Configura Application Load Balancer esterni regionali con VPC condiviso

Questo documento mostra due configurazioni di esempio per impostare un bilanciatore del carico delle applicazioni esterno a livello di regione in un ambiente VPC condiviso:

  • Il primo esempio crea tutti i componenti e i backend del bilanciatore del carico in un singolo progetto di servizio.
  • Il secondo esempio crea i componenti frontend e la mappa URL del bilanciatore del carico in un progetto di servizio, mentre il servizio di backend e i backend del bilanciatore del carico vengono creati in un progetto di servizio diverso. Questo tipo di deployment, in cui la mappa URL fa riferimento a un servizio di backend in un altro progetto, è definito Riferimento al servizio tra progetti.

Entrambi gli esempi richiedono la stessa configurazione iniziale per concedere le autorizzazioni e configurare un VPC condiviso prima di poter iniziare a creare bilanciatori del carico.

Queste non sono le uniche configurazioni di VPC condiviso supportate dall'Application Load Balancer esterno regionale. Per altre architetture di VPC condiviso valide, consulta Architetture di VPC condivise.

Se non vuoi utilizzare una rete VPC condiviso, consulta Configurare un bilanciatore del carico delle applicazioni esterno regionale con backend di gruppi di istanze VM.

Prima di iniziare

  1. Leggi Panoramica del VPC condiviso.
  2. Leggi la panoramica sul bilanciatore del carico delle applicazioni esterno, inclusa la sezione Architetture dei VPC condivisi.

Autorizzazioni obbligatorie

La configurazione di un bilanciatore del carico su una rete VPC condiviso richiede la configurazione iniziale e il provisioning da parte di un amministratore. Dopo la configurazione iniziale, il proprietario del progetto di servizio può eseguire una delle seguenti operazioni:

  • Esegui il deployment di tutti i componenti del bilanciatore del carico e dei relativi backend in un progetto di servizio.
  • Esegui il deployment dei componenti di backend del bilanciatore del carico (servizio di backend e backend) nei progetti di servizio a cui può fare riferimento una mappa URL in un altro servizio o progetto host.

Questa sezione riassume le autorizzazioni necessarie per seguire questa guida per configurare un bilanciatore del carico su una rete VPC condiviso.

Configura rete VPC condivisa

I ruoli seguenti sono richiesti per le attività seguenti:

  1. Esegui attività amministrative una tantum come la configurazione del VPC condiviso e l'abilitazione di un progetto host.
  2. Esegui attività amministrative che devono essere ripetute ogni volta che vuoi inizializzare un nuovo progetto di servizio. Ciò include il collegamento del progetto di servizio, il provisioning, la configurazione delle risorse di networking e la concessione dell'accesso all'amministratore del progetto di servizio.

Queste attività devono essere eseguite nel progetto host del VPC condiviso. Consigliamo che l'amministratore del VPC condiviso sia anche il proprietario del progetto host del VPC condiviso. In questo modo verranno automaticamente assegnati i ruoli Amministratore rete e Amministratore sicurezza.

Attività Ruolo richiesto
Configura un VPC condiviso, abilita il progetto host e concedi l'accesso agli amministratori dei progetti di servizio Amministratore VPC condiviso
Crea subnet nel progetto host del VPC condiviso e concedi l'accesso agli amministratori del progetto di servizio Amministratore rete
Aggiungi e rimuovi regole firewall Amministratore sicurezza

Una volta eseguito il provisioning delle subnet, il proprietario del progetto host deve concedere il ruolo Utente di rete nel progetto host a chiunque (in genere amministratori, sviluppatori o account di servizio del progetto di servizio) che abbia bisogno di utilizzare queste risorse.

Attività Ruolo richiesto
Utilizza le reti e le subnet VPC appartenenti al progetto host Utente di rete

Questo ruolo può essere concesso a livello di progetto o per singole subnet. Ti consigliamo di concedere questo ruolo a singole subnet. La concessione del ruolo nel progetto consente di accedere a tutte le subnet attuali e future nella rete VPC del progetto host.

Esegui il deployment del bilanciatore del carico e dei backend

Gli amministratori dei progetti di servizio devono disporre dei seguenti ruoli nel progetto di servizio per creare risorse di bilanciamento del carico e backend. Queste autorizzazioni vengono concesse automaticamente al proprietario o all'editor del progetto di servizio.

Ruoli concessi nel progetto di servizio
Attività Ruolo richiesto
Crea componenti del bilanciatore del carico Amministratore rete
Creare istanze Amministratore istanza
Creare e modificare i certificati SSL Amministratore sicurezza

Riferimento ai servizi di backend tra progetti

Se il bilanciatore del carico deve fare riferimento ai servizi di backend di altri progetti di servizio, noti anche come riferimento ai servizi tra progetti, gli amministratori del bilanciatore del carico richiederanno il seguente ruolo nel progetto di servizio in cui viene creato il servizio di backend.

Ruoli concessi nel progetto di servizio
Attività Ruolo richiesto
Autorizzazioni per l'utilizzo dei servizi in altri progetti Utente dei servizi del bilanciatore del carico

Questo ruolo può essere concesso a livello di progetto o per singoli servizi di backend. Per istruzioni su come concedere questo ruolo, vedi l'esempio di riferimento al servizio cross-project in questa pagina.

Per ulteriori informazioni su IAM, consulta le seguenti guide:

Prerequisiti

In questa sezione dovrai eseguire le seguenti operazioni:

  1. Configura la rete e le subnet nel progetto host.
  2. Configura un VPC condiviso nel progetto host.

I passaggi in questa sezione non devono essere eseguiti ogni volta che vuoi creare un nuovo bilanciatore del carico. Tuttavia, devi assicurarti di avere accesso alle risorse descritte qui prima di procedere con la creazione del bilanciatore del carico.

Configurare la rete e le subnet nel progetto host

È necessaria una rete VPC condiviso con due subnet: una per il frontend e i backend del bilanciatore del carico e una per i proxy del bilanciatore del carico.

Questo esempio utilizza la rete, la regione e le subnet seguenti:

  • Rete. Il nome della rete è lb-network.

  • Subnet per frontend e backend del bilanciatore del carico. Una subnet denominata lb-frontend-and-backend-subnet nella regione us-west1 utilizza 10.1.2.0/24 come intervallo IP principale.

  • Subnet per i proxy. Una subnet denominata proxy-only-subnet nella regione us-west1 utilizza 10.129.0.0/23 come intervallo IP principale.

Configura la subnet per il frontend e i backend del bilanciatore del carico

Questo passaggio non deve essere eseguito ogni volta che vuoi creare un nuovo bilanciatore del carico. Devi solo assicurarti che il progetto di servizio abbia accesso a una subnet nella rete VPC condiviso (oltre alla subnet solo proxy).

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.

