Menyiapkan Load Balancer Aplikasi eksternal regional dengan VPC Bersama

Dokumen ini menunjukkan dua contoh konfigurasi untuk menyiapkan Load Balancer Aplikasi eksternal regional di lingkungan VPC Bersama:

  • Contoh pertama membuat semua komponen dan backend load balancer dalam satu project layanan.
  • Contoh kedua membuat komponen frontend dan peta URL load balancer di satu project layanan, sedangkan layanan backend dan backend load balancer dibuat di project layanan yang berbeda. Jenis deployment ini, dengan peta URL mereferensikan layanan backend di project lain, disebut sebagai Referensi layanan lintas project.

Kedua contoh tersebut memerlukan konfigurasi awal yang sama untuk memberikan izin dan menyiapkan VPC Bersama sebelum Anda dapat mulai membuat load balancer.

Ini bukan satu-satunya konfigurasi VPC Bersama yang didukung oleh Load Balancer Aplikasi eksternal regional. Untuk arsitektur VPC Bersama yang valid lainnya, lihat Arsitektur VPC Bersama.

Jika Anda tidak ingin menggunakan jaringan VPC Bersama, lihat Menyiapkan Load Balancer Aplikasi eksternal regional dengan backend grup instance VM.

Sebelum memulai

  1. Baca Ringkasan VPC Bersama.
  2. Baca Ringkasan Load Balancer Aplikasi Eksternal, termasuk bagian Arsitektur VPC bersama.

Izin diperlukan

Menyiapkan load balancer di jaringan VPC Bersama memerlukan beberapa penyiapan dan penyediaan awal oleh administrator. Setelah penyiapan awal, pemilik project layanan dapat melakukan salah satu hal berikut:

  • Men-deploy semua komponen load balancer dan backend-nya dalam project layanan.
  • Deploy komponen backend load balancer (layanan backend dan backend) di project layanan yang dapat direferensikan oleh peta URL di project layanan atau host lain.

Bagian ini merangkum izin yang diperlukan untuk mengikuti panduan ini untuk menyiapkan load balancer di jaringan VPC Bersama.

Menyiapkan VPC yang Dibagikan

Peran berikut diperlukan untuk tugas berikut:

  1. Melakukan tugas administratif satu kali seperti menyiapkan VPC Bersama dan mengaktifkan project host.
  2. Melakukan tugas administratif yang harus diulang setiap kali Anda ingin melakukan aktivasi project layanan baru. Hal ini mencakup melampirkan project layanan, menyediakan dan mengonfigurasi resource jaringan, serta memberikan akses ke administrator project layanan.

Tugas ini harus dilakukan di project host VPC Bersama. Sebaiknya Shared VPC Admin juga menjadi pemilik project host VPC Bersama. Tindakan ini akan otomatis memberikan peran Network Admin dan Security Admin.

Tugas Peran yang diperlukan
Menyiapkan VPC Bersama, mengaktifkan project host, dan memberikan akses ke admin project layanan Shared VPC Admin
Membuat subnet di project host VPC Bersama dan memberikan akses ke administrator project layanan Admin Jaringan
Menambahkan dan menghapus aturan firewall Security Admin

Setelah subnet disediakan, pemilik project host harus memberikan peran Network User di project host kepada siapa saja (biasanya administrator project layanan, developer, atau akun layanan) yang perlu menggunakan resource ini.

Tugas Peran yang diperlukan
Menggunakan jaringan dan subnet VPC yang merupakan milik project host Pengguna Jaringan

Peran ini dapat diberikan di tingkat project atau untuk setiap subnet. Sebaiknya berikan peran di setiap subnet. Memberikan peran pada project akan memberikan akses ke semua subnet saat ini dan mendatang di jaringan VPC project host.

Men-deploy load balancer dan backend

Administrator project layanan memerlukan peran berikut di project layanan untuk membuat resource dan backend load balancing. Izin ini diberikan secara otomatis kepada pemilik atau editor project layanan.

Peran yang diberikan di project layanan
Tugas Peran yang diperlukan
Membuat komponen load balancer Admin Jaringan
Membuat instance Instance Admin
Membuat dan mengubah sertifikat SSL Security Admin

Prasyarat

Di bagian ini, Anda perlu melakukan langkah-langkah berikut:

  1. Konfigurasikan jaringan dan subnet di project host.
  2. Siapkan VPC Bersama di project host.

Langkah-langkah di bagian ini tidak perlu dilakukan setiap kali Anda ingin membuat load balancer baru. Namun, Anda harus memastikan bahwa Anda memiliki akses ke resource yang dijelaskan di sini sebelum melanjutkan pembuatan load balancer.

Mengonfigurasi jaringan dan subnet di project host

Anda memerlukan jaringan VPC Bersama dengan dua subnet: satu untuk frontend dan backend load balancer, dan satu untuk proxy load balancer.

Contoh ini menggunakan jaringan, region, dan subnet berikut:

  • Jaringan. Jaringan diberi nama lb-network.

  • Subnet untuk frontend dan backend load balancer. Subnet bernama lb-frontend-and-backend-subnet di region us-west1 menggunakan 10.1.2.0/24 untuk rentang IP utamanya.

  • Subnet untuk proxy. Subnet bernama proxy-only-subnet di wilayah us-west1 menggunakan 10.129.0.0/23 untuk rentang IP utamanya.

Mengonfigurasi subnet untuk frontend dan backend load balancer

Langkah ini tidak perlu dilakukan setiap kali Anda ingin membuat load balancer baru. Anda hanya perlu memastikan bahwa project layanan memiliki akses ke subnet di jaringan VPC Bersama (selain subnet khusus proxy).

Semua langkah di bagian ini harus dilakukan di project host.

Konsol

  1. Di Konsol Google Cloud, buka halaman jaringan VPC.

    Buka VPC networks

  2. Klik Create VPC network.
  3. Untuk Name, masukkan lb-network.

  4. Di bagian Subnet:

    1. Setel Subnet creation mode ke Custom.

    2. Di bagian New subnet, masukkan informasi berikut:

      • Nama: lb-frontend-and-backend-subnet

      • Region: us-west1

      • Rentang alamat IP: 10.1.2.0/24

    3. Klik Done.

  5. Klik Create.

gcloud

  1. Buat jaringan VPC dengan perintah gcloud compute networks create:

    gcloud compute networks create lb-network --subnet-mode=custom

  2. Buat subnet di jaringan lb-network di region us-west1:

    gcloud compute networks subnets create lb-frontend-and-backend-subnet 
    
    --network=lb-network 
    
    --range=10.1.2.0/24 
    
    --region=us-west1

Terraform

  1. Buat jaringan VPC: 

    # Shared VPC network
resource "google_compute_network" "lb_network" {
  name                    = "lb-network"
  provider                = google-beta
  project                 = "my-host-project-id"
  auto_create_subnetworks = false
}

  2. Buat subnet di region us-west1: 

    # Shared VPC network - backend subnet
resource "google_compute_subnetwork" "lb_frontend_and_backend_subnet" {
  name          = "lb-frontend-and-backend-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.1.2.0/24"
  role          = "ACTIVE"
  network       = google_compute_network.lb_network.id
}

Mengonfigurasi subnet khusus proxy

Subnet khusus proxy digunakan oleh semua load balancer berbasis Envoy regional di region us-west1, di jaringan VPC lb-network. Hanya boleh ada satu subnet khusus proxy yang aktif per region, per jaringan.

