共有 VPC のプロビジョニングを解除する

このページでは、既存の共有 VPC 構成のプロビジョニングを解除し、すべてのサービスプロジェクトを共有 VPC ホストプロジェクトから接続解除する方法について説明します。プロビジョニング解除は一方向のプロセスです。まず、共有 VPC と共有 VPC のプロビジョニングについて理解しておく必要があります。

サービスプロジェクトの管理タスク

共有 VPC ホストプロジェクトに接続されているサービスプロジェクトごとに、サービスプロジェクト管理者がホストプロジェクトのすべての依存関係を削除する必要があります。依存関係には、インスタンス、インスタンスグループ、インスタンステンプレート、バックエンドサービス、転送ルールなどがあります。

影響を受けるリソースの特定

サービスプロジェクト管理者は、共有 VPC ホストプロジェクトの共有サブネットをリスト表示して、依存するリソースを特定できます。サービスプロジェクトがホストプロジェクトから接続解除されると、これらのサブネットは使用できなくなります。つまり、これらのサブネットに依存するリソースが影響を受けます。

リソースの削除

サービスプロジェクト管理者は、プロビジョニング解除プロセスの影響を受けるリソースを特定した後、そのリソースを削除する必要があります。

ホストプロジェクトのサブネットを使用するインスタンスを削除します。
ホストプロジェクトのサブネットを使用するマネージドインスタンスグループと非マネージドインスタンスグループを削除します。
定義がホストプロジェクトに依存するインスタンステンプレートを削除します。
ホストプロジェクトの共有 VPC ネットワーク内のサブネットを参照する内部 TCP / UDP ロードバランサの内部転送ルールを削除します。
ネットワークインターフェースで使用されている静的内部 IP アドレスを他のネットワークの VM から削除します。

これを行うには、まず予約済みアドレスのリストを取得し、次に削除する必要があります。

ロードバランサの管理タスク

内部アプリケーションロードバランサとリージョン外部アプリケーションロードバランサを使用すると、1 つのホストまたはサービスプロジェクトの URL マップが、共有 VPC 環境の複数のプロジェクトに存在するバックエンドサービス（とバックエンド）を参照できるようにロードバランサを構成できます。

サービスプロジェクトを削除するには、サービスプロジェクト内のバックエンドサービスに対する、このようなプロジェクト間の参照がすべて削除されている必要があります。サービスプロジェクト内のバックエンドサービスに対する参照を削除するには、ロードバランサ管理者が URL マップを変更する必要があります。

共有 VPC の管理タスク

このセクションのタスクはすべて、共有 VPC 管理者が行う必要があります。

サービスプロジェクトの接続解除

共有 VPC ホストプロジェクトから接続解除する必要があるサービスプロジェクトごとに、次の手順を繰り返します。

コンソール

Google Cloud コンソールの [共有 VPC] ページを表示するには、共有 VPC 管理者ロールを持っている必要があります。

Google Cloud コンソールで [共有 VPC] ページに移動します。
[共有 VPC] に移動
共有 VPC 管理者としてログインします。
接続解除するサービスプロジェクトがあるホストプロジェクトを選択します。
[接続されたプロジェクト] タブをクリックします。
接続解除するサービスプロジェクトを選択します。
[プロジェクトを接続解除] ボタンをクリックします。
ダイアログの情報を確認します。
[接続解除] をクリックします。

gcloud

まだ共有 VPC 管理者として gcloud の認証を行っていない場合は、認証を行います。SHARED_VPC_ADMIN は、共有 VPC 管理者の名前に置き換えます。
```
gcloud auth login SHARED_VPC_ADMIN
```
ホストプロジェクトからサービスプロジェクトを接続解除します。SERVICE_PROJECT_ID はサービスプロジェクトのプロジェクト ID に置き換え、HOST_PROJECT_ID はホストプロジェクトのプロジェクト ID に置き換えます。
```
gcloud compute shared-vpc associated-projects remove SERVICE_PROJECT_ID
    --host-project HOST_PROJECT_ID
```

次のいずれかのコマンドを使用して、サービスプロジェクトが接続解除されたことを確認します。

gcloud compute shared-vpc get-host-project SERVICE_PROJECT_ID

gcloud compute shared-vpc list-associated-resources HOST_PROJECT_ID

サービスプロジェクトを接続解除するだけでよい場合、gcloud からログアウトすると、共有 VPC 管理者のアカウントの認証情報を保護できます。それ以外の場合は、この手順をスキップしてホストプロジェクトを無効にするに進みます。
```
gcloud auth revoke SHARED_VPC_ADMIN
```

