Questo documento mostra due configurazioni di esempio per la configurazione di un bilanciatore del carico delle applicazioni esterno regionale in un ambiente VPC condiviso:
- Il primo esempio crea tutti i componenti e i backend del bilanciatore del carico in un progetto di servizio.
- Il secondo esempio crea i componenti frontend e la mappa URL del bilanciatore del carico in un progetto di servizio, mentre il servizio e i backend del bilanciatore del carico vengono creati in un progetto di servizio diverso. Questo tipo di implementazione, in cui la mappa URL fa riferimento a un servizio di backend in un altro progetto, è chiamato Riferimento a servizi tra progetti.
Entrambi gli esempi richiedono la stessa configurazione iniziale per concedere le autorizzazioni e configurare il VPC condiviso prima di poter iniziare a creare bilanciatori del carico.
Queste non sono le uniche configurazioni di VPC condiviso supportate un bilanciatore del carico delle applicazioni esterno regionale. Per altre architetture VPC condivise valide, consulta Architetture VPC condivise.
Se non vuoi utilizzare una rete VPC condiviso, consulta Configura un bilanciatore del carico delle applicazioni esterno regionale con backend di gruppi di istanze VM.
Prima di iniziare
- Leggi la panoramica sulla rete VPC condivisa.
- Leggi la panoramica di Application Load Balancer esterno, inclusa la sezione Architetture VPC condivise.
Autorizzazioni obbligatorie
La configurazione di un bilanciatore del carico in una rete VPC condivisa richiede alcune operazioni di configurazione e provisioning iniziali da parte di un amministratore. Dopo la configurazione iniziale, il proprietario di un progetto di servizio può eseguire una delle seguenti operazioni:
- Esegui il deployment di tutti i componenti del bilanciatore del carico e dei relativi backend in un progetto di servizio.
- Esegui il deployment dei componenti di backend del bilanciatore del carico (servizio di backend e backend) nei progetti di servizio a cui può fare riferimento una mappa URL in un altro servizio o progetto host.
Questa sezione riassume le autorizzazioni necessarie per seguire la guida per configurare un bilanciatore del carico su una rete VPC condiviso.
Configura rete VPC condivisa
I seguenti ruoli sono obbligatori per le seguenti attività:
- Esegui attività amministrative una tantum come la configurazione della VPC condivisa e l'attivazione di un progetto host.
- Esegui attività amministrative che devono essere ripetute ogni volta che vuoi inizializzare un nuovo progetto di servizio. Sono inclusi il collegamento del progetto di servizio, il provisioning e la configurazione delle risorse di rete e la concessione dell'accesso all'amministratore del progetto di servizio.
Queste attività devono essere eseguite nel progetto host del VPC condiviso. Me consiglia all'Amministratore del VPC condiviso di essere anche il proprietario Progetto host VPC condiviso. In questo modo vengono concessi automaticamente i ruoli Network Admin e Security Admin.
Attività | Ruolo richiesto |
---|---|
Configura un VPC condiviso, abilita il progetto host e concedi l'accesso a amministratori progetti di servizio | Amministratore VPC condiviso |
Crea subnet nel progetto host del VPC condiviso e concedi l'accesso a amministratori progetti di servizio | Amministratore di rete |
Aggiungere e rimuovere regole firewall | Amministratore della sicurezza |
Dopo aver eseguito il provisioning delle subnet, il proprietario del progetto host deve concedere il ruolo Utente di rete nel progetto host a chiunque (in genere amministratori, sviluppatori o account di servizio dei progetti di servizio) debba utilizzare queste risorse.
Attività | Ruolo richiesto |
---|---|
Utilizza le reti e le subnet VPC appartenenti al progetto host | Utente di rete |
Questo ruolo può essere concesso a livello di progetto o per singole subnet. Ti consigliamo di concedere il ruolo alle singole subnet. La concessione del ruolo in il progetto dà accesso a tutte le subnet attuali e future nel rete VPC del progetto host.
Esegui il deployment del bilanciatore del carico e dei backend
Gli amministratori del progetto di servizio devono avere i seguenti ruoli nel progetto di servizio per creare risorse e backend di bilanciamento del carico. Queste autorizzazioni vengono concesse automaticamente al proprietario o all'editor del progetto di servizio.
Attività | Ruolo richiesto |
---|---|
crea i componenti del bilanciatore del carico | Amministratore di rete |
Creazione delle istanze | Amministratore istanze |
Creare e modificare i certificati SSL | Amministratore sicurezza |
Prerequisiti
In questa sezione, devi eseguire i seguenti passaggi:
I passaggi descritti in questa sezione non devono essere eseguiti ogni volta che vuoi creare un nuovo bilanciatore del carico. Tuttavia, devi assicurarti di avere accesso ai le risorse descritte qui prima di creare il bilanciatore del carico.
Configura la rete e le subnet nel progetto host
È necessaria una rete VPC condiviso con due subnet: una per il carico il frontend e i backend del bilanciatore del carico e uno per i proxy del bilanciatore del carico.Questo esempio utilizza le reti, la regione e le subnet seguenti:
Rete. La rete è denominata
lb-network
.Subnet per il frontend e i backend del bilanciatore del carico. Una subnet chiamata
lb-frontend-and-backend-subnet
nella regioneus-west1
utilizza10.1.2.0/24
per il suo intervallo IP principale.Subnet per i proxy. Una subnet denominata
proxy-only-subnet
nella regioneus-west1
utilizza10.129.0.0/23
per il suo intervallo IP principale.
Configura la subnet per il frontend e i backend del bilanciatore del carico
Questo passaggio non deve essere eseguito ogni volta che vuoi creare un nuovo bilanciatore del carico. Devi solo assicurarti che il progetto di servizio abbia accesso a una subnet nella rete VPC condiviso (oltre alla subnet solo proxy).Tutti i passaggi in questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud, vai alla pagina Reti VPC.
- Fai clic su Crea rete VPC.