Jangan lakukan langkah ini jika sudah ada subnet khusus proxy yang direservasi di region us-west1 di jaringan ini.

Semua langkah di bagian ini harus dilakukan di project host.

Konsol

  1. Di Konsol Google Cloud, buka halaman jaringan VPC.

    Buka jaringan VPC

  2. Klik nama jaringan VPC Bersama: lb-network.
  3. Klik Tambahkan subnet.
  4. Untuk Name, masukkan proxy-only-subnet.
  5. Untuk Region, pilih us-west1.
  6. Tetapkan Tujuan ke Proxy yang Dikelola Berdasarkan Wilayah.
  7. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.
  8. Klik Tambahkan.

gcloud

Buat subnet khusus proxy dengan perintah gcloud compute networks subnets create:

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-west1 \
    --network=lb-network \
    --range=10.129.0.0/23

Terraform

Buat subnet khusus proxy:

# Shared VPC network - proxy-only subnet
resource "google_compute_subnetwork" "proxy_only_subnet" {
  name          = "proxy-only-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.129.0.0/23"
  role          = "ACTIVE"
  purpose       = "REGIONAL_MANAGED_PROXY"
  network       = google_compute_network.lb_network.id
}

Memberi admin project layanan akses ke subnet backend

Administrator project layanan memerlukan akses ke subnet lb-frontend-and-backend-subnet agar dapat menyediakan backend load balancer.

Admin VPC Bersama harus memberikan akses ke subnet backend kepada administrator project layanan (atau developer yang men-deploy resource dan backend yang menggunakan subnet). Untuk mendapatkan petunjuk, lihat Admin Project Layanan untuk beberapa subnet.

Mengonfigurasi aturan firewall di project host

Contoh ini menggunakan aturan firewall berikut:
  • fw-allow-health-check. Aturan ingress, yang berlaku untuk instance yang di-load balance, yang mengizinkan semua traffic TCP dari sistem health check Google Cloud di 130.211.0.0/22 dan 35.191.0.0/16. Contoh ini menggunakan tag target load-balanced-backend untuk mengidentifikasi instance tempat tag harus diterapkan.
  • fw-allow-proxies. Aturan ingress, yang berlaku untuk instance yang di-load balance, yang mengizinkan traffic TCP pada port 80, 443, dan 8080 dari proxy terkelola load balancer. Contoh ini menggunakan tag target load-balanced-backend untuk mengidentifikasi instance tempat tag harus diterapkan.
Tanpa aturan firewall ini, aturan tolak ingress default akan memblokir traffic masuk ke instance backend.

Semua langkah di bagian ini harus dilakukan di project host.

Konsol

  1. Di Konsol Google Cloud, buka halaman Firewall policies.

    Buka Kebijakan firewall

  2. Klik Create firewall rule untuk membuat aturan yang mengizinkan health check Google Cloud:
    • Nama: fw-allow-health-check
    • Jaringan: lb-network
    • Direction of traffic: Masuk
    • Action on match: Izinkan
    • Targets: Tag target yang ditentukan
    • Tag target: load-balanced-backend
    • Source filter: Rentang IPv4
    • Rentang IPv4 sumber: 130.211.0.0/22 dan 35.191.0.0/16
    • Protocols and ports:
      • Pilih Protokol dan port yang ditentukan.
      • Centang TCP dan masukkan 80 untuk nomor port.

        • Sebagai praktik terbaik, batasi aturan ini hanya pada protokol dan port yang cocok dengan yang digunakan oleh health check Anda. Jika Anda menggunakan tcp:80 untuk protokol dan port, Google Cloud dapat menggunakan HTTP di port 80 untuk menghubungi VM Anda, tetapi tidak dapat menggunakan HTTPS di port 443 untuk menghubunginya.

  3. Klik Create.
  4. Klik Create firewall rule untuk membuat aturan yang mengizinkan health check Google Cloud:
    • Nama: fw-allow-proxies
    • Jaringan: lb-network
    • Direction of traffic: Masuk
    • Action on match: Izinkan
    • Targets: Tag target yang ditentukan
    • Tag target: load-balanced-backend
    • Source filter: Rentang IPv4
    • Rentang IPv4 sumber: 10.129.0.0/23
    • Protocols and ports:
      • Pilih Protokol dan port yang ditentukan.
      • Centang TCP dan masukkan 80, 443, 8080 untuk nomor port.
  5. Klik Create.

gcloud

  1. Buat aturan firewall fw-allow-health-check untuk mengizinkan health check Google Cloud. Contoh ini mengizinkan semua traffic TCP dari penguji health check. Namun, Anda dapat mengonfigurasi kumpulan port yang lebih sempit untuk memenuhi kebutuhan Anda.

    gcloud compute firewall-rules create fw-allow-health-check \
   --network=lb-network \
   --action=allow \
   --direction=ingress \
   --source-ranges=130.211.0.0/22,35.191.0.0/16 \
   --target-tags=load-balanced-backend \
   --rules=tcp

  2. Buat aturan firewall fw-allow-proxies untuk mengizinkan traffic dari subnet khusus proxy Envoy menjangkau backend Anda.

    gcloud compute firewall-rules create fw-allow-proxies \
   --network=lb-network \
   --action=allow \
   --direction=ingress \
   --source-ranges=10.129.0.0/23 \
   --target-tags=load-balanced-backend \
   --rules=tcp:80,tcp:443,tcp:8080

Terraform

  1. Buat aturan firewall untuk mengizinkan health check Google Cloud. 

    resource "google_compute_firewall" "fw_allow_health_check" {
  name          = "fw-allow-health-check"
  provider      = google-beta
  project       = "my-host-project-id"
  direction     = "INGRESS"
  network       = google_compute_network.lb_network.id
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  allow {
    protocol = "tcp"
  }
  target_tags = ["load-balanced-backend"]
}

  2. Buat aturan firewall untuk mengizinkan traffic dari subnet khusus proxy Envoy untuk menjangkau backend Anda. 

    resource "google_compute_firewall" "fw_allow_proxies" {
  name          = "fw-allow-proxies"
  provider      = google-beta
  project       = "my-host-project-id"
  direction     = "INGRESS"
  network       = google_compute_network.lb_network.id
  source_ranges = ["10.129.0.0/23"]
  allow {
    protocol = "tcp"
    ports    = ["80", "443", "8080"]
  }
  target_tags = ["load-balanced-backend"]
}

Menyiapkan VPC Bersama di project host

Langkah ini mencakup pengaktifan project host VPC Bersama, berbagi subnet project host, dan melampirkan project layanan ke project host sehingga project layanan dapat menggunakan jaringan VPC Bersama. Untuk menyiapkan VPC Bersama di project host, lihat halaman berikut:

Petunjuk lainnya mengasumsikan bahwa Anda telah menyiapkan VPC Bersama. Hal ini mencakup menyiapkan kebijakan IAM untuk organisasi Anda dan menetapkan project host dan layanan.

