Se usó la API de Cloud Translation para traducir esta página.

Crea verificaciones de tiempo de actividad privadas

En este documento, se describe cómo configurar una verificación de tiempo de actividad privada. Las verificaciones de tiempo de actividad privadas habilitan las solicitudes HTTP en la red de nube privada virtual (VPC) del cliente mientras aplican restricciones de administración de identidades y accesos (IAM) y perímetros de los Controles del servicio de VPC. Las verificaciones de tiempo de actividad privadas pueden enviar solicitudes a través de la red privada a recursos como una máquina virtual (VM) o un balanceador de cargas interno (ILB) L4.

Los servicios del Directorio de servicios registran las direcciones IP internas de los recursos en la red privada con el acceso a la red privada habilitado. Para usar verificaciones de tiempo de actividad privadas, debes configurar el acceso a la red privada con el producto del Directorio de servicios.

El proyecto de Google Cloud que almacena la verificación de tiempo de actividad privada y el proyecto de Google Cloud que almacena el servicio del Directorio de servicios pueden ser proyectos diferentes. Cloud Monitoring te permite supervisar recursos en varios proyectos de Google Cloud desde un proyecto a través de un permiso de métricas. El proyecto en el que se define la verificación de tiempo de actividad es el proyecto de permisos de un permiso de métricas; el permiso de métricas es una lista de todos los proyectos que supervisa el proyecto de permisos. El servicio del Directorio de servicios se puede definir en el proyecto de permisos o en un proyecto dentro del permiso de las métricas. Para obtener más información sobre los permisos de métricas, consulta Descripción general de los permisos de métricas.

La red privada y sus recursos, como las VM o los balanceadores de cargas, también pueden estar en un proyecto de Google Cloud diferente. Este proyecto no tiene que estar dentro del permiso de métricas del proyecto de permisos de la verificación de tiempo de actividad. El servicio del Directorio de servicios recopila las métricas de tiempo de actividad, por lo que debe estar dentro del permiso de métricas, pero los recursos que encapsula no.

En este documento, se describe cómo configurar una red privada y los recursos del Directorio de servicios con la consola de Google Cloud o la API. En los ejemplos de la API, se supone que la red privada y el servicio del Directorio de servicios están en el proyecto de permisos de la verificación de tiempo de actividad. Sin embargo, en Crea una verificación de tiempo de actividad privada también se describe cómo usar la API para crear una verificación de tiempo de actividad que use un servicio del Directorio de servicios en el permiso de las métricas.

Para obtener más información sobre cómo configurar verificaciones de tiempo de actividad que usan direcciones IP públicas, consulta Crea verificaciones de tiempo de actividad públicas. Para obtener información sobre cómo administrar y supervisar tus verificaciones de tiempo de actividad, consulta la sección Próximos pasos de este documento.

Antes de comenzar

Habilita las siguientes APIs:
- API de Cloud Monitoring: monitoring.googleapis.com
- API del Directorio de servicios: servicedirectory.googleapis.com
- API de Service Networking: servicenetworking.googleapis.com
- API de Compute Engine: compute.googleapis.com
Puedes habilitar las APIs con gcloud CLI o la consola de Google Cloud. En las siguientes pestañas, se describe cómo instalar la gcloud CLI y habilitar la API de Cloud Monitoring:
Consola de Google Cloud
1. En la consola de Google Cloud, selecciona el proyecto de Google Cloud para el que deseas habilitar la API y, luego, ve a la página APIs y servicios:
  
  Ir a APIs y servicios
2. Haz clic en el botón Habilitar las API y el servicio.
3. Busca “Monitoring”.
4. En los resultados de la búsqueda, haz clic en "API de Monitoring" de Stackdriver.
5. Si se muestra "API habilitada", significa que la API ya está habilitada. De lo contrario, haz clic en Habilitar.
gcloud CLI
1. Si aún no instalaste Google Cloud CLI en tu estación de trabajo, consulta Instala gcloud CLI.
2. Para ver si la API de Monitoring está habilitada, ejecuta el siguiente comando en tu estación de trabajo después de reemplazar PROJECT_ID por el ID del proyecto para el que deseas habilitar la API:
```
gcloud services list --project=PROJECT_ID
```
  Si monitoring.googleapis.com aparece en el resultado, la API está habilitada.
3. Si la API no está habilitada, ejecuta el siguiente comando para habilitarla:
```
gcloud services enable monitoring --project=PROJECT_ID
```
  Para obtener más información, consulta gcloud services
Puedes seguir los mismos pasos para habilitar las otras APIs:
- Para usar la consola de Google Cloud, busca el nombre visible, por ejemplo, “API del Directorio de servicios”.
- Para usar gcloud CLI, especifica el primer elemento del nombre googleapis.com, por ejemplo, servicedirectory.
Configura los canales de notificación que deseas usar para recibir notificaciones. Te recomendamos que crees varios tipos de canales de notificaciones. Para obtener más información, consulta Cómo crear y administrar canales de notificaciones.
Configurar una red privada y configurar una VM o un ILB para tener acceso a esa red privada Para obtener más información, consulta Acceso privado a servicios.