- In Nome, inserisci
lb-network
. Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
Nella sezione Nuova subnet, inserisci le informazioni seguenti:
- Nome:
lb-frontend-and-backend-subnet
Regione:
us-west1
Intervallo di indirizzi IP:
10.1.2.0/24
- Nome:
Fai clic su Fine.
Fai clic su Crea.
gcloud
Crea una rete VPC con il comando
gcloud compute networks create
:gcloud compute networks create lb-network --subnet-mode=custom
Crea una subnet nella rete
lb-network
nella regioneus-west1
:gcloud compute networks subnets create lb-frontend-and-backend-subnet
--network=lb-network
--range=10.1.2.0/24
--region=us-west1
Terraform
Crea una rete VPC:
Crea una subnet nella regione
us-west1
:
Configura la subnet solo proxy
La subnet solo proxy viene utilizzata da tutto il carico basato su Envoy a livello di regione
bilanciatori del carico in us-west1
nella rete VPC di lb-network
. Può esserci una sola
subnet solo proxy attiva per regione e per rete.
Non eseguire questo passaggio se nella regione us-west1
di questa rete è già presente una subnet solo proxy riservata.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud, vai alla pagina Reti VPC.
- Fai clic sul nome della rete VPC condiviso:
lb-network
. - Fai clic su Aggiungi subnet.
- In Nome, inserisci
proxy-only-subnet
. - In Regione, seleziona
us-west1
. - Imposta Purpose su Regional Managed Proxy (Proxy gestito a livello di regione).
- In Intervallo di indirizzi IP, inserisci
10.129.0.0/23
. - Fai clic su Aggiungi.
gcloud
Crea la subnet solo proxy con il comando gcloud compute networks subnets
create
:
gcloud compute networks subnets create proxy-only-subnet \ --purpose=REGIONAL_MANAGED_PROXY \ --role=ACTIVE \ --region=us-west1 \ --network=lb-network \ --range=10.129.0.0/23
Terraform
Crea la subnet solo proxy:
Concedi agli amministratori del progetto di servizio l'accesso alla subnet di backend
Gli amministratori dei progetti di servizio richiedono l'accessolb-frontend-and-backend-subnet
subnet in modo che possa eseguire il provisioning del carico
dai backend del bilanciatore.
Un amministratore VPC condiviso deve concedere l'accesso alla subnet di backend agli amministratori dei progetti di servizio (o agli sviluppatori che eseguono il deployment di risorse e backend che utilizzano la subnet). Per istruzioni, vedi Amministratori progetti di servizio per alcune subnet.
Configura le regole del firewall nel progetto host
In questo esempio vengono utilizzate le seguenti regole firewall:fw-allow-health-check
. Una regola in entrata, applicabile alle istanze con bilanciamento del carico, che consente tutto il traffico TCP da Google Cloud sistemi di controllo dell'integrità in130.211.0.0/22
e35.191.0.0/16
. Questo esempio utilizza il tag di destinazioneload-balanced-backend
per identificare le istanze a cui deve essere applicata.
fw-allow-proxies
. Una regola di ingresso, applicabile alle istanze bilanciate in base al carico, che consente il traffico TCP sulle porte80
,443
e8080
dai proxy gestiti del bilanciatore del carico. Questo esempio utilizza la classe il tag di destinazioneload-balanced-backend
per identificare le istanze a cui devono essere applicati.
Tutti i passaggi in questa sezione devono essere eseguiti nel progetto host.
Console
Nella console Google Cloud, vai alla pagina Criteri firewall.
- Fai clic su Crea regola firewall per creare la regola che consente Controlli di integrità di Google Cloud:
- Nome:
fw-allow-health-check
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
130.211.0.0/22
e35.191.0.0/16
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80
per il numero di porta.
Come best practice, limita questa regola solo ai protocolli e alle porte corrispondenti a quelli utilizzati dal controllo di integrità. Se utilizzi
tcp:80
per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta80
per contattare le tue VM, ma non può utilizzare HTTPS sulla porta443
per contattarle. - Fai clic su Crea.
- Fai clic su Crea regola firewall per creare la regola che consente Controlli di integrità di Google Cloud:
- Nome:
fw-allow-proxies
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
10.129.0.0/23
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80, 443, 8080
per i numeri di porta.
- Fai clic su Crea.
gcloud
Crea la regola firewall
fw-allow-health-check
per consentire Controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP dai probe del controllo di integrità. Tuttavia, puoi configurare un insieme di porte per soddisfare le tue esigenze.gcloud compute firewall-rules create fw-allow-health-check \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=130.211.0.0/22,35.191.0.0/16 \ --target-tags=load-balanced-backend \ --rules=tcp
Crea la regola firewall
fw-allow-proxies
per consentire al traffico proveniente dalla subnet solo proxy di Envoy di raggiungere i tuoi backend.gcloud compute firewall-rules create fw-allow-proxies \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=10.129.0.0/23 \ --target-tags=load-balanced-backend \ --rules=tcp:80,tcp:443,tcp:8080
Terraform
Crea una regola firewall per consentire i controlli di integrità di Google Cloud.
Crea una regola firewall per consentire il traffico dalla subnet solo proxy Envoy per raggiungere i tuoi backend.
Configura un VPC condiviso nel progetto host
Questo passaggio prevede l'abilitazione di un progetto host VPC condiviso, la condivisione delle subnet del progetto host e il collegamento dei progetti di servizio al progetto host in modo che possano utilizzare la rete VPC condivisa. Per configurare VPC condiviso nel progetto host, consulta le seguenti pagine:
Il resto di queste istruzioni presuppone che tu abbia già configurato il VPC condiviso. Sono inclusi la configurazione dei criteri IAM per la tua organizzazione e la designazione dei progetti host e di servizio.
Non procedere finché non avrai configurato il VPC condiviso e abilitato l'host e progetti di servizio.
Dopo aver completato i passaggi definiti in questa sezione sui prerequisiti, puoi procedere con una delle seguenti configurazioni:
Configura un bilanciatore del carico in un progetto di servizio
Configura un bilanciatore del carico con un servizio di backend tra progetti
Configura un bilanciatore del carico nel progetto di servizio
Questo esempio crea un bilanciatore del carico delle applicazioni esterno regionale in cui tutti i componenti di bilanciamento del carico (regola di inoltro, proxy di destinazione, mappa URL e servizio di backend) e i backend vengono creati nel progetto di servizio.