Jangan lanjutkan hingga Anda menyiapkan VPC Bersama dan mengaktifkan project host dan layanan.

Setelah menyelesaikan langkah-langkah yang ditentukan di bagian prasyarat ini, Anda dapat melakukan salah satu penyiapan berikut:

Mengonfigurasi load balancer di project layanan

Contoh ini membuat Load Balancer Aplikasi eksternal regional tempat semua komponen load balancing (aturan penerusan, proxy target, peta URL, dan layanan backend) dan backend dibuat di project layanan.

Resource jaringan Load Balancer Aplikasi eksternal regional seperti subnet khusus proxy dan subnet untuk instance backend dibuat di project host. Aturan firewall untuk instance backend juga dibuat di project host.

Gambar 1. Load balancer HTTP(S) eksternal regional di VPC Bersama
Gambar 1. Load Balancer Aplikasi eksternal regional di VPC Bersama

Bagian ini menunjukkan cara menyiapkan load balancer dan backend. Langkah-langkah ini harus dilakukan oleh administrator project layanan (atau developer yang beroperasi dalam project layanan) dan tidak memerlukan keterlibatan dari administrator project host. Langkah-langkah di bagian ini sebagian besar mirip dengan langkah-langkah standar untuk menyiapkan Load Balancer Aplikasi eksternal regional.

Contoh di halaman ini secara eksplisit menetapkan alamat IP yang dicadangkan untuk aturan penerusan Load Balancer Aplikasi eksternal regional, bukan mengizinkan alamat IP sementara dialokasikan. Sebagai praktik terbaik, sebaiknya pesan alamat IP untuk aturan penerusan.

Membuat backend grup instance terkelola

Bagian ini menunjukkan cara membuat template instance dan backend grup instance terkelola. Traffic dari klien di-load balancing ke VM dalam grup instance ini.

Konsol

  1. Membuat template instance. Di konsol Google Cloud, buka halaman Instance templates.

    Buka halaman Template instance

    1. Klik Create instance template.
    2. Untuk Name, masukkan l7-xlb-backend-template.
    3. Pastikan Boot disk disetel ke image Debian, seperti Debian GNU/Linux 12 (bookworm). Petunjuk ini menggunakan perintah yang hanya tersedia di Debian, seperti apt-get. Jika Anda perlu mengubah Boot disk, klik Change.
      1. Untuk Sistem Operasi, pilih Debian.
      2. Untuk Version, pilih salah satu image Debian yang tersedia seperti Debian GNU/Linux 12 (bookworm).
      3. Klik Pilih.
    4. Klik Advanced options, lalu klik Networking.
    5. Masukkan Network tags berikut: load-balanced-backend.
    6. Untuk Network interfaces, pilih Networks shared with me (from host project: HOST_PROJECT_ID).
    7. Pilih subnet lb-frontend-and-backend-subnet dari jaringan lb-network.

    8. Klik Management. Untuk Management, sisipkan skrip berikut ke dalam kolom Startup script.

      #! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2

    9. Klik Create.

  2. Membuat grup instance terkelola. Di konsol Google Cloud, buka halaman Instance groups.

    Buka Instance groups

    1. Klik Create instance group.
    2. Pilih New managed instance group (stateless). Untuk informasi selengkapnya, lihat MIG stateless atau stateful.
    3. Untuk Name, masukkan l7-xlb-backend-example.
    4. Untuk Location, pilih Single zone.
    5. Untuk Region, pilih us-west1.
    6. Untuk Zona, pilih us-west1-a.
    7. Untuk Instance template, pilih l7-xlb-backend-template.

    8. Tentukan jumlah instance yang ingin Anda buat dalam grup.

      Untuk contoh ini, tentukan opsi berikut untuk Penskalaan otomatis:

      • Untuk Autoscaling mode, pilih Off:do not autoscale.
      • Untuk Maximum number of instances, masukkan 2.

      Secara opsional, di bagian Penskalaan Otomatis, Anda dapat mengonfigurasi grup instance untuk otomatis menambahkan atau menghapus instance berdasarkan penggunaan CPU instance.

    9. Klik Create.

gcloud

Petunjuk gcloud dalam panduan ini mengasumsikan bahwa Anda menggunakan Cloud Shell atau lingkungan lain dengan bash yang diinstal.

  1. Buat template instance VM dengan server HTTP dengan perintah gcloud compute instance-templates create.

    gcloud compute instance-templates create l7-xlb-backend-template \
--region=us-west1 \
--network=projects/HOST_PROJECT_ID/global/networks/lb-network \
--subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
--tags=load-balanced-backend \
--image-family=debian-12 \
--image-project=debian-cloud \
--metadata=startup-script='#! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2' \
--project=SERVICE_PROJECT_ID

  2. Buat grup instance terkelola di zona dengan perintah gcloud compute instance-groups managed create.

    gcloud compute instance-groups managed create l7-xlb-backend-example \
    --zone=us-west1-a \
    --size=2 \
    --template=l7-xlb-backend-template \
    --project=SERVICE_PROJECT_ID

Mencadangkan alamat IP load balancer di project layanan

Cadangkan alamat IP eksternal statis regional untuk load balancer di project layanan.

Semua langkah di bagian ini harus dilakukan di project layanan.

Konsol

  1. Di konsol Google Cloud, buka halaman Reserve a static address.

    Buka Reserve a static address

  2. Masukkan nama untuk alamat baru.

  3. Untuk Network Service Tier, pilih Standard.

  4. Untuk IP version, pilih IPv4. Alamat IPv6 bersifat global dan hanya dapat digunakan dengan load balancer global.

  5. Untuk Jenis, pilih Regional.

  6. Untuk Region, pilih us-west1.

  7. Biarkan opsi Lampirkan ke ditetapkan ke Tidak ada. Setelah Anda membuat load balancer, alamat IP ini akan dilampirkan ke aturan penerusan load balancer.

  8. Untuk mereservasi alamat IP, klik Reserve.

gcloud

Untuk mencadangkan alamat IP eksternal statis, gunakan perintah compute addresses create.

gcloud compute addresses create IP_ADDRESS_NAME  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_ID

Ganti kode berikut:

  • IP_ADDRESS_NAME: nama yang ingin Anda beri untuk alamat ini.
  • SERVICE_PROJECT_ID: project ID untuk project layanan tempat load balancer dibuat.