Console

  1. Nella console Google Cloud, vai alla pagina Reti VPC.

    Vai a Reti VPC

  2. Fai clic su Crea rete VPC.
  3. In Nome, inserisci lb-network.

  4. Nella sezione Subnet:

    1. Imposta Modalità di creazione subnet su Personalizzata.

    2. Nella sezione Nuova subnet, inserisci le informazioni seguenti:

      • Nome: lb-frontend-and-backend-subnet

      • Regione: us-west1

      • Intervallo di indirizzi IP: 10.1.2.0/24

    3. Fai clic su Fine.

  5. Fai clic su Crea.

gcloud

  1. Crea una rete VPC con il comando gcloud compute networks create:

    gcloud compute networks create lb-network --subnet-mode=custom

  2. Crea una subnet nella rete lb-network nella regione us-west1:

    gcloud compute networks subnets create lb-frontend-and-backend-subnet \
    --network=lb-network \
    --range=10.1.2.0/24 \
    --region=us-west1

Terraform

  1. Crea una rete VPC: 

    # Shared VPC network
resource "google_compute_network" "lb_network" {
  name                    = "lb-network"
  provider                = google-beta
  project                 = "my-host-project-id"
  auto_create_subnetworks = false
}

  2. Crea una subnet nella regione us-west1: 

    # Shared VPC network - backend subnet
resource "google_compute_subnetwork" "lb_frontend_and_backend_subnet" {
  name          = "lb-frontend-and-backend-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.1.2.0/24"
  role          = "ACTIVE"
  network       = google_compute_network.lb_network.id
}

Configura la subnet solo proxy

La subnet solo proxy viene utilizzata da tutti i bilanciatori del carico basati su Envoy a livello di regione nell'area geografica us-west1, nella rete VPC lb-network. Può esistere una sola subnet solo proxy attiva per regione e per rete.

Non eseguire questo passaggio se esiste già una subnet solo proxy riservata nella regione us-west1 di questa rete.

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.

Console

  1. Nella console Google Cloud, vai alla pagina Reti VPC.

    Vai a Reti VPC

  2. Fai clic sul nome della rete VPC condiviso: lb-network.
  3. Fai clic su Aggiungi subnet.
  4. In Nome, inserisci proxy-only-subnet.
  5. In Regione, seleziona us-west1.
  6. Imposta Scopo su Proxy gestito a livello di regione.
  7. In Intervallo di indirizzi IP, inserisci 10.129.0.0/23.
  8. Fai clic su Aggiungi.

gcloud

Crea la subnet solo proxy con il comando gcloud compute networks subnets create:

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-west1 \
    --network=lb-network \
    --range=10.129.0.0/23

Terraform

Crea la subnet solo proxy:

# Shared VPC network - proxy-only subnet
resource "google_compute_subnetwork" "proxy_only_subnet" {
  name          = "proxy-only-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.129.0.0/23"
  role          = "ACTIVE"
  purpose       = "REGIONAL_MANAGED_PROXY"
  network       = google_compute_network.lb_network.id
}

Concede agli amministratori dei progetti di servizio l'accesso alla subnet di backend

Gli amministratori dei progetti di servizio richiedono l'accesso alla subnet lb-frontend-and-backend-subnet per poter eseguire il provisioning dei backend del bilanciatore del carico.

Un amministratore del VPC condiviso deve concedere l'accesso alla subnet di backend agli amministratori del progetto di servizio (o agli sviluppatori che eseguono il deployment di risorse e backend che utilizzano la subnet). Per le istruzioni, consulta Amministratori dei progetti di servizio per alcune subnet.

configura le regole firewall nel progetto host

In questo esempio vengono utilizzate le seguenti regole firewall:
  • fw-allow-health-check. Una regola in entrata, applicabile alle istanze con bilanciamento del carico, che consente tutto il traffico TCP dai sistemi di controllo di integrità di Google Cloud in 130.211.0.0/22 e 35.191.0.0/16. Questo esempio utilizza il tag di destinazione load-balanced-backend per identificare le istanze a cui deve essere applicato.
  • fw-allow-proxies. Una regola in entrata, applicabile alle istanze con bilanciamento del carico, che consente il traffico TCP sulle porte 80, 443 e 8080 dai proxy gestiti del bilanciatore del carico. In questo esempio viene utilizzato il tag di destinazione load-balanced-backend per identificare le istanze a cui deve essere applicato.
Senza queste regole firewall, la regola predefinita nega ingresso blocca il traffico in entrata verso le istanze di backend.

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.

Console

  1. Nella console Google Cloud, vai alla pagina Criteri firewall.

    Vai a Criteri firewall

  2. Fai clic su Crea regola firewall per creare la regola che consente i controlli di integrità di Google Cloud:
    • Nome: fw-allow-health-check
    • Rete: lb-network
    • Direzione del traffico: In entrata
    • Azione in caso di corrispondenza: Consenti
    • Target: Tag di destinazione specificati
    • Tag di destinazione: load-balanced-backend
    • Filtro di origine: Intervalli IPv4
    • Intervalli IPv4 di origine: 130.211.0.0/22 e 35.191.0.0/16
    • Protocolli e porte:
      • Scegli Protocolli e porte specificati.
      • Controlla TCP e inserisci 80 per il numero di porta.

        • Come best practice, limita questa regola solo ai protocolli e alle porte corrispondenti a quelli utilizzati dal controllo di integrità. Se utilizzi tcp:80 per il protocollo e la porta, Google Cloud può utilizzare HTTP sulla porta 80 per contattare le tue VM, ma non può utilizzare HTTPS sulla porta 443 per contattarle.

  3. Fai clic su Crea.
  4. Fai clic su Crea regola firewall per creare la regola che consente i controlli di integrità di Google Cloud:
    • Nome: fw-allow-proxies
    • Rete: lb-network
    • Direzione del traffico: In entrata
    • Azione in caso di corrispondenza: Consenti
    • Target: Tag di destinazione specificati
    • Tag di destinazione: load-balanced-backend
    • Filtro di origine: Intervalli IPv4
    • Intervalli IPv4 di origine: 10.129.0.0/23
    • Protocolli e porte:
      • Scegli Protocolli e porte specificati.
      • Controlla TCP e inserisci 80, 443, 8080 per i numeri di porta.
  5. Fai clic su Crea.

gcloud

  1. Crea la regola firewall fw-allow-health-check per consentire i controlli di integrità di Google Cloud. Questo esempio consente tutto il traffico TCP dai probe di controllo di integrità. Tuttavia, puoi configurare un insieme più ristretto di porte in base alle tue esigenze.

    gcloud compute firewall-rules create fw-allow-health-check \
   --network=lb-network \
   --action=allow \
   --direction=ingress \
   --source-ranges=130.211.0.0/22,35.191.0.0/16 \
   --target-tags=load-balanced-backend \
   --rules=tcp

  2. Crea la regola firewall fw-allow-proxies per consentire al traffico dalla subnet solo proxy di Envoy di raggiungere i tuoi backend.