Estas verificaciones se limitan a las regiones con verificadores de tiempo de actividad. La región de verificación de tiempo de actividad USA incluye las regiones USA_OREGON, USA_IOWA y USA_VIRGINIA. Cada una de las regiones USA_* tiene un verificador, y USA incluye los tres. Las otras regiones de verificación de tiempo de actividad, EUROPE, SOUTH_AMERICA y ASIA_PACIFIC, tienen un verificador. Para quitar esta limitación, debes configurar el acceso global al balanceador de cargas. Para obtener más información sobre cómo configurar el acceso global, consulta la pestaña de ILB en la sección Configura los recursos del Directorio de servicios de este documento.

Si planeas verificar un ILB que no permite el acceso global, selecciona una de las siguientes regiones para el ILB:
- us-east4
- us-central1
- us-west1
- europe-west1
- southamerica-east1
- asia-southeast1
Determina qué interfaz usar:
- Consola de Cloud: crea una verificación de tiempo de actividad cuando una VM atiende solicitudes. Esta interfaz te guiará en la configuración de los recursos del Directorio de servicios, la autorización de la cuenta de servicio y la configuración de las reglas de firewall de red.
- Interfaces de línea de comandos: Puedes usar Google Cloud CLI y la API de Cloud Monitoring para crear verificaciones de tiempo de actividad privadas cuando los ILB y las VM atienden solicitudes.
Si planeas usar la línea de comandos para configurar tus verificaciones de tiempo de actividad privadas, completa los pasos previos.

Crea una verificación de tiempo de actividad privada

En esta sección, se explica cómo crear y configurar verificaciones de tiempo de actividad privadas para los servicios del Directorio de servicios:

Para usar la consola de Google Cloud, selecciona la pestaña Consola de Google Cloud.
Si quieres usar la API de Cloud Monitoring y configurar el servicio del Directorio de servicios para que esté en el mismo proyecto de Google Cloud que la verificación de tiempo de actividad, selecciona la pestaña API: Scoping project.
Si quieres usar la API de Cloud Monitoring y configurar el servicio del Directorio de servicios para que esté en un proyecto supervisado por el permiso de métricas del proyecto de verificación de tiempo de actividad, selecciona la pestaña API: proyecto supervisado.

Consola de Google Cloud

Para crear una verificación de tiempo de actividad con la consola de Google Cloud, haz lo siguiente:

En la consola de Google Cloud, ve a la página Verificaciones de tiempo de actividad:
Ve a Verificaciones de tiempo de actividad

Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Monitoring.
Haga clic en Crear una verificación de tiempo de actividad.
Especifica una verificación de tiempo de actividad privada:
1. Selecciona el protocolo, ya sea HTTP o HTTPS. No selecciones TCP para una verificación de tiempo de actividad privada.
2. Elige el tipo de recurso IP interna.
Si no tienes un servicio del Directorio de servicios configurado para tu proyecto o si deseas crear uno, haz clic en Ver y completa el panel Requisitos previos de la verificación de tiempo de actividad privada:
1. Si se te solicita, habilita la API de Compute Engine o la API del Directorio de servicios. La habilitación de las APIs puede tardar un minuto en completarse.
2. Expande Service Account, si se muestra, y haz clic en Create Service Account.
  
  Cuando no existe una cuenta de servicio de Monitoring, se crea una. Luego, le otorga a la cuenta de servicio dos roles del Directorio de servicios.
3. Expande el menú del Directorio de servicios y, luego, haz lo siguiente:
  1. Expande Región y, luego, selecciona la región de la VM que entrega las solicitudes.
  2. Expande Espacio de nombres y, luego, selecciona un espacio de nombres del Directorio de servicios existente o haz clic en Crear espacio de nombres y crea un espacio de nombres.
  3. Haz clic en Nombre del servicio y, luego, ingresa un nombre de servicio. Los servicios son los objetivos de las verificaciones de tiempo de actividad privadas.
  4. Haz clic en Nombre del extremo y, luego, ingresa un nombre para el extremo. Un extremo es un par de valores de dirección IP y puerto que un servicio puede usar para controlar solicitudes. Cuando tu servicio contiene varios extremos, se elige uno al azar.
  5. Expande Red y, luego, selecciona tu red privada.
  6. Expande Instancia de y, luego, selecciona la VM en la red privada que entrega las solicitudes. Después de seleccionar la instancia, se mostrará su dirección IP interna.
  7. Haz clic en Listo.
4. Expande Reglas de firewall de :
  1. Expande Red y selecciona la red a la que se conecta la regla de red.
  2. Haz clic en Crear reglas de firewall.
    
    La regla de firewall habilita el tráfico de TCP entrante desde las rutas 35.199.192.0/19. Una ruta de 35.199.192.0/19 admite la conectividad a destinos de reenvío que usan enrutamiento privado. Para obtener más información, consulta Rutas de VPC.
En el panel Verificación de tiempo de actividad privada, realiza una de las siguientes acciones para especificar el servicio de Directorio de servicios que se usará:
- Selecciona Usar nombre de servicio completamente calificado y, luego, ingresa el nombre completamente calificado del servicio:
```
projects/SERVICE_DIRECTORY_PROJECT_ID/locations/REGION/namespaces/PRIVATE_NAMESPACE/services/PRIVATE_SERVICE
```
- Selecciona la Región, el Espacio de nombres y el Servicio mediante los menús. Si creaste un servicio, estos campos se seleccionan automáticamente.
En el panel Verificación de tiempo de actividad privada (Private Uptime Check), completa la descripción del destino de la verificación de tiempo de actividad:
1. Opcional: Ingresa un componente de ruta de acceso para la solicitud.
  