Mengonfigurasi load balancer

Bagian ini menunjukkan cara membuat resource Load Balancer Aplikasi eksternal regional berikut:

  • Health check HTTP
  • Layanan backend dengan grup instance terkelola sebagai backend
  • Peta URL
  • Sertifikat SSL (hanya diperlukan untuk HTTPS)
  • Proxy target
  • Aturan penerusan

Ketersediaan proxy

Bergantung pada jumlah project layanan yang menggunakan jaringan VPC Bersama yang sama, Anda mungkin mencapai kuota atau batas lebih cepat daripada dalam model deployment jaringan tempat setiap project Google Cloud menghosting jaringannya sendiri.

Misalnya, terkadang region Google Cloud tidak memiliki kapasitas proxy yang memadai untuk Load Balancer Aplikasi eksternal regional baru. Jika hal ini terjadi, konsol Google Cloud akan memberikan pesan peringatan ketersediaan proxy saat Anda membuat load balancer. Untuk mengatasi masalah ini, Anda dapat melakukan salah satu tindakan berikut:

  • Tunggu hingga masalah kapasitas teratasi.

  • Hubungi tim penjualan Google Cloud Anda untuk meningkatkan batas ini.

Konsol

Beralih konteks ke project layanan

  1. Di konsol Google Cloud, buka halaman Dasbor.

    Buka Dasbor

  2. Klik daftar Select from di bagian atas halaman. Di jendela Pilih dari yang muncul, pilih project layanan tempat Anda ingin membuat load balancer.

Memulai konfigurasi

  1. Di konsol Google Cloud, buka halaman Load balancing.

    Buka Load balancing

  2. Klik Create load balancer.
  3. Untuk Type of load balancer, pilih Application Load Balancer (HTTP/HTTPS), lalu klik Next.
  4. Untuk Public facing or internal, pilih Public facing (external), lalu klik Next.
  5. Untuk Global or single region deployment, pilih Best for regional workloads, lalu klik Next.
  6. Klik Konfigurasikan.

Konfigurasi dasar

  1. Untuk Name load balancer, masukkan l7-xlb-shared-vpc.
  2. Untuk Region, pilih us-west1.

  3. Untuk Network, pilih lb-network (dari Project: HOST_PROJECT_ID).

    Jika Anda melihat peringatan Subnet khusus proxy diperlukan di jaringan VPC Bersama, confirmasikan bahwa admin project host telah membuat proxy-only-subnet di region us-west1 di jaringan VPC Bersama lb-network. Pembuatan load balancer akan berhasil meskipun Anda tidak memiliki izin untuk melihat subnet khusus proxy di halaman ini.

  4. Biarkan halaman tetap terbuka untuk melanjutkan.

Mengonfigurasi frontend

Untuk HTTP:

  1. Klik Frontend configuration.
  2. Klik Add frontend IP and port.
  3. Tetapkan Name ke l7-xlb-forwarding-rule.
  4. Setel Protocol ke HTTP.
  5. Tetapkan Port ke 80.

  6. Untuk alamat IP yang Anda buat di Mencadangkan alamat IP load balancer.

  7. Klik Done.

Untuk HTTPS:

Jika menggunakan HTTPS antara klien dan load balancer, Anda memerlukan satu atau beberapa resource sertifikat SSL untuk mengonfigurasi proxy. Untuk informasi tentang cara membuat resource sertifikat SSL, lihat Sertifikat SSL. Sertifikat yang dikelola Google saat ini tidak didukung dengan Load Balancer Aplikasi eksternal regional.

  1. Klik Frontend configuration.
  2. Klik Add frontend IP and port.
  3. Di kolom Name, masukkan l7-xlb-forwarding-rule.
  4. Pada kolom Protocol, pilih HTTPS (includes HTTP/2).
  5. Pastikan Port ditetapkan ke 443 untuk mengizinkan traffic HTTPS.
  6. Pilih IP address yang Anda buat di bagian Mencadangkan alamat IP load balancer.
  7. Klik daftar Certificate.
    1. Jika Anda sudah memiliki resource sertifikat SSL yang dikelola sendiri yang ingin digunakan sebagai sertifikat SSL utama, pilih sertifikat tersebut dari menu.
    2. Jika tidak, pilih Create a new certificate.
      1. Isi Name l7-xlb-cert.
      2. Di kolom yang sesuai, upload file berformat PEM:
        • Sertifikat kunci publik
        • Rantai sertifikat
        • Kunci pribadi
      3. Klik Create.
  8. Untuk menambahkan resource sertifikat selain resource sertifikat SSL utama:
    1. Klik Add certificate.
    2. Pilih sertifikat dari daftar Certificates atau klik Create a new certificate, lalu ikuti petunjuk di atas.
  9. Klik Done.

Mengonfigurasi backend

  1. Klik Backend configuration.
  2. Dari menu Create or select backend services, pilih Create a backend service.
  3. Setel Name layanan backend ke l7-xlb-backend-service.
  4. Tetapkan Backend type ke Instance groups.
  5. Di bagian New backend:
    1. Tetapkan Instance group ke l7-xlb-backend-example.
    2. Tetapkan Transfer nomor ke 80.
    3. Tetapkan Balancing mode ke Utilization.
    4. Klik Done.
  6. Di bagian Health check, pilih Create a health check dengan parameter berikut:
    1. Nama: l7-xlb-basic-check
    2. Protokol: HTTP
    3. Port: 80
  7. Klik Save and Continue.
  8. Klik Create.

Mengonfigurasi aturan pemilihan rute

  • Klik Routing rules. Pastikan l7-xlb-backend-service adalah satu-satunya layanan backend untuk semua host dan jalur yang tidak cocok.

Untuk informasi tentang pengelolaan traffic, lihat Menyiapkan pengelolaan traffic.

Meninjau dan menyelesaikan konfigurasi

  • Klik Create.

gcloud

  1. Tentukan health check HTTP dengan perintah gcloud compute health-checks create http.

    gcloud compute health-checks create http l7-xlb-basic-check \
   --region=us-west1 \
   --use-serving-port \
   --project=SERVICE_PROJECT_ID

  2. Tentukan layanan backend dengan perintah gcloud compute backend-services create.

    gcloud compute backend-services create l7-xlb-backend-service \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --protocol=HTTP \
  --health-checks=l7-xlb-basic-check \
  --health-checks-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  3. Tambahkan backend ke layanan backend dengan perintah gcloud compute backend-services add-backend.

    gcloud compute backend-services add-backend l7-xlb-backend-service \
  --balancing-mode=UTILIZATION \
  --instance-group=l7-xlb-backend-example \
  --instance-group-zone=us-west1-a \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  4. Buat peta URL dengan perintah gcloud compute url-maps create.

    gcloud compute url-maps create l7-xlb-map \
  --default-service=l7-xlb-backend-service \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  5. Buat proxy target.