    gcloud compute firewall-rules create fw-allow-proxies \
   --network=lb-network \
   --action=allow \
   --direction=ingress \
   --source-ranges=10.129.0.0/23 \
   --target-tags=load-balanced-backend \
   --rules=tcp:80,tcp:443,tcp:8080

Terraform

  1. Crea una regola firewall per consentire i controlli di integrità di Google Cloud. 

    resource "google_compute_firewall" "fw_allow_health_check" {
  name          = "fw-allow-health-check"
  provider      = google-beta
  project       = "my-host-project-id"
  direction     = "INGRESS"
  network       = google_compute_network.lb_network.id
  source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
  allow {
    protocol = "tcp"
  }
  target_tags = ["load-balanced-backend"]
}

  2. Crea una regola firewall per consentire al traffico dalla subnet solo proxy di Envoy di raggiungere i tuoi backend. 

    resource "google_compute_firewall" "fw_allow_proxies" {
  name          = "fw-allow-proxies"
  provider      = google-beta
  project       = "my-host-project-id"
  direction     = "INGRESS"
  network       = google_compute_network.lb_network.id
  source_ranges = ["10.129.0.0/23"]
  allow {
    protocol = "tcp"
    ports    = ["80", "443", "8080"]
  }
  target_tags = ["load-balanced-backend"]
}

Configura un VPC condiviso nel progetto host

Questo passaggio prevede l'abilitazione di un progetto host del VPC condiviso, la condivisione delle subnet del progetto host e il collegamento dei progetti di servizio al progetto host in modo che i progetti di servizio possano utilizzare la rete VPC condivisa. Per configurare un VPC condiviso nel progetto host, consulta le pagine seguenti:

Le altre istruzioni di queste istruzioni presuppongono che tu abbia già configurato il VPC condiviso. Ciò include la configurazione dei criteri IAM per l'organizzazione e la designazione dei progetti host e di servizio.

Non procedere finché non avrai configurato il VPC condiviso e abilitato i progetti host e di servizio.

configura un bilanciatore del carico nel progetto di servizio

Questo esempio crea un bilanciatore del carico delle applicazioni esterno regionale in cui tutti i componenti di bilanciamento del carico (regola di forwarding, proxy di destinazione, mappa URL e servizio di backend) e i backend vengono creati nel progetto di servizio.

Le risorse di rete dell'Application Load Balancer esterno regionale, come la subnet solo proxy e la subnet per le istanze di backend, vengono create nel progetto host. Anche le regole firewall per le istanze di backend vengono create nel progetto host.

Figura 1. Bilanciatore del carico HTTP(S) esterno regionale su VPC condiviso
Figura 1. Bilanciatore del carico delle applicazioni esterno regionale su VPC condiviso

Questa sezione mostra come configurare il bilanciatore del carico e i backend. Questi passaggi devono essere eseguiti dall'amministratore del progetto di servizio (o uno sviluppatore che opera all'interno del progetto di servizio) e non richiedono il coinvolgimento dell'amministratore del progetto host. I passaggi in questa sezione sono molto simili ai passaggi standard per configurare Application Load Balancer esterni regionali.

L'esempio in questa pagina imposta in modo esplicito un indirizzo IP riservato per la regola di forwarding del bilanciatore del carico delle applicazioni esterno regionale, anziché consentire l'allocazione di un indirizzo IP temporaneo. Come best practice, ti consigliamo di prenotare gli indirizzi IP per le regole di forwarding.

Crea il backend di un gruppo di istanze gestite

Questa sezione mostra come creare un modello di istanza e un backend di gruppi di istanze gestite. Il traffico dai client viene con bilanciamento del carico verso le VM in questi gruppi di istanze.

Console

  1. Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.

    Vai a Modelli di istanza

    1. Fai clic su Crea modello istanza.
    2. In Nome, inserisci l7-xlb-backend-template.
    3. Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 10 (buster). Queste istruzioni utilizzano comandi disponibili solo su Debian, come apt-get. Se devi cambiare il disco di avvio, fai clic su Cambia.
      1. Per Sistema operativo, seleziona Debian.
      2. Per Versione, seleziona una delle immagini Debian disponibili, ad esempio Debian GNU/Linux 10 (buster).
      3. Fai clic su Seleziona.
    4. Fai clic su Opzioni avanzate e poi su Networking.
    5. Inserisci i seguenti tag di rete: load-balanced-backend.
    6. In Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
    7. Seleziona la subnet lb-frontend-and-backend-subnet dalla rete lb-network.

    8. Fai clic su Gestione. Per Gestione, inserisci il seguente script nel campo Script di avvio.

      #! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2

    9. Fai clic su Crea.

  2. Creare un gruppo di istanze gestite. Nella console Google Cloud, vai alla pagina Gruppi di istanze.

    Vai a Gruppi di istanze

    1. Fai clic su Crea gruppo di istanze.
    2. Scegli Nuovo gruppo di istanze gestite (stateless). Per ulteriori informazioni, consulta la pagina relativa a MIG stateless o stateful.
    3. In Nome, inserisci l7-xlb-backend-example.
    4. In Località, seleziona Zona singola.
    5. In Regione, seleziona us-west1.
    6. In Zona, seleziona us-west1-a.
    7. In Modello di istanza, seleziona l7-xlb-backend-template.

    8. Specifica il numero di istanze che vuoi creare nel gruppo.

      Per questo esempio, specifica le seguenti opzioni per Scalabilità automatica:

      • In Modalità di scalabilità automatica, seleziona Off:do not autoscale.
      • In Numero massimo di istanze, inserisci 2.

      Facoltativamente, nella sezione Scalabilità automatica, puoi configurare il gruppo di istanze in modo da aggiungere o rimuovere automaticamente le istanze in base all'utilizzo della CPU delle istanze.

    9. Fai clic su Crea.

gcloud

Le istruzioni gcloud in questa guida presuppongono che tu stia utilizzando Cloud Shell o un altro ambiente in cui è installato bash.

  1. Crea un modello di istanza VM con server HTTP utilizzando il comando gcloud compute instance-templates create.

    gcloud compute instance-templates create l7-xlb-backend-template \
--region=us-west1 \
--network=projects/HOST_PROJECT_ID/global/networks/lb-network \
--subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
--tags=load-balanced-backend \
--image-family=debian-10 \
--image-project=debian-cloud \
--metadata=startup-script='#! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2' \
--project=SERVICE_PROJECT_ID

  2. Crea un gruppo di istanze gestite nella zona con il comando gcloud compute instance-groups managed create.

    gcloud compute instance-groups managed create l7-xlb-backend-example \
    --zone=us-west1-a \
    --size=2 \
    --template=l7-xlb-backend-template \
    --project=SERVICE_PROJECT_ID

Prenota l'indirizzo IP del bilanciatore del carico nel progetto di servizio

Prenotare un indirizzo IP esterno statico a livello di regione per il bilanciatore del carico nel progetto di servizio.

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio.

