Antes de ejecutar cargas de trabajo en Trusted Cloud by S3NS, recomendamos que los administradores configuren una base con Trusted Cloud by S3NS Setup. Una base incluye ajustes fundamentales que te ayudan a organizar, gestionar y mantenerTrusted Cloud by S3NS recursos.
En este documento se describen los pasos y la información general que te ayudarán a completar el proceso de configuración, que incluye las siguientes fases:
Selecciona una opción de base: En función de la carga de trabajo que quieras admitir, selecciona una base de prueba de concepto, de producción o de seguridad mejorada.
Define tu organización, los administradores y la facturación: configura el nodo de nivel superior de tu jerarquía, crea los usuarios administradores iniciales y asigna acceso, y conecta tu método de pago.
Crea una arquitectura inicial: selecciona una estructura inicial de carpetas y proyectos, aplica ajustes de seguridad, configura el registro y la monitorización, y configura tu red.
Despliega tus ajustes: las opciones de arquitectura iniciales se compilan en archivos de configuración de Terraform. Puedes implementar rápidamente a través de la consola o descargar los archivos para personalizar y repetir el proceso con tu propio flujo de trabajo. Trusted Cloud Después de la implementación, selecciona un plan de asistencia.
Selecciona una opción de Trusted Cloud by S3NS Configuración básica
Para empezar a usar Trusted Cloud by S3NS Configuración, selecciona una de las siguientes opciones de base según las necesidades de tu organización:
Prueba de concepto: admite cargas de trabajo de prueba de concepto con la seguridad básica en mente. Esta opción te guía por las tareas de organización y facturación. Por ejemplo, puedes seleccionar esta opción para experimentar con Trusted Cloud antes de comprometerte a un plazo más largo.
Producción: admite cargas de trabajo listas para producción con la seguridad y la escalabilidad como prioridades. Esta opción incluye todas las Trusted Cloud by S3NS tareas de configuración de este documento. Por ejemplo, puedes seleccionar esta opción para configurar una base segura y escalable para tu organización.
Seguridad mejorada: incluye todas las tareas de la base de producción, así como Cloud KMS con la configuración de Autokey en la tarea Seguridad. Por ejemplo, puedes seleccionar esta opción si tu organización está sujeta a requisitos de seguridad estrictos.
Para seleccionar una opción de base, haz lo siguiente:
Ve a Trusted Cloud by S3NS Configuración: fundamentos.
Haz clic en Iniciar en una de las siguientes opciones:
- Prueba de concepto.
- Producción.
- Seguridad mejorada.
Elige una de estas opciones:
- Si has seleccionado la opción Prueba de concepto, consulta Crear una base para la prueba de concepto.
- Si has seleccionado las opciones Producción o Seguridad mejorada, consulta Establecer tu organización, administradores y facturación.
Crea una base para la prueba de concepto
Una base de prueba de concepto te ayuda a hacer lo siguiente:
- Tareas de organización y facturación.
- Crea una implementación ligera que incluya lo siguiente:
- Una carpeta habilitada para aplicaciones en la que puedes definir y gestionar aplicaciones.
- Un proyecto de gestión que te ayuda a gestionar el acceso, la facturación, la observabilidad y otras funciones administrativas de tus aplicaciones.
- Un proyecto estándar en el que puedes desplegar recursos.
- Grupos de administradores de la organización y de facturación.
- Políticas de organización recomendadas.
Para crear una base de prueba de concepto, haz lo siguiente:
Completa la tarea Organización.
Configura un proveedor de identidades, verifica tu dominio y genera tu organización.
Inicia sesión en la consola como el usuario superadministrador que has creado en la tarea Organización.
Selecciona la opción de base Prueba de concepto.
Asegúrate de que esté seleccionada la organización que has creado y haz clic en Continuar con la facturación.
