הקצאת VPC משותף

המסוף

כדי להעניק את התפקיד 'אדמין של VPC משותף' ברמת הארגון

1. נכנסים למסוף Cloud de Confiance כאדמינים ארגוניים, ואז עוברים לדף IAM.

   כניסה לדף IAM

2. בתפריט הפרויקט, בוחרים את הארגון.

   אם בוחרים פרויקט, בתפריט תפקידים מוצגים ערכים שגויים.

3. לוחצים על הוספה.

4. מזינים את כתובות האימייל של New principals.

5. בתפריט Roles (תפקידים), בוחרים באפשרות Compute Engine > Compute Shared VPC Admin (אדמין של רשתות VPC משותפות ב-Compute).

6. לוחצים על הוספת תפקיד נוסף.

7. בתפריט הנפתח Roles, בוחרים באפשרות מנהל המשאבים > Project IAM Admin.

8. לוחצים על Save.

כדי להעניק את התפקיד 'אדמין ל-VPC משותף' ברמת התיקייה

1. נכנסים למסוף Cloud de Confiance כאדמינים ארגוניים, ואז עוברים לדף IAM.

   כניסה לדף IAM

2. בתפריט הפרויקט, בוחרים את התיקייה.

   אם בוחרים פרויקט או ארגון, האפשרויות שמוצגות לא נכונות.

3. לוחצים על הוספה.

4. מזינים את כתובות האימייל של New principals.

5. בקטע Select a role, בוחרים באפשרות Compute Engine > Compute Shared VPC Admin.

6. לוחצים על הוספת תפקיד נוסף.

7. בתפריט Roles, בוחרים באפשרות מנהל המשאבים > Project IAM Admin.

8. לוחצים על הוספת תפקיד נוסף.

9. בתפריט Roles, בוחרים באפשרות מנהל המשאבים > Compute Network Viewer.

10. לוחצים על Save.

gcloud

1. עוברים אימות ב-gcloud כאדמין של הארגון. מחליפים את ORG_ADMIN בשם של אדמין בארגון:

   gcloud auth login ORG_ADMIN
   

2. כדי לראות את מזהה הארגון, בודקים את הפלט של הפקודה הזו.

   gcloud organizations list
   

3. כדי להקצות את התפקיד 'אדמין של VPC משותף' ברמת הארגון:

   1. החלת התפקיד 'אדמין ל-VPC משותף' על חשבון משתמש קיים ב-IAM. מחליפים את ORG_ID במספר מזהה הארגון מהשלב הקודם, ואת EMAIL_ADDRESS בכתובת האימייל של המשתמש שרוצים להעניק לו את תפקיד האדמין של ה-VPC המשותף.

      gcloud organizations add-iam-policy-binding ORG_ID \
        --member='user:EMAIL_ADDRESS' \
        --role="roles/compute.xpnAdmin"
      

      gcloud organizations add-iam-policy-binding ORG_ID \
        --member='user:EMAIL_ADDRESS' \
        --role="roles/resourcemanager.projectIamAdmin"
      

4. כדי להקצות את התפקיד 'אדמין של VPC משותף' ברמת התיקייה:

   1. כדי לזהות את מזהה התיקייה, בודקים את הפלט של הפקודה הזו.

      gcloud resource-manager folders list --organization=ORG_ID
      

   2. החלת התפקיד 'אדמין ל-VPC משותף' על חשבון משתמש קיים ב-IAM. מחליפים את ORG_ID במספר מזהה הארגון מהשלב הקודם, ואת EMAIL_ADDRESS בכתובת האימייל של המשתמש שרוצים להעניק לו את תפקיד האדמין של ה-VPC המשותף.

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/compute.xpnAdmin"
      

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/resourcemanager.projectIamAdmin"
      

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/compute.networkViewer"
      

5. אחרי שמסיימים לבצע משימות להגנה על החשבון, מבטלים את האסימון של חשבון האדמין של הארגון בכלי gcloudcommand-line.

   gcloud auth revoke ORG_ADMIN
   

API

• כדי להקצות את התפקיד Shared VPC Admin ברמת הארגון, פועלים לפי השלבים הבאים:

  1. מגדירים את מספר מזהה הארגון.

     POST https://cloudresourcemanager.s3nsapis.fr/v1/organizations
     

  2. מתארים את המדיניות הקיימת של הארגון ומקליטים את הפרטים שלה.

     POST https://cloudresourcemanager.s3nsapis.fr/v1/organizations/ORG_ID:getIamPolicy
     

     מחליפים את ORG_ID במזהה הארגון.

  3. מקצים את התפקיד 'אדמין של VPC משותף'.

     POST https://cloudresourcemanager.s3nsapis.fr/v1/organizations/ORG_ID:setIamPolicy
     {
       "bindings": [
         ...copy existing bindings
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.xpnAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/resourcemanager.projectIamAdmin"
         }
       ],
       "etag": "ETAG",
       "version": 1,
       ...other existing policy details
     }
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫ORG_ID: מזהה הארגון שמכיל את המשתמש שרוצים להעניק לו את התפקיד 'אדמין של VPC משותף'.
     • EMAIL_ADDRESS: כתובת האימייל של המשתמש.
     • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. הוא מונע התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.

     למידע נוסף, עיינו בשיטה organizations.setIamPolicy.

• כדי להקצות את התפקיד 'אדמין של VPC משותף' ברמת התיקייה, משתמשים בבקשה הבאה:

  1. מגדירים את מספר מזהה הארגון.

     POST https://cloudresourcemanager.s3nsapis.fr/v1/organizations
     

  2. מאתרים את מזהה התיקייה.

     GET https://cloudresourcemanager.s3nsapis.fr/v2/folders?parent=organizations/ORG_ID
     

     מחליפים את ORG_ID במזהה הארגון.

  3. מתארים את פרטי מדיניות התיקיות הקיימת ומתעדים אותם.

     POST https://cloudresourcemanager.s3nsapis.fr/v2/folders/FOLDER_ID:getIamPolicy
     

     מחליפים את FOLDER_ID במזהה התיקייה.

  4. מקצים את התפקיד 'אדמין של VPC משותף'.

     POST https://cloudresourcemanager.s3nsapis.fr/v1/organizations/FOLDER_ID:setIamPolicy
     {
       "bindings": [
         ...copy existing bindings
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.xpnAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/resourcemanager.projectIamAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.networkViewer"
         }
       ],
       "etag": "ETAG",
       "version": 1,
       ...other existing policy details
     }
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫FOLDER_ID: מזהה הארגון שמכיל את המשתמש שרוצים להעניק לו את תפקיד האדמין של ה-VPC המשותף.
     • EMAIL_ADDRESS: כתובת האימייל של המשתמש.
     • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. היא מונעת התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.

     למידע נוסף, עיינו בשיטה folders.setIamPolicy.

המסוף

אם עדיין אין לכם את תפקיד האדמין ל-VPC משותף ב-Compute ‏ (roles/compute.xpnAdmin), לא תוכלו לראות את הדף הזה במסוף Cloud de Confiance .

1. נכנסים לדף VPC משותף במסוף Cloud de Confiance .

   מעבר ל-VPC משותף

2. נכנסים כאדמין של VPC משותף.