Console

  1. Nella console Google Cloud, vai alla pagina Prenota un indirizzo statico.

    Vai a Prenota un indirizzo statico

  2. Inserisci un nome per il nuovo indirizzo.

  3. In Network Service Tiers, seleziona Standard.

  4. Per Versione IP, seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e solo con bilanciatori del carico globali.

  5. In Tipo, seleziona A livello di regione.

  6. In Regione, seleziona us-west1.

  7. Lascia l'opzione Allegato a impostata su Nessuno. Dopo aver creato il bilanciatore del carico, questo indirizzo IP viene collegato alla regola di forwarding del bilanciatore del carico.

  8. Per prenotare l'indirizzo IP, fai clic su Prenota.

gcloud

Per prenotare un indirizzo IP esterno statico, utilizza il comando compute addresses create.

gcloud compute addresses create IP_ADDRESS_NAME  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_ID

Sostituisci quanto segue:

  • IP_ADDRESS_NAME: il nome con cui vuoi chiamare questo indirizzo.
  • SERVICE_PROJECT_ID: l'ID del progetto di servizio in cui viene creato il bilanciatore del carico.

configura il bilanciatore del carico

Questa sezione mostra come creare le seguenti risorse del bilanciatore del carico delle applicazioni esterno regionale:

  • Controllo di integrità HTTP
  • Servizio di backend con un gruppo di istanze gestite come backend
  • Una mappa URL
  • Certificato SSL (obbligatorio solo per HTTPS)
  • Proxy di destinazione
  • Regola di forwarding

Disponibilità del proxy

A seconda del numero di progetti di servizio che utilizzano la stessa rete VPC condiviso, potresti raggiungere quote o limiti più rapidamente rispetto al modello di deployment di rete in cui ogni progetto Google Cloud ospita la propria rete.

Ad esempio, a volte le regioni di Google Cloud non hanno una capacità proxy sufficiente per un nuovo bilanciatore del carico delle applicazioni esterno regionale. In questo caso, la console Google Cloud visualizza un messaggio di avviso relativo alla disponibilità del proxy quando crei il bilanciatore del carico. Per risolvere il problema, puoi procedere in uno dei seguenti modi:

  • Attendi che il problema relativo alla capacità venga risolto.

  • Contatta il team di vendita Google Cloud per aumentare questi limiti.

Console

Passa il contesto al progetto di servizio

  1. Nella console Google Cloud, vai alla pagina Dashboard.

    Vai alla dashboard

  2. Fai clic sull'elenco Seleziona da nella parte superiore della pagina. Nella finestra Seleziona da visualizzata, seleziona il progetto di servizio in cui vuoi creare il bilanciatore del carico.

Avvia la configurazione

  1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

    Vai a Bilanciamento del carico

  2. Fai clic su Crea bilanciatore del carico.
  3. In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
  4. In Pubblico o interno, seleziona Per il pubblico (esterno) e fai clic su Avanti.
  5. In Deployment a regione singola o globale, seleziona Ideale per carichi di lavoro a livello di regione e fai clic su Avanti.
  6. Fai clic su Configura.

Configurazione di base

  1. Come Nome del bilanciatore del carico, inserisci l7-xlb-shared-vpc.
  2. In corrispondenza di Regione, seleziona us-west1.

  3. Per Rete, seleziona lb-network(da Progetto: HOST_PROJECT_ID).

    Se viene visualizzato l'avviso La subnet solo proxy è obbligatoria nella VPC condiviso condivisa, verifica che l'amministratore del progetto host abbia creato proxy-only-subnet nella regione us-west1 nella rete VPC condiviso lb-network. La creazione del bilanciatore del carico andrà a buon fine anche se non hai l'autorizzazione per visualizzare la subnet solo proxy in questa pagina.

  4. Tieni la pagina aperta per continuare.

Configura il frontend

Per HTTP:

  1. Fai clic su Configurazione frontend.
  2. Fai clic su Aggiungi IP e porta frontend.
  3. Imposta il campo Nome su l7-xlb-forwarding-rule.
  4. Imposta il Protocollo su HTTP.
  5. Imposta la Porta su 80.

  6. Per l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico.

  7. Fai clic su Fine.

Per HTTPS:

Se utilizzi HTTPS tra il client e il bilanciatore del carico, sono necessarie una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, consulta l'articolo sui certificati SSL. Al momento i certificati gestiti da Google non sono supportati con gli Application Load Balancer esterni regionali.

  1. Fai clic su Configurazione frontend.
  2. Fai clic su Aggiungi IP e porta frontend.
  3. Nel campo Nome, inserisci l7-xlb-forwarding-rule.
  4. Nel campo Protocollo, seleziona HTTPS (includes HTTP/2).
  5. Assicurati che la Porta sia impostata su 443, per consentire il traffico HTTPS.
  6. Seleziona l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico.
  7. Fai clic sull'elenco Certificati.
    1. Se hai già una risorsa di certificato SSL autogestita che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
    2. Altrimenti, seleziona Crea un nuovo certificato.
      1. Inserisci il Nome l7-xlb-cert.
      2. Nei campi appropriati, carica i file in formato PEM:
        • Certificato di chiave pubblica
        • Catena di certificati
        • Chiave privata
      3. Fai clic su Crea.
  8. Per aggiungere risorse di certificato oltre alla risorsa del certificato SSL principale:
    1. Fai clic su Aggiungi certificato.
    2. Seleziona un certificato dall'elenco Certificati oppure fai clic su Crea un nuovo certificato e segui le istruzioni riportate sopra.
  9. Fai clic su Fine.

Configura il backend

  1. Fai clic su Configurazione backend.
  2. Dal menu Crea o seleziona servizi di backend, seleziona Crea un servizio di backend.
  3. Imposta il Nome del servizio di backend su l7-xlb-backend-service.
  4. Imposta Tipo di backend su Gruppi di istanze.
  5. Nella sezione Nuovo backend:
    1. Imposta Gruppo di istanze su l7-xlb-backend-example.
    2. Imposta Numeri di porta su 80.
    3. Imposta Modalità di bilanciamento su Utilizzo.
    4. Fai clic su Fine.
  6. Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con i seguenti parametri:
    1. Nome: l7-xlb-basic-check
    2. Protocollo: HTTP
    3. Porta: 80
  7. Fai clic su Save and Continue.
  8. Fai clic su Crea.

Configura le regole di routing

  • Fai clic su Regole di routing. Assicurati che l7-xlb-backend-service sia l'unico servizio di backend per qualsiasi host senza corrispondenza e percorso senza corrispondenza.

Per informazioni sulla gestione del traffico, consulta Configurazione della gestione del traffico.