Le risorse di rete dell'Application Load Balancer esterno regionale, come la subnet solo proxy e la subnet per le istanze di backend, vengono create nel progetto host. Anche le regole firewall per le istanze di backend vengono create nel progetto host.
Questa sezione mostra come configurare il bilanciatore del carico e i backend. Questi passaggi deve essere eseguita dall'amministratore del progetto di servizio (o da uno sviluppatore operare all'interno del progetto di servizio) e non richiedono l'intervento del amministratore del progetto host. I passaggi di questa sezione sono molto simili a i passaggi standard per configurare Application Load Balancer esterni regionali.
L'esempio in questa pagina imposta esplicitamente un indirizzo IP riservato per la regola di inoltro del bilanciatore del carico delle applicazioni esterno regionale, anziché consentire l'allocazione di un indirizzo IP temporaneo. Come best practice, ti consigliamo di prenotare gli indirizzi IP per le regole di inoltro.
Crea un backend per il gruppo di istanze gestite
Questa sezione mostra come creare un modello di istanza e un backend per un gruppo di istanze gestite. Il traffico proveniente dai client viene bilanciato sulle VM in questi gruppi di istanze.
Console
Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.
- Fai clic su Crea modello istanza.
- In Nome, inserisci
l7-xlb-backend-template
. - Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 12 (bookworm). Queste istruzioni utilizzano comandi
sono disponibili solo su Debian, come
apt-get
. Se devi modificare il Disco di avvio, fai clic su Cambia.- In Sistema operativo, seleziona Debian.
- Per Versione, seleziona una delle immagini Debian disponibili, come come Debian GNU/Linux 12 (bookworm).
- Fai clic su Seleziona.
- Fai clic su Opzioni avanzate e poi su Networking.
- Inserisci i seguenti tag di rete:
load-balanced-backend
. - In Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
- Seleziona la subnet
lb-frontend-and-backend-subnet
dalla Retelb-network
. Fai clic su Gestione. Per Gestione, inserisci il seguente script nel campo Script di avvio.
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Creare un gruppo di istanze gestite. Nella console Google Cloud, vai alla pagina Gruppi di istanze.
- Fai clic su Crea gruppo di istanze.
- Scegli Nuovo gruppo di istanze gestite (stateless). Per ulteriori informazioni, consulta Gruppi di istanze gestite stateless o stateful.
- In Nome, inserisci
l7-xlb-backend-example
. - In Località, seleziona Zona singola.
- In Regione, seleziona us-west1.
- In Zona, seleziona us-west1-a.
- In Modello di istanza, seleziona
l7-xlb-backend-template
. Specifica il numero di istanze che vuoi creare nel gruppo.
Per questo esempio, specifica le seguenti opzioni per la Scalabilità automatica:
- In Modalità di scalabilità automatica, seleziona
Off:do not autoscale
. - In Numero massimo di istanze, inserisci
2
.
Se vuoi, nella sezione Scalabilità automatica puoi configurare gruppo di istanze per aggiungere o rimuovere automaticamente di Compute Engine in base all'utilizzo della CPU dell'istanza.
- In Modalità di scalabilità automatica, seleziona
Fai clic su Crea.
gcloud
Le istruzioni per gcloud
in questa guida presuppongono che l'utilizzo di Cloud
Shell o un altro ambiente con bash installato.
Crea un modello di istanza VM con il server HTTP
gcloud compute instance-templates create
.gcloud compute instance-templates create l7-xlb-backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_ID
Crea un gruppo di istanze gestite nella zona con
gcloud compute instance-groups managed create
.gcloud compute instance-groups managed create l7-xlb-backend-example \ --zone=us-west1-a \ --size=2 \ --template=l7-xlb-backend-template \ --project=SERVICE_PROJECT_ID
Prenota l'indirizzo IP del bilanciatore del carico nel progetto di servizio
Prenota un indirizzo IP esterno statico a livello di regione per il bilanciatore del carico nella progetto di servizio.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio.
Console
Nella console Google Cloud, vai alla pagina Prenotare un indirizzo statico.
Inserisci un nome per il nuovo indirizzo.
In Network Service Tier (Livello di servizio di rete), seleziona Standard.
Per Versione IP, seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e possono essere utilizzati solo con i bilanciatori del carico globali.
In Tipo, seleziona A livello di regione.
In Regione, seleziona
us-west1
.Lascia l'opzione Associato a impostata su Nessuna. Dopo aver creato il bilanciatore del carico, questo indirizzo IP viene associato alla regola di forwarding del bilanciatore del carico.
Per prenotare l'indirizzo IP, fai clic su Prenota.
gcloud
Per prenotare un indirizzo IP esterno statico, utilizza il metodo
Comando compute addresses create
.
gcloud compute addresses create IP_ADDRESS_NAME \ --region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_ID
Sostituisci quanto segue:
IP_ADDRESS_NAME
: il nome che vuoi chiamare .SERVICE_PROJECT_ID
: l'ID progetto per il progetto di servizio in cui viene creato il bilanciatore del carico.
Configura il bilanciatore del carico
Questa sezione mostra come creare le seguenti risorse del bilanciatore del carico delle applicazioni esterno regionale:
- Controllo di integrità HTTP
- Servizio di backend con un gruppo di istanze gestite come backend
- Una mappa URL
- Certificato SSL (obbligatorio solo per HTTPS)
- Proxy di destinazione
- Regola di forwarding
Disponibilità proxy
A seconda del numero di progetti di servizio che utilizzano la stessa rete VPC condivisa, potresti raggiungere quote o limiti più rapidamente rispetto al modello di deployment della rete in cui ogni progetto Google Cloud ospita la propria rete.