Se crean los grupos
gcp-organization-adminsygcp-billing-adminsy se te añade como miembro de cada uno de ellos.Selecciona o crea una cuenta de facturación. Para obtener más información, consulta la tarea Facturación.
Haz clic en Continuar para revisar e implementar Foundation.
En la pantalla Revisa y despliega tu configuración, revisa las siguientes configuraciones de borrador:
Jerarquía de recursos: revisa las carpetas y los proyectos.
Políticas de organización: revisa la lista de políticas de organización recomendadas. Para obtener más información, consulta Aplicar políticas de la organización recomendadas.
Haz clic en Desplegar. Se ha implementado la base de tu prueba de concepto.
Para habilitar la facturación en el proyecto de gestión, consulta el artículo Vincular una cuenta de facturación a un proyecto de gestión.
Para obtener información sobre cómo experimentar y crear, consulta Crea tu Trusted Cloud by S3NS arquitectura.
Configurar tu organización, los administradores y la facturación
Crear una arquitectura inicial
En esta tarea, puedes elegir la configuración inicial de tu red, que puedes ampliar a medida que cambien tus necesidades.
Arquitectura de la nube privada virtual
Una red de nube privada virtual (VPC) es una versión virtual de una red física que se implementa en la red de producción de Google. Una red de VPC es un recurso global que consta de subredes regionales.
Las redes VPC proporcionan funciones de red a tus Trusted Cloud recursos, como las instancias de máquina virtual de Compute Engine, los contenedores de GKE y las instancias del entorno flexible de App Engine.
La VPC compartida conecta recursos de varios proyectos a una red de VPC común para que puedan comunicarse entre sí mediante las direcciones IP internas de la red. En el siguiente diagrama se muestra la arquitectura básica de una red de VPC compartida con proyectos de servicio adjuntos.
Cuando usas la VPC compartida, designas un proyecto host y le asocias uno o varios proyectos de servicio. Las redes de nube privada virtual del proyecto host se denominan redes de VPC compartida.
El diagrama de ejemplo tiene proyectos host de producción y fuera de producción, y cada uno de ellos contiene una red de VPC compartida. Puedes usar un proyecto host para gestionar de forma centralizada lo siguiente:
- Rutas
- Cortafuegos
- Conexiones VPN
- Subredes
Un proyecto de servicio es cualquier proyecto que esté vinculado a un proyecto del host. Puedes compartir subredes, incluidos rangos secundarios, entre proyectos host y de servicio.
En este tipo de arquitectura, cada red VPC compartida contiene subredes públicas y privadas:
- Las instancias orientadas a Internet pueden usar la subred pública para la conectividad externa.
- La subred privada se puede usar para instancias internas que no tienen asignadas direcciones IP públicas.
En esta tarea, crearás una configuración de red inicial basada en el diagrama de ejemplo.
¿Quién lleva a cabo esta tarea?
Para realizar esta tarea, necesitas uno de los siguientes elementos:
- El rol
roles/compute.networkAdmin. - Se incluye en el grupo
gcp-network-admins@YOUR_DOMAINque has creado en la tarea Usuarios y grupos.
Qué debes hacer en esta tarea
Crea una configuración de red inicial, que incluya lo siguiente:
- Crea varios proyectos host que reflejen tus entornos de desarrollo.
- Crea una red de VPC compartida en cada proyecto del host para que los distintos recursos puedan compartir la misma red.
- Crea subredes distintas en cada red de VPC compartida para proporcionar acceso a la red a los proyectos de servicio.
¿Por qué recomendamos esta tarea?
Los distintos equipos pueden usar una VPC compartida para conectarse a una red de VPC común y gestionada de forma centralizada.
Antes de empezar
Completa las siguientes tareas:
- Crea un usuario superadministrador y tu organización en la tarea Organización.
- Añade usuarios y crea grupos en la tarea Usuarios y grupos.
- Asigna roles de gestión de identidades y accesos a los grupos en la tarea Acceso administrativo.