Rivedi e finalizza la configurazione

  • Fai clic su Crea.

gcloud

  1. Definire il controllo di integrità HTTP con il comando gcloud compute health-checks create http.

    gcloud compute health-checks create http l7-xlb-basic-check \
   --region=us-west1 \
   --use-serving-port \
   --project=SERVICE_PROJECT_ID

  2. Definisci il servizio di backend con il comando gcloud compute backend-services create.

    gcloud compute backend-services create l7-xlb-backend-service \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --protocol=HTTP \
  --health-checks=l7-xlb-basic-check \
  --health-checks-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  3. Aggiungi backend al servizio di backend con il comando gcloud compute backend-services add-backend.

    gcloud compute backend-services add-backend l7-xlb-backend-service \
  --balancing-mode=UTILIZATION \
  --instance-group=l7-xlb-backend-example \
  --instance-group-zone=us-west1-a \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  4. Crea la mappa degli URL con il comando gcloud compute url-maps create.

    gcloud compute url-maps create l7-xlb-map \
  --default-service=l7-xlb-backend-service \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

  5. Crea il proxy di destinazione.

    Per HTTP:

    Per un bilanciatore del carico HTTP, crea il proxy di destinazione con il comando gcloud compute target-http-proxies create.

    gcloud compute target-http-proxies create l7-xlb-proxy \
  --url-map=l7-xlb-map \
  --url-map-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_ID

    Per HTTPS:

    Per informazioni su come creare risorse dei certificati SSL, consulta l'articolo sui certificati SSL. Al momento i certificati gestiti da Google non sono supportati con gli Application Load Balancer esterni regionali.

    Assegna i percorsi dei file ai nomi delle variabili.

    export LB_CERT=path to PEM-formatted file

    export LB_PRIVATE_KEY=path to PEM-formatted file

    Crea un certificato SSL a livello di regione utilizzando il comando gcloud compute ssl-certificates create.

    gcloud compute ssl-certificates create l7-xlb-cert \
  --certificate=$LB_CERT \
  --private-key=$LB_PRIVATE_KEY \
  --region=us-west1

    Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione con il comando gcloud compute target-https-proxies create.

    gcloud compute target-https-proxies create l7-xlb-proxy \
  --url-map=l7-xlb-map \
  --region=us-west1 \
  --ssl-certificates=l7-xlb-cert \
  --project=SERVICE_PROJECT_ID

  6. Crea la regola di forwarding.

    Per le reti personalizzate, devi fare riferimento alla subnet nella regola di forwarding.

    Per l'indirizzo IP della regola di forwarding, utilizza lb-frontend-and-backend-subnet. Se provi a utilizzare la subnet solo proxy, la creazione della regola di forwarding non va a buon fine.

    Per HTTP:

    Usa il comando gcloud compute forwarding-rules create con i flag corretti.

    gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_NAME \
  --ports=80 \
  --region=us-west1 \
  --target-http-proxy=l7-xlb-proxy \
  --target-http-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_ID

    Per HTTPS:

    Crea la regola di forwarding con il comando gcloud compute forwarding-rules create con i flag corretti.

    gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_NAME \
  --ports=443 \
  --region=us-west1 \
  --target-https-proxy=l7-xlb-proxy \
  --target-https-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_ID

Testa il bilanciatore del carico

Quando il servizio di bilanciamento del carico è in esecuzione, puoi inviare il traffico alla regola di forwarding e osservare la distribuzione del traffico in diverse istanze.

Console

  1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

    Vai a Bilanciamento del carico

  2. Fai clic sul bilanciatore del carico che hai appena creato.
  3. Prendi nota dell'indirizzo IP del bilanciatore del carico. Questo indirizzo IP è indicato come LB_IP_ADDRESS nei passaggi seguenti.
  4. Nella sezione Backend, verifica che le VM siano integri. La colonna Stato integro dovrebbe essere compilata, a indicare che entrambe le VM sono integri (2/2). Se vedi il contrario, prova prima a ricaricare la pagina. La console Google Cloud può richiedere alcuni minuti per indicare che le VM sono integri. Se dopo alcuni minuti i backend non risultano integri, controlla la configurazione del firewall e il tag di rete assegnato alle VM di backend.
  5. Quando la console Google Cloud mostra che le istanze di backend sono in stato integro, puoi testare il bilanciatore del carico utilizzando un browser web andando a https://LB_IP_ADDRESS (o http://LB_IP_ADDRESS). Sostituisci LB_IP_ADDRESS con l'indirizzo IP del bilanciatore del carico.
  6. Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al tuo browser di accettare un certificato autofirmato.
  7. Il browser dovrebbe visualizzare una pagina con contenuti che mostrano il nome dell'istanza che ha pubblicato la pagina e la relativa zona (ad esempio, Page served from: lb-backend-example-xxxx). Se il browser non esegue il rendering di questa pagina, rivedi le impostazioni di configurazione di questa guida.

gcloud

Prendi nota dell'indirizzo IP riservato:

gcloud compute addresses describe IP_ADDRESS_NAME \
    --format="get(address)" \
    --region=us-west1

Puoi testare il bilanciatore del carico utilizzando un browser web andando a https://IP_ADDRESS_NAME (o http://IP_ADDRESS_NAME). Sostituisci IP_ADDRESS_NAME con l'indirizzo IP del bilanciatore del carico.

Se hai utilizzato un certificato autofirmato per testare HTTPS, il browser mostra un avviso. Devi indicare esplicitamente al tuo browser di accettare un certificato autofirmato.

Il browser dovrebbe visualizzare una pagina con informazioni minime sull'istanza di backend. Se il tuo browser non esegue il rendering di questa pagina, rivedi le impostazioni di configurazione in questa guida.

Configura un bilanciatore del carico con un servizio di backend tra progetti

L'esempio precedente in questa pagina mostra come configurare un deployment di un VPC condiviso in cui tutti i componenti del bilanciatore del carico e i relativi backend vengono creati nel progetto di servizio.

I bilanciatori del carico delle applicazioni esterni regionali consentono inoltre di configurare deployment dei VPC condiviso in cui una mappa URL in un host o progetto di servizio può fare riferimento a servizi di backend (e backend) situati in più progetti di servizio in ambienti VPC condiviso. Questo è denominato riferimento ai servizi cross-project.

Puoi utilizzare i passaggi in questa sezione come riferimento per configurare una qualsiasi delle combinazioni supportate elencate qui:

  • Regola di forwarding, proxy di destinazione e mappa URL nel progetto host e servizio di backend in un progetto di servizio
  • Regola di forwarding, proxy di destinazione e mappa URL in un progetto di servizio e servizio di backend in un altro progetto di servizio

I riferimenti ai servizi tra progetti possono essere utilizzati con gruppi di istanze, NEG serverless o qualsiasi altro tipo di backend supportato. Se utilizzi NEG serverless, devi creare una VM nella rete VPC in cui intendi creare il frontend del bilanciatore del carico. Per un esempio, vedi Creare un'istanza VM in una subnet specifica in Configurare un bilanciatore del carico delle applicazioni esterno regionale con Cloud Run.

Requisiti di configurazione

Questo esempio configura un bilanciatore del carico di esempio con il frontend e il backend in due diversi progetti di servizio.

