为 Cloud Workstations 设置自定义网域

如需访问您的工作站，您可以指定可信的自定义网域，而不是 与使用 cloudworkstations.dev 网域相比。

架构

如需使用带自定义主机名的 Cloud Workstations，请设置私有集群，并为私有集群设置 Private Service Connect (PSC) 端点以实现 HTTP 入站。您还必须创建一个具有 PSC 后端的应用负载均衡器，并将其目标设置为为专用集群创建的 PSC 端点。此应用负载平衡器可以是外部的，也可以是 以及管理自定义网域的 SSL 证书。

下图展示了具有自定义网域的集群：

图 1. 具有自定义网域的集群

准备工作

如需设置 Cloud Workstations 自定义网域，请按以下步骤操作：

  1. 创建专用集群 并使用 gcloud CLI 或 REST API 命令。

  2. 使用 Private Service Connect 创建全局外部应用负载平衡器 (PSC) 后端 工作站集群项目的同一项目中。 请注意以下几点：

    1. 如果您想要将工作站设为私有（无法通过 公共互联网），请务必创建内部负载均衡器。 为此，请创建一个专用 DNS 区域，并添加一条映射 与负载平衡器使用的内部 IP 地址相关联。 如需详细了解如何创建内部负载均衡器，请参阅 Virtual Private Cloud (VPC)。

    2. 您可以在创建集群后从工作站集群资源中获取需要在负载均衡器中引用的服务附件。

    3. 确保您获取了一个证书，并在加载时指定该证书 用作您网域的通配符证书，例如 *.us-west1-cluster1.example.com。请参阅 证书和 Google Cloud 负载平衡器 以了解负载均衡器支持的证书类型 所选模板。

    4. 您还可以在其他项目中创建负载均衡器，只要 您需要将其添加到 PrivateClusterConfig.allowedProjects 列表中。

    5. 如果您的组织中有多个工作站集群，您可以 使用具有独立后端服务、证书和 和路由规则

  3. 设置域名系统 (DNS)。由于这是由您管理的域名，因此请通过以下方式为该域名设置 DNS： 将提供的网域的所有子网域映射到负载平衡器。例如，为 us-west1-cluster1.example.com 创建一个 DNS 区域，并添加一个条目，将 *.us-west1-cluster1.example.com 映射到负载均衡器使用的外部 IP 地址。

  4. 如需使用自定义网域访问工作站，请使用您创建的集群创建工作站配置，然后使用该工作站配置创建工作站。

  5. 启动工作站并检查网址。指定自定义网域后 工作站网址使用以下格式：

    https://PORT-WORKSTATION_NAME.DOMAIN

    网址的以下部分取决于您的配置：

    • PORT：端口号，默认为端口 80。
    • WORKSTATION_NAME：您的工作站名称。
    • DOMAIN：您的集群专用域名

创建专用集群

创建具有专用端点的专用工作站集群：

gcloud

  1. 在开始之前，请确保您已通过运行 gcloud init 初始化 gcloud CLI，并指定了默认项目。以下示例假定您已设置默认项目。

  2. 如需创建专用工作站集群，请运行以下命令：

    gcloud workstations clusters create WORKSTATION_CLUSTER \
  --region=REGION \
  --domain=DOMAIN \
  --network=NETWORK \
  --subnetwork=SUBNETWORK \
  --enable-private-endpoint

    替换以下内容：

    • WORKSTATION_CLUSTER：要创建的工作站集群的名称。
    • REGION：集群区域的名称。
    • DOMAIN：Cloud Workstations 用于 HTTP 入站的域名。将此集群独有的子网域用于 示例 us-west1-cluster1.example.com。
    • NETWORK：VPC 网络的名称。如果省略， 系统将使用默认的 VPC
    • SUBNETOWRK：VPC 中子网的名称 。如果同时省略网络和子网，则使用默认 VPC，并使用指定 REGION 中的默认子网。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud workstations clusters create 参考文档。

curl

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json"  -d '{"domain_config": {"domain": "DOMAIN"}, "private_cluster_config": {"enable_private_endpoint":true}, "network": "NETWORK", "subnetwork": "SUBNETWORK"}'  https://workstations.googleapis.com/v1/projects/PROJECT_NAME/locations/REGION/workstationClusters?workstation_cluster_id=WORKSTATION_CLUSTER

替换以下内容：

  • DOMAIN：Cloud Workstations 用于 HTTP Ingress。它应该是此集群独有的子网域 示例 us-west1-cluster1.example.com。
  • NETWORK：VPC 网络的名称。如果省略， 系统将使用默认的 VPC
  • SUBNETOWRK：VPC 网络中的子网的名称。如果同时省略网络和子网，则使用默认 VPC，并使用指定 REGION 中的默认子网。
  • PROJECT_NAME：项目的名称。
  • REGION：集群区域的名称。
  • WORKSTATION_CLUSTER：要创建的工作站集群的名称。

