクリックします。
[名前] に「http-content-rule」と入力します。
[プロトコル] を HTTP に設定します。
[IP バージョン] を IPv4 に設定します。
[IP アドレス] に、HTTPS ロードバランサに使用した IP アドレスを設定します。
[ポート] が 80 に設定され、HTTP トラフィックが許可されていることを確認します。
[完了] をクリックします。
ウィンドウを開いたままにして続行します。

構成を確認する

左側のパネルで、[確認と完了] をクリックします。
現在の設定と作成しようとしている内容を比較します。
設定に問題がない場合は、[作成] をクリックします。

gcloud

YAML ファイル /tmp/web-map-http.yaml を作成します。この例では、レスポンスコードとして MOVED_PERMANENTLY_DEFAULT を使用しています。

kind: compute#urlMap
name: web-map-http
defaultUrlRedirect:
   redirectResponseCode: MOVED_PERMANENTLY_DEFAULT
   httpsRedirect: True
tests:
- description: Test with no query parameters
  host: foobar
  path: /test/
  expectedOutputUrl: https://foobar/test/
  expectedRedirectResponseCode: 301
- description: Test with query parameters
  host: foobar
  path: /test/?parameter1=value1&parameter2=value2
  expectedOutputUrl: https://foobar/test/?parameter1=value1&parameter2=value2
  expectedRedirectResponseCode: 301

URL マップを検証します。
```
gcloud compute url-maps validate --source /tmp/web-map-http.yaml
```
テストに合格し、コマンドによって成功メッセージが出力された場合は、URL マップに変更を保存します。
YAML ファイルをインポートして、HTTP ロードバランサの URL マップを作成します。この URL マップの名前は web-map-http です。
```
gcloud compute url-maps import web-map-http \
   --source /tmp/web-map-http.yaml \
   --global
```
既存の URL マップを更新する場合、次のプロンプトが表示されます。
```
Url Map [web-map-http] will be overwritten.

Do you want to continue (Y/n)?
```
続行するには [Y] を押します。

URL マップが更新されていることを確認します。HTTP ロードバランサの URL マップは次のようになります。

gcloud compute url-maps describe web-map-http

creationTimestamp: '2020-03-23T10:53:44.976-07:00'
defaultUrlRedirect:
 httpsRedirect: true
 redirectResponseCode: MOVED_PERMANENTLY_DEFAULT
fingerprint: 3A5N_RLrED8=
id: '2020316695093397831'
kind: compute#urlMap
name: web-map-http
selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/urlMaps/web-map-http

web-map-http を URL マップとして使用して、新しいターゲット HTTP プロキシを作成するか、既存のターゲット HTTP プロキシを更新します。

gcloud compute target-http-proxies create http-lb-proxy \
   --url-map=web-map-http \
   --global

または

gcloud compute target-http-proxies update http-lb-proxy \
   --url-map=web-map-http \
   --global

受信リクエストをプロキシにルーティングするグローバル転送ルールを作成します。--address フラグで lb-ipv4-1 を指定します。これは、外部 HTTPS ロードバランサに使用されるものと同じ IP アドレスです。
```
gcloud compute forwarding-rules create http-content-rule \
   --address=lb-ipv4-1 \
   --global \
   --target-http-proxy=http-lb-proxy \
   --ports=80
```

完了すると、Cloud Console に次の 2 つのロードバランサが表示されます。

両方のロードバランサ

Cloud Console には、web-map-httpロードバランサに関する情報が次のように表示されます。

HTTP ロードバランサ

カスタムヘッダーの追加

必要に応じて、HTTPS ロードバランサのバックエンドサービスに HTTP Strict-Transport-Security ヘッダーを以下のとおり追加します。

ヘッダー名: Strict-Transport-Security
ヘッダー値: max-age=31536000; includeSubDomains; preload

この設定でカスタムヘッダーがクライアントに送信され、次回クライアントが HTTP 経由で URL にアクセスしようとすると、ブラウザはリダイレクトします。

カスタムヘッダーをバックエンドサービスの構成に追加するには、次のように --custom-response-header フラグを使用します。

gcloud compute backend-services update web-backend-service \
    --global \
    --custom-response-header='Strict-Transport-Security:max-age=31536000; includeSubDomains; preload'

詳細については、カスタムヘッダーの作成をご覧ください。

HTTP から HTTPS へのリダイレクトをテストする

両方のロードバランサで使用している予約済みの IP アドレスをメモします。

gcloud compute addresses describe lb-ipv4-1 \
    --format="get(address)" \
    --global

この例では、予約済みの IP アドレスが 34.98.77.106 であるとしています。http://34.98.77.106/ URL は https://34.98.77.106/ にリダイレクトされます。

数分経過したら、次の curl コマンドを実行してテストします。34.98.77.106 は、予約済みの IP アドレスに置き換えてください。

curl 34.98.77.106:80

出力例:

<HTML><HEAD><meta http-equiv="content-type" content="text/html;charset=utf-8">
<TITLE>301 Moved</TITLE></HEAD><BODY>
<H1>301 Moved</H1>
The document has moved
<A HREF="https://34.98.77.106/">here</A>.
</BODY></HTML>

次のステップ

ロードバランサの設定をクリーンアップする。
URL リダイレクトについて学習する。

HTTP(S) 負荷分散用の HTTP から HTTPS へのリダイレクトの設定

基本的な HTTPS ロードバランサ（LB1）の設定

HTTPS ロードバランサのトポロジ

始める前に

SSL 証明書リソースを設定する

権限を設定する

マネージド インスタンス グループを作成する

Console

gcloud

インスタンス グループへの名前付きポートの追加

Console

gcloud

ファイアウォール ルールの構成

Console

gcloud

外部 IP アドレスの予約

Console

gcloud

ロードバランサの設定

Console

gcloud

インスタンスに送信されるトラフィックのテスト

Console

HTTPS ロードバランサへのトラフィックのリダイレクト

Console

gcloud

カスタム ヘッダーの追加

HTTP から HTTPS へのリダイレクトをテストする

次のステップ

マネージドインスタンスグループを作成する

インスタンスグループへの名前付きポートの追加

ファイアウォールルールの構成

カスタムヘッダーの追加