Ad esempio, a volte le regioni Google Cloud non dispongono di una capacità proxy sufficiente per un nuovo bilanciatore del carico delle applicazioni esterno regionale. In questo caso, la console Google Cloud fornisce un messaggio di avviso sulla disponibilità del proxy quando crei il tuo con il bilanciatore del carico di rete passthrough esterno regionale. Per risolvere il problema, puoi procedere in uno dei seguenti modi:
- Attendi che il problema relativo alla capacità venga risolto.
Contatta il team di vendita di Google Cloud per aumentare questi limiti.
Console
Passa al progetto di servizio
- Nella console Google Cloud, vai alla pagina Dashboard.
- Fai clic sull'elenco Seleziona da nella parte superiore della pagina. Nella Seleziona da visualizzata, seleziona il progetto di servizio in cui in cui vuoi creare il bilanciatore del carico.
Avvia la configurazione
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Pubblico (esterno) e fai clic su Avanti.
- Per Deployment globale o in una regione singola, seleziona Ideale per regionali e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- In Nome del bilanciatore del carico, inserisci
l7-xlb-shared-vpc
. - In corrispondenza di Regione, seleziona us-west1.
Per Rete, seleziona lb-network (da Progetto: HOST_PROJECT_ID).
Se vedi una Subnet solo proxy obbligatoria nella VPC condiviso condivisa avviso, conferma che l'amministratore del progetto host abbia creato
proxy-only-subnet
nella regioneus-west1
inlb-network
rete VPC condiviso. La creazione del bilanciatore del carico andrà a buon fine anche se non disponi dell'autorizzazione per visualizzare la subnet solo proxy in questa pagina.Tieni aperta la pagina per continuare.
Configura il frontend
Per HTTP:
- Fai clic su Configurazione frontend.
- Fai clic su Aggiungi IP e porta frontend.
- Imposta il Nome su
l7-xlb-forwarding-rule
. - Imposta il Protocollo su
HTTP
. - Imposta Porta su
80
. Per l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, sono necessarie una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, vedi Certificati SSL. Gestita da Google I certificati non sono attualmente supportati con i bilanciatori del carico delle applicazioni esterni regionali.
- Fai clic su Configurazione frontend.
- Fai clic su Aggiungi IP e porta frontend.
- Nel campo Nome, inserisci
l7-xlb-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. - Assicurati che Porta sia impostata su
443
per consentire il traffico HTTPS. - Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico.
- Fai clic sull'elenco Certificato.
- Se hai già una risorsa del certificato SSL con gestione indipendente che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
- Altrimenti, seleziona Crea un nuovo certificato.
- Inserisci il Nome di
l7-xlb-cert
. - Carica i file in formato PEM nei campi appropriati:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
- Inserisci il Nome di
- Per aggiungere risorse del certificato oltre alla risorsa del certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Seleziona un certificato dall'elenco Certificati o fai clic su Crea un nuovo certificato e segui le istruzioni riportate sopra.
- Fai clic su Fine.
Configura il backend
- Fai clic su Configurazione backend.
- Dal menu Crea o seleziona servizi di backend, Seleziona Crea un servizio di backend.
- Imposta il nome del servizio di backend su
l7-xlb-backend-service
. - Imposta Tipo di backend su Gruppi di istanze.
- Nella sezione Nuovo backend:
- Imposta Gruppo di istanze su
l7-xlb-backend-example
. - Imposta Numeri di porta su
80
. - Imposta Modalità di bilanciamento su Utilizzo.
- Fai clic su Fine.
- Imposta Gruppo di istanze su
- Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con i seguenti parametri:
- Nome:
l7-xlb-basic-check
- Protocollo:
HTTP
- Porta:
80
- Nome:
- Fai clic su Salva e continua.
- Fai clic su Crea.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che
l7-xlb-backend-service
è l'unico servizio di backend per qualsiasi host senza corrispondenza del tuo percorso di apprendimento.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Rivedi e finalizza la configurazione
- Fai clic su Crea.
gcloud
Definisci il controllo di integrità HTTP con
gcloud compute health-checks create http
.gcloud compute health-checks create http l7-xlb-basic-check \ --region=us-west1 \ --use-serving-port \ --project=SERVICE_PROJECT_ID
Definisci il servizio di backend con il comando
gcloud compute backend-services create
.gcloud compute backend-services create l7-xlb-backend-service \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --health-checks=l7-xlb-basic-check \ --health-checks-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Aggiungi i backend al servizio di backend con il comando
gcloud compute backend-services add-backend
.gcloud compute backend-services add-backend l7-xlb-backend-service \ --balancing-mode=UTILIZATION \ --instance-group=l7-xlb-backend-example \ --instance-group-zone=us-west1-a \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Crea la mappa URL con il comando
gcloud compute url-maps create
.gcloud compute url-maps create l7-xlb-map \ --default-service=l7-xlb-backend-service \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Crea il proxy di destinazione.
Per HTTP:
Per un bilanciatore del carico HTTP, crea il proxy di destinazione con il comando
gcloud compute target-http-proxies create
.gcloud compute target-http-proxies create l7-xlb-proxy \ --url-map=l7-xlb-map \ --url-map-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Per HTTPS:
Per informazioni su come creare risorse del certificato SSL, consulta Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni esterni regionali.
Assegna i percorsi dei file a nomi delle variabili.
export LB_CERT=path to PEM-formatted file
export LB_PRIVATE_KEY=path to PEM-formatted file
Crea un certificato SSL a livello di regione utilizzando il comando
gcloud compute ssl-certificates create
.gcloud compute ssl-certificates create l7-xlb-cert \ --certificate=$LB_CERT \ --private-key=$LB_PRIVATE_KEY \ --region=us-west1
Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione con
gcloud compute target-https-proxies create
.gcloud compute target-https-proxies create l7-xlb-proxy \ --url-map=l7-xlb-map \ --region=us-west1 \ --ssl-certificates=l7-xlb-cert \ --project=SERVICE_PROJECT_ID
Crea la regola di inoltro.
Per le reti personalizzate, devi fare riferimento alla subnet nella regola di forwarding.