    Untuk HTTP:

    Untuk load balancer HTTP, buat proxy target dengan perintah gcloud compute target-http-proxies create.

    gcloud compute target-http-proxies create l7-xlb-proxy \
  --url-map=l7-xlb-map \
  --url-map-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

    Untuk HTTPS:

    Untuk informasi tentang cara membuat resource sertifikat SSL, lihat Sertifikat SSL. Sertifikat yang dikelola Google saat ini tidak didukung dengan Load Balancer Aplikasi eksternal regional.

    Menetapkan jalur file ke nama variabel.

    export LB_CERT=path to PEM-formatted file

    export LB_PRIVATE_KEY=path to PEM-formatted file

    Buat sertifikat SSL regional menggunakan perintah gcloud compute ssl-certificates create.

    gcloud compute ssl-certificates create l7-xlb-cert \
  --certificate=$LB_CERT \
  --private-key=$LB_PRIVATE_KEY \
  --region=us-west1

    Gunakan sertifikat SSL regional untuk membuat proxy target dengan perintah gcloud compute target-https-proxies create.

    gcloud compute target-https-proxies create l7-xlb-proxy \
  --url-map=l7-xlb-map \
  --region=us-west1 \
  --ssl-certificates=l7-xlb-cert \
  --project=SERVICE_PROJECT_ID

  6. Membuat aturan penerusan.

    Untuk jaringan kustom, Anda harus mereferensikan subnet dalam aturan penerusan.

    Untuk alamat IP aturan penerusan, gunakan lb-frontend-and-backend-subnet. Jika Anda mencoba menggunakan subnet khusus proxy, pembuatan aturan penerusan akan gagal.

    Untuk HTTP:

    Gunakan perintah gcloud compute forwarding-rules create dengan flag yang benar.

    gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_NAME \
  --ports=80 \
  --region=us-west1 \
  --target-http-proxy=l7-xlb-proxy \
  --target-http-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_ID

    Untuk HTTPS:

    Buat aturan penerusan dengan perintah gcloud compute forwarding-rules create dengan flag yang benar.

    gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_NAME \
  --ports=443 \
  --region=us-west1 \
  --target-https-proxy=l7-xlb-proxy \
  --target-https-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_ID

Menguji load balancer

Saat layanan load balancing berjalan, Anda dapat mengirim traffic ke aturan penerusan dan melihat traffic tersebut disebar ke berbagai instance.

Konsol

  1. Di konsol Google Cloud, buka halaman Load balancing.

    Buka Load balancing

  2. Klik load balancer yang baru saja Anda buat.
  3. Catat alamat IP load balancer. Alamat IP ini disebut sebagai LB_IP_ADDRESS dalam langkah-langkah berikut.
  4. Di bagian Backend, konfirmasi bahwa VM responsif. Kolom Healthy harus diisi, yang menunjukkan bahwa kedua VM responsif (2/2). Jika Anda melihat sebaliknya, coba muat ulang halaman terlebih dahulu. Diperlukan waktu beberapa saat hingga konsol Google Cloud menunjukkan bahwa VM tersebut responsif. Jika backend tidak terlihat sehat setelah beberapa menit, tinjau konfigurasi firewall dan tag jaringan yang ditetapkan ke VM backend Anda.
  5. Setelah Konsol Google Cloud menunjukkan bahwa instance backend berfungsi dengan baik, Anda dapat menguji load balancer menggunakan browser web dengan membuka https://LB_IP_ADDRESS (atau http://LB_IP_ADDRESS). Ganti LB_IP_ADDRESS dengan alamat IP load balancer.
  6. Jika Anda menggunakan sertifikat yang ditandatangani sendiri untuk menguji HTTPS, browser akan menampilkan peringatan. Anda harus secara eksplisit memerintahkan browser untuk menerima sertifikat yang ditandatangani sendiri.
  7. Browser akan merender halaman berisi konten yang menampilkan nama instance yang menampilkan halaman tersebut, bersama dengan zonanya (misalnya, Page served from: lb-backend-example-xxxx). Jika browser Anda tidak merender halaman ini, tinjau setelan konfigurasi dalam panduan ini.

gcloud

Catat alamat IP yang dicadangkan:

gcloud compute addresses describe IP_ADDRESS_NAME \
    --format="get(address)" \
    --region=us-west1

Anda dapat menguji load balancer menggunakan browser web dengan membuka https://IP_ADDRESS_NAME (atau http://IP_ADDRESS_NAME). Ganti IP_ADDRESS_NAME dengan alamat IP load balancer.

Jika Anda menggunakan sertifikat yang ditandatangani sendiri untuk menguji HTTPS, browser akan menampilkan peringatan. Anda harus secara eksplisit memerintahkan browser untuk menerima sertifikat yang ditandatangani sendiri.

Browser Anda akan merender halaman dengan informasi minimal tentang instance backend. Jika browser Anda tidak merender halaman ini, tinjau setelan konfigurasi dalam panduan ini.

Mengonfigurasi load balancer dengan layanan backend lintas project

Contoh sebelumnya di halaman ini menunjukkan cara menyiapkan deployment VPC Bersama tempat semua komponen load balancer dan backend-nya dibuat di project layanan.

Load Balancer Aplikasi eksternal regional juga memungkinkan Anda mengonfigurasi deployment VPC Bersama dengan peta URL di satu host atau project layanan dapat mereferensikan layanan backend (dan backend) yang terletak di beberapa project layanan di lingkungan VPC Bersama. Hal ini disebut sebagai referensi layanan lintas project.

Anda dapat menggunakan langkah-langkah di bagian ini sebagai referensi untuk mengonfigurasi kombinasi yang didukung yang tercantum di sini:

  • Aturan penerusan, proxy target, dan peta URL di project host, serta layanan backend di project layanan
  • Aturan penerusan, proxy target, dan peta URL dalam project layanan, serta layanan backend di project layanan lain

Referensi layanan lintas project dapat digunakan dengan grup instance, NEG tanpa server, atau jenis backend lain yang didukung.

Persyaratan penyiapan

Contoh ini mengonfigurasi contoh load balancer dengan frontend dan backend-nya dalam dua project layanan yang berbeda.

Jika belum melakukannya, Anda harus menyelesaikan semua langkah prasyarat untuk menyiapkan VPC Bersama dan mengonfigurasi jaringan, subnet, dan aturan firewall yang diperlukan untuk contoh ini. Untuk mengetahui petunjuknya, lihat bagian berikut di awal halaman ini:

Gambar 2. Frontend dan backend load balancer di project layanan yang berbeda
Gambar 2. Frontend dan backend load balancer di project layanan yang berbeda

Mencadangkan alamat IP load balancer di project layanan A

Cadangkan alamat IP eksternal statis regional untuk load balancer di project layanan A.

Semua langkah di bagian ini harus dilakukan di project layanan A.