- Crea o vincula una cuenta de facturación en la tarea Facturación.
- Configura tu jerarquía y asigna acceso en la tarea Jerarquía y acceso.
Configurar la arquitectura de red
Crea tu configuración de red inicial con dos proyectos host para segmentar las cargas de trabajo de producción y no de producción. Cada proyecto del host contiene una red de VPC compartida, que pueden usar varios proyectos de servicio. Configura los detalles de la red y, después, implementa un archivo de configuración en una tarea posterior.
Para configurar tu red inicial, sigue estos pasos.
Inicia sesión en la Trusted Cloud consola como usuario del grupo
gcp-organization-admins@YOUR_DOMAINque has creado en la tarea Usuarios y grupos.Selecciona tu organización en la lista desplegable Seleccionar una organización, situada en la parte superior de la página.
Ve a Trusted Cloud by S3NS Configuración: redes.
Revisa la arquitectura de red predeterminada.
Para editar el nombre de la red, sigue estos pasos:
- Haz clic en Acciones.
- Selecciona Editar nombre de la red.
- En el campo Nombre de la red, introduce letras minúsculas, números o guiones. El nombre de la red no puede superar los 25 caracteres.
- Haz clic en Guardar.
Modificar los detalles del cortafuegos
Las reglas de cortafuegos predeterminadas del proyecto host se basan en las prácticas recomendadas. Puedes inhabilitar una o varias de las reglas de cortafuegos predeterminadas. Para obtener información general sobre las reglas de cortafuegos, consulte Reglas de cortafuegos de VPC.
Para modificar la configuración del cortafuegos, sigue estos pasos:
Haz clic en Acciones.
Selecciona Editar reglas de cortafuegos.
Para obtener información detallada sobre cada regla de cortafuegos predeterminada, consulta el artículo Reglas predefinidas en la red predeterminada.
Para inhabilitar una regla de cortafuegos, desmarque la casilla correspondiente.
Para inhabilitar Almacenamiento de registros de reglas de cortafuegos, haz clic en Desactivado.
De forma predeterminada, el tráfico hacia y desde las instancias de Compute Engine se registra con fines de auditoría. Este proceso conlleva costes. Para obtener más información, consulta Almacenamiento de registros de reglas de cortafuegos.
Haz clic en Guardar.
Modificar los detalles de una subred
Cada red de VPC contiene al menos una subred, que es un recurso regional con un intervalo de direcciones IP asociado. En esta configuración multirregional, debes tener al menos dos subredes con intervalos de IP que no se solapen.
Para obtener más información, consulta Subredes.
Cada subred se configura siguiendo las prácticas recomendadas. Si quieres personalizar cada subred, haz lo siguiente:
- Haz clic en Acciones.
- Selecciona Editar subredes.
- En el campo Nombre, introduce letras minúsculas, números o guiones. El nombre de la subred no puede superar los 25 caracteres.
En el menú desplegable Región, selecciona una región cercana a tu punto de servicio.
Te recomendamos que elijas una región diferente para cada subred. No puedes cambiar la región después de implementar la configuración. Para obtener información sobre cómo elegir una región, consulta Recursos regionales.
En el campo Intervalo de direcciones IP, introduce un intervalo en notación CIDR (por ejemplo, 10.0.0.0/24).
El intervalo que introduzcas no debe solaparse con otras subredes de esta red. Para obtener información sobre los intervalos válidos, consulte Intervalos de subred IPv4.
Repite estos pasos para la subred 2.
Para configurar subredes adicionales en esta red, haz clic en Añadir subred y repite estos pasos.
Haz clic en Guardar.
Tus subredes se configuran automáticamente según las prácticas recomendadas. Si quieres modificar la configuración, en la página Trusted Cloud by S3NS Configuración: redes de VPC, haz lo siguiente:
Para desactivar los registros de flujo de VPC, en la columna Registros de flujo, selecciona Desactivado.