Per l'indirizzo IP della regola di inoltro, utilizza
lb-frontend-and-backend-subnet
. Se provi Per utilizzare una subnet solo proxy, la creazione della regola di forwarding non riesce.Per HTTP:
Utilizzare il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-xlb-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --address=IP_ADDRESS_NAME \ --ports=80 \ --region=us-west1 \ --target-http-proxy=l7-xlb-proxy \ --target-http-proxy-region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_ID
Per HTTPS:
Creare la regola di forwarding con il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-xlb-forwarding-rule \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --address=IP_ADDRESS_NAME \ --ports=443 \ --region=us-west1 \ --target-https-proxy=l7-xlb-proxy \ --target-https-proxy-region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_ID
Testa il bilanciatore del carico
Quando il servizio di bilanciamento del carico è in esecuzione, puoi inviare il traffico alla regola di inoltro e osservare la distribuzione del traffico su diverse istanze.
Console
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic sul bilanciatore del carico che hai appena creato.
- Prendi nota dell'indirizzo IP del bilanciatore del carico. Questo indirizzo IP è indicato come
LB_IP_ADDRESS
nel seguente passaggi. - Nella sezione Backend, verifica che le VM siano in stato integro. La colonna Stato integro dovrebbe essere compilata, a indicare che entrambe le VM sono in stato di integrità (
2/2
). In caso contrario, prova prima a ricaricare la pagina. Potrebbero essere necessari alcuni istanti prima che la console Google Cloud annunci che le VM sono in esecuzione correttamente. Se i backend non sembrano essere operativi dopo alcuni minuti, controlla la configurazione del firewall e il tag di rete assegnato alle VM di backend. - Dopo che la console Google Cloud indica che le istanze di backend sono in stato attivo, puoi testare il bilanciatore del carico utilizzando un browser web andando all'indirizzo
https://LB_IP_ADDRESS
(ohttp://LB_IP_ADDRESS
). SostituisciLB_IP_ADDRESS
con l'indirizzo IP del bilanciatore del carico. - Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
- Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome del
che ha pubblicato la pagina, insieme alla sua zona (ad esempio,
Page served from: lb-backend-example-xxxx
). Se il browser non supporta visualizzare questa pagina, rivedi le impostazioni di configurazione in questa guida.
gcloud
Prendi nota dell'indirizzo IP riservato:
gcloud compute addresses describe IP_ADDRESS_NAME \ --format="get(address)" \ --region=us-west1
Puoi testare il bilanciatore del carico utilizzando un browser web andando all'indirizzo
https://IP_ADDRESS_NAME
(o
http://IP_ADDRESS_NAME
). Sostituisci
IP_ADDRESS_NAME
con il
indirizzo IP del bilanciatore del carico.
Se hai utilizzato un certificato autofirmato per il test del protocollo HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato.
Il browser dovrebbe eseguire il rendering di una pagina con informazioni minime sul backend in esecuzione in un'istanza Compute Engine. Se il browser non mostra questa pagina, rivedi la configurazione impostazioni in questa guida.
Configura un bilanciatore del carico con un servizio di backend tra progetti
L'esempio precedente in questa pagina mostra come configurare un VPC condiviso deployment in cui vengono creati tutti i componenti del bilanciatore del carico e i relativi backend nel progetto di servizio.
Gli Application Load Balancer esterni regionali ti consentono anche di configurare i deployment VPC condivisi in cui una mappa URL in un progetto host o di servizio può fare riferimento a servizi di backend (e backend) situati in più progetti di servizio negli ambienti VPC condivisi. Questo è denominato cross-project il riferimento ai servizi.
Puoi utilizzare i passaggi descritti in questa sezione come riferimento per configurare una delle combinazioni supportate elencate di seguito:
- Regola di forwarding, proxy di destinazione e mappa di URL nel progetto host e nel backend in un progetto di servizio
- Regola di forwarding, proxy di destinazione e mappa di URL in un progetto di servizio e servizio di backend in un altro progetto di servizio
I riferimenti ai servizi tra progetti possono essere utilizzati con gruppi di istanze, serverless NEG o qualsiasi altro tipo di backend supportato. Se utilizzi NEG serverless, devi creare una VM nella rete VPC in cui intendi creare il frontend del bilanciatore del carico. Per un esempio, vedi Crea un'istanza VM in una subnet specifica in Configurare un bilanciatore del carico delle applicazioni esterno regionale con Cloud Run.
Requisiti di configurazione
Questo esempio configura un bilanciatore del carico di esempio con frontend e backend in due diversi progetti di servizio.
Se non lo hai già fatto, devi completare tutti i passaggi dei prerequisiti per impostare il VPC condiviso e configurare la rete, le subnet e il firewall regole richieste per questo esempio. Per istruzioni, consulta le sezioni seguenti su all'inizio di questa pagina:
Prenota l'indirizzo IP del bilanciatore del carico nel progetto di servizio A
Prenota un indirizzo IP esterno statico regionale per il bilanciatore del carico nel progetto di servizio A.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio A.
Console
Nella console Google Cloud, vai a Prenota un indirizzo statico .
Come nome del nuovo indirizzo, inserisci
cross-ref-ip-address
.In Network Service Tier (Livello di servizio di rete), seleziona Standard.
Per Versione IP, seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e possono essere utilizzati solo con i bilanciatori del carico globali.
In Tipo, seleziona A livello di regione.
In Regione, seleziona
us-west1
.Lascia l'opzione Associato a impostata su Nessuna. Dopo aver creato il bilanciatore del carico, questo indirizzo IP viene associato alla regola di forwarding del bilanciatore del carico.
Per prenotare l'indirizzo IP, fai clic su Prenota.
gcloud
Per prenotare un indirizzo IP esterno statico, utilizza il comando compute addresses create
.
gcloud compute addresses create IP_ADDRESS_CROSS_REF \ --region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
IP_ADDRESS_CROSS_REF
: il nome che vuoi chiamare questo indirizzo IP.SERVICE_PROJECT_A_ID
: l'ID progetto per il progetto di servizio A, in cui viene creato il frontend del bilanciatore del carico.
Crea i backend e il servizio di backend nel progetto di servizio B
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio B.
Console
Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.