  Las verificaciones de tiempo de actividad privadas que usan el protocolo HTTP o HTTPS envían una solicitud a http://target/path. En esta expresión, target es la dirección IP interna configurada en el extremo del Directorio de servicios.
  
  Si dejas el campo Path en blanco o si estableces el valor como /, la solicitud se emite a http://target/.
2. Opcional: Para configurar la frecuencia con la que se ejecuta la verificación de tiempo de actividad, usa el campo Revisar frecuencia.
3. Opcional: Si quieres seleccionar regiones del verificador o configurar la autenticación, los encabezados para las verificaciones HTTP y HTTPS, y otros valores, haz clic en Más opciones de destino:
  - Regiones: selecciona las regiones en las que las verificaciones de tiempo de actividad son para recibir solicitudes. Una verificación de tiempo de actividad debe tener al menos tres verificadores. Existe un verificador en todas las regiones, excepto en Estados Unidos, que tiene tres verificadores. La configuración predeterminada, Global, incluye todas las regiones.
  - Método de solicitud: Selecciona GET o POST.
  - Cuerpo: Para las verificaciones de POST de HTTP, ingresa el cuerpo codificado en formato URL. Debes realizar la codificación tú mismo. Para todas las demás verificaciones, deja este campo vacío.
  - Encabezado del host: No configures este campo cuando configures verificaciones de tiempo de actividad privadas.
  - Puerto: Cualquier valor que establezcas aquí anula el puerto en la configuración de extremos del Directorio de servicios. No establezcas un valor aquí si deseas que se use la configuración del extremo.
  - Encabezados personalizados: Proporciona encabezados personalizados y, de manera opcional, encripta los encabezados. La encriptación oculta los valores del encabezado del formulario. Usa la encriptación para los encabezados relacionados con la autenticación que no quieres que otros vean.
  - Autenticación: Proporciona un nombre de usuario y contraseña únicos. Estos valores se envían como un encabezado de autorización. Si estableces valores aquí, no establezcas un encabezado de autorización por separado; si estableces un encabezado de autorización, no establezcas valores aquí. Las contraseñas siempre están ocultas en el formulario.
Haz clic en Continuar y configura los requisitos de respuesta. Todos los parámetros de configuración de esta sección tienen valores predeterminados:
- A fin de establecer un tiempo de espera para la verificación de tiempo de actividad, usa el campo Tiempo de espera de respuesta. Una verificación de tiempo de actividad falla cuando no se recibe ninguna respuesta de más de una ubicación en este período.
- Para configurar la verificación de tiempo de actividad a fin de realizar la coincidencia de contenido, asegúrate de que la etiqueta de activación tenga el estado La coincidencia de contenido está habilitada:
  - Selecciona el Tipo de coincidencia del contenido de la respuesta en el menú de opciones. Este campo determina cómo se compara el contenido de la respuesta con los datos que se muestran. Por ejemplo, supongamos que el contenido de la respuesta es abcd y el tipo de concordancia del contenido es Contiene. La verificación de tiempo de actividad solo se realiza de forma correcta cuando los datos de respuesta contienen abcd. Para obtener más información, consulta Valida los datos de respuesta.
  - Ingresa el Contenido de la respuesta. El contenido de la respuesta no debe superar los 1,024 bytes de una string. En la API, este campo es el objeto ContentMatcher.
- Para evitar que se creen entradas de registro debido a verificaciones de tiempo de actividad, borra Errores de verificación de registros.
- Para las verificaciones de tiempo de actividad HTTP, configura los códigos de respuesta aceptables. De forma predeterminada, las verificaciones de tiempo de actividad HTTP marcan cualquier respuesta 2xx como una respuesta correcta.
Haz clic en Continuar y configura las políticas de alertas y notificaciones.

Si deseas recibir una notificación cuando falle una verificación de tiempo de actividad, crea una política de alertas y configura los canales de notificaciones para esa política:
1. Opcional: Actualiza el nombre de la política de alertas.
2. Opcional: En el campo Duración, selecciona por cuánto tiempo deben fallar las verificaciones de tiempo de actividad para que se envíen las notificaciones. De forma predeterminada, las notificaciones se envían cuando al menos dos regiones informan fallas en las verificaciones de tiempo de actividad durante un período de al menos un minuto.
3. En el cuadro Canales de notificaciones, expande Menú, selecciona los canales que quieres agregar y, luego, haz clic en Aceptar.
  
  En el menú, los canales de notificaciones se agrupan alfabéticamente para cada tipo de canal.
Si no deseas crear una política de alertas, asegúrate de que el texto del botón de activación sea Do not create an alert.
Haz clic en Continuar y completa la verificación de tiempo de actividad:
1. Ingresa un título descriptivo para la verificación de tiempo de actividad.
2. Para agregar etiquetas definidas por el usuario a tu verificación de tiempo de actividad, haz lo siguiente (opcional):
  1. Haz clic en Mostrar etiquetas de usuario.
  2. En el campo Clave, ingresa un nombre para la etiqueta. Los nombres de las etiquetas deben comenzar con una letra minúscula y pueden contener letras minúsculas, números, guiones bajos y guiones. Por ejemplo, ingresa severity.
  3. En el campo Valor, ingresa un valor para tu etiqueta. Los valores de etiquetas pueden contener letras minúsculas, números, guiones bajos y guiones. Por ejemplo, ingresa critical.
  4. Para cada etiqueta adicional, haz clic en Agregar etiqueta de usuario y, luego, ingresa la clave y el valor de la etiqueta.
3. Para verificar la configuración de verificación de tiempo de actividad, haz clic en Probar (Test). Si el resultado no es el que esperabas, consulta Solución de problemas, corrige la configuración y, luego, repite el paso de verificación.
4. Haz clic en Crear.