Cuando los registros de flujo están activados, cada subred registra los flujos de red que puedes analizar para mejorar la seguridad, optimizar los gastos y otros fines. Para obtener más información, consulta Usar registros de flujo de VPC.
Registros de flujo de VPC genera costes. Para obtener más información, consulta la página Precios de Virtual Private Cloud.
Para desactivar el acceso privado de Google, en la columna Acceso privado, selecciona Desactivado.
Cuando Acceso privado de Google está activado, las instancias de VM que no tienen direcciones IP externas pueden acceder a las APIs y los servicios de Google. Para obtener más información, consulta Acceso privado a Google.
Para activar Cloud NAT, en la columna Cloud NAT, selecciona Activado.
Cuando Cloud NAT está activado, determinados recursos pueden crear conexiones salientes a Internet. Para obtener más información, consulta la descripción general de Cloud NAT.
Cloud NAT genera costes. Para obtener más información, consulta la página Precios de Virtual Private Cloud.
Haz clic en Continuar para vincular proyectos de servicio.
Vincular proyectos de servicio a proyectos del host
Un proyecto de servicio es cualquier proyecto que se haya vinculado a un proyecto del host. Este adjunto permite que el proyecto de servicio participe en la VPC compartida. Cada proyecto de servicio puede ser gestionado y administrado por diferentes departamentos o equipos para separar las responsabilidades.
Para obtener más información sobre cómo conectar varios proyectos a una red de VPC común, consulta la descripción general de la VPC compartida.
Para vincular proyectos de servicio a tus proyectos host y completar la configuración, haz lo siguiente:
En la tabla Redes de VPC compartidas, selecciona un proyecto de servicio para cada subred que quieras conectar. Para ello, selecciona un proyecto en el menú desplegable Seleccionar un proyecto de la columna Proyecto de servicio.
Puedes conectar un proyecto de servicio a varias subredes.
Haz clic en Continuar con la revisión.
Revisa la configuración y haz los cambios que quieras.
Puedes hacer cambios hasta que implementes el archivo de configuración.
Haz clic en Confirmar configuración del borrador. La configuración de tu red se añade al archivo de configuración.
Tu red no se desplegará hasta que despliegues el archivo de configuración en una tarea posterior.
Siguientes pasos
Configura la conectividad híbrida, que te ayuda a conectar servidores on-premise u otros proveedores de servicios en la nube a Trusted Cloud by S3NS.
En esta tarea, establecerás conexiones entre tus redes de otro proveedor de la nube o locales y tus redes de Trusted Cloud by S3NS , como se muestra en el siguiente diagrama.
Este proceso crea una VPN de alta disponibilidad, una solución que puedes crear rápidamente para transmitir datos a través de la red de Internet pública.
Después de implementar la configuración de Trusted Cloud , te recomendamos que crees una conexión más sólida con Cloud Interconnect.
Para obtener más información sobre las conexiones entre redes de pares y Trusted Cloud by S3NS, consulta lo siguiente:
¿Quién lleva a cabo esta tarea?
Debe tener el rol Administrador de la organización (roles/resourcemanager.organizationAdmin).
Qué debes hacer en esta tarea
Crea conexiones de baja latencia y alta disponibilidad entre tus redes de VPC y tus redes on-premise u otras redes en la nube. Configura los siguientes componentes:
- Trusted Cloud by S3NS Pasarela VPN de alta disponibilidad: recurso regional que tiene dos interfaces, cada una con su propia dirección IP. Especifica el tipo de pila IP, que determina si se admite el tráfico IPv6 en tu conexión. Para obtener información general, consulta VPN de alta disponibilidad.
- Pasarela VPN de par: la pasarela de tu red de par a la que se conecta la pasarela de VPN de alta disponibilidad. Trusted Cloud by S3NS Introduces las direcciones IP externas que usa tu pasarela de peer para conectarse a Trusted Cloud by S3NS. Para obtener información general, consulta Configurar la pasarela de VPN de par.