- Fai clic su Crea modello istanza.
- Inserisci un nome per il modello di istanza:
cross-ref-backend-template
. - Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 12 (bookworm). Queste istruzioni utilizzano comandi
sono disponibili solo su Debian, come
apt-get
. Se devi modificare il Disco di avvio, fai clic su Cambia.- In Sistema operativo, seleziona Debian.
- Per Versione, seleziona una delle immagini Debian disponibili, come come Debian GNU/Linux 12 (bookworm).
- Fai clic su Seleziona.
- Fai clic su Opzioni avanzate e poi su Networking.
- Inserisci i seguenti tag di rete:
load-balanced-backend
. - In Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
- Seleziona la subnet
lb-frontend-and-backend-subnet
dalla Retelb-network
. Fai clic su Gestione. In Gestione, inserisci quanto segue. nel campo Script di avvio:
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2
Fai clic su Crea.
Creare un gruppo di istanze gestite. Nella console Google Cloud, vai a alla pagina Gruppi di istanze.
- Fai clic su Crea gruppo di istanze.
- Scegli Nuovo gruppo di istanze gestite (stateless). Per maggiori informazioni consulta le informazioni sui MIG stateless o stateful.
- Inserisci un nome per il gruppo di istanze:
cross-ref-ig-backend
. - In Località, seleziona Zona singola.
- In Regione, seleziona us-west1.
- In Zona, seleziona us-west1-a.
- In Modello di istanza, seleziona cross-ref-backend-template.
Specifica il numero di istanze che vuoi creare nel gruppo.
Per questo esempio, specifica le seguenti opzioni per la Scalabilità automatica:
- In Modalità di scalabilità automatica, seleziona
Off:do not autoscale
. - In Numero massimo di istanze, inserisci
2
.
Se vuoi, nella sezione Scalabilità automatica puoi configurare il gruppo di istanze in modo da aggiungere o rimuovere automaticamente le istanze in base all'utilizzo della CPU delle istanze.
- In Modalità di scalabilità automatica, seleziona
Fai clic su Crea.
Crea un servizio di backend regionale. Nell'ambito di questo passaggio, viene anche creato il controllo di integrità e vengono aggiunti i backend al servizio di backend. Nella console Google Cloud, vai alla pagina Backend.
- Fai clic su Crea servizio di backend regionale.
- Inserisci un Nome per il servizio di backend:
cross-ref-backend-service
. - In Regione, seleziona us-west1.
- Per Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni esterno regionale (EXTERNAL_MANAGED).
- Imposta Tipo di backend su Gruppi di istanze.
- Nella sezione Backend, imposta Rete su lb-network.
- Fai clic su Aggiungi backend e imposta i seguenti campi:
- Imposta Gruppo di istanze su cross-ref-ig-backend.
- Imposta Numeri di porta su
80
. - Imposta Modalità di bilanciamento su Utilizzo.
- Fai clic su Fine.
- Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con il
seguenti parametri:
- Nome:
cross-ref-http-health-check
- Protocollo:
HTTP
- Porta:
80
- Fai clic su Salva.
- Nome:
(Facoltativo) Nella sezione Aggiungi autorizzazioni, inserisci il Entità IAM (in genere un indirizzo email) di Load Amministratori dei bilanciatori di altri progetti in modo che possano utilizzare questo backend per i bilanciatori del carico nei propri progetti. Senza questa autorizzazione, non puoi utilizzare i riferimenti ai servizi tra progetti.
Se non disponi dell'autorizzazione per impostare i criteri di controllo dell'accesso per i servizi di backend in questo progetto, puoi comunque creare il servizio di backend ora e un utente autorizzato può eseguire questo passaggio in un secondo momento come descritto nella sezione Concedere all'amministratore del bilanciatore del carico le autorizzazioni per utilizzare il servizio di backend. Anche quella sezione descrive come concedere l'accesso a tutti i servizi di backend in questo in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.
Fai clic su Crea.
gcloud
Crea un modello di istanza VM con un server HTTP utilizzando il comando
gcloud compute instance-templates create
.gcloud compute instance-templates create BACKEND_IG_TEMPLATE \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --tags=load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_IG_TEMPLATE
: il nome del modello di gruppo di istanze.SERVICE_PROJECT_B_ID
: l'ID del progetto di servizio B, in cui vengono creati i backend del bilanciatore del carico e il servizio di backend.HOST_PROJECT_ID
: l'ID progetto per Progetto host VPC condiviso.
Crea un gruppo di istanze gestite nella zona con il comando
gcloud compute instance-groups managed create
.gcloud compute instance-groups managed create BACKEND_MIG \ --zone=us-west1-a \ --size=2 \ --template=BACKEND_IG_TEMPLATE \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_MIG
: il nome del gruppo di istanze di backend.
Definisci il controllo di integrità HTTP con
gcloud compute health-checks create http
.gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \ --region=us-west1 \ --use-serving-port \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
HTTP_HEALTH_CHECK_NAME
: il nome del Controllo di integrità HTTP.
Definisci il servizio di backend con il comando
gcloud compute backend-services create
.gcloud compute backend-services create BACKEND_SERVICE_NAME \ --load-balancing-scheme=EXTERNAL_MANAGED \ --protocol=HTTP \ --health-checks=HTTP_HEALTH_CHECK_NAME \ --health-checks-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_SERVICE_NAME
: il nome del creato nel progetto di servizio B.
Aggiungi backend al servizio di backend con
gcloud compute backend-services add-backend
.gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \ --balancing-mode=UTILIZATION \ --instance-group=BACKEND_MIG \ --instance-group-zone=us-west1-a \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Crea il frontend del bilanciatore del carico e la mappa URL nel progetto di servizio A
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio A.
Console
Avvia la configurazione
Nella console Google Cloud, vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Pubblico (esterno) e fai clic su Avanti.
- Per Deployment globale o in una regione singola, seleziona Ideale per regionali e fai clic su Avanti.
- Fai clic su Configura.
Prepara il bilanciatore del carico
- Inserisci il nome del bilanciatore del carico:
cross-ref-l7-xlb-shared-vpc
. - In Regione, seleziona us-west1.