API: Proyecto de permisos

Para crear la configuración de una verificación de tiempo de actividad privada, crea un objeto UptimeCheckConfig y pásalo al método uptimeCheckConfigs.create en la API de Cloud Monitoring.

El objeto UptimeCheckConfig de una verificación de tiempo de actividad privada se diferencia del objeto de una verificación de tiempo de actividad pública de las siguientes maneras:

El recurso supervisado especificado en la configuración de la verificación de tiempo de actividad debe ser del tipo servicedirectory_service. Este tipo de recurso tiene las siguientes etiquetas:
- project_id: El ID del proyecto asociado con el servicio del Directorio de servicios.
- location: Es la región de la nube asociada con el servicio.
- namespace_name: Es el espacio de nombres del Directorio de servicios.
- service_name: Es el nombre del servicio del Directorio de servicios.
Nota: Los valores de estas etiquetas se determinan cuando configuras los recursos del Directorio de servicios.
No necesitas especificar un valor de port en la configuración de la verificación de tiempo de actividad. El valor del puerto del extremo del Directorio de servicios anula cualquier valor establecido en la configuración de la verificación de tiempo de actividad, y la verificación falla si no se especifica ningún puerto en la configuración del Directorio de servicios.
La configuración de la verificación de tiempo de actividad debe especificar el campo checker_type con el valor VPC_CHECKERS. Este valor es obligatorio para las verificaciones de tiempo de actividad privadas. De forma predeterminada, las verificaciones de tiempo de actividad son públicas, por lo que no necesitan especificar este campo.

En el siguiente código JSON, se muestra un objeto UptimeCheckConfig correspondiente a una verificación de tiempo de actividad privada mediante los recursos del Directorio de servicios configurados para una instancia de VM en una red privada:

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

Para crear una verificación de tiempo de actividad privada cuando el servicio del Directorio de servicios está en el mismo proyecto de Google Cloud que la verificación de tiempo de actividad, haz lo siguiente:

Configura el proyecto predeterminado de Google Cloud para gcloud CLI:
```
gcloud config set project PROJECT_ID
```
Crea una variable de entorno para almacenar tu ID del proyecto:
```
export PROJECT_ID=$(gcloud config get-value core/project)
```
Crea una variable de entorno que contenga un token de acceso:
```
export TOKEN=`gcloud auth print-access-token`
```

Usa la herramienta de curl para invocar el método uptimeCheckConfigs.create y publicar un objeto de configuración en él:

curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
-H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
--request POST --data '{
"displayName": "private-check-demo",
"monitoredResource": {
  "type": "servicedirectory_service",
  "labels": {
    "project_id": "'"$PROJECT_ID"'",
    "service_name": "PRIVATE_SERVICE",
    "namespace_name": "PRIVATE_NAMESPACE",
    "location": "REGION"
  }
},
"httpCheck": {
  "requestMethod": "GET"
},
"period": "60s",
"timeout": "10s",
"checker_type": "VPC_CHECKERS"
}'

Si la creación de la verificación de tiempo de actividad falla, comprueba que la cuenta de servicio tenga las funciones necesarias. Para obtener más información, consulta La creación de verificaciones de tiempo de actividad falla.

API: Proyecto supervisado

Para crear la configuración de una verificación de tiempo de actividad privada, crea un objeto UptimeCheckConfig y pásalo al método uptimeCheckConfigs.create en la API de Cloud Monitoring.

El objeto UptimeCheckConfig de una verificación de tiempo de actividad privada se diferencia del objeto de una verificación de tiempo de actividad pública de las siguientes maneras:

El recurso supervisado especificado en la configuración de la verificación de tiempo de actividad debe ser del tipo servicedirectory_service. Este tipo de recurso tiene las siguientes etiquetas:
- project_id: El ID del proyecto asociado con el servicio del Directorio de servicios.
- location: Es la región de la nube asociada con el servicio.
- namespace_name: Es el espacio de nombres del Directorio de servicios.
- service_name: Es el nombre del servicio del Directorio de servicios.
Nota: Los valores de estas etiquetas se determinan cuando configuras los recursos del Directorio de servicios.
No necesitas especificar un valor de port en la configuración de la verificación de tiempo de actividad. El valor del puerto del extremo del Directorio de servicios anula cualquier valor establecido en la configuración de la verificación de tiempo de actividad, y la verificación falla si no se especifica ningún puerto en la configuración del Directorio de servicios.
La configuración de la verificación de tiempo de actividad debe especificar el campo checker_type con el valor VPC_CHECKERS. Este valor es obligatorio para las verificaciones de tiempo de actividad privadas. De forma predeterminada, las verificaciones de tiempo de actividad son públicas, por lo que no necesitan especificar este campo.