如需详细了解此 API 方法，请参阅 workstationClusters.create 参考文档。

REST

POST https://workstations.googleapis.com/v1/projects/PROJECT_NAME/locations/REGION/workstationClusters?workstationClusterId=WORKSTATION_CLUSTER
{
  "domainConfig": {
    "domain": "DOMAIN"
  },
  "privateClusterConfig": {
    "enablePrivateEndpoint": true
  }
  "network": "NETWORK"
  "subnetwork": "SUBNETWORK"
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • REGION：集群区域的名称。
  • WORKSTATION_CLUSTER：要创建的工作站集群的名称。
  • DOMAIN：Cloud Workstations 用于 HTTP 入站的域名。这应是此集群独有的子网域，例如 us-west1-cluster1.example.com。
  • NETWORK：VPC 网络的名称。如果省略， 系统将使用默认的 VPC
  • SUBNETOWRK：VPC 网络中的子网的名称。如果同时省略网络和子网，则使用默认 VPC，并使用指定 REGION 中的默认子网。

如需详细了解此 API 方法，请参阅 workstationClusters.create 参考文档。

创建具有 PSC 后端的全球外部应用负载均衡器

请按照以下 gcloud CLI 和 REST API 步骤创建 具有 PSC 后端的全局外部应用负载平衡器：

  1. 创建 NEG 以连接到已发布的服务
  2. 向全球外部应用负载均衡器添加后端
  3. 创建网址映射以将传入请求路由到后端服务
  4. 创建目标 HTTPS 代理
  5. 创建全局地址
  6. 创建转发规则

创建 NEG 以连接到已发布的服务

创建指向已发布服务的 NEG 时，您需要该服务的服务连接 URI。服务连接的格式如下： projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME。 您可以在工作站集群资源上找到 URI。

gcloud

gcloud compute network-endpoint-groups create NEG_NAME \
  --network-endpoint-type=private-service-connect \
  --psc-target-service=TARGET_SERVICE \
  --region=REGION \
  --network=NETWORK \
  --subnet=SUBNET

替换以下内容：

  • NEG_NAME：网络端点组的名称。
  • TARGET_SERVICE：服务连接的 URI。
  • REGION：要在其中创建网络端点组的区域。该区域必须与目标服务的区域相同。
  • NETWORK：要在其中创建网络端点组的网络。如果省略，则使用默认网络。
  • SUBNET：要创建网络端点的子网 。子网必须与目标服务位于同一区域。如果您指定了网络，则必须指定子网。如果同时启用 省略了子网，使用默认网络，默认子网 指定的 REGION 中。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute network-endpoint-groups create 参考文档。

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/networkEndpointGroups
{
  "pscTargetService": "TARGET_SERVICE",
  "networkEndpointType": "PRIVATE_SERVICE_CONNECT",
  "name": "NEG_NAME"
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • REGION：要在其中创建网络端点组的区域。该区域必须与目标服务的区域相同。
  • NEG_NAME：网络端点组的名称。
  • TARGET_SERVICE：服务连接的 URI。

向全局外部应用负载平衡器添加后端

gcloud

  1. 为目标服务创建后端服务：

    gcloud compute backend-services create BACKEND_SERVICE_NAME \
--load-balancing-scheme=EXTERNAL_MANAGED \
--protocol=HTTPS \
--global

    将 BACKEND_SERVICE_NAME 替换为后端服务的名称。

  2. 添加指向目标服务的 Private Service Connect NEG。

    gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
--network-endpoint-group=NEG_NAME \
--network-endpoint-group-region=NEG_REGION \
--global

    请替换以下内容：

    • BACKEND_SERVICE_NAME：后端服务的名称。
    • NEG_NAME：网络端点组的名称。
    • NEG_REGION：网络端点组的区域。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute backend-services create 和 gcloud compute backend-services add-backend 参考文档。

REST

  1. 为目标服务创建后端服务：

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices
{
  "protocol": "HTTPS",
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "name": "BACKEND_SERVICE_NAME"
}

    将 BACKEND_SERVICE_NAME 替换为后端服务的名称。

  2. 添加指向目标服务的 Private Service Connect NEG。

    PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices/BACKEND_SERVICE_NAME
{
  "backends": [
    {
      "group": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/NEG_REGION/networkEndpointGroups/NEG_NAME "
    }
  ]
}