Konsol

  1. Di konsol Google Cloud, buka halaman Reserve a static address.

    Buka Reserve a static address

  2. Untuk nama alamat baru, masukkan cross-ref-ip-address.

  3. Untuk Network Service Tier, pilih Standard.

  4. Untuk IP version, pilih IPv4. Alamat IPv6 bersifat global dan hanya dapat digunakan dengan load balancer global.

  5. Untuk Jenis, pilih Regional.

  6. Untuk Region, pilih us-west1.

  7. Biarkan opsi Lampirkan ke ditetapkan ke Tidak ada. Setelah Anda membuat load balancer, alamat IP ini akan dilampirkan ke aturan penerusan load balancer.

  8. Untuk mereservasi alamat IP, klik Reserve.

gcloud

Untuk mencadangkan alamat IP eksternal statis, gunakan perintah compute addresses create.

gcloud compute addresses create IP_ADDRESS_CROSS_REF  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_A_ID

Ganti kode berikut:

  • IP_ADDRESS_CROSS_REF: nama yang ingin Anda beri untuk alamat IP ini.
  • SERVICE_PROJECT_A_ID: project ID untuk project layanan A, tempat frontend load balancer dibuat.

Membuat backend dan layanan backend di project layanan B

Semua langkah di bagian ini harus dilakukan di project layanan B.

Konsol

  1. Membuat template instance. Di konsol Google Cloud, buka halaman Instance templates.

    Buka halaman Template instance

    1. Klik Create instance template.
    2. Masukkan Nama untuk template instance: cross-ref-backend-template.
    3. Pastikan Boot disk disetel ke image Debian, seperti Debian GNU/Linux 12 (bookworm). Petunjuk ini menggunakan perintah yang hanya tersedia di Debian, seperti apt-get. Jika Anda perlu mengubah Boot disk, klik Change.
      1. Untuk Sistem Operasi, pilih Debian.
      2. Untuk Version, pilih salah satu image Debian yang tersedia seperti Debian GNU/Linux 12 (bookworm).
      3. Klik Pilih.
    4. Klik Advanced options, lalu klik Networking.
    5. Masukkan Network tags berikut: load-balanced-backend.
    6. Untuk Network interfaces, pilih Networks shared with me (from host project: HOST_PROJECT_ID).
    7. Pilih subnet lb-frontend-and-backend-subnet dari jaringan lb-network.

    8. Klik Management. Untuk Management, sisipkan skrip berikut ke kolom Startup script:

      #! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2

    9. Klik Create.

  2. Membuat grup instance terkelola. Di konsol Google Cloud, buka halaman Instance groups.

    Buka Instance groups

    1. Klik Create instance group.
    2. Pilih New managed instance group (stateless). Untuk informasi selengkapnya, lihat MIG stateless atau stateful.
    3. Masukkan Name untuk grup instance: cross-ref-ig-backend.
    4. Untuk Location, pilih Single zone.
    5. Untuk Region, pilih us-west1.
    6. Untuk Zona, pilih us-west1-a.
    7. Untuk Instance template, pilih cross-ref-backend-template.

    8. Tentukan jumlah instance yang ingin Anda buat dalam grup.

      Untuk contoh ini, tentukan opsi berikut untuk Penskalaan otomatis:

      • Untuk Autoscaling mode, pilih Off:do not autoscale.
      • Untuk Maximum number of instances, masukkan 2.

      Secara opsional, di bagian Penskalaan Otomatis, Anda dapat mengonfigurasi grup instance untuk otomatis menambahkan atau menghapus instance berdasarkan penggunaan CPU instance.

    9. Klik Create.

  3. Buat layanan backend regional. Sebagai bagian dari langkah ini, kita juga membuat health check dan menambahkan backend ke layanan backend. Di konsol Google Cloud, buka halaman Backends.

    Buka Backend

    1. Klik Create regional backend service.
    2. Masukkan Nama untuk layanan backend: cross-ref-backend-service.
    3. Untuk Region, pilih us-west1.
    4. Untuk Load balancer type, pilih Regional external Application Load Balancer (EXTERNAL_MANAGED).
    5. Tetapkan Backend type ke Instance groups.
    6. Di bagian Backends, tetapkan Network ke lb-network.
    7. Klik Add backend dan tetapkan kolom berikut:
      1. Tetapkan Instance group ke cross-ref-ig-backend.
      2. Setel Transfer nomor ke 80.
      3. Tetapkan Balancing mode ke Utilization.
      4. Klik Done.
    8. Di bagian Health check, pilih Create a health check dengan parameter berikut:
      1. Nama: cross-ref-http-health-check
      2. Protokol: HTTP
      3. Port: 80
      4. Klik Simpan.

    9. Opsional: Di bagian Tambahkan izin, masukkan akun utama IAM (biasanya alamat email) Admin Load Balancer dari project lain sehingga mereka dapat menggunakan layanan backend ini untuk load balancer di project mereka sendiri. Tanpa izin ini, Anda tidak dapat menggunakan referensi layanan lintas project.

      Jika tidak memiliki izin untuk menetapkan kebijakan kontrol akses untuk layanan backend dalam project ini, Anda masih dapat membuat layanan backend sekarang, dan pengguna yang berwenang dapat melakukan langkah ini nanti seperti yang dijelaskan di bagian Memberikan izin ke Admin Load Balancer untuk menggunakan layanan backend. Bagian tersebut juga menjelaskan cara memberikan akses ke semua layanan backend dalam project ini, sehingga Anda tidak perlu memberikan akses setiap kali membuat layanan backend baru.

    10. Klik Create.

gcloud

  1. Buat template instance VM dengan server HTTP menggunakan perintah gcloud compute instance-templates create.

    gcloud compute instance-templates create BACKEND_IG_TEMPLATE \
    --region=us-west1 \
    --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
    --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
    --tags=load-balanced-backend \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --metadata=startup-script='#! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2' \
    --project=SERVICE_PROJECT_B_ID

    Ganti kode berikut:

    • BACKEND_IG_TEMPLATE: nama untuk template grup instance.
    • SERVICE_PROJECT_B_ID: project ID untuk project layanan B, tempat backend load balancer dan layanan backend dibuat.
    • HOST_PROJECT_ID: project ID untuk project host VPC Bersama.

  2. Buat grup instance terkelola di zona dengan perintah gcloud compute instance-groups managed create.

    gcloud compute instance-groups managed create BACKEND_MIG \
    --zone=us-west1-a \
    --size=2 \
    --template=BACKEND_IG_TEMPLATE \
    --project=SERVICE_PROJECT_B_ID

    Ganti kode berikut:

    • BACKEND_MIG: nama untuk grup instance backend.

  3. Tentukan health check HTTP dengan perintah gcloud compute health-checks create http.

    gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
  --region=us-west1 \
  --use-serving-port \
  --project=SERVICE_PROJECT_B_ID

    Ganti kode berikut:

    • HTTP_HEALTH_CHECK_NAME: nama untuk health check HTTP.

