Configurar a rede VPC compartilhada

Airflow gerenciado (Geração 3) | Airflow gerenciado (Geração 2) | Airflow gerenciado (Geração 1 legada)

Nesta página, você encontra os requisitos do projeto host e da rede VPC compartilhada do Airflow gerenciado.

Com a VPC compartilhada, as organizações estabelecem limites de controle de acesso e orçamento para envolvidos no projeto, além de possibilitar uma comunicação segura e eficiente usando IPs particulares nesses limites. Na configuração da VPC compartilhada, o Serviço Gerenciado para Apache Airflow pode invocar serviços hospedados em outros Google Cloud projetos da mesma organização sem expor serviços à Internet pública.

Diretrizes para VPC compartilhada

Figura 1. Projetos de serviço e host do Airflow gerenciado (Geração 3) (clique para ampliar)

• A VPC compartilhada exige que você determine um projeto host, que incluirá redes e sub-redes, e um projeto de serviço, que será anexado ao de host. Quando o Airflow gerenciado faz parte de uma VPC compartilhada, o ambiente dele fica no projeto de serviço.

• Verifique se o intervalo de IP interno do ambiente do Airflow gerenciado e os intervalos da rede VPC não têm conflitos.

• O Airflow gerenciado (Geração 3) tem uma limitação de um salto de DNS transitivo. Verifique se a configuração de DNS permite isso.

• O Airflow Gerenciado (Geração 3) não oferece suporte a uma zona de DNS .internal definida pelo usuário. Se você criar uma zona de DNS para .internal, não será possível acessá-la.

Preparação

1. Encontre os IDs e números de projeto a seguir:

   • Projeto host: contém a rede VPC compartilhada.
   • Projeto de serviço: contém o ambiente do Airflow gerenciado.
   Importante: se você quiser proteger seu ambiente com o VPC Service Controls, verifique se os projetos host e de serviço estão localizados no mesmo perímetro de serviço. Para mais informações, consulte Perímetros para ambientes com VPC compartilhada e CMEK.

2. Prepare a organização.

Configurar o projeto de serviço

Se os ambientes do Airflow gerenciado nunca foram criados no projeto de serviço, provisione a conta de serviço do agente do Composer no projeto de serviço:

gcloud beta services identity create --service=composer.googleapis.com

Configurar o projeto host

Configure o projeto host conforme descrito.

Cuidado: faça todas as ações descritas no projeto host. Por exemplo, se você adicionar papéis a uma conta de serviço do projeto de serviço, atribua-os na configuração do IAM do projeto host.

Configurar recursos de rede

Escolha uma das seguintes opções:

• Opção 1: crie uma rede e uma sub-rede VPC.

• Opção 2: crie uma sub-rede em uma rede VPC atual.

• Opção 3: use uma rede VPC e uma sub-rede atuais.

Configurar a VPC compartilhada e anexar o projeto de serviço

1. Configure uma VPC compartilhada caso ainda não tenha feito isso, Configure uma VPC compartilhada. Se você já configurou a VPC compartilhada, pule para a próxima etapa.

2. Anexe o projeto de serviço, que você usa para hospedar ambientes do Airflow gerenciado.

   Ao anexar um projeto, deixe as permissões de rede VPC padrão em vigor.

Conceder permissões à conta de serviço do agente do Composer

**Aviso** :nesta e nas próximas etapas, ao editar permissões, mantenha os papéis de conta atuais. Adicione outro papel a uma conta em vez de substituir um papel atual.

No projeto host:

1. Edite as permissões da conta de serviço do agente do Composer, [e-mail])

2. Adicione outro papel, Agente de VPC compartilhada do Composer (composer.sharedVpcAgent) no nível do projeto.

Conclusão

Você concluiu a configuração da rede VPC compartilhada para projetos de serviço e host.

Agora é possível conectar ambientes novos e atuais no projeto de serviço à rede VPC do projeto host. Você pode usar uma das seguintes abordagens:

• Conecte um ambiente a uma rede VPC compartilhada. O Airflow gerenciado cria um novo anexo de rede para o ambiente.
• Crie um anexo de rede no projeto de serviço, conecte-o a uma rede VPC compartilhada e conecte um ou mais ambientes a esse anexo de rede.

Para instruções e mais informações sobre as diferenças entre as duas abordagens descritas, consulte Conectar uma rede VPC ao ambiente.

A seguir