    替换以下内容：

    • PROJECT_NAME：项目的名称。
    • BACKEND_SERVICE_NAME：后端服务的名称。
    • NEG_REGION：网络端点组的区域。
    • NEG_NAME：网络端点组的名称。

创建网址映射以将传入请求路由到后端服务

gcloud

gcloud compute url-maps create URL_MAP_NAME \
  --default-service=BACKEND_SERVICE_NAME \
  --global

替换以下内容：

  • URL_MAP_NAME：要创建的网址映射的名称。
  • BACKEND_SERVICE_NAME：当此网址映射没有映射时，要用于请求的后端服务的名称。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute url-maps create 参考文档。

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/urlMaps
{
  "name": "URL_MAP_NAME",
  "defaultService": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices/BACKEND_SERVICE_NAME "
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • URL_MAP_NAME：要创建的网址映射的名称。
  • BACKEND_SERVICE_NAME：后端的名称 服务。

创建目标 HTTPS 代理

创建一个目标 HTTPS 代理将请求路由到您的网址映射。该代理属于负载均衡器，保存用于 HTTPS 负载均衡的 SSL 证书，因此您还需要在此步骤中加载证书：

gcloud

gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
  --ssl-certificates=SSL_CERTIFICATE_NAME \
  --url-map=URL_MAP_NAME \
  --global

替换以下内容：

  • TARGET_HTTPS_PROXY_NAME：要创建的目标 HTTPS 代理的名称。
  • SSL_CERTIFICATE_NAME：与负载均衡器关联的 SSL 证书。
  • URL_MAP_NAME：网址映射资源。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute target-https-proxies create 参考文档。

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/targetHttpsProxies
{
  "sslCertificates": [
    "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/sslCertificates/SSL_CERTIFICATE_NAME"
  ],
  "urlMap": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/urlMaps/URL_MAP_NAME",
  "name": "TARGET_HTTPS_PROXY_NAME"
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • SSL_CERTIFICATE_NAME：与负载均衡器关联的 SSL 证书。
  • URL_MAP_NAME：网址映射资源。
  • TARGET_HTTPS_PROXY_NAME：目标 HTTPS 的名称 要创建的代理。

创建全局地址

预留一个静态 IP 地址供负载均衡器使用：

gcloud

gcloud compute addresses create LB_IP_ADDRESS_NAME \
  --global

替换以下内容：

  • LB_IP_ADDRESS_NAME：预留的静态变量的名称 负载均衡器的外部或内部 IP 地址。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute addresses create 参考文档。

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/addresses
{
  "name": "LB_IP_ADDRESS_NAME"
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • LB_IP_ADDRESS_NAME：预留的静态变量的名称 负载均衡器的外部或内部 IP 地址。

创建转发规则

创建转发规则以将传入请求路由到相应代理：

gcloud

gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network-tier=PREMIUM \
  --address=LB_IP_ADDRESS_NAME  \
  --target-https-proxy=TARGET_HTTPS_PROXY_NAME  \
  --global \
  --ports=443

替换以下内容：

  • HTTPS_FORWARDING_RULE_NAME：要创建的转发规则的名称。
  • LB_IP_ADDRESS_NAME：负载均衡器的预留静态外部或内部 IP 地址的名称。
  • TARGET_HTTPS_PROXY_NAME：接收流量的目标 HTTPS 代理。

如需详细了解此 gcloud CLI 命令，请参阅 gcloud compute forwarding-rules create 参考文档。

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/forwardingRules
{
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "networkTier": "PREMIUM",
  "IPAddress": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/addresses/LB_IP_ADDRESS_NAME",
  "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/targetHttpsProxies/TARGET_HTTPS_PROXY_NAME",
  "name": "HTTPS_FORWARDING_RULE_NAME",
  "portRange": "443-443"
}

替换以下内容：

  • PROJECT_NAME：项目的名称。
  • LB_IP_ADDRESS_NAME：负载均衡器的预留静态外部或内部 IP 地址的名称。
  • TARGET_HTTPS_PROXY_NAME：接收流量的目标 HTTPS 代理。
  • HTTPS_FORWARDING_RULE_NAME： 要创建的转发规则。

设置 DNS

设置 DNS 并添加一个将 *.DOMAIN（例如 *.example.com）映射到上一步中预留的 IP 地址的记录。如果您 使用 Cloud DNS 管理网域的 DNS，请参阅 添加 DNS 记录。

创建工作站配置和工作站

如需使用自定义网域访问工作站，请执行以下操作：

  1. 使用包含自定义网域的集群创建工作站配置。

  2. 使用包含自定义网域的工作站配置创建工作站。

后续步骤

如需详细了解如何设置自定义网域和专用集群，请参阅以下内容：