{
  "displayName": "private-check-demo",
  "monitoredResource": {
    "type": "servicedirectory_service",
    "labels": {
      "project_id": "SERVICE_DIRECTORY_PROJECT_ID",
      "service_name": "PRIVATE_SERVICE",
      "namespace_name": "PRIVATE_NAMESPACE",
      "location": "REGION"
    }
  },
  "httpCheck": {
    "requestMethod": "GET"
  },
  "period": "60s",
  "timeout": "10s",
  "checker_type": "VPC_CHECKERS"
}'

Para crear una verificación de tiempo de actividad privada cuando el servicio del Directorio de servicios se encuentra en un proyecto de Google Cloud supervisado por el permiso de métricas del proyecto de Google Cloud de la verificación de tiempo de actividad, haz lo siguiente:

Configura gcloud CLI para que use de forma predeterminada el proyecto de Google Cloud en el que se creará la verificación de tiempo de actividad:
```
gcloud config set project PROJECT_ID
```
Crea una variable de entorno para almacenar tu ID del proyecto:
```
export PROJECT_ID=$(gcloud config get-value core/project)
```
Crea una variable de entorno para almacenar el ID del proyecto de Google Cloud en el que se define el servicio del Directorio de servicios:
```
export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
```
Este proyecto debe estar dentro del permiso de métricas del proyecto de verificación de tiempo de actividad.
Crea una variable de entorno que contenga un token de acceso:
```
export TOKEN=`gcloud auth print-access-token`
```

Usa la herramienta de curl para invocar el método uptimeCheckConfigs.create y publicar un objeto de configuración en él:

curl https://monitoring.googleapis.com/v3/projects/${PROJECT_ID}/uptimeCheckConfigs \
-H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
--request POST --data '{
"displayName": "private-check-demo",
"monitoredResource": {
  "type": "servicedirectory_service",
  "labels": {
    "project_id": "'"$MONITORED_PROJECT_ID"'",
    "service_name": "PRIVATE_SERVICE",
    "namespace_name": "PRIVATE_NAMESPACE",
    "location": "REGION"
  }
},
"httpCheck": {
  "requestMethod": "GET"
},
"period": "60s",
"timeout": "10s",
"checker_type": "VPC_CHECKERS"
}'

Puede haber un retraso de hasta 5 minutos antes de que comience el flujo de los resultados de la verificación de tiempo de actividad en Monitoring. Durante ese tiempo, el panel de verificación de tiempo de actividad informa el estado como "sin datos disponibles".

Pasos de los requisitos previos

Si planeas usar la interfaz de la consola de Google Cloud, ve a Crea una verificación de tiempo de actividad privada. La consola de Google Cloud te guía por todos los pasos de los requisitos previos.

Si planeas usar la línea de comandos para configurar tus verificaciones de tiempo de actividad privadas, debes completar los siguientes pasos antes de poder crear la verificación de tiempo de actividad:

Configura los recursos del Directorio de servicios
Autoriza la cuenta de servicio
Configura reglas de firewall

Configura los recursos del Directorio de servicios

Las verificaciones de tiempo de actividad privadas determinan la disponibilidad de un recurso mediante una dirección IP interna que registra un servicio del Directorio de servicios. Puedes configurar un Directorio de servicios para los siguientes recursos:

VMs en una red privada
Balanceadores de cargas internos (ILB) L4

Para usar verificaciones de tiempo de actividad privadas, debes configurar los siguientes recursos del Directorio de servicios:

Extremo: Es un par de direcciones IP y valores de puerto que un servicio puede usar para controlar solicitudes. Cuando tu servicio contiene varios extremos, se elige uno al azar.
Servicio: Un servicio es una colección de extremos que proporcionan un conjunto de comportamientos. Los servicios son los objetivos de las verificaciones de tiempo de actividad privadas.
Espacio de nombres: Un espacio de nombres contiene un conjunto de nombres de servicio y sus extremos asociados. Los espacios de nombres te permiten agrupar servicios para una administración coherente.

Puedes configurar estos recursos con gcloud CLI o la consola de Google Cloud. Cuando usas la consola, los pasos de configuración se incluyen en el diálogo Crear una verificación de tiempo de actividad.

Consola de Google Cloud

Cuando usas la consola de Google Cloud, después de seleccionar IP interna como el tipo de recurso para una verificación de tiempo de actividad, se te solicita que crees un Directorio de servicios y un servicio.

gcloud CLI: VM

Si deseas obtener información sobre los comandos que se usan en este documento para servicios, espacios de nombres y extremos, consulta el grupo de comandos gcloud service-directory.