3. בוחרים את הפרויקט שרוצים להפעיל כפרויקט מארח ב-VPC משותף מתוך הכלי לבחירת פרויקטים.

4. לוחצים על הגדרת VPC משותף.

5. בדף הבא, לוחצים על Save & continue (שמירה והמשך) בקטע Enable host project (הפעלת פרויקט מארח).

6. בקטע Select subnets (בחירת רשתות משנה), מבצעים אחת מהפעולות הבאות:

   1. לוחצים על שיתוף כל תת-הרשתות (הרשאות ברמת הפרויקט) אם רוצים לשתף את כל תת-הרשתות הנוכחיות והעתידיות ברשתות ה-VPC של הפרויקט המארח עם פרויקטים של שירות ואדמינים של פרויקטים של שירות שצוינו בשלבים הבאים.
   2. לוחצים על תת-רשתות נפרדות (הרשאות ברמת תת-הרשת) אם רוצים לשתף באופן סלקטיבי תת-רשתות מרשתות ה-VPC של הפרויקט המארח עם פרויקטים של שירותים ועם אדמינים של פרויקטים של שירותים. אחר כך בוחרים באפשרות Subnets to share (רשתות משנה לשיתוף).

7. לוחצים על Continue.
   מוצג המסך הבא.

8. בקטע Project names (שמות פרויקטים), מציינים את פרויקטי השירות שרוצים לצרף לפרויקט המארח. חשוב לזכור שצירוף פרויקטים של שירות לא מגדיר אדמינים של פרויקטים של שירות. ההגדרה הזו מתבצעת בשלב הבא.

9. בקטע Select users by role, מוסיפים אדמינים של פרויקט שירות. למשתמשים האלה יוקצה תפקיד ה-IAM‏ compute.networkUser ברשתות המשנה המשותפות. רק אדמינים של פרויקט שירות יכולים ליצור משאבים בתת-הרשתות של פרויקט המארח של ה-VPC המשותף.

10. לוחצים על Save.

gcloud

1. מאמתים את הזהות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. מפעילים VPC משותף בפרויקט שרוצים להפוך לפרויקט מארח. מחליפים את HOST_PROJECT_ID במזהה הפרויקט.

   gcloud compute shared-vpc enable HOST_PROJECT_ID
   

3. מוודאים שהפרויקט מופיע כפרויקט מארח בארגון. מחליפים את ORG_ID במזהה הארגון (שנקבע על ידי gcloud organizations list).

   gcloud compute shared-vpc organizations list-host-projects ORG_ID
   

4. אם הייתם צריכים רק להפעיל פרויקט מארח, אתם יכולים להתנתק מ-gcloud כדי להגן על פרטי הכניסה של חשבון האדמין של ה-VPC המשותף. אם לא, מדלגים על השלב הזה וממשיכים לשלבים של צירוף פרויקטים של שירותים.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. מפעילים VPC משותף בפרויקט באמצעות פרטי כניסה עם הרשאות אדמין של VPC משותף.

   POST https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/enableXpnHost
   

   מחליפים את HOST_PROJECT_ID במזהה הפרויקט שיהיה פרויקט מארח של VPC משותף.

   למידע נוסף, עיינו בשיטה projects.enableXpnHost.

2. מוודאים שהפרויקט מופיע כפרויקט מארח.

   POST https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/listXpnHosts
   

   מחליפים את HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

   למידע נוסף, עיינו בשיטה projects.listXpnHosts.

Terraform

אתם יכולים להשתמש במשאב של Terraform כדי להפעיל פרויקט מארח.

resource "google_compute_shared_vpc_host_project" "host" {
  project = var.project # Replace this with your host project ID in quotes
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

המסוף

1. נכנסים למסוף Cloud de Confiance כאדמינים של VPC משותף.
2. נכנסים לדף VPC משותף במסוף Cloud de Confiance .
   כניסה לדף VPC משותף
3. לוחצים על הכרטיסייה פרויקטים מצורפים.
4. בכרטיסייה Attached projects (פרויקטים מצורפים), לוחצים על הכפתור Attach projects (צירוף פרויקטים).
5. מסמנים את התיבות של פרויקטי השירות שרוצים לצרף בקטע שמות הפרויקטים. חשוב לזכור שצירוף פרויקטים של שירות לא מגדיר אדמינים של פרויקטים של שירות. ההגדרה הזו מתבצעת בשלב הבא.
6. בקטע הרשאות רשת VPC, בוחרים את התפקידים שהישויות המורשות שלהם יקבלו את התפקיד compute.networkUser. לסובייקטים ב-IAM מוענק התפקיד Network User (משתמש ברשת) לכל הפרויקט המארח או לתת-רשתות מסוימות בפרויקט המארח, בהתאם למצב השיתוף של רשת ה-VPC. חשבונות המשתמשים האלה נקראים 'אדמינים של פרויקט שירות' בפרויקטים הרלוונטיים של השירות.
7. בקטע מצב שיתוף רשת VPC, בוחרים באחת מהאפשרויות הבאות:
   1. כדי לשתף את כל רשתות המשנה הנוכחיות והעתידיות ברשתות ה-VPC של הפרויקט המארח עם כל פרויקטי השירות ועם האדמינים של פרויקטי השירות, לוחצים על שיתוף כל רשתות המשנה (הרשאות ברמת הפרויקט).
   2. לוחצים על Individual subnets (subnet-level permissions) (תת-רשתות ספציפיות (הרשאות ברמת תת-הרשת)) אם רוצים לשתף באופן סלקטיבי תת-רשתות מרשתות VPC של הפרויקט המארח עם פרויקטים של שירותים ועם אדמינים של פרויקטים של שירותים. אחר כך בוחרים באפשרות Subnets to share (רשתות משנה לשיתוף).
8. לוחצים על Save.

gcloud

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. צירוף פרויקט שירות לפרויקט מארח שהופעל בעבר. מחליפים את SERVICE_PROJECT_ID במזהה הפרויקט של פרויקט השירות ואת HOST_PROJECT_ID במזהה הפרויקט של פרויקט המארח.

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_ID \
       --host-project HOST_PROJECT_ID
   

3. מוודאים שפרויקט השירות צורף.

   gcloud compute shared-vpc get-host-project SERVICE_PROJECT_ID
   

4. אפשר גם לראות את הפרויקטים של השירותים שמצורפים לפרויקט המארח:

   gcloud compute shared-vpc list-associated-resources HOST_PROJECT_ID
   

5. אם הייתם צריכים רק לצרף פרויקט שירות, מומלץ להתנתק מ-gcloud כדי להגן על פרטי הכניסה של חשבון האדמין של ה-VPC המשותף. אחרת, מדלגים על השלב הזה ומגדירים אדמינים של פרויקט שירות לכל רשתות המשנה או רק לחלק מרשתות המשנה.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. מצרפים פרויקט שירות לפרויקט המארח של ה-VPC המשותף.

   POST https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/enableXpnResource
   {
     "xpnResource": {
       "id": "SERVICE_PROJECT"
     }
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
   • ‫SERVICE_PROJECT: מזהה פרויקט השירות לצירוף.

   למידע נוסף, עיינו בשיטה projects.enableXpnResource.

2. מוודאים שפרויקטי השירות מצורפים לפרויקט המארח.

