Freigegebenes VPC-Netzwerk konfigurieren

Managed Airflow (Gen 3) | Managed Airflow (Gen 2) | Managed Airflow (Legacy Gen 1)

Auf dieser Seite werden die Anforderungen für das freigegebene VPC-Netzwerk und das Hostprojekt für Managed Airflow beschrieben.

Mit der gemeinsam genutzten VPC können Unternehmen Beschränkungen für Budget und Zugriffssteuerung auf Projektebene festlegen und dabei eine sichere und effiziente Kommunikation mit privaten IP-Adressen innerhalb dieser Beschränkungen ermöglichen. Bei der Konfiguration der freigegebene VPC kann Managed Service for Apache Airflow Dienste aufrufen, die in anderen Google Cloud Projekten in derselben Organisation gehostet werden, ohne Dienste im öffentlichen Internet verfügbar zu machen.

Richtlinien für freigegebene VPC

Abbildung 1. Dienst- und Hostprojekte für Managed Airflow (Gen 3) (zum Vergrößern klicken)

• Geben Sie für die freigegebene VPC ein Hostprojekt an, zu dem Netzwerke und Teilnetze gehören, sowie ein Dienstprojekt, das dem Hostprojekt zugeordnet ist. Wenn Managed Airflow an einer freigegebene VPC teilnimmt, befindet sich die Managed Airflow-Umgebung im Dienstprojekt.

• Achten Sie darauf, dass der interne IP-Bereich der Managed Airflow-Umgebung und die Bereiche Ihres VPC-Netzwerk keine Konflikte aufweisen.

• Bei Managed Airflow (3. Generation) ist nur ein transitiver DNS-Hop zulässig. Achten Sie darauf, dass Ihre DNS-Konfiguration dies zulässt.

• Managed Airflow (Gen 3) unterstützt keine benutzerdefinierte .internal-DNS-Zone. Wenn Sie eine DNS-Zone für .internal erstellen, kann diese Zone nicht erreicht werden.

Vorbereitung

1. Ermitteln Sie die folgenden Projekt-IDs und Projektnummern:

   • Hostprojekt: Das Projekt mit dem freigegebene VPC-Netzwerk.
   • Dienstprojekt: Das Projekt mit der Managed Airflow-Umgebung.
   Wichtig: Wenn Sie Ihre Umgebung mit VPC Service Controls schützen möchten, müssen sich sowohl das Host- als auch das Dienstprojekt im selben Dienstperimeter befinden. Weitere Informationen finden Sie unter Perimeter für Umgebungen mit freigegebene VPC und CMEK.

2. Organisation vorbereiten.

Serviceprojekt konfigurieren

Wenn im Dienstprojekt noch nie Managed Airflow-Umgebungen erstellt wurden, stellen Sie das Composer-Dienst-Agent-Konto im Dienstprojekt bereit:

gcloud beta services identity create --service=composer.googleapis.com

Hostprojekt konfigurieren

Konfigurieren Sie das Hostprojekt wie unten beschrieben.

Achtung :Führen Sie alle beschriebenen Aktionen im Hostprojekt aus. Wenn Sie beispielsweise einem Dienstkonto aus dem Dienstprojekt Rollen hinzufügen, weisen Sie sie in der IAM-Konfiguration des Hostprojekts zu.

Netzwerkressourcen konfigurieren

Wählen Sie eine der folgenden Optionen aus:

• Option 1: Neues VPC-Netzwerk und Subnetz erstellen.

• Option 2: Subnetz in einem vorhandenen VPC-Netzwerk erstellen.

• Option 3: Vorhandenes VPC-Netzwerk und Subnetz verwenden

Gemeinsam genutzte VPC einrichten und das Dienstprojekt anhängen

1. Richten Sie eine gemeinsam genutzte VPC ein, falls noch nicht geschehen. Wenn Sie bereits eine freigegebene VPC eingerichtet haben, fahren Sie mit dem nächsten Schritt fort.

2. Hängen Sie das Dienstprojekt an, das Sie zum Hosten von Managed Airflow-Umgebungen verwenden.

   Übernehmen Sie beim Anhängen eines Projekts die standardmäßigen VPC-Netzwerkberechtigungen.

Berechtigungen für das Composer-Dienst-Agent-Konto erteilen

Warnung: Behalten Sie bei diesem und den nachfolgenden Schritten die vorhandenen Kontorollen bei, während Sie die Berechtigungen bearbeiten. Fügen Sie einem Konto eine weitere Rolle hinzu, statt eine vorhandene Rolle zu ersetzen.

Im Hostprojekt:

1. Berechtigungen für das Composer-Dienst-Agent-Konto [e-mail] bearbeiten

2. Fügen Sie auf Projektebene eine weitere Rolle hinzu: Composer Shared VPC Agent (composer.sharedVpcAgent).

Fazit

Sie haben die Konfiguration des freigegebene VPC-Netzwerks für Dienst- und Hostprojekte abgeschlossen.

Jetzt können Sie neue und vorhandene Umgebungen im Dienstprojekt mit dem VPC-Netzwerk des Hostprojekts verbinden. Sie haben dazu folgende Möglichkeiten:

• Verbinden Sie eine Umgebung mit einem freigegebene VPC-Netzwerk. Managed Airflow erstellt einen neuen Netzwerkanhang für die Umgebung.
• Erstellen Sie einen Netzwerk-Anhang im Dienstprojekt, verbinden Sie ihn mit einem freigegebenen VPC-Netzwerk und verbinden Sie eine oder mehrere Umgebungen mit diesem Netzwerk-Anhang.

Eine Anleitung und weitere Informationen zu den Unterschieden zwischen den beiden beschriebenen Ansätzen finden Sie unter VPC-Netzwerk mit Ihrer Umgebung verbinden.

Nächste Schritte

• VPC-Netzwerk mit Ihrer Umgebung verbinden
• Managed Airflow-Umgebung erstellen