Si deseas crear recursos del Directorio de servicios para una VM, haz lo siguiente:

Configura Google Cloud CLI de forma predeterminada en el proyecto de Google Cloud en el que se crearán los recursos del Directorio de servicios:
```
gcloud config set project PROJECT_ID
```

Crea variables de entorno para almacenar el ID y el número del proyecto:

export PROJECT_ID=$(gcloud config get-value core/project)

export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')

Crea un espacio de nombres en el Directorio de servicios:

gcloud service-directory namespaces create PRIVATE_NAMESPACE --location=REGION

Crea un servicio del Directorio de servicios en el espacio de nombres:

gcloud service-directory services create PRIVATE_SERVICE \
--namespace PRIVATE_NAMESPACE --location=REGION

Crea una variable de entorno para conservar la dirección IP de la VM en la red privada:

export INTERNAL_IP=$(gcloud compute instances describe --zone=ZONE \
PRIVATE_SERVICE_INSTANCE --format='get(networkInterfaces[0].networkIP)')

Crea un extremo del Directorio de servicios que contenga la dirección IP interna y un puerto:

gcloud service-directory endpoints create PRIVATE_ENDPOINT \
--location=REGION --namespace=PRIVATE_NAMESPACE \
--service=PRIVATE_SERVICE \
--network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
--address=$INTERNAL_IP --port=80

gcloud CLI: ILB L4

Si deseas obtener información sobre los comandos que se usan en este documento para servicios, espacios de nombres y extremos, consulta el grupo de comandos gcloud service-directory.

Puedes usar verificaciones de tiempo de actividad privadas a fin de supervisar la disponibilidad de un balanceador de cargas interno (ILB) L4 mediante la creación de recursos del Directorio de servicios para el ILB L4.

Cuando creas ILB L4 nuevos, puedes usar la integración automática proporcionada por el Directorio de servicios. Para obtener más información, consulta Configura balanceadores de cargas internos en el Directorio de servicios.

Si tienes ILB L4 que se crearon sin usar la integración automática proporcionada por el Directorio de servicios, puedes configurar de forma manual los recursos del Directorio de servicios de la siguiente manera:

Configura Google Cloud CLI de forma predeterminada en el proyecto de Google Cloud en el que se crearán los recursos del Directorio de servicios:
```
gcloud config set project PROJECT_ID
```

Crea variables de entorno para almacenar el ID y el número del proyecto:

export PROJECT_ID=$(gcloud config get-value core/project)

export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')

Para permitir que todos los verificadores de tiempo de actividad transfieran datos a tu ILB L4, habilita el acceso global al ILB:
```
gcloud compute forwarding-rules update ILB_FORWARDING_RULE_NAME \
--region=ILB_REGION --allow-global-access
```
Si tu ILB L4 no permite el acceso global, las métricas de tiempo de actividad solo estarán disponibles si ILB_REGION es una de las siguientes opciones:
- us-east4
- us-central1
- us-west1
- europe-west1
- southamerica-east1
- asia-southeast1

Crea un espacio de nombres en el Directorio de servicios:

gcloud service-directory namespaces create PRIVATE_NAMESPACE_FOR_ILB\
--location=REGION

Crea un servicio del Directorio de servicios en el espacio de nombres:

gcloud service-directory services create PRIVATE_SERVICE_FOR_ILB \
--namespace PRIVATE_NAMESPACE_FOR_ILB --location=REGION

Crea una variable de entorno para conservar la dirección IP del balanceador de cargas en la red privada:

export INTERNAL_IP=$( gcloud compute forwarding-rules describe ILB_FORWARDING_RULE_NAME\
--region=ILB_REGION --format='get(IPAddress)')

Crea un extremo del Directorio de servicios que contenga la dirección IP interna y un puerto:

gcloud service-directory endpoints create PRIVATE_ENDPOINT_FOR_ILB \
--location=ILB_REGION --namespace=PRIVATE_NAMESPACE_FOR_ILB \
--service=PRIVATE_SERVICE_FOR_ILB \
--network=projects/$PROJECT_NUMBER/locations/global/networks/PRIVATE_CHECK_NETWORK \
--address=$INTERNAL_IP --port=80

Autoriza la cuenta de servicio

Las verificaciones de tiempo de actividad usan una cuenta de servicio propiedad de Monitoring para administrar las interacciones con el servicio del Directorio de servicios. El nombre de la cuenta de servicio tiene el siguiente formato:

service-PROJECT_NUMBER@gcp-sa-monitoring-notification.iam.gserviceaccount.com

Si esta cuenta de servicio no existe, Monitoring la crea cuando creas la verificación de tiempo de actividad privada. No puedes crear esta cuenta de servicio.

Cuando creas una verificación de tiempo de actividad privada, Monitoring intenta otorgar a la cuenta de servicio dos funciones del Directorio de servicios. Sin embargo, cuando usas la API, la configuración del proyecto de Google Cloud puede impedir que Monitoring otorgue funciones a la cuenta de servicio. En esta situación, la creación de la verificación de tiempo de actividad falla.

En esta sección, se describe cómo otorgar las funciones necesarias a una cuenta de servicio existente:

Consola de Google Cloud

Cuando usas la consola de Google Cloud, después de seleccionar IP interna como el tipo de recurso para una verificación de tiempo de actividad, se te solicita que autorices la cuenta de servicio.