   GET https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/getXpnResources
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.

   למידע נוסף, עיינו בשיטה projects.getXpnResources.

Terraform

אפשר להשתמש במשאב של Terraform כדי לצרף פרויקט שירות.

resource "google_compute_shared_vpc_service_project" "service1" {
  host_project    = google_compute_shared_vpc_host_project.host.project
  service_project = var.service_project # Replace this with your service project ID in quotes
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

המסוף

כדי להגדיר חשבון ראשי ב-IAM מפרויקט שירות כאדמין של פרויקט השירות עם גישה לכל רשתות המשנה בפרויקט מארח באמצעות מסוףCloud de Confiance , אפשר לעיין בקטע צירוף פרויקטים של שירותים.

gcloud

בשלבים האלה מוסבר איך להגדיר חשבון ראשי ב-IAM מפרויקט שירות כאדמין של פרויקט שירות עם גישה לכל רשתות המשנה בפרויקט מארח. לפני שמבצעים את השלבים האלה, צריך להפעיל פרויקט מארח ולצרף את פרויקט השירות לפרויקט המארח.

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. יוצרים קשר בין מדיניות לבין ישות (principal) ב-IAM כדי להפוך ישות מפרויקט השירות לאדמין של פרויקט השירות. מחליפים את HOST_PROJECT_ID במזהה הפרויקט של פרויקט המארח ואת SERVICE_PROJECT_ADMIN בכתובת האימייל של משתמש אדמין בפרויקט השירות.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member "user:SERVICE_PROJECT_ADMIN" \
   --role "roles/compute.networkUser"
   

   אפשר לציין סוגים שונים של חשבונות משתמשים על ידי שינוי הפורמט של הארגומנט --member:

   • משתמשים ב-group: כדי לציין קבוצה ב-Google (לפי כתובת אימייל) כגורם ראשי.
   • משתמשים ב-domain: כדי לציין דומיין Google כגורם ראשי.
   • משתמשים ב-serviceAccount: כדי לציין חשבון שירות. במאמר חשבונות שירות כאדמינים של פרויקט שירות מפורט מידע נוסף על תרחיש השימוש הזה.

3. חוזרים על השלב הקודם לכל מנהל נוסף של פרויקט שירות שצריך להגדיר.

4. אם סיימתם להגדיר אדמינים של פרויקטים של שירותים, מומלץ להתנתק מ-gcloud כדי להגן על פרטי הכניסה של חשבון האדמין של ה-VPC המשותף.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. מתארים את פרטי מדיניות הפרויקט הקיים ומקליטים אותם. תצטרכו את המדיניות הקיימת ואת הערך etag.

   POST https://cloudresourcemanager.s3nsapis.fr/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   מחליפים את HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

2. יוצרים קשר בין מדיניות כדי להגדיר את הגורמים המורשים ב-IAM בפרויקט השירות כאדמינים של פרויקט השירות.

   POST https://cloudresourcemanager.s3nsapis.fr/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           PRINCIPAL,
           ...additional principals
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שמכיל את רשת ה-VPC המשותפת.
   • ‫PRINCIPAL: זהות שהתפקיד משויך אליה, כמו משתמש, קבוצה, דומיין או חשבון שירות. מידע נוסף מופיע בשדה members במאמרי העזרה של מנהל המשאבים.
   • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. היא מונעת התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.

   למידע נוסף, עיינו בשיטה projects.setIamPolicy.

המסוף

כדי להגדיר חשבון משתמש ב-IAM מפרויקט שירות כאדמין של פרויקט שירות עם גישה רק לחלק מרשתות המשנה בפרויקט מארח באמצעות Cloud de Confiance המסוף, אפשר לעיין בקטע צירוף פרויקטים של שירות.

gcloud

בשלבים האלה מוסבר איך להגדיר חשבונות משתמשים ב-IAM מפרויקט שירות כאדמינים של פרויקט שירות עם גישה רק לחלק מרשתות המשנה בפרויקט מארח. כדי להגדיר אותם, צריך קודם להפעיל פרויקט מארח ולצרף את פרויקט השירות לפרויקט המארח.

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. בוחרים את רשת המשנה בפרויקט המארח שאדמינים בפרויקט השירות צריכים לקבל אליה גישה. מקבלים את מדיניות ה-IAM הנוכחית שלו בפורמט JSON. מחליפים את SUBNET_NAME בשם של רשת המשנה בפרויקט המארח ואת HOST_PROJECT_ID במזהה הפרויקט של הפרויקט המארח.

   gcloud compute networks subnets get-iam-policy SUBNET_NAME \
       --region SUBNET_REGION \
       --project HOST_PROJECT_ID \
       --format json
   

3. מעתיקים את פלט ה-JSON מהשלב הקודם ושומרים אותו בקובץ. כדי שההוראות יהיו ברורות, בשלבים האלה שומרים את הקובץ בשם subnet-policy.json.

4. משנים את הקובץ subnet-policy.json ומוסיפים את החשבונות הראשיים ב-IAM שיהפכו לאדמינים של פרויקט השירות עם גישה לרשת המשנה. מחליפים כל מופע של SERVICE_PROJECT_ADMIN בכתובת האימייל של משתמש IAM מפרויקט השירות.

   {
     "bindings": [
     {
        "members": [
              "user:[SERVICE_PROJECT_ADMIN]",
              "user:[SERVICE_PROJECT_ADMIN]"
           ],
           "role": "roles/compute.networkUser"
     }
     ],
     "etag": "[ETAG_STRING]"
   }
   

   שימו לב שאפשר לציין סוגים שונים של ישויות IAM (מלבד משתמשים) במדיניות:

   • מחליפים את user: ב-group: כדי לציין קבוצה ב-Google (לפי כתובת אימייל) כחשבון ראשי.
   • מחליפים בין user: לבין domain: כדי לציין דומיין של Google כגורם מרכזי.
   • משתמשים ב-serviceAccount: כדי לציין חשבון שירות. במאמר חשבונות שירות כאדמינים של פרויקט שירות מפורט מידע נוסף על תרחיש השימוש הזה.

5. מעדכנים את הקישור של המדיניות לרשת המשנה באמצעות התוכן של הקובץ subnet-policy.json.

   gcloud compute networks subnets set-iam-policy SUBNET_NAME subnet-policy.json \
       --region SUBNET_REGION \
       --project HOST_PROJECT_ID
   

6. אם סיימתם להגדיר אדמינים של פרויקטים של שירותים, מומלץ להתנתק מ-gcloud כדי להגן על פרטי הכניסה של חשבון האדמין של ה-VPC המשותף.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. מתארים את מדיניות רשתות המשנה הקיימת ואז מתעדים את הפרטים שלה. תצטרכו את המדיניות הקיימת ואת הערך etag.

   GET https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/regions/SUBNET_REGION/subnetworks/SUBNET_NAME/getIamPolicy
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שמכיל את רשת ה-VPC המשותפת.
   • ‫SUBNET_NAME: שם תת-הרשת שרוצים לשתף.
   • ‫SUBNET_REGION: האזור שבו נמצאת רשת המשנה.

2. כדי לתת לאדמינים של פרויקט השירות גישה לרשתות משנה בפרויקט המארח, צריך לעדכן את מדיניות רשתות המשנה.