In corrispondenza di Rete, seleziona lb-network (da Progetto: HOST_PROJECT_ID).
Se viene visualizzato l'avviso La subnet solo proxy è obbligatoria nella rete VPC condiviso, verifica che l'amministratore del progetto host abbia creato
proxy-only-subnet
nella regioneus-west1
nella rete VPC condivisalb-network
. La creazione del bilanciatore del carico riuscire anche se non hai l'autorizzazione per visualizzare subnet in questa pagina.Tieni aperta la pagina per continuare.
Configura il frontend
Affinché i riferimenti ai servizi tra progetti funzionino, il frontend deve utilizzare
Sulla stessa rete (lb-network
) del progetto host del VPC condiviso
utilizzato per creare il servizio di backend.
Per HTTP:
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-http-forwarding-rule
. - Imposta Protocollo su
HTTP
. Imposta Subnet su
lb-frontend-and-backend-subnet
.Non selezionare la sottorete solo proxy per il frontend anche se è un'opzione nell'elenco.
Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico, chiamato cross-ref-ip-address.
Imposta Porta su
80
.Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, sono necessarie una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, vedi Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni esterni regionali.
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-https-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. Imposta Subnet su
lb-frontend-and-backend-subnet
.Non selezionare la sottorete solo proxy per il frontend anche se è un'opzione nell'elenco.
Seleziona l'indirizzo IP che hai creato in Prenotazione dell'indirizzo IP del bilanciatore del carico, denominato cross-ref-ip-address.
Assicurati che la Porta sia impostata su
443
per consentire il traffico HTTPS.Fai clic sull'elenco Certificato.
- Se disponi già di un SSL autogestito risorsa di certificato che desideri utilizzare come certificato SSL principale, selezionalo dalla o dal menu Fogli Google.
- Altrimenti, seleziona Crea un nuovo certificato.
- Inserisci un nome per il certificato SSL.
- Carica i file in formato PEM nei campi appropriati:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
Per aggiungere risorse di certificato oltre a la risorsa del certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Seleziona un certificato dall'elenco Certificati o fai clic su Crea un nuovo certificato e segui le istruzioni precedenti.
Fai clic su Fine.
Configura il backend
- Fai clic su Configurazione backend.
- Fai clic su Servizi di backend tra progetti.
- Per ID progetto, inserisci il progetto ID per il progetto di servizio B.
- In Nome servizio di backend, inserisci il nome del servizio di backend da
il progetto di servizio B che vuoi utilizzare. Per questo esempio, inserisci
cross-ref-backend-service
. - Fai clic su Aggiungi servizio di backend.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che il servizio cross-ref-backend-service è l'unico servizio di backend per qualsiasi host senza corrispondenza del tuo percorso di apprendimento.
Per informazioni sulla gestione del traffico, consulta Configurazione del traffico. dei modelli.
Rivedi e finalizza la configurazione
- Fai clic su Crea.
Testa il bilanciatore del carico
Dopo aver creato il bilanciatore del carico, testalo seguendo i passaggi descritti in Testare il bilanciatore del carico.
gcloud
(Facoltativo) Prima di creare un bilanciatore del carico con servizi di backend di riferimenti incrociati, scopri se è possibile fare riferimento ai servizi di backend a cui vuoi fare riferimento utilizzando una mappa URL:
gcloud compute backend-services list-usable \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Crea la mappa URL e imposta il servizio predefinito sul servizio di backend creato nel progetto di servizi B.
gcloud compute url-maps create URL_MAP_NAME \ --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
URL_MAP_NAME
: il nome del Mappa URL.BACKEND_SERVICE_NAME
: il nome del servizio di backend creato nel progetto di servizi B.SERVICE_PROJECT_B_ID
: l'ID del progetto di servizio B, in cui vengono creati i backend del bilanciatore del carico e il servizio di backend.SERVICE_PROJECT_A_ID
: l'ID progetto per progetto di servizio A, in cui viene creato il frontend del bilanciatore del carico.
La creazione della mappa URL non riesce se non disponi del
compute.backendServices.use
per il servizio di backend in progetto di servizio B.Crea il proxy di destinazione.
Per HTTP:
gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \ --url-map=URL_MAP_NAME \ --url-map-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTP_TARGET_PROXY_NAME
: il nome del proxy HTTP di destinazione.
Per HTTPS:
Crea un certificato SSL a livello di regione utilizzando il comando
gcloud compute ssl-certificates create
.gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \ --certificate=PATH_TO_CERTIFICATE \ --private-key=PATH_TO_PRIVATE_KEY \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
SSL_CERTIFICATE_NAME
: il nome del Risorsa del certificato SSL.PATH_TO_CERTIFICATE
: il percorso File del certificato SSL in formato PEM.PATH_TO_PRIVATE_KEY
: il percorso della chiave privata del certificato SSL locale in formato PEM.
Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione con
gcloud compute target-https-proxies create
.gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \ --url-map=URL_MAP_NAME \ --region=us-west1 \ --ssl-certificates=SSL_CERTIFICATE_NAME \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTPS_TARGET_PROXY_NAME
: il nome del proxy HTTPS di destinazione.
Crea la regola di forwarding. Affinché il riferimento ai servizi tra progetti funzioni, la regola di inoltro deve utilizzare la stessa rete (
lb-network
) del progetto host VPC condiviso utilizzata per creare il servizio di backend.Per HTTP:
gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --address=IP_ADDRESS_CROSS_REF \ --ports=80 \ --region=us-west1 \ --target-http-proxy=HTTP_TARGET_PROXY_NAME \ --target-http-proxy-region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTP_FORWARDING_RULE_NAME
: il nome del di una regola di forwarding utilizzata per gestire il traffico HTTP.
Per HTTPS:
gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \ --load-balancing-scheme=EXTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --address=IP_ADDRESS_CROSS_REF \ --ports=443 \ --region=us-west1 \ --target-https-proxy=HTTPS_TARGET_PROXY_NAME \ --target-https-proxy-region=us-west1 \ --network-tier=STANDARD \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTPS_FORWARDING_RULE_NAME
: il nome del di una regola di forwarding utilizzata per gestire il traffico HTTPS.