API: Proyecto de permisos

Para otorgar las funciones del Directorio de servicios a una cuenta de servicio existente, haz lo siguiente:

Configura gcloud CLI para que use de forma predeterminada el proyecto de Google Cloud en el que se creará la verificación de tiempo de actividad:
```
gcloud config set project PROJECT_ID
```

Crea variables de entorno para almacenar el ID y el número del proyecto:

export PROJECT_ID=$(gcloud config get-value core/project)

export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')

Ejecuta los siguientes comandos:

gcloud projects add-iam-policy-binding $PROJECT_ID \
--member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
--role='roles/servicedirectory.viewer'

gcloud projects add-iam-policy-binding $PROJECT_ID \
--member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
--role='roles/servicedirectory.pscAuthorizedService'

Los comandos anteriores otorgan los siguientes roles a la cuenta de servicio:

roles/servicedirectory.viewer
roles/servicedirectory.pscAuthorizedService

API: Proyecto supervisado

Para otorgar las funciones del Directorio de servicios a una cuenta de servicio existente, haz lo siguiente:

Configura gcloud CLI para que use de forma predeterminada el proyecto de Google Cloud en el que se creará la verificación de tiempo de actividad:
```
gcloud config set project PROJECT_ID
```

Crea variables de entorno para almacenar el ID y el número del proyecto:

export PROJECT_ID=$(gcloud config get-value core/project)

export PROJECT_NUMBER=$(gcloud projects describe $PROJECT_ID --format='get(projectNumber)')

Crea una variable de entorno para conservar el ID del proyecto en el que se define el servicio del Directorio de servicios:
```
export MONITORED_PROJECT_ID=MONITORED_PROJECT_ID
```
Este proyecto debe estar dentro del permiso de métricas del proyecto de verificación de tiempo de actividad.
Crea una variable de entorno para conservar el ID del proyecto en el que se define la red:
```
export NETWORK_PROJECT_ID=NETWORK_PROJECT_ID
```
No es necesario que este proyecto esté dentro del permiso de métricas del proyecto de verificación de tiempo de actividad.

Ejecuta los siguientes comandos:

gcloud projects add-iam-policy-binding $MONITORED_PROJECT_ID \
--member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
--role='roles/servicedirectory.viewer'

gcloud projects add-iam-policy-binding $NETWORK_PROJECT_ID \
--member='serviceAccount:service-'$PROJECT_NUMBER'@gcp-sa-monitoring-notification.iam.gserviceaccount.com' \
--role='roles/servicedirectory.pscAuthorizedService'

Los comandos anteriores otorgan los siguientes roles a la cuenta de servicio:

roles/servicedirectory.viewer para el proyecto supervisado en el que está configurado el servicio del Directorio de servicios, $SERVICE_MONITORED_PROJECT_ID.
roles/servicedirectory.pscAuthorizedService para el proyecto en el que está configurada la red privada, $NETWORK_PROJECT_ID.

Configura reglas de firewall

Debes crear una regla de firewall que habilite el tráfico de TCP entrante desde las rutas 35.199.192.0/19. Una ruta de 35.199.192.0/19 admite la conectividad a destinos de reenvío que usan enrutamiento privado. Para obtener más información, consulta Rutas de VPC.

Consola de Google Cloud

Cuando usas la consola de Google Cloud, después de seleccionar IP interna como el tipo de recurso para una verificación de tiempo de actividad, se te solicita que configures las reglas de firewall.

gcloud CLI

Si quieres crear una regla de firewall que permita el tráfico de TCP entrante a través del firewall para el acceso a la red privada, ejecuta el siguiente comando:

Configura gcloud CLI para que use de forma predeterminada el proyecto de Google Cloud en el que se creará la verificación de tiempo de actividad:
```
gcloud config set project PROJECT_ID
```
Crea variables de entorno para almacenar el ID y el número del proyecto:
```
export PROJECT_ID=$(gcloud config get-value core/project)
```

Crea la regla de red:

gcloud compute firewall-rules create PRIVATE_CHECK_NETWORK_HOPE_RULE \
--network="PRIVATE_CHECK_NETWORK"  \
--action=allow   --direction=ingress   --source-ranges="35.199.192.0/19" \
--rules=tcp   --project="$PROJECT_ID"

En el comando anterior, PRIVATE_CHECK_NETWORK es la red a la que se conecta esta regla, mientras que PRIVATE_CHECK_NETWORK_HOPE_RULE es el nombre de la regla de firewall.

Para obtener más información sobre este paso, consulta Configura el proyecto de red.

Limitaciones

Cuando se usan verificaciones de tiempo de actividad privadas, la validación de los certificados SSL se inhabilita, sin importar la configuración.

Las verificaciones de tiempo de actividad privadas no admiten extremos que tengan redireccionamientos.

Soluciona problemas

En esta sección, se describen algunos errores que puedes encontrar cuando usas verificaciones de tiempo de actividad privadas y se proporciona información para resolverlos.

Falla la creación de las verificaciones de tiempo de actividad

Es posible que la configuración del proyecto de Google Cloud impida la modificación de las funciones asignadas a la cuenta de servicio que usan las verificaciones de tiempo de actividad para administrar las interacciones con el servicio del Directorio de servicios. En esta situación, la creación de la verificación de tiempo de actividad falla.

En esta sección, se describe cómo otorgar las funciones que requiere la cuenta de servicio:

Consola de Google Cloud

Cuando usas la consola de Google Cloud para crear la verificación de tiempo de actividad privada, esta emite los comandos para otorgar las funciones del Directorio de servicios a la cuenta de servicio.

Para obtener información sobre cómo otorgar funciones a una cuenta de servicio, consulta Autoriza la cuenta de servicio.