   POST https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/regions/SUBNET_REGION/subnetworks/SUBNET_NAME/setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           PRINCIPAL,
           ...additional principals
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. היא מונעת התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.
   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שמכיל את רשת ה-VPC המשותפת.
   • ‫PRINCIPAL: זהות שהתפקיד משויך אליה, כמו משתמש, קבוצה, דומיין או חשבון שירות. מידע נוסף מופיע בשדה members במאמרי העזרה של מנהל המשאבים.
   • ‫SUBNET_NAME: שם תת-הרשת שרוצים לשתף.
   • ‫SUBNET_REGION: האזור שבו נמצאת רשת המשנה.

   למידע נוסף, עיינו בשיטה subnetworks.setIamPolicy.

המסוף

1. נכנסים למסוף Cloud de Confiance כאדמינים של VPC משותף.
2. נכנסים לדף Settings במסוף Cloud de Confiance .
   מעבר לדף ההגדרות
3. משנים את הפרויקט לפרויקט השירות שמכיל את חשבון השירות שצריך להגדיר כאדמין של פרויקט השירות.
4. מעתיקים את מזהה הפרויקט של פרויקט השירות. לצורך הבהרה, בתהליך הזה מזהה פרויקט השירות נקרא SERVICE_PROJECT_ID.
5. משנים את הפרויקט לפרויקט המארח של ה-VPC המשותף.
6. נכנסים לדף IAM במסוף Cloud de Confiance .
   כניסה לדף IAM
7. לוחצים על הוספה.
8. מוסיפים את הערך SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.s3ns.iam.gserviceaccount.com לשדה Principals (חשבונות משתמשים), ומחליפים את הערך SERVICE_ACCOUNT_NAME בשם של חשבון השירות.
9. בתפריט Roles בוחרים באפשרות Compute Engine > Compute Network User.
10. לוחצים על הוספה.

gcloud

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. אם אתם לא יודעים מה מזהה פרויקט השירות, אתם יכולים להציג רשימה של כל הפרויקטים בארגון. ברשימה הזו מוצג מזהה הפרויקט של כל אחד מהם.

   gcloud projects list
   

3. יוצרים קישור למדיניות כדי להגדיר את חשבון השירות כאדמין של פרויקט שירות. מחליפים את HOST_PROJECT_ID במזהה הפרויקט המארח, את SERVICE_ACCOUNT_NAME בשם של חשבון השירות ואת SERVICE_PROJECT_ID במזהה פרויקט השירות.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member "serviceAccount:SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.s3ns.iam.gserviceaccount.com" \
       --role "roles/compute.networkUser"
   

API

1. מתארים את פרטי מדיניות הפרויקט הקיים ומקליטים אותם. תצטרכו את המדיניות הקיימת ואת הערך etag.

   POST https://cloudresourcemanager.s3nsapis.fr/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   מחליפים את HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

2. יוצרים קישור למדיניות כדי להגדיר חשבונות שירות כאדמינים של פרויקט השירות.

   POST https://cloudresourcemanager.s3nsapis.fr/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           "serviceAccount:SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.s3ns.iam.gserviceaccount.com",
           ...include additional service accounts
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שמכיל את רשת ה-VPC המשותפת.
   • ‫SERVICE_ACCOUNT_NAME: השם של חשבון השירות.
   • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות שמכיל את חשבון השירות.
   • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. היא מונעת התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.

   למידע נוסף, עיינו בשיטה projects.setIamPolicy.

המסוף

1. נכנסים למסוף Cloud de Confiance כאדמינים של VPC משותף.
2. נכנסים לדף Settings במסוף Cloud de Confiance .
   מעבר לדף ההגדרות
3. משנים את הפרויקט לפרויקט השירות שמכיל את חשבון השירות שצריך להגדיר כאדמין של פרויקט השירות.
4. מעתיקים את מספר הפרויקט של פרויקט השירות. לצורך הבהרה, בתהליך הזה מספר פרויקט השירות נקרא SERVICE_PROJECT_NUMBER.
5. משנים את הפרויקט לפרויקט המארח של ה-VPC המשותף.
6. נכנסים לדף IAM במסוף Cloud de Confiance .
   כניסה לדף IAM
7. לוחצים על הוספה.
8. מוסיפים את SERVICE_PROJECT_NUMBER@cloudservices.s3ns-system.iam.gserviceaccount.com לשדה חברים.
9. בתפריט Roles בוחרים באפשרות Compute Engine > Compute Network User.
10. לוחצים על הוספה.

gcloud

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של VPC משותף. מחליפים את SHARED_VPC_ADMIN בשם של אדמין ה-VPC המשותף:

   gcloud auth login SHARED_VPC_ADMIN
   

2. מאתרים את מספר הפרויקט של פרויקט השירות. לשם הבהרה, במסגרת ההליך הזה, מספר פרויקט השירות נקרא SERVICE_PROJECT_NUMBER. מחליפים את SERVICE_PROJECT_ID במזהה הפרויקט של פרויקט השירות.

   gcloud projects describe SERVICE_PROJECT_ID --format='get(projectNumber)'
   

   • אם אתם לא יודעים את מזהה הפרויקט של פרויקט השירות, אתם יכולים להציג רשימה של כל הפרויקטים בארגון. ברשימה הזו מופיע מספר הפרויקט של כל אחד מהם.

     gcloud projects list
     

3. יוצרים קישור למדיניות כדי להגדיר את חשבון השירות כאדמין של פרויקט שירות. מחליפים את HOST_PROJECT_ID במזהה הפרויקט של הפרויקט המארח ואת SERVICE_PROJECT_NUMBER במספר פרויקט השירות.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member "serviceAccount:SERVICE_PROJECT_NUMBER@cloudservices.s3ns-system.iam.gserviceaccount.com" \
       --role "roles/compute.networkUser"
   

API

1. מתארים את פרטי מדיניות הפרויקט הקיים ומקליטים אותם. תצטרכו את המדיניות הקיימת ואת הערך etag.

   POST https://cloudresourcemanager.s3nsapis.fr/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   מחליפים את HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

2. מציגים את הפרויקט כדי למצוא את מספר הפרויקט.

   GET https://cloudresourcemanager.s3nsapis.fr/v1/projects?filter=projectId="SERVICE_PROJECT_ID"
   

   מחליפים את SERVICE_PROJECT_ID במזהה של פרויקט השירות שבו נמצא חשבון השירות.

3. יוצרים קישור למדיניות כדי להגדיר חשבונות שירות כאדמינים של פרויקט השירות.

   POST https://cloudresourcemanager.s3nsapis.fr/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           "serviceAccount:SERVICE_PROJECT_NUMBER@cloudservices.s3ns-system.iam.gserviceaccount.com"
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫HOST_PROJECT_ID: מזהה הפרויקט המארח שמכיל את רשת ה-VPC המשותפת.
   • ‫SERVICE_PROJECT_NUMBER: מספר פרויקט השירות שמכיל את חשבון השירות.
   • ‫ETAG: מזהה ייחודי שקיבלתם כשתיארתם את המדיניות הקיימת. היא מונעת התנגשויות אם נשלחות כמה בקשות עדכון בו-זמנית.

   למידע נוסף, עיינו בשיטה projects.setIamPolicy.