API

サービスプロジェクトを接続解除します。
```
POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/disableXpnResource
{
  "xpnResource": {
    "id": "SERVICE_PROJECT_ID"
  }
}
```
プレースホルダを有効な値に置き換えます。
- HOST_PROJECT_ID は、ホストプロジェクトの ID です。
- SERVICE_PROJECT_ID は、接続解除するサービスプロジェクトの ID です。
詳細については、projects.disableXpnResource メソッドをご覧ください。
サービスプロジェクトが接続解除されたことを確認します。
- サービスプロジェクトがどのホストプロジェクトにも接続されていないことを確認します。
```
GET https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/getXpnHost
```
  SERVICE_PROJECT_ID は、サービスプロジェクトの ID に置き換えます。
  
  詳細については、projects.getXpnHost メソッドをご覧ください。
- 共有 VPC のホストプロジェクトに接続されているサービスプロジェクトを一覧表示し、そのようなプロジェクトが表示されなくなっていることを確認します。
```
GET https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/getXpnResources
```
  HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。
  
  詳細については、projects.getXpnResources メソッドをご覧ください。

ホストプロジェクトを無効にする

ホストプロジェクトの共有 VPC を無効にするには、先にすべてのサービスプロジェクトを接続解除しておく必要があります。無効にすると、ホストプロジェクトの共有 VPC が簡単に削除されないようにするリーエンが自動的に削除されます。

コンソール

Google Cloud コンソールの [共有 VPC] ページを表示するには、共有 VPC 管理者ロールを持っている必要があります。

Google Cloud コンソールで [共有 VPC] ページに移動します。
[共有 VPC] に移動
共有 VPC 管理者としてログインします。
無効にするホストプロジェクトを選択します。
[共有 VPC を無効にする] ボタンをクリックします。
ダイアログの説明を確認します。
[ホストプロジェクト ID] にホストプロジェクトのプロジェクト ID を入力します。
[無効にする] をクリックします。

gcloud

まだ共有 VPC 管理者として gcloud の認証を行っていない場合は、認証を行います。SHARED_VPC_ADMIN は、共有 VPC 管理者の名前に置き換えます。
```
gcloud auth login SHARED_VPC_ADMIN
```
ホストプロジェクトの共有 VPC を無効にします。HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。
```
gcloud compute shared-vpc disable HOST_PROJECT_ID
```
組織のホストプロジェクトとしてプロジェクトがリストされなくなったことを確認します。ORG_ID は、組織 ID（gcloud organizations list で確認）に置き換えます。
```
gcloud compute shared-vpc organizations list-host-projects ORG_ID
```
ホストプロジェクトを有効にするだけでよい場合、gcloud からログアウトすると、共有 VPC 管理者アカウントの認証情報を保護できます。それ以外の場合は、この手順をスキップしてプロジェクトを削除するに進みます。
```
gcloud auth revoke SHARED_VPC_ADMIN
```

API

プロジェクトの共有 VPC を無効にします。
```
POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/disableXpnHost
```
HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。

詳細については、projects.disableXpnHost メソッドをご覧ください。
ホストプロジェクトを一覧表示して、プロジェクトが表示されなくなっていることを確認します。
```
POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/listXpnHosts
```
HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。

詳細については、projects.listXpnHosts メソッドをご覧ください。

プロジェクトを削除する

このセクションでは、たとえば、ホストプロジェクトから接続解除後に削除する必要があるサービスプロジェクトがある場合や、ホストプロジェクトを無効化後にホストプロジェクトが不要になった場合に、使用されなくなったプロジェクトを削除する方法を説明します。

ホストプロジェクトを削除する

通常のプロジェクトのまま残すことも、シャットダウンすることもできます。プロジェクトをシャットダウンすると、プロジェクトが削除されます。

IAM プリンシパルが組織の resourcemanager.projectDeleter のロールを割り当てられている場合、またはホストプロジェクトのオーナーである場合、そのプリンシパルはホストプロジェクトを削除できます。共有 VPC 管理者は、適切なロールまたは所有権を持っていれば、ホストプロジェクトを削除できます。

サービスプロジェクトを削除する

必要がなくなったサービスプロジェクトはシャットダウンできます。シャットダウンの前に、サービスプロジェクトがホストプロジェクトから接続解除されていることを確認してください。

IAM プリンシパルが組織の resourcemanager.projectDeleter のロールを割り当てられている場合、またはサービスプロジェクトのオーナーである場合、そのプリンシパルはサービスプロジェクトを削除できます。サービスプロジェクト管理者は、適切なロールまたは所有権を持っていれば、サービスプロジェクトを削除できます。

注意: 先にホストプロジェクトから接続解除せずにサービスプロジェクトをシャットダウンすると、この接続を破棄できなくなります（その結果として、ホストプロジェクトを無効化できなくなります）。これは、Google Cloud がサービスプロジェクトの回復可能期間（30 日）の間、サービスプロジェクトの接続が有効であるとみなすためです。この場合、削除したサービスプロジェクトを復元するか、回復可能期間が終了するまで待ってから、ホストプロジェクトから接続解除して、サービスプロジェクトを再度シャットダウンする必要があります。詳細については、こちらのページをご覧ください。