Se non lo hai già fatto, devi completare tutti i passaggi preliminari per configurare il VPC condiviso e configurare la rete, le subnet e le regole firewall richieste per questo esempio. Per le istruzioni, consulta le seguenti sezioni all'inizio di questa pagina:

Figura 2. Frontend e backend del bilanciatore del carico in progetti di servizio diversi
Figura 2. Frontend e backend del bilanciatore del carico in progetti di servizio diversi

Prenota l'indirizzo IP del bilanciatore del carico nel progetto di servizio A

Prenota un indirizzo IP esterno statico a livello di regione per il bilanciatore del carico nel progetto di servizio A.

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio A.

Console

  1. Nella console Google Cloud, vai alla pagina Prenota un indirizzo statico.

    Vai a Prenota un indirizzo statico

  2. Come nome del nuovo indirizzo, inserisci cross-ref-ip-address.

  3. In Network Service Tiers, seleziona Standard.

  4. Per Versione IP, seleziona IPv4. Gli indirizzi IPv6 possono essere solo globali e solo con bilanciatori del carico globali.

  5. In Tipo, seleziona A livello di regione.

  6. In Regione, seleziona us-west1.

  7. Lascia l'opzione Allegato a impostata su Nessuno. Dopo aver creato il bilanciatore del carico, questo indirizzo IP viene collegato alla regola di forwarding del bilanciatore del carico.

  8. Per prenotare l'indirizzo IP, fai clic su Prenota.

gcloud

Per prenotare un indirizzo IP esterno statico, utilizza il comando compute addresses create.

gcloud compute addresses create IP_ADDRESS_CROSS_REF  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_A_ID

Sostituisci quanto segue:

  • IP_ADDRESS_CROSS_REF: il nome con cui vuoi chiamare questo indirizzo IP.
  • SERVICE_PROJECT_A_ID: l'ID per il progetto di servizio A, dove viene creato il frontend del bilanciatore del carico.

Crea i backend e il servizio di backend nel progetto di servizio B

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio B.

Console

  1. Creare un modello di istanza. Nella console Google Cloud, vai alla pagina Modelli di istanza.

    Vai a Modelli di istanza

    1. Fai clic su Crea modello istanza.
    2. Inserisci un nome per il modello di istanza: cross-ref-backend-template.
    3. Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio Debian GNU/Linux 10 (buster). Queste istruzioni utilizzano comandi disponibili solo su Debian, come apt-get. Se devi cambiare il disco di avvio, fai clic su Cambia.
      1. Per Sistema operativo, seleziona Debian.
      2. Per Versione, seleziona una delle immagini Debian disponibili, ad esempio Debian GNU/Linux 10 (buster).
      3. Fai clic su Seleziona.
    4. Fai clic su Opzioni avanzate e poi su Networking.
    5. Inserisci i seguenti tag di rete: load-balanced-backend.
    6. In Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
    7. Seleziona la subnet lb-frontend-and-backend-subnet dalla rete lb-network.

    8. Fai clic su Gestione. Per Gestione, inserisci il seguente script nel campo Script di avvio:

      #! /bin/bash
apt-get update
apt-get install apache2 -y
a2ensite default-ssl
a2enmod ssl
vm_hostname="$(curl -H "Metadata-Flavor:Google" \
http://metadata.google.internal/computeMetadata/v1/instance/name)"
echo "Page served from: $vm_hostname" | \
tee /var/www/html/index.html
systemctl restart apache2

    9. Fai clic su Crea.

  2. Creare un gruppo di istanze gestite. Nella console Google Cloud, vai alla pagina Gruppi di istanze.

    Vai a Gruppi di istanze

    1. Fai clic su Crea gruppo di istanze.
    2. Scegli Nuovo gruppo di istanze gestite (stateless). Per ulteriori informazioni, consulta la pagina relativa a MIG stateless o stateful.
    3. Inserisci un nome per il gruppo di istanze: cross-ref-ig-backend.
    4. In Località, seleziona Zona singola.
    5. In Regione, seleziona us-west1.
    6. In Zona, seleziona us-west1-a.
    7. In Modello di istanza, seleziona cross-ref-backend-template.

    8. Specifica il numero di istanze che vuoi creare nel gruppo.

      Per questo esempio, specifica le seguenti opzioni per Scalabilità automatica:

      • In Modalità di scalabilità automatica, seleziona Off:do not autoscale.
      • In Numero massimo di istanze, inserisci 2.

      Facoltativamente, nella sezione Scalabilità automatica, puoi configurare il gruppo di istanze in modo da aggiungere o rimuovere automaticamente le istanze in base all'utilizzo della CPU delle istanze.

    9. Fai clic su Crea.

  3. Creare un servizio di backend a livello di regione. Come parte di questo passaggio, creiamo anche il controllo di integrità e aggiungiamo backend al servizio di backend. Nella console Google Cloud, vai alla pagina Backend.

    Vai a Backend

    1. Fai clic su Crea servizio di backend a livello di regione.
    2. Inserisci un nome per il servizio di backend: cross-ref-backend-service.
    3. In Regione, seleziona us-west1.
    4. In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni esterno regionale (EXTERNAL_MANAGED).
    5. Imposta Tipo di backend su Gruppi di istanze.
    6. Nella sezione Backend, imposta Rete su lb-network.
    7. Fai clic su Aggiungi backend e imposta i seguenti campi:
      1. Imposta Gruppo di istanze su cross-ref-ig-backend.
      2. Imposta Numeri di porta su 80.
      3. Imposta Modalità di bilanciamento su Utilizzo.
      4. Fai clic su Fine.
    8. Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con i seguenti parametri:
      1. Nome: cross-ref-http-health-check
      2. Protocollo: HTTP
      3. Porta: 80
      4. Fai clic su Salva.

    9. (Facoltativo) Nella sezione Aggiungi autorizzazioni, inserisci le entità IAM (in genere un indirizzo email) degli amministratori del bilanciatore del carico di altri progetti in modo che possano utilizzare questo servizio di backend per i bilanciatori del carico nei propri progetti. Senza questa autorizzazione, non puoi utilizzare i riferimenti ai servizi tra progetti.

      Se non hai l'autorizzazione per impostare i criteri di controllo dell'accesso per i servizi di backend in questo progetto, puoi comunque creare ora il servizio di backend e un utente autorizzato può eseguire questo passaggio in un secondo momento come descritto nella sezione Concedere all'amministratore del bilanciatore del carico le autorizzazioni per utilizzare il servizio di backend. Questa sezione descrive inoltre come concedere l'accesso a tutti i servizi di backend in questo progetto, in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.