המסוף

נכנסים לדף VPC משותף במסוף Cloud de Confiance .

מעבר ל-VPC משותף

gcloud

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של פרויקט שירות. מחליפים את SERVICE_PROJECT_ADMIN בשם של האדמין בפרויקט השירות:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. מריצים את הפקודה הבאה, ומחליפים את HOST_PROJECT_ID במזהה הפרויקט המארח של ה-VPC המשותף:

   gcloud compute networks subnets list-usable --project HOST_PROJECT_ID
   

   בדוגמה הבאה מפורטות רשתות המשנה הזמינות בפרויקט המארח project-1:

   $ gcloud compute networks subnets list-usable --project project-1
   
   PROJECT    REGION       NETWORK  SUBNET    RANGE          SECONDARY_RANGES
   project-1  us-west1     net-1    subnet-1  10.138.0.0/20
   project-1  us-central1  net-1    subnet-2  10.128.0.0/20  r-1 192.168.2.0/24
                                                             r-2 192.168.3.0/24
   project-1  us-east1     net-1    subnet-3  10.142.0.0/20
   

מידע נוסף זמין במאמר בנושא פקודת list-usable במסמכי התיעוד של ה-SDK.

API

מציגים את רשימת רשתות המשנה הזמינות בפרויקט המארח. שולחים את הבקשה כאדמין בפרויקט שירות.

GET https://compute.s3nsapis.fr/compute/v1/projects/HOST_PROJECT_ID/aggregated/subnetworks/listUsable

מחליפים את HOST_PROJECT_ID במזהה של הפרויקט המארח של ה-VPC המשותף.

למידע נוסף, עיינו בשיטה subnetworks.listUsable.

המסוף

1. הגדרת VPC משותף

2. נכנסים לדף VPC משותף במסוף Cloud de Confiance .

   מעבר ל-VPC משותף

3. נכנסים כאדמין של VPC משותף.

4. בוחרים את פרויקט השירות בכלי לבחירת פרויקטים.

5. כדי לעבור לדף כתובות IP, בוחרים באפשרות רשת VPC > כתובות IP.

6. לוחצים על הזמנה פנימית.

7. בשדה Name, מזינים שם לכתובת ה-IP.

8. ברשימה IP version בוחרים את גרסת ה-IP הנדרשת:

   • כדי לשמור כתובת IPv4 פנימית סטטית, בוחרים באפשרות IPv4.
   • כדי לשמור כתובת IPv6 פנימית סטטית, בוחרים באפשרות IPv6.

9. לוחצים על הלחצן רשתות ששותפו איתי.

10. ברשימות Network ו-Subnetwork, בוחרים רשת VPC ורשת משנה בהתאמה.

11. מציינים איך רוצים לשריין את כתובת ה-IP:

    • אם מזמינים כתובת IPv4, בשדה Static IP address בוחרים אחת מהאפשרויות הבאות:
      • בוחרים באפשרות הקצאה אוטומטית כדי להקצות כתובת IPv4 באופן אוטומטי.
      • בוחרים באפשרות אני רוצה לבחור כדי לבחור כתובת ספציפית. מזינים את הכתובת בשדה כתובת IP מותאמת אישית.
    • אם אתם שומרים כתובת IPv6, בשדה Static IPv6 range (טווח סטטי של כתובות IPv6), בוחרים באחת מהאפשרויות הבאות:
      • בוחרים באפשרות הקצאה אוטומטית (/96) כדי להקצות כתובת IPv6 באופן אוטומטי.
      • בוחרים באפשרות אני רוצה לבחור כדי לבחור כתובת ספציפית. מזינים את הכתובת בשדה כתובת IPv6 מותאמת אישית.

12. אופציונלי: אם רוצים לשתף כתובת IPv4 פנימית סטטית בכמה ממשקי קצה שונים, בוחרים באפשרות משותפת בייעוד. ברירת המחדל היא לא משותף.

13. לוחצים על Reserve.

gcloud

1. אם עדיין לא עשיתם זאת, צריך לבצע אימות ל-Google Cloud CLI בתור אדמין של פרויקט שירות. מחליפים את SERVICE_PROJECT_ADMIN בשם של האדמין בפרויקט השירות:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. משתמשים בפקודה compute addresses create.

   • שמירת כתובות IPv4:

     gcloud compute addresses create IP_ADDR_NAME \
         --project SERVICE_PROJECT_ID \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
         --region=REGION
         --ip-version=IPV4
     

   • שמירת כתובות IPv6:

     gcloud compute addresses create IP_ADDR_NAME \
         --project SERVICE_PROJECT_ID \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
         --region=REGION
         --ip-version=IPV6
     

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫IP_ADDR_NAME: שם לאובייקט של כתובת IPv4.
   • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
   • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
   • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
   • ‫SUBNET: השם של תת-הרשת המשותפת.

פרטים נוספים על יצירת כתובות IP מפורסמים בתיעוד של SDK.

API

משתמשים בשיטה addresses.insert.

• שמירת כתובת IPv4 פנימית סטטית בתור אדמין בפרויקט שירות:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/addresses
  {
  "name": "ADDRESS_NAME",
  "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
  "addressType": "INTERNAL"
  }
  

מחליפים את מה שכתוב בשדות הבאים:

• ‫ADDRESS_NAME: שם לכתובת ה-IP הפנימית השמורה.
• ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
• ‫REGION: האזור שבו תמוקם כתובת ה-IPv4 השמורה ושבו ממוקמת תת-הרשת המשותפת.
• ‫SERVICE_PROJECT_ID: מזהה פרויקט השירות שבו אתם שומרים את כתובת ה-IPv4.
• ‫SUBNET_NAME: השם של תת-הרשת המשותפת.

למידע נוסף, עיינו בשיטה addresses.insert.

Terraform

אפשר להשתמש בבלוק נתונים של Terraform כדי לציין את פרטי רשת המשנה של המארח. לאחר מכן משתמשים במשאב של Terraform כדי לשמור כתובת IPv4 פנימית סטטית. אם לא מציינים את הארגומנט האופציונלי address, נבחרת כתובת IPv4 זמינה ומוזמנת.

מציינים את רשת המשנה של המארח:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

שומרים כתובת IPv4 מרשת המשנה של הפרויקט המארח לשימוש בפרויקט השירות:

resource "google_compute_address" "internal" {
  project      = var.service_project
  region       = "us-central1"
  name         = "int-ip"
  address_type = "INTERNAL"
  address      = "10.0.0.8"
  subnetwork   = data.google_compute_subnetwork.subnet.self_link
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

המסוף

אפשר לשמור כתובת IPv6 חיצונית עצמאית בפרויקט השירות באמצעות מסוףCloud de Confiance :

1. הגדרת VPC משותף
2. במסוף Cloud de Confiance , עוברים לדף VPC משותף.
   כניסה לדף VPC משותף
3. נכנסים כאדמין של VPC משותף.
4. בוחרים את פרויקט השירות בכלי לבחירת פרויקטים.
5. כדי לעבור לדף כתובות IP, בוחרים באפשרות רשת VPC > כתובות IP.
6. לוחצים על הזמנת חדר חיצוני.
7. בוחרים שם לכתובת החדשה.
8. מציינים אם המסלול שנבחר ב-Network Service Tier הוא Premium או Standard.
9. בקטע IP version, בוחרים באפשרות IPv6.
10. כדי לשריין כתובת IPv6 גלובלית למאזן עומסים גלובלי, בוחרים באפשרות Global ולוחצים על Reserve (שמירה).