API: Proyecto de permisos

La primera vez que creas una verificación de tiempo de actividad privada para un servicio del Directorio de servicios y recursos privados en un solo proyecto de Google Cloud, la solicitud puede completarse correctamente o fallar. El resultado depende de si inhabilitaste las asignaciones de funciones automáticas para cuentas de servicio en tu proyecto:

La creación de la primera verificación de tiempo de actividad se realiza de forma correcta si tu proyecto permite asignaciones de funciones automáticas para cuentas de servicio. Se crea una cuenta de servicio para ti a la que se le otorgan los roles necesarios.
La creación de la primera verificación de tiempo de actividad falla si tu proyecto no permite asignaciones de funciones automáticas para cuentas de servicio. Se crea una cuenta de servicio, pero no se otorgan roles.

Si la creación de la verificación de tiempo de actividad falla, haz lo siguiente:

Autoriza la cuenta de servicio.
Espera unos minutos para que se propaguen los permisos.
Vuelve a crear la verificación de tiempo de actividad privada.

API: Proyecto supervisado

La primera vez que creas una verificación de tiempo de actividad privada que se orienta a un servicio del Directorio de servicios en un proyecto supervisado o a recursos privados en diferentes proyectos de Google Cloud, la solicitud falla y da como resultado la creación de una cuenta de servicio de Monitoring.

La forma en que autorizas la cuenta de servicio depende de la cantidad de proyectos de Google Cloud que usas y sus relaciones. Puedes tener hasta cuatro proyectos involucrados:

El proyecto en el que definiste la verificación de tiempo de actividad privada.
El proyecto supervisado en el que configuraste el servicio del Directorio de servicios.
El proyecto en el que configuraste la red de VPC.
El proyecto en el que se configuran los recursos de red, como VM o balanceadores de cargas. Este proyecto no tiene función en la autorización de cuenta de servicio que se analiza aquí.

Cuando falle la creación de la primera verificación de tiempo de actividad, haz lo siguiente:

Autoriza la cuenta de servicio.
Espera unos minutos para que se propaguen los permisos.
Vuelve a crear la verificación de tiempo de actividad privada.

Acceso denegado

Tus verificaciones de tiempo de actividad fallan y arrojan VPC_ACCESS_DENIED resultados. Este resultado significa que algún aspecto de la configuración de red o de la autorización de la cuenta de servicio no es correcto.

Verifica la autorización de tu cuenta de servicio para usar un proyecto de permisos o un proyecto supervisado, como se describe en Falla la creación de verificaciones de tiempo de actividad.

Para obtener más información sobre el acceso a redes privadas, consulta Configura el proyecto de red.

Resultados anómalos de las verificaciones de tiempo de actividad privadas

Tienes un servicio del Directorio de servicios con varias VMs y la configuración del servicio contiene varios extremos. Cuando apagas una de las VMs, tu verificación de tiempo de actividad sigue indicando que la operación fue exitosa.

Cuando la configuración del servicio contiene varios extremos, se elige uno al azar. Si la VM asociada con el extremo elegido está en ejecución, la verificación de tiempo de actividad se realiza de forma correcta aunque una de las VM esté inactiva.

Encabezados predeterminados

Tus verificaciones de tiempo de actividad muestran errores o resultados inesperados. Esto puede ocurrir si anulaste los valores de encabezado predeterminados.

Cuando se envía una solicitud para una verificación de tiempo de actividad privada a un extremo de destino, la solicitud incluye los siguientes encabezados y valores:

Encabezado	Valor
`HTTP_USER_AGENT`	`GoogleStackdriverMonitoring-UptimeChecks(https://cloud.google.com/monitoring)`
`HTTP_CONNECTION`	`keep-alive`
`HTTP_HOST`	IP del extremo del Directorio de servicios
`HTTP_ACCEPT_ENCODING`	`gzip`, `deflate`, `br`
`CONTENT_LENGTH`	Se calcula a partir de los datos posteriores al tiempo de actividad

Si intentas anular estos valores, puede ocurrir lo siguiente:

La verificación de tiempo de actividad informa errores
Los valores de anulación se descartan y se reemplazan por los valores de la tabla

No hay datos visibles

No ves ningún dato en el panel de verificación de tiempo de actividad cuando la verificación de tiempo de actividad se encuentra en un proyecto de Google Cloud diferente al del servicio del Directorio de servicios.

Asegúrate de que el proyecto de Google Cloud que contiene la verificación de tiempo de actividad supervise el proyecto de Google Cloud que contiene el servicio del Directorio de servicios.

Para obtener más información sobre cómo enumerar los proyectos supervisados y agregar otros, consulta Configura un permiso de métricas para varios proyectos.

Crea verificaciones de tiempo de actividad privadas

Antes de comenzar

Consola de Google Cloud

gcloud CLI

Crea una verificación de tiempo de actividad privada

Consola de Google Cloud

API: Proyecto de permisos

API: Proyecto supervisado

Pasos de los requisitos previos

Configura los recursos del Directorio de servicios

Consola de Google Cloud

gcloud CLI: VM

gcloud CLI: ILB L4

Autoriza la cuenta de servicio

Consola de Google Cloud

API: Proyecto de permisos

API: Proyecto supervisado

Configura reglas de firewall

Consola de Google Cloud

gcloud CLI

Limitaciones

Soluciona problemas

Falla la creación de las verificaciones de tiempo de actividad

Consola de Google Cloud

API: Proyecto de permisos

API: Proyecto supervisado

Acceso denegado

Resultados anómalos de las verificaciones de tiempo de actividad privadas

Encabezados predeterminados

No hay datos visibles

¿Qué sigue?