Per testare il bilanciatore del carico, segui i passaggi descritti in Testare il carico Google Cloud.
Concedi all'amministratore del bilanciatore del carico le autorizzazioni per utilizzare il servizio di backend
Se vuoi che i bilanciatori del carico facciano riferimento ai servizi di backend in altri progetti di servizi, l'amministratore del bilanciatore del carico deve disporre dell'autorizzazione compute.backendServices.use
. Per concedere questa autorizzazione, puoi utilizzare il modello
il ruolo IAM denominato
Utente dei servizi del bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser
).
Questo ruolo deve essere concesso dall'amministratore del progetto di servizio e può essere applicato all'indirizzo
a livello di progetto o di servizio di backend individuale.
Questo passaggio non è obbligatorio se hai già concesso le autorizzazioni richieste a livello di servizio di backend durante la creazione del servizio di backend. Puoi saltare questa sezione o continuare per scoprire come concedere l'accesso a tutti i servizi di backend in questo in modo da non dover concedere l'accesso ogni volta che crei di servizio di backend.
In questo esempio, un amministratore del progetto di servizio B deve eseguire uno
tra i seguenti comandi per concedere l'autorizzazione compute.backendServices.use
a un amministratore del bilanciatore del carico del progetto di servizio A. Questa operazione può essere eseguita in
a livello di progetto (per tutti i servizi di backend nel progetto) o per servizio di backend.
Console
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend in: del progetto.
Sono necessari compute.regionBackendServices.setIamPolicy
e
resourcemanager.projects.setIamPolicy
autorizzazioni per completare questo passaggio.
Nella console Google Cloud, vai a Bilanciamento del carico condiviso servizi.
Nella sezione Tutte le autorizzazioni del servizio di backend (autorizzazioni a livello di progetto), seleziona il tuo progetto.
Se il riquadro delle autorizzazioni non è visibile, fai clic su Mostra riquadro delle autorizzazioni. A destra si apre il riquadro Autorizzazioni a livello di progetto.
Fai clic su
Aggiungi entità.In Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.
In Ruolo, seleziona Utente dei servizi del bilanciatore del carico Compute Ruolo nell'elenco a discesa.
(Facoltativo) Aggiungi una condizione al ruolo.
Fai clic su Salva.
Autorizzazioni a livello di risorsa per singoli servizi di backend
Per concedere le autorizzazioni al singolo backend, segui questi passaggi dei servizi nel tuo progetto.
Devi disporre dell'autorizzazione compute.regionBackendServices.setIamPolicy
per
completa questo passaggio.
Nella console Google Cloud, vai alla pagina Servizi di bilanciamento del carico condivisi.
Nella sezione Autorizzazioni dei servizi di backend individuali (autorizzazioni a livello di risorsa), seleziona il servizio di backend a cui vuoi concedere l'accesso.
Fai clic su
Aggiungi entità.In Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.
In Ruolo, seleziona il ruolo Utente dei servizi di bilanciamento del carico di Compute dall'elenco a discesa.
Fai clic su Salva.
gcloud
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend in: del progetto.
Sono necessari compute.regionBackendServices.setIamPolicy
e
resourcemanager.projects.setIamPolicy
autorizzazioni per completare questo passaggio.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser"
Autorizzazioni a livello di risorsa per singoli servizi di backend
A livello di servizio di backend, gli amministratori dei progetti di servizio possono utilizzare uno dei due
seguenti comandi per concedere il ruolo Utente dei servizi del bilanciatore del carico Compute
(roles/compute.loadBalancerServiceUser
).
Per completare questo passaggio, devi disporre dell'autorizzazione compute.regionBackendServices.setIamPolicy
.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'
o
gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --project=SERVICE_PROJECT_B_ID \ --region=us-west1
Per utilizzare questi comandi, sostituisci LOAD_BALANCER_ADMIN
con il
principal dell'utente, per
esempio, test-user@gmail.com
.
Puoi anche configurare le autorizzazioni IAM in modo che si applichino solo a un sottoinsieme di servizi di backend regionali utilizzando le condizioni e specificando gli attributi condizione.
Visualizzare le mappe URL che fanno riferimento a un servizio di backend del VPC condiviso
Per vedere le mappe di URL che fanno riferimento a un particolare servizio di backend del VPC condiviso, segui questi passaggi:
gcloud
Per visualizzare le risorse che fanno riferimento a un servizio di backend del VPC condiviso regionale, esegui il seguente comando:
gcloud compute backend-services describe BACKEND_SERVICE_NAME \ --region REGION
Sostituisci quanto segue:
BACKEND_SERVICE_NAME
: il nome del servizio di backend del bilanciatore del caricoREGION
: la regione del bilanciatore del carico
Nell'output comando, esamina il campo usedBy
, che mostra la
che fanno riferimento al servizio di backend, come illustrato di seguito
esempio:
id: '123456789' kind: compute#backendService loadBalancingScheme: INTERNAL_MANAGED ... usedBy: - reference: https://www.googleapis.com/compute/v1/projects/my-project/region/us-central1/urlMaps/my-url-map
Passaggi successivi
- Puoi limitare il modo in cui le funzionalità del VPC condiviso, come il riferimento ai servizi tra progetti, vengono utilizzate nel tuo progetto utilizzando i vincoli dei criteri dell'organizzazione. Per ulteriori informazioni, consulta Vincoli dei criteri dell'organizzazione per il bilanciamento del carico cloud.
- Per gestire la risorsa subnet solo proxy richiesta dai bilanciatori del carico delle applicazioni esterni regionali, consulta Subnet solo proxy per bilanciatori del carico delle applicazioni esterni regionali.
- Per scoprire come risolvere i problemi relativi a un bilanciatore del carico delle applicazioni esterno regionale, consulta Risolvere i problemi relativi ai bilanciatori del carico delle applicazioni esterni.
- Pulisci la configurazione del bilanciatore del carico.