ホストプロジェクトを強制削除する

共有 VPC がホストプロジェクトでアクティブな間、誤って削除されないように、プロジェクトにリーエンが設定されます。このリーエンはプロジェクトオーナーが削除できるため、共有 VPC のプロビジョニングに関するガイドラインには、組織ポリシーを定義してプロジェクトリーエンを削除できる IAM プリンシパルを制限するステップが含まれています。

ホストプロジェクトは、通常、次の作業をこの順序で完了してから削除する必要があります。

すべてのサービスプロジェクトをホストプロジェクトから接続解除する
共有 VPC を無効化する

共有 VPC を無効化すると、ホストプロジェクトを保護するリーエンは自動的に削除されます。

このセクションでは、ホストプロジェクトを強制的にシャットダウンする方法について説明します。このオプションは、次の場合にのみ、使用を検討してください。

サービスプロジェクトを接続解除して共有 VPC を無効にする、通常の手順に従えない場合。
自動的に追加されるもの以外に、ホストプロジェクトを保護する余分なリーエンがある場合。

共有 VPC ネットワークを使用するサービスプロジェクト内にリソースがある場合、共有プロジェクトを強制的にシャットダウンすると、次のイベントが発生します。

すべての共有 VPC ネットワーク、そのサブネット、ルート、ファイアウォールルール、ホストプロジェクト内のすべてのネットワークリソースが削除されます。
リソース（ホストプロジェクトに接続されたサービスプロジェクトで実行中のインスタンスなど）が停止します。
転送ルールが共有 VPC ネットワークに依存している場合、内部 TCP / UDP ロードバランサが無効になります。

gcloud

プロジェクトリーエンを削除できる IAM プリンシパルとして gcloud への認証を行います。リーエンを削除できるプリンシパルを制限する組織ポリシーがある場合、組織の resourcemanager.lienModifier ロールを持つ IAM プリンシパルとして認証を行う必要があります。このようなポリシーがない場合、リーエンを削除できるのはホストプロジェクトのプロジェクトオーナーです。

ACCOUNT は、適切な IAM プリンシパルの名前に置き換えます。
```
gcloud auth login ACCOUNT
```
ホストプロジェクトに関連付けられているリーエンをリスト表示します。HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。
```
gcloud alpha resource-manager liens list \
--project HOST_PROJECT_ID
```
リーエンがなくなるまで、1 つずつ名前を指定してリーエンを削除します。LIEN_NAME は、削除するリーエンの名前に置き換えます。
```
gcloud alpha resource-manager liens delete LIEN_NAME \
--project HOST_PROJECT_ID
```

すべてのリーエンが削除されたことを確認します。

gcloud alpha resource-manager liens list \
--project HOST_PROJECT_ID

リーエンを削除した後、gcloud からログアウトすると、リーエンを削除する権限を持つ IAM プリンシパルの認証情報を保護できます。
```
gcloud auth revoke ACCOUNT
```
これで、ホストプロジェクトをシャットダウンできるようになりました。

API

ホストプロジェクトに関連付けられているリーエンを一覧表示します。
```
GET https://cloudresourcemanager.googleapis.com/v1/liens?parent=projects:HOST_PROJECT_ID
```
HOST_PROJECT_ID は、ホストプロジェクトの ID に置き換えます。

詳細については、liens.list メソッドをご覧ください。
リーエンがなくなるまで、各リーエンの名前を指定して各リーエンを削除します。
```
DELETE https://cloudresourcemanager.googleapis.com/v1/liens/LIEN_NAME
```
LIEN_NAME は、削除するリーエンの名前に置き換えます。

詳細については、liens.delete メソッドをご覧ください。
リーエンの一覧を再度表示して、リーエンが削除されていることを確認します。

次のステップ

共有 VPC の詳細については、共有 VPC をご覧ください。
共有 VPC の設定手順については、共有 VPC のプロビジョニングをご覧ください。
共有 VPC を使用した Google Kubernetes Engine クラスタの設定手順については、共有 VPC を使用したクラスタの設定をご覧ください。

共有 VPC のプロビジョニングを解除する

サービス プロジェクトの管理タスク

影響を受けるリソースの特定

リソースの削除

ロードバランサの管理タスク

共有 VPC の管理タスク

サービス プロジェクトの接続解除

コンソール

gcloud

API

ホスト プロジェクトを無効にする

コンソール

gcloud

API

プロジェクトを削除する

ホスト プロジェクトを削除する

サービス プロジェクトを削除する

ホスト プロジェクトを強制削除する

gcloud

API

次のステップ

サービスプロジェクトの管理タスク

サービスプロジェクトの接続解除

ホストプロジェクトを無効にする

ホストプロジェクトを削除する

サービスプロジェクトを削除する

ホストプロジェクトを強制削除する