11. כדי לשמור כתובת IPv6 אזורית למכונה או למאזן עומסים אזורי, לוחצים על Regional (אזורי) ואז מבצעים את הפעולות הבאות:

    1. בוחרים את האזור שבו רוצים ליצור את הכתובת.
    2. בוחרים באפשרות רשתות ששותפו איתי.
    3. בוחרים את רשת ה-VPC ואת תת-הרשת שמהן רוצים לשמור מקום לכתובת ה-IP.
    4. בקטע Static IPv6 range (טווח סטטי של כתובות IPv6), בוחרים באחת מהאפשרויות הבאות:
       • בוחרים באפשרות הקצאה אוטומטית כדי להקצות כתובת IPv6 באופן אוטומטי.
       • בוחרים באפשרות אני רוצה לבחור כדי לבחור כתובת ספציפית. מזינים את הכתובת בשדה כתובת IPv6 בהתאמה אישית.

    5. בקטע Endpoint type (סוג נקודת הקצה), בוחרים באפשרות VM instance (מכונה וירטואלית) או External passthrough Network Load Balancer (מאזן עומסי רשת חיצוני להעברת סיגנל ללא שינוי).

       אופציונלי: אם בוחרים באפשרות VM instance, אפשר לבחור מכונת VM לצירוף כתובת ה-IPv6.

    6. לוחצים על Reserve.

gcloud

1. אם עדיין לא עשיתם זאת, עליכם לבצע אימות ב-gcloud כאדמין של פרויקט שירות. מחליפים את SERVICE_PROJECT_ADMIN בשם של האדמין בפרויקט השירות:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. משתמשים בפקודה gcloud compute addresses create:

   gcloud compute addresses create IP_ADDR_NAME \
       --project SERVICE_PROJECT_ID \
       --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
       --region=REGION \
       --ip-version=IPV6 \
       --endpoint-type=[VM | NETLB]
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫IP_ADDR_NAME: שם לאובייקט של כתובת IPv6.
   • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
   • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
   • ‫SUBNET: השם של תת-הרשת המשותפת.
   • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.

API

כדי לשמור כתובת IPv6 פנימית סטטית בתור אדמין בפרויקט שירות, משתמשים בשיטה addresses.insert:

POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/addresses
{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6",
  "ipv6EndpointType": "VM|LB",
  "networkTier": "IPV6_NETWORK_TIER",
  "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
  "addressType": "EXTERNAL"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫SERVICE_PROJECT_ID: מזהה פרויקט השירות שבו אתם שומרים את כתובת ה-IPv6.
• ‫REGION: האזור שבו נמצאת כתובת ה-IPv6 השמורה ותת-הרשת המשותפת.
• ‫ADDRESS_NAME: שם לכתובת ה-IPv6 החיצונית הסטטית השמורה.
• ‫IPV6_NETWORK_TIER: רמת השירות ברשת של רשת המשנה. יכול להיות STANDARD (תצוגה מקדימה) או PREMIUM.
• ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
• ‫SUBNET_NAME: השם של תת-הרשת המשותפת.

המסוף

1. הגדרת VPC משותף

2. נכנסים לדף VPC משותף במסוף Cloud de Confiance .

   מעבר ל-VPC משותף

3. נכנסים כאדמין של VPC משותף.

4. בוחרים את פרויקט השירות בכלי לבחירת פרויקטים.

5. כדי לעבור לדף Create an instance, בוחרים באפשרות Compute Engine > VM instances > Create instance.

6. מציינים שם למכונה.

7. בשדה Region, בוחרים אזור שמכיל רשת משנה משותפת.

8. לוחצים על Networking (רשת) בקטע אפשרויות מתקדמות.

9. בקטע Network interfaces, לוחצים על לחצן הבחירה Networks shared with me.

10. ברשימה Shared subnetwork, בוחרים את רשת המשנה הנדרשת שבה רוצים ליצור את המופע:

    • במקרה של מופע IPv4 בלבד, בוחרים רשת משנה IPv4 בלבד או רשת משנה עם תמיכה כפולה (IPv4 ו-IPv6).
    • במקרה של מופע עם כתובות IPv4 ו-IPv6, בוחרים רשת משנה עם כתובות IPv4 ו-IPv6 עם סוג הגישה הנדרש ל-IPv6.
    • במקרה של מכונה עם IPv6 בלבד, בוחרים רשת משנה עם תמיכה כפולה או רשת משנה עם IPv6 בלבד עם סוג הגישה הנדרש ל-IPv6.

11. בוחרים את סוג מחסנית ה-IP:

    • IPv4 (single-stack)
    • ‫IPv4 ו-IPv6 (dual-stack)
    • ‫IPv6 (single-stack)

12. מציינים את כל הפרמטרים הנדרשים האחרים עבור המופע.

13. לוחצים על יצירה.

gcloud

דוגמאות:

• יוצרים מכונה עם כתובת IPv4 פנימית זמנית ברשת משנה משותפת של רשת VPC משותפת:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --zone ZONE
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫ZONE: אזור באזור שצוין.

• יוצרים מכונה עם כתובת IPv4 פנימית סטטית ושמורה ברשת VPC משותפת:

  1. שומרים כתובת IPv4 פנימית סטטית בפרויקט השירות מתוך טווח הכתובות הזמינות של פרויקט המארח.

  2. יוצרים את המופע:

     gcloud compute instances create INSTANCE_NAME \
         --project SERVICE_PROJECT_ID \
         --private-network-ip IP_ADDR_NAME \
         --zone ZONE \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫INSTANCE_NAME: השם של המכונה.
     • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
     • ‫IP_ADDR_NAME: השם של כתובת ה-IP הסטטית.
     • ‫ZONE: אזור באותו אזור כמו IP_ADDR_NAME.
     • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
     • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
     • ‫SUBNET: השם של רשת המשנה המשותפת שמשויכת לכתובת ה-IPv4 הפנימית הסטטית.

• יוצרים מכונה עם כתובת IPv4 פנימית ארעית וכתובת IPv6 ארעית:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV4_IPV6 \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --zone ZONE
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫ZONE: אזור באזור שצוין.

• יוצרים מכונה עם כתובת IPv6 חיצונית סטטית שמורה:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type STACK_TYPE \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --ipv6-address IPV6_ADDRESS \
      --external-ipv6-prefix-length=96 \
      --ipv6-network-tier IPV6_NETWORK_TIER \
      --zone ZONE
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_NAME: השם של המכונה.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫STACK_TYPE: IPV4_IPV6 או IPV6_ONLY, בהתאם לשאלה אם רוצים שלמופע תהיה גם כתובת IPv4.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫IPV6_ADDRESS: כתובת ה-IPv6 להקצאה למכונה הווירטואלית.
  • ‫IPV6_NETWORK_TIER: רמת השירות ברשת של רשת המשנה. יכול להיות STANDARD (תצוגה מקדימה) או PREMIUM.
  • ‫ZONE: אזור באזור שצוין.