  4. Tentukan layanan backend dengan perintah gcloud compute backend-services create.

    gcloud compute backend-services create BACKEND_SERVICE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --protocol=HTTP \
  --health-checks=HTTP_HEALTH_CHECK_NAME \
  --health-checks-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_B_ID

    Ganti kode berikut:

    • BACKEND_SERVICE_NAME: nama untuk layanan backend yang dibuat di project layanan B.

  5. Tambahkan backend ke layanan backend dengan perintah gcloud compute backend-services add-backend.

    gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
  --balancing-mode=UTILIZATION \
  --instance-group=BACKEND_MIG \
  --instance-group-zone=us-west1-a \
  --region=us-west1 \
  --project=SERVICE_PROJECT_B_ID

Membuat frontend load balancer dan peta URL di project layanan A

Semua langkah di bagian ini harus dilakukan di project layanan A.

Konsol

Memulai konfigurasi

  1. Di konsol Google Cloud, buka halaman Load balancing.

    Buka Load balancing

  2. Klik Create load balancer.
  3. Untuk Type of load balancer, pilih Application Load Balancer (HTTP/HTTPS), lalu klik Next.
  4. Untuk Public facing or internal, pilih Public facing (external), lalu klik Next.
  5. Untuk Global or single region deployment, pilih Best for regional workloads, lalu klik Next.
  6. Klik Konfigurasikan.

Menyiapkan load balancer

  1. Masukkan Nama load balancer: cross-ref-l7-xlb-shared-vpc.
  2. Untuk Region, pilih us-west1.

  3. Untuk Network, pilih lb-network (dari Project: HOST_PROJECT_ID).

    Jika Anda melihat peringatan Subnet khusus proxy diperlukan di jaringan VPC Bersama, confirmasikan bahwa administrator project host telah membuat proxy-only-subnet di region us-west1 di jaringan VPC Bersama lb-network. Pembuatan load balancer akan berhasil meskipun Anda tidak memiliki izin untuk melihat subnet khusus proxy di halaman ini.

  4. Biarkan halaman tetap terbuka untuk melanjutkan.

Mengonfigurasi frontend

Agar referensi layanan lintas project berfungsi, frontend harus menggunakan jaringan yang sama (lb-network) dari project host VPC Bersama yang digunakan untuk membuat layanan backend.

Untuk HTTP:

  1. Klik Frontend configuration.
  2. Masukkan Nama untuk aturan penerusan: cross-ref-http-forwarding-rule.
  3. Setel Protocol ke HTTP.

  4. Tetapkan Subnetwork ke lb-frontend-and-backend-subnet.

    Jangan pilih subnet khusus proxy untuk frontend meskipun merupakan opsi dalam daftar.

  5. Pilih IP address yang Anda buat di Mencadangkan alamat IP load balancer, yang disebut cross-ref-ip-address.

  6. Tetapkan Port ke 80.

  7. Klik Done.

Untuk HTTPS:

Jika menggunakan HTTPS antara klien dan load balancer, Anda memerlukan satu atau beberapa resource sertifikat SSL untuk mengonfigurasi proxy. Untuk informasi tentang cara membuat resource sertifikat SSL, lihat Sertifikat SSL. Sertifikat yang dikelola Google saat ini tidak didukung dengan Load Balancer Aplikasi eksternal regional.

  1. Klik Frontend configuration.
  2. Masukkan Nama untuk aturan penerusan: cross-ref-https-forwarding-rule.
  3. Pada kolom Protocol, pilih HTTPS (includes HTTP/2).

  4. Tetapkan Subnetwork ke lb-frontend-and-backend-subnet.

    Jangan pilih subnet khusus proxy untuk frontend meskipun merupakan opsi dalam daftar.

  5. Pilih IP address yang Anda buat di Mencadangkan alamat IP load balancer, yang disebut cross-ref-ip-address.

  6. Pastikan Port ditetapkan ke 443 untuk mengizinkan traffic HTTPS.

  7. Klik daftar Certificate.

    1. Jika Anda sudah memiliki resource sertifikat SSL yang dikelola sendiri yang ingin digunakan sebagai sertifikat SSL utama, pilih sertifikat tersebut dari menu.
    2. Jika tidak, pilih Create a new certificate.
      1. Masukkan Nama untuk sertifikat SSL.
      2. Di kolom yang sesuai, upload file berformat PEM:
        • Sertifikat kunci publik
        • Rantai sertifikat
        • Kunci pribadi
      3. Klik Create.

  8. Untuk menambahkan resource sertifikat selain resource sertifikat SSL utama:

    1. Klik Add certificate.
    2. Pilih sertifikat dari daftar Certificates atau klik Create a new certificate, lalu ikuti petunjuk sebelumnya.

  9. Klik Done.

Mengonfigurasi backend

  1. Klik Backend configuration.
  2. Klik Layanan backend lintas project.
  3. Untuk Project ID, masukkan project ID untuk project layanan B.
  4. Dari daftar Select backend services, pilih layanan backend dari project layanan B yang ingin Anda gunakan. Untuk contoh ini, Anda memasukkan cross-ref-backend-service.
  5. Klik Oke.

Mengonfigurasi aturan pemilihan rute

  • Klik Routing rules. Pastikan cross-ref-backend-service adalah satu-satunya layanan backend untuk semua host dan jalur yang tidak cocok.

Untuk informasi tentang pengelolaan traffic, lihat Menyiapkan pengelolaan traffic.

Meninjau dan menyelesaikan konfigurasi

  • Klik Create.

Menguji load balancer

Setelah load balancer dibuat, uji load balancer menggunakan langkah-langkah yang dijelaskan di Menguji load balancer.

gcloud

  1. Opsional: Sebelum membuat load balancer dengan layanan backend referensi silang, cari tahu apakah layanan backend yang ingin Anda rujuk dapat dirujuk menggunakan peta URL:

    gcloud compute backend-services list-usable \
    --region=us-west1 \
    --project=SERVICE_PROJECT_B_ID

  2. Buat peta URL dan tetapkan layanan default ke layanan backend yang dibuat di project layanan B.

    gcloud compute url-maps create URL_MAP_NAME \
    --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \
    --region=us-west1 \
    --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • URL_MAP_NAME: nama untuk peta URL.
    • BACKEND_SERVICE_NAME: nama untuk layanan backend yang dibuat di project layanan B.
    • SERVICE_PROJECT_B_ID: project ID untuk project layanan B, tempat backend load balancer dan layanan backend dibuat.
    • SERVICE_PROJECT_A_ID: project ID untuk project layanan A, tempat frontend load balancer dibuat.

    Pembuatan peta URL akan gagal jika Anda tidak memiliki izin compute.backendServices.use untuk layanan backend di project layanan B.

  3. Buat proxy target.

    Untuk HTTP:

    gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \
  --url-map=URL_MAP_NAME \
  --url-map-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • HTTP_TARGET_PROXY_NAME: nama untuk proxy HTTP target.