- Cloud Router: usa el protocolo de pasarela fronteriza (BGP) para intercambiar rutas de forma dinámica entre tu VPC y las redes de los pares. Asigna un número de sistema autónomo (ASN) como identificador de tu Cloud Router y especifica el ASN que usa tu router de peer. Para obtener información general, consulta Crear un Cloud Router para conectar una red de VPC a una red de emparejamiento.
- Túneles VPN: conectan la pasarela Trusted Cloud by S3NS con la pasarela de par. Especifica el protocolo de intercambio de claves en Internet (IKE) que se va a usar para establecer el túnel. Puedes introducir tu propia clave IKE generada anteriormente o generar y copiar una nueva. Para obtener información general, consulta Configurar IKE.
¿Por qué recomendamos esta tarea?
Una VPN de alta disponibilidad proporciona una conexión segura y de alta disponibilidad entre tu infraestructura y Trusted Cloud by S3NS.
Antes de empezar
Completa las siguientes tareas:
- Crea un usuario superadministrador y tu organización en la tarea Organización.
- Añade usuarios y crea grupos en la tarea Usuarios y grupos.
- Asigna roles de gestión de identidades y accesos a los grupos en la tarea Acceso administrativo.
- Crea o vincula una cuenta de facturación en la tarea Facturación.
- Configura tu jerarquía y asigna acceso en la tarea Jerarquía y acceso.
- Configura tu red en la tarea Redes de VPC.
Recoge la siguiente información del administrador de tu red entre iguales:
- Nombre de la pasarela VPN de tu par: la pasarela a la que se conecta tu Cloud VPN.
- Dirección IP de la interfaz de peer 0: una dirección IP externa de tu gateway de red de peer.
- Dirección IP de la interfaz del peer 1: una segunda dirección externa. También puedes reutilizar la dirección IP 0 si tu red del peer solo tiene una dirección IP externa.
- Número de sistema autónomo (ASN) del peer: un identificador único asignado al router de la red del peer.
- ASN de Cloud Router: identificador único que asignará a su Cloud Router.
- Claves de intercambio de claves de Internet (IKE): claves que usas para establecer dos túneles VPN con tu pasarela VPN de par. Si no tienes claves, puedes generarlas durante esta configuración y, a continuación, aplicarlas a tu gateway de peer.
Configurar las conexiones
Para conectar tus redes de VPC a tus redes emparejadas, sigue estos pasos:
Inicia sesión como usuario con el rol Administrador de la organización.
En la lista desplegable Seleccionar de, situada en la parte superior de la página, selecciona tu organización.
Ve a Trusted Cloud by S3NS Configuración: conectividad híbrida.
Para consultar los detalles de la tarea, haz lo siguiente:
Revisa la descripción general de la tarea y haz clic en Iniciar conectividad híbrida.
Haz clic en cada pestaña para obtener información sobre la conectividad híbrida y, a continuación, haz clic en Continuar.
Consulta qué puedes esperar en cada paso de la tarea y haz clic en Continuar.
Revisa la información de configuración de la pasarela entre iguales que debes recoger y haz clic en Continuar.
En el área Conexiones híbridas, identifica las redes de VPC que quieras conectar en función de las necesidades de tu empresa.
En la fila de la primera red que haya elegido, haga clic en Configurar.
En el área Resumen de la configuración, lee la descripción y haz clic en Siguiente.
En el área Trusted Cloud by S3NS Pasarela VPN de alta disponibilidad, haga lo siguiente:
En el campo Nombre de la puerta de enlace de Cloud VPN, introduce hasta 60 caracteres con letras minúsculas, números y guiones.