API

דוגמאות:

• כדי ליצור מכונה עם כתובת IPv4 פנימית ארעית, מציינים רק את רשת המשנה:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫ZONE: אזור באזור שצוין.
  • ‫MACHINE_TYPE: סוג מכונה למופע.
  • ‫INSTANCE_NAME: שם למכונה.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫SOURCE_IMAGE: תמונה של המופע.

  למידע נוסף, עיינו בשיטה instances.insert.

• כדי ליצור מכונה עם כתובת IPv4 פנימית שמורה, מציינים את תת-הרשת ואת השם של כתובת ה-IPv4 השמורה:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "networkIP": "projects/SERVICE_PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫ZONE: אזור באזור שצוין.
  • ‫MACHINE_TYPE: סוג מכונה למופע.
  • ‫INSTANCE_NAME: שם למכונה.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET_NAME: השם של תת-הרשת המשותפת.
  • ‫ADDRESS_NAME: השם של כתובת ה-IPv4 הפנימית השמורה.
  • ‫SOURCE_IMAGE: תמונה של המופע.

  למידע נוסף, עיינו בשיטה instances.insert.

• כדי ליצור מכונה עם כתובת IPv4 פנימית ארעית וכתובת IPv6 ארעית, צריך לציין את רשת המשנה ואת סוג הערימה:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPV4_IPV6"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫ZONE: אזור באזור שצוין.
  • ‫MACHINE_TYPE: סוג מכונה למופע.
  • ‫INSTANCE_NAME: שם למכונה.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫SOURCE_IMAGE: תמונה של המופע.

  למידע נוסף, עיינו בשיטה instances.insert.

• כדי ליצור מכונה עם כתובת IPv6 זמנית, מציינים את רשת המשנה ואת סוג המערך:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPV6_ONLY"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫ZONE: אזור באזור שצוין.
  • ‫MACHINE_TYPE: סוג מכונה למופע.
  • ‫INSTANCE_NAME: שם למכונה.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET: השם של תת-הרשת המשותפת.
  • ‫SOURCE_IMAGE: תמונה של המופע.

  למידע נוסף, עיינו בשיטה instances.insert.

Terraform

אפשר להשתמש בבלוק נתונים של Terraform כדי לציין את פרטי רשת המשנה של המארח. אחר כך משתמשים במשאב של Terraform כדי ליצור מכונה וירטואלית בפרויקט שירות.

מציינים את רשת המשנה של המארח:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

יצירת מכונה וירטואלית בפרויקט שירות עם כתובת IPv4 ארעית מתת-הרשת המשותפת של הפרויקט המארח:

resource "google_compute_instance" "ephemeral_ip" {
  project      = var.service_project
  zone         = "us-central1-a"
  name         = "my-vm"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
  }
}

יוצרים מכונה וירטואלית בפרויקט שירות עם כתובת IPv4 סטטית שמורה מרשת המשנה המשותפת של הפרויקט המארח:

resource "google_compute_instance" "reserved_ip" {
  project      = var.service_project
  zone         = "us-central1-a"
  name         = "reserved-ip-instance"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
    network_ip = google_compute_address.internal.address
  }
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

המסוף

1. הגדרת VPC משותף
2. במסוף Cloud de Confiance , עוברים לדף VPC משותף.
   כניסה לדף VPC משותף
3. נכנסים כאדמין של VPC משותף.
4. בוחרים את פרויקט השירות בכלי לבחירת פרויקטים.
5. כדי לעבור לדף Create an instance template (יצירת תבנית של הגדרות מכונה), בוחרים באפשרות Compute Engine > Instance templates > Create instance templates (יצירת תבניות של הגדרות מכונה).
6. מציינים שם לתבנית של הגדרות מכונה.
7. בקטע אפשרויות מתקדמות, לוחצים על רשת.
8. בקטע Network interfaces, לוחצים על כפתור הבחירה Networks shared with me.
9. ברשימה Shared subnetwork, בוחרים את רשת המשנה שבה רוצים ליצור את תבנית של הגדרות מכונה:
   • אם תבנית של הגדרות מכונה היא IPv4 בלבד, בוחרים רשת משנה שהיא IPv4 בלבד או dual-stack‏ (IPv4 ו-IPv6).
   • בתבנית של הגדרות מכונה עם כתובות IPv4 ו-IPv6, בוחרים רשת משנה עם כתובות IPv4 ו-IPv6 עם סוג הגישה הנדרש ל-IPv6.
   • בתבנית של הגדרות מכונה עם IPv6 בלבד, בוחרים רשת משנה עם תמיכה ב-IPv4 ו-IPv6 או רשת משנה עם IPv6 בלבד עם סוג הגישה הנדרש ל-IPv6.
10. בוחרים את סוג מחסנית ה-IP של תבנית של הגדרות מכונה:
    • IPv4 (single-stack)
    • ‫IPv4 ו-IPv6 (dual-stack)
    • ‫IPv6 (single-stack)
11. מציינים את כל הפרמטרים הנדרשים האחרים לתבנית של הגדרות מכונה.
12. לוחצים על יצירה.

gcloud

• יצירת תבנית של הגדרות מכונה עם IPv4 בלבד לשימוש בכל תת-רשת שנוצרה אוטומטית ברשת VPC משותפת במצב אוטומטי:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --network projects/HOST_PROJECT_ID/global/networks/NETWORK
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫TEMPLATE_NAME: שם התבנית.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫NETWORK: השם של רשת ה-VPC המשותפת.

• כדי ליצור תבנית של הגדרות מכונה עם IPv4 בלבד עבור רשת משנה שנוצרה באופן ידני ברשת VPC משותפת (במצב אוטומטי או מותאם אישית):

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --region REGION \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫TEMPLATE_NAME: שם התבנית.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫SUBNET: השם של תת-הרשת המשותפת.

• יוצרים תבנית של הגדרות מכונה עם תמיכה ב-IPv4 ו-IPv6 שמשתמשת ברשת משנה ברשת VPC משותפת במצב מותאם אישית:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV4_IPV6 \
      --region REGION \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫TEMPLATE_NAME: שם התבנית.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫SUBNET: השם של תת-הרשת המשותפת.

• יצירת תבנית של הגדרות מכונה עם IPv6 בלבד שמשתמשת ברשת משנה ברשת VPC משותפת במצב מותאם אישית:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV6_ONLY \
      --region REGION \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫TEMPLATE_NAME: שם התבנית.
  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫HOST_PROJECT_ID: מזהה פרויקט המארח של ה-VPC המשותף.
  • ‫SUBNET: השם של תת-הרשת המשותפת.

API

• כדי ליצור תבנית של הגדרות מכונה עם IPv4 בלבד שמשתמשת ברשת משנה שנוצרה אוטומטית ברשת VPC משותפת במצב אוטומטי, צריך לציין את רשת ה-VPC:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "network": "projects/HOST_PROJECT_ID/global/networks/NETWORK"
      }
    ]
  ...
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה הפרויקט שמכיל את רשת ה-VPC המשותפת.
  • ‫NETWORK: השם של רשת ה-VPC המשותפת.

  למידע נוסף, עיינו בשיטה instanceTemplates.insert.