    Untuk HTTPS:

    Buat sertifikat SSL regional menggunakan perintah gcloud compute ssl-certificates create.

    gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
  --certificate=PATH_TO_CERTIFICATE \
  --private-key=PATH_TO_PRIVATE_KEY \
  --region=us-west1 \
  --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • SSL_CERTIFICATE_NAME: nama untuk resource sertifikat SSL.
    • PATH_TO_CERTIFICATE: jalur ke file sertifikat SSL lokal dalam format PEM.
    • PATH_TO_PRIVATE_KEY: jalur ke kunci pribadi sertifikat SSL lokal dalam format PEM.

    Gunakan sertifikat SSL regional untuk membuat proxy target dengan perintah gcloud compute target-https-proxies create.

    gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \
  --url-map=URL_MAP_NAME \
  --region=us-west1 \
  --ssl-certificates=SSL_CERTIFICATE_NAME \
  --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • HTTPS_TARGET_PROXY_NAME: nama untuk proxy HTTPS target.

  4. Membuat aturan penerusan. Agar referensi layanan lintas project dapat berfungsi, aturan penerusan harus menggunakan jaringan yang sama (lb-network) dari project host VPC Bersama yang digunakan untuk membuat layanan backend.

    Untuk HTTP:

    gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_CROSS_REF \
  --ports=80 \
  --region=us-west1 \
  --target-http-proxy=HTTP_TARGET_PROXY_NAME \
  --target-http-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • HTTP_FORWARDING_RULE_NAME: nama untuk aturan penerusan yang digunakan untuk menangani traffic HTTP.

    Untuk HTTPS:

    gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_CROSS_REF \
  --ports=443 \
  --region=us-west1 \
  --target-https-proxy=HTTPS_TARGET_PROXY_NAME \
  --target-https-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_A_ID

    Ganti kode berikut:

    • HTTPS_FORWARDING_RULE_NAME: nama untuk aturan penerusan yang digunakan untuk menangani traffic HTTPS.

  5. Untuk menguji load balancer, gunakan langkah-langkah yang dijelaskan dalam Menguji load balancer.

Memberikan izin ke Load Balancer Admin untuk menggunakan layanan backend

Jika Anda ingin load balancer mereferensikan layanan backend di project layanan lain, Admin Load Balancer harus memiliki izin compute.backendServices.use. Untuk memberikan izin ini, Anda dapat menggunakan peran IAM yang telah ditetapkan sebelumnya dan disebut Compute Load Balancer Services User (roles/compute.loadBalancerServiceUser). Peran ini harus diberikan oleh Service Project Admin dan dapat diterapkan di tingkat project atau di tingkat layanan backend individual.

Langkah ini tidak diperlukan jika Anda telah memberikan izin yang diperlukan di tingkat layanan backend saat membuat layanan backend. Anda dapat melewati bagian ini atau melanjutkan membaca untuk mempelajari cara memberikan akses ke semua layanan backend dalam project ini sehingga Anda tidak perlu memberikan akses setiap kali membuat layanan backend baru.

Dalam contoh ini, Service Project Admin dari project layanan B harus menjalankan salah satu perintah berikut untuk memberikan izin compute.backendServices.use kepada Load Balancer Admin dari project layanan A. Hal ini dapat dilakukan di tingkat project (untuk semua layanan backend dalam project) atau per layanan backend.

Konsol

Izin tingkat project

Gunakan langkah-langkah berikut untuk memberikan izin ke semua layanan backend di project Anda.

Anda memerlukan izin compute.regionBackendServices.setIamPolicy dan resourcemanager.projects.setIamPolicy untuk menyelesaikan langkah ini.

  1. Di konsol Google Cloud, buka halaman IAM.

    Buka IAM

  2. Pilih project Anda.

  3. Klik Berikan akses.

  4. Di kolom New principals, masukkan alamat email akun utama atau ID lainnya.

  5. Dalam daftar Select a role, pilih Compute Load Balancer Services User.

  6. Opsional: Tambahkan kondisi ke peran.

  7. Klik Simpan.

Izin tingkat resource untuk setiap layanan backend

Gunakan langkah-langkah berikut untuk memberikan izin ke setiap layanan backend di project Anda.

Anda memerlukan izin compute.regionBackendServices.setIamPolicy untuk menyelesaikan langkah ini.

  1. Di konsol Google Cloud, buka halaman Backends.

    Buka Backend

  2. Dari daftar backend, pilih layanan backend yang ingin Anda beri akses, lalu klik Permissions.

  3. Klik Add principal.

  4. Di kolom New principals, masukkan alamat email akun utama atau ID lainnya.

  5. Dalam daftar Select a role, pilih Compute Load Balancer Services User.

  6. Klik Simpan.

gcloud

Izin tingkat project

Gunakan langkah-langkah berikut untuk memberikan izin ke semua layanan backend di project Anda.

Anda memerlukan izin compute.regionBackendServices.setIamPolicy dan resourcemanager.projects.setIamPolicy untuk menyelesaikan langkah ini. 

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser"

Izin tingkat resource untuk setiap layanan backend

Di tingkat layanan backend, Service Project Admin dapat menggunakan salah satu perintah berikut untuk memberikan peran Pengguna Layanan Compute Load Balancer (roles/compute.loadBalancerServiceUser).

Anda memerlukan izin compute.regionBackendServices.setIamPolicy untuk menyelesaikan langkah ini. 

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'

atau

gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --project=SERVICE_PROJECT_B_ID \
    --region=us-west1

Untuk menggunakan perintah ini, ganti LOAD_BALANCER_ADMIN dengan prinsipal pengguna—misalnya, test-user@gmail.com.

Anda juga dapat mengonfigurasi izin IAM agar hanya berlaku untuk sebagian layanan backend regional dengan menggunakan kondisi dan menentukan atribut kondisi.

Melihat peta URL yang mereferensikan layanan backend VPC Bersama

Untuk melihat peta URL yang mereferensikan layanan backend VPC Bersama tertentu, ikuti langkah-langkah berikut:

gcloud

Untuk melihat resource yang mereferensikan layanan backend VPC Bersama regional, jalankan perintah berikut:

gcloud compute backend-services describe BACKEND_SERVICE_NAME \
    --region REGION

Ganti kode berikut:

  • BACKEND_SERVICE_NAME: nama layanan backend load balancer
  • REGION: region load balancer

Dalam output perintah, tinjau kolom usedBy, yang menampilkan resource yang mereferensikan layanan backend, seperti yang ditunjukkan dalam contoh berikut:

id: '123456789'
kind: compute#backendService
loadBalancingScheme: INTERNAL_MANAGED
...
usedBy:
-   reference: https://www.googleapis.com/compute/v1/projects/my-project/region/us-central1/urlMaps/my-url-map

Langkah selanjutnya