    10. Fai clic su Crea.

gcloud

  1. Crea un modello di istanza VM con un server HTTP utilizzando il comando gcloud compute instance-templates create.

    gcloud compute instance-templates create BACKEND_IG_TEMPLATE \
    --region=us-west1 \
    --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
    --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
    --tags=load-balanced-backend \
    --image-family=debian-10 \
    --image-project=debian-cloud \
    --metadata=startup-script='#! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2' \
    --project=SERVICE_PROJECT_B_ID

    Sostituisci quanto segue:

    • BACKEND_IG_TEMPLATE: il nome del modello del gruppo di istanze.
    • SERVICE_PROJECT_B_ID: l'ID del progetto di servizio B, in cui vengono creati i backend del bilanciatore del carico e il servizio di backend.
    • HOST_PROJECT_ID: l'ID progetto per il progetto host del VPC condiviso.

  2. Crea un gruppo di istanze gestite nella zona con il comando gcloud compute instance-groups managed create.

    gcloud compute instance-groups managed create BACKEND_MIG \
    --zone=us-west1-a \
    --size=2 \
    --template=BACKEND_IG_TEMPLATE \
    --project=SERVICE_PROJECT_B_ID

    Sostituisci quanto segue:

    • BACKEND_MIG: il nome del gruppo di istanza di backend.

  3. Definire il controllo di integrità HTTP con il comando gcloud compute health-checks create http.

    gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
  --region=us-west1 \
  --use-serving-port \
  --project=SERVICE_PROJECT_B_ID

    Sostituisci quanto segue:

    • HTTP_HEALTH_CHECK_NAME: il nome del controllo di integrità HTTP.

  4. Definisci il servizio di backend con il comando gcloud compute backend-services create.

    gcloud compute backend-services create BACKEND_SERVICE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --protocol=HTTP \
  --health-checks=HTTP_HEALTH_CHECK_NAME \
  --health-checks-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_B_ID

    Sostituisci quanto segue:

    • BACKEND_SERVICE_NAME: il nome del servizio di backend creato nel progetto di servizio B.

  5. Aggiungi backend al servizio di backend con il comando gcloud compute backend-services add-backend.

    gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
  --balancing-mode=UTILIZATION \
  --instance-group=BACKEND_MIG \
  --instance-group-zone=us-west1-a \
  --region=us-west1 \
  --project=SERVICE_PROJECT_B_ID

Crea la mappa URL e il frontend del bilanciatore del carico nel progetto di servizio A

Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio A.

Console

Avvia la configurazione

  1. Nella console Google Cloud, vai alla pagina Bilanciamento del carico.

    Vai a Bilanciamento del carico

  2. Fai clic su Crea bilanciatore del carico.
  3. In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
  4. In Pubblico o interno, seleziona Per il pubblico (esterno) e fai clic su Avanti.
  5. In Deployment a regione singola o globale, seleziona Ideale per carichi di lavoro a livello di regione e fai clic su Avanti.
  6. Fai clic su Configura.

prepara il bilanciatore del carico

  1. Inserisci il nome del bilanciatore del carico: cross-ref-l7-xlb-shared-vpc.
  2. In corrispondenza di Regione, seleziona us-west1.

  3. Per Rete, seleziona lb-network(da Progetto: HOST_PROJECT_ID).

    Se viene visualizzato l'avviso La subnet solo proxy è obbligatoria nella VPC condiviso condivisa, verifica che l'amministratore del progetto host abbia creato proxy-only-subnet nella regione us-west1 nella rete VPC condiviso lb-network. La creazione del bilanciatore del carico andrà a buon fine anche se non hai l'autorizzazione per visualizzare la subnet solo proxy su questa pagina.

  4. Tieni la pagina aperta per continuare.

Configura il frontend

Affinché i riferimenti al servizio tra progetti funzionino, il frontend deve utilizzare la stessa rete (lb-network) del progetto host del VPC condiviso utilizzato per creare il servizio di backend.

Per HTTP:

  1. Fai clic su Configurazione frontend.
  2. Inserisci un nome per la regola di forwarding: cross-ref-http-forwarding-rule.
  3. Imposta il Protocollo su HTTP.

  4. Imposta la Subnet su lb-frontend-and-backend-subnet.

    Non selezionare la subnet solo proxy per il frontend, anche se è un'opzione dell'elenco.

  5. Seleziona l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico, chiamato cross-ref-ip-address.

  6. Imposta la Porta su 80.

  7. Fai clic su Fine.

Per HTTPS:

Se utilizzi HTTPS tra il client e il bilanciatore del carico, sono necessarie una o più risorse del certificato SSL per configurare il proxy. Per informazioni su come creare risorse dei certificati SSL, consulta l'articolo sui certificati SSL. Al momento i certificati gestiti da Google non sono supportati con gli Application Load Balancer esterni regionali.

  1. Fai clic su Configurazione frontend.
  2. Inserisci un nome per la regola di forwarding: cross-ref-https-forwarding-rule.
  3. Nel campo Protocollo, seleziona HTTPS (includes HTTP/2).

  4. Imposta la Subnet su lb-frontend-and-backend-subnet.

    Non selezionare la subnet solo proxy per il frontend, anche se è un'opzione dell'elenco.

  5. Seleziona l'indirizzo IP che hai creato in Prenotare l'indirizzo IP del bilanciatore del carico, chiamato cross-ref-ip-address.

  6. Assicurati che la Porta sia impostata su 443 per consentire il traffico HTTPS.

  7. Fai clic sull'elenco Certificati.

    1. Se hai già una risorsa del certificato SSL autogestita che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
    2. Altrimenti, seleziona Crea un nuovo certificato.
      1. Inserisci un nome per il certificato SSL.
      2. Nei campi appropriati, carica i file in formato PEM:
        • Certificato di chiave pubblica
        • Catena di certificati
        • Chiave privata
      3. Fai clic su Crea.

  8. Per aggiungere risorse del certificato oltre alla risorsa del certificato SSL principale:

    1. Fai clic su Aggiungi certificato.
    2. Seleziona un certificato dall'elenco Certificati oppure fai clic su Crea un nuovo certificato e segui le istruzioni precedenti.

  9. Fai clic su Fine.

Configura il backend

  1. Fai clic su Configurazione backend.
  2. Fai clic su Servizi di backend tra progetti.
  3. In ID progetto, inserisci l'ID progetto per il progetto di servizio B.
  4. In Nome servizio di backend, inserisci il nome del servizio di backend del progetto di servizio B che vuoi utilizzare. Per questo esempio, inserisci cross-ref-backend-service.
  5. Fai clic su Aggiungi servizio di backend.

Configura le regole di routing

  • Fai clic su Regole di routing. Assicurati che cross-ref-backend-service sia l'unico servizio di backend per qualsiasi host senza corrispondenza e percorso senza corrispondenza.

Per informazioni sulla gestione del traffico, consulta Configurazione della gestione del traffico.

Rivedi e finalizza la configurazione

  • Fai clic su Crea.