• כדי ליצור תבנית של הגדרות מכונה עם IPv4 בלבד שמשתמשת ברשת משנה שנוצרה באופן ידני ברשת VPC משותפת (מצב אוטומטי או מותאם אישית), צריך לציין את רשת המשנה:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
      }
    ]
  ...
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה הפרויקט שמכיל את רשת ה-VPC המשותפת.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET_NAME: השם של תת-הרשת המשותפת.

  למידע נוסף, עיינו בשיטה instanceTemplates.insert.

• כדי ליצור תבנית של הגדרות מכונה עם תמיכה כפולה שמשתמשת ברשת משנה ברשת VPC משותפת במצב מותאם אישית, צריך לציין את רשת המשנה ואת סוג הסטאק:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPV4_IPV6"
      }
    ]
  ...
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה הפרויקט שמכיל את רשת ה-VPC המשותפת.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET_NAME: השם של תת-הרשת המשותפת.

  למידע נוסף, עיינו בשיטה instanceTemplates.insert.

• כדי ליצור תבנית של הגדרות מכונה עם IPv6 בלבד שמשתמשת ברשת משנה ברשת VPC משותפת במצב מותאם אישית, צריך לציין את רשת המשנה ואת סוג הערימה:

  POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPV6_ONLY"
      }
    ]
  ...
  }
  

  מחליפים את מה שכתוב בשדות הבאים:

  • ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
  • ‫HOST_PROJECT_ID: מזהה הפרויקט שמכיל את רשת ה-VPC המשותפת.
  • ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
  • ‫SUBNET_NAME: השם של תת-הרשת המשותפת.

  למידע נוסף, עיינו בשיטה instanceTemplates.insert.

Terraform

אפשר להשתמש בבלוק נתונים של Terraform כדי לציין את פרטי רשת המשנה של המארח. אחר כך משתמשים במשאב של Terraform כדי ליצור תבנית של הגדרות מכונה. כתובות ה-IPv4 של המכונות הווירטואליות מגיעות מרשת המשנה המשותפת של הפרויקט המארח.

רשת המשנה צריכה להיות באותו אזור שבו ייווצרו המכונות הווירטואליות.

מציינים את רשת המשנה של המארח:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

יוצרים תבנית של הגדרות מכונה בפרויקט השירות:

resource "google_compute_instance_template" "default" {
  project      = var.service_project
  name         = "appserver-template"
  description  = "This template is used to create app server instances."
  machine_type = "n1-standard-1"
  disk {
    source_image = "debian-cloud/debian-9"
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
  }
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

המסוף

1. נכנסים לדף Load balancing במסוף Cloud de Confiance .
   כניסה לדף Load balancing

2. יוצרים מאזן עומסים פנימי של TCP/UDP ומבצעים את השינוי הבא: בקטע Configure frontend services (הגדרת שירותי חזית), בוחרים את רשת המשנה של ה-VPC המשותף שרוצים להשתמש בה בקטע Networks shared by other projects (רשתות שמשותפות עם פרויקטים אחרים) בתפריט Subnet (רשת משנה).

3. מסיימים ליצור את מאזן העומסים.

gcloud

כשיוצרים את כלל ההעברה הפנימית, מציינים רשת משנה בפרויקט המארח באמצעות הדגל --subnet:

gcloud compute forwarding-rules create FR_NAME \
    --project SERVICE_PROJECT_ID \
    --load-balancing-scheme internal \
    --region REGION \
    --ip-protocol IP_PROTOCOL \
    --ports PORT,PORT,... \
    --backend-service BACKEND_SERVICE_NAME \
    --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
    --address INTERNAL_IP

מחליפים את מה שכתוב בשדות הבאים:

• ‫FR_NAME: השם של כלל ההעברה.
• ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
• ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
• ‫IP_PROTOCOL: ‏TCP או UDP, בהתאם לפרוטוקול של השירות לקצה עורפי של מאזן העומסים.
• ‫PORT: היציאה המספרית או רשימת היציאות של מאזן העומסים.
• ‫BACKEND_SERVICE_NAME: השם של שירות ה-Backend (שכבר נוצר כחלק מההליך הכללי של יצירת מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי).
• ‫HOST_PROJECT_ID: מזהה הפרויקט המארח של ה-VPC המשותף.
• ‫SUBNET: השם של תת-הרשת המשותפת.
• ‫INTERNAL_IP: כתובת IP פנימית ברשת המשנה המשותפת (אם לא מציינים כתובת, תיבחר כתובת זמינה).

אפשרויות נוספות מפורטות במאמר בנושא הפקודה gcloud compute forwarding-rules create.

API

יוצרים את כלל ההעברה הפנימי ומציינים רשת משנה בפרויקט המארח.

POST https://compute.s3nsapis.fr/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/forwardingRules
{
  "name": "FR_NAME",
  "IPAddress": "IP_ADDRESS",
  "IPProtocol": "IP_PROTOCOL",
  "ports": [ "PORT", ... ],
  "loadBalancingScheme": "INTERNAL",
  "subnetwork": "https://www.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET",
  "network": "https://www.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/global/networks/NETWORK_NAME",
  "backendService": "https://www.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/regions/us-west1/backendServices/BE_NAME",
  "networkTier": "PREMIUM"
}

מחליפים את מה שכתוב בשדות הבאים:

• ‫SERVICE_PROJECT_ID: המזהה של פרויקט השירות.
• ‫REGION: האזור שמכיל את רשת המשנה המשותפת.
• ‫FR_NAME: שם לכלל ההעברה.
• ‫IP_ADDRESS: כתובת IP פנימית ברשת המשנה המשותפת.
• ‫IP_PROTOCOL: ‏TCP או UDP, בהתאם לפרוטוקול של שירות הקצה העורפי של מאזן העומסים.
• ‫PORT: מספר היציאה או רשימת היציאות של איזון העומסים.
• ‫HOST_PROJECT_ID: מזהה הפרויקט המארח של ה-VPC המשותף.
• ‫SUBNET: השם של תת-הרשת המשותפת.
• ‫NETWORK_NAME: שם הרשת.
• ‫BE_NAME: השם של שירות לקצה העורפי (שנוצר כבר כחלק מההליך הכללי של יצירת מאזן עומסי רשת פנימי להעברת סיגנל ללא שינוי).

למידע נוסף, עיינו בשיטה forwardingRules.insert.

Terraform

אפשר להשתמש בבלוק נתונים של Terraform כדי לציין את רשת המשנה של המארח ואת רשת המארח. אחר כך משתמשים במשאב של Terraform כדי ליצור את כלל ההעברה.

מציינים את רשת המארח:

data "google_compute_network" "network" {
  name    = "my-network-123"
  project = var.project
}

מציינים את רשת המשנה של המארח:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

בפרויקט השירות, יוצרים כלל העברה ברשת וברשת המשנה של הפרויקט המארח:

resource "google_compute_forwarding_rule" "default" {
  project               = var.service_project
  name                  = "l4-ilb-forwarding-rule"
  backend_service       = google_compute_region_backend_service.default.id
  region                = "europe-west1"
  ip_protocol           = "TCP"
  load_balancing_scheme = "INTERNAL"
  all_ports             = true
  allow_global_access   = true
  network               = data.google_compute_network.network.self_link
  subnetwork            = data.google_compute_subnetwork.subnet.self_link
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.