En el área Tipo de pila de IP interna del túnel VPN, selecciona uno de los siguientes tipos de pila:
- IPv4 e IPv6 (opción recomendada): puede admitir tráfico IPv4 e IPv6. Te recomendamos que uses este ajuste si tienes previsto permitir el tráfico IPv6 en tu túnel.
- IPv4 solo puede admitir tráfico IPv4.
El tipo de pila determina el tipo de tráfico que se permite en el túnel entre tu red de VPC y tu red de peer. No puedes modificar el tipo de pila después de crear la pasarela. Para obtener información general, consulta lo siguiente:
Haz clic en Siguiente.
En el área Pasarela de VPN de par, haga lo siguiente:
En el campo Nombre de la pasarela VPN de la red remota, introduce el nombre que te haya proporcionado el administrador de la red remota. Puedes introducir hasta 60 caracteres con letras minúsculas, números y guiones.
En el campo Dirección IP de la interfaz de peer 0, introduce la dirección IP externa de la interfaz de la pasarela de peer que te haya proporcionado el administrador de la red de peer.
En el campo Dirección IP de la interfaz de peer 1, haga una de las siguientes acciones:
- Si tu pasarela tiene una segunda interfaz, introduce su dirección IP.
- Si tu pasarela de otro proveedor solo tiene una interfaz, introduce la misma dirección que has introducido en Dirección IP de la interfaz 0 de la pasarela de otro proveedor.
Para obtener información general, consulta Configurar la pasarela de VPN de par.
Haz clic en Siguiente.
En el área Cloud Router, haga lo siguiente:
En el campo ASN de router de Cloud, introduce el número de sistema autónomo que quieras asignar a tu router de Cloud, tal como te lo haya proporcionado el administrador de tu red de peer. Para obtener información general, consulta Crear un Cloud Router.
En el campo ASN del router de la red de pares, introduce el número de sistema autónomo del router de tu red de pares, tal como te lo haya proporcionado el administrador de la red de pares.
En el área Túnel VPN 0, haz lo siguiente:
En el campo Nombre del túnel 0, introduce hasta 60 caracteres con letras minúsculas, números y guiones.
En el área Versión de IKE, seleccione una de las siguientes opciones:
- IKEv2 (recomendado): admite tráfico IPv6.
- IKEv1 usa este ajuste si no tienes previsto permitir el tráfico IPv6 en el túnel.
Para obtener información general, consulta Configurar túneles VPN.
En el campo Clave precompartida de IKE, introduce la clave que usas en la configuración de tu gateway de la misma red, tal como te la ha proporcionado el administrador de la red de la misma red. Si no tienes una clave, puedes hacer clic en Generar y copiar y, a continuación, darle la clave al administrador de tu red entre iguales.
En el área Túnel VPN 1, repite el paso anterior para aplicar los ajustes del segundo túnel. Configura este túnel para que tenga redundancia y un mayor rendimiento.
Haz clic en Guardar.
Repite estos pasos con el resto de las redes de VPC que quieras conectar a tu red de peer.
Después de la implementación
Después de implementar la configuración Trusted Cloud by S3NS Setup, sigue estos pasos para asegurarte de que la conexión de red se ha completado:
Colabora con el administrador de tu red de editores similares para alinearla con tu configuración de conectividad híbrida. Después de la implementación, se proporcionan instrucciones específicas para tu red entre iguales, entre las que se incluyen las siguientes:
- Configuración del túnel.
- Configuración del cortafuegos.
- Configuración de IKE.
Valida las conexiones de red que has creado. Por ejemplo, puedes usar Network Intelligence Center para comprobar la conectividad entre redes. Para obtener más información, consulta la información general sobre las pruebas de conectividad.
Si tu empresa necesita una conexión más sólida, usa Cloud Interconnect. Para obtener más información, consulta Elegir un producto de conectividad de red.
Siguientes pasos
Implementa tu configuración, que incluye ajustes para tu jerarquía y acceso, registro, red y conectividad híbrida.