Testa il bilanciatore del carico

Dopo aver creato il bilanciatore del carico, testalo utilizzando i passaggi descritti in Testare il bilanciatore del carico.

gcloud

  1. Crea la mappa URL e imposta il servizio predefinito sul servizio di backend creato nel progetto di servizio B.

    gcloud compute url-maps create URL_MAP_NAME \
    --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \
    --region=us-west1 \
    --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • URL_MAP_NAME: il nome della mappa URL.
    • BACKEND_SERVICE_NAME: il nome del servizio di backend creato nel progetto di servizio B.
    • SERVICE_PROJECT_B_ID: l'ID del progetto di servizio B, dove vengono creati i backend del bilanciatore del carico e il servizio di backend.
    • SERVICE_PROJECT_A_ID: l'ID per il progetto di servizio A, dove viene creato il frontend del bilanciatore del carico.

    La creazione della mappa URL non va a buon fine se non disponi dell'autorizzazione compute.backendServices.use per il servizio di backend nel progetto di servizio B.

  2. Crea il proxy di destinazione.

    Per HTTP:

    gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \
  --url-map=URL_MAP_NAME \
  --url-map-region=us-west1 \
  --region=us-west1 \
  --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • HTTP_TARGET_PROXY_NAME: il nome del proxy HTTP di destinazione.

    Per HTTPS:

    Crea un certificato SSL a livello di regione utilizzando il comando gcloud compute ssl-certificates create.

    gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
  --certificate=PATH_TO_CERTIFICATE \
  --private-key=PATH_TO_PRIVATE_KEY \
  --region=us-west1 \
  --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • SSL_CERTIFICATE_NAME: il nome della risorsa del certificato SSL.
    • PATH_TO_CERTIFICATE: il percorso del file del certificato SSL locale in formato PEM.
    • PATH_TO_PRIVATE_KEY: il percorso della chiave privata del certificato SSL locale in formato PEM.

    Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione con il comando gcloud compute target-https-proxies create.

    gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \
  --url-map=URL_MAP_NAME \
  --region=us-west1 \
  --ssl-certificates=SSL_CERTIFICATE_NAME \
  --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • HTTPS_TARGET_PROXY_NAME: il nome del proxy HTTPS di destinazione.

  3. Crea la regola di forwarding. Affinché il servizio tra progetti faccia riferimento al funzionamento, la regola di forwarding deve utilizzare la stessa rete (lb-network) del progetto host del VPC condiviso utilizzato per creare il servizio di backend.

    Per HTTP:

    gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_CROSS_REF \
  --ports=80 \
  --region=us-west1 \
  --target-http-proxy=HTTP_TARGET_PROXY_NAME \
  --target-http-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • HTTP_FORWARDING_RULE_NAME: il nome della regola di forwarding utilizzata per gestire il traffico HTTP.

    Per HTTPS:

    gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
  --address=IP_ADDRESS_CROSS_REF \
  --ports=443 \
  --region=us-west1 \
  --target-https-proxy=HTTPS_TARGET_PROXY_NAME \
  --target-https-proxy-region=us-west1 \
  --network-tier=STANDARD \
  --project=SERVICE_PROJECT_A_ID

    Sostituisci quanto segue:

    • HTTPS_FORWARDING_RULE_NAME: il nome della regola di forwarding utilizzata per gestire il traffico HTTPS.

  4. Per testare il bilanciatore del carico, utilizza i passaggi descritti in Testare il bilanciatore del carico.

Concedi all'amministratore del bilanciatore del carico le autorizzazioni per utilizzare il servizio di backend

Se vuoi che i bilanciatori del carico facciano riferimento ai servizi di backend in altri progetti di servizio, l'amministratore del bilanciatore del carico deve disporre dell'autorizzazione compute.backendServices.use. Per concedere questa autorizzazione, puoi utilizzare il ruolo IAM predefinito Utente dei servizi bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser). Questo ruolo deve essere concesso dall'amministratore del progetto di servizio e può essere applicato a livello di progetto o a livello di singolo servizio di backend.

Questo passaggio non è obbligatorio se hai già concesso le autorizzazioni richieste a livello di servizio di backend durante la creazione del servizio di backend. Puoi saltare questa sezione o continuare a leggere per scoprire come concedere l'accesso a tutti i servizi di backend in questo progetto in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.

In questo esempio, un amministratore del progetto di servizio del progetto di servizio B deve eseguire uno dei seguenti comandi per concedere l'autorizzazione compute.backendServices.use a un amministratore del bilanciatore del carico del progetto di servizio A. Questa operazione può essere eseguita a livello di progetto (per tutti i servizi di backend del progetto) o per servizio di backend.

Console

Autorizzazioni a livello di progetto

Per concedere le autorizzazioni a tutti i servizi di backend nel progetto, segui questi passaggi.

Devi disporre delle autorizzazioni compute.regionBackendServices.setIamPolicy e resourcemanager.projects.setIamPolicy per completare questo passaggio.

  1. Nella console Google Cloud, vai alla pagina Servizi di bilanciamento del carico condivisi.

    Vai a Servizi di bilanciamento del carico condivisi

  2. Nella sezione Tutte le autorizzazioni del servizio di backend (autorizzazioni a livello di progetto), seleziona il tuo progetto.

  3. Se il riquadro delle autorizzazioni non è visibile, fai clic su Mostra riquadro delle autorizzazioni. A destra si apre il riquadro Autorizzazioni a livello di progetto.

  4. Fai clic su Aggiungi entità.

  5. In Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.

  6. Per Ruolo, seleziona il ruolo Utente dei servizi del bilanciatore del carico Compute dall'elenco a discesa.

  7. (Facoltativo) Aggiungi una condizione al ruolo.

  8. Fai clic su Salva.

Autorizzazioni a livello di risorsa per singoli servizi di backend

Per concedere le autorizzazioni a singoli servizi di backend nel progetto, segui la procedura riportata di seguito.

Devi avere l'autorizzazione compute.regionBackendServices.setIamPolicy per completare questo passaggio.

gcloud

Autorizzazioni a livello di progetto

Per concedere le autorizzazioni a tutti i servizi di backend nel progetto, segui questi passaggi.

Devi disporre delle autorizzazioni compute.regionBackendServices.setIamPolicy e resourcemanager.projects.setIamPolicy per completare questo passaggio. 

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser"

Autorizzazioni a livello di risorsa per singoli servizi di backend

A livello di servizio di backend, gli amministratori dei progetti di servizio possono utilizzare uno dei seguenti comandi per concedere il ruolo Utente servizi bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser).

Devi avere l'autorizzazione compute.regionBackendServices.setIamPolicy per completare questo passaggio. 

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'

o

gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --project=SERVICE_PROJECT_B_ID \
    --region=us-west1

Per utilizzare questi comandi, sostituisci LOAD_BALANCER_ADMIN con l'entità dell'utente, ad esempio test-user@gmail.com.

Puoi anche configurare le autorizzazioni IAM in modo che si applichino solo a un sottoinsieme di servizi di backend regionali utilizzando le condizioni e specificando gli attributi della condizione.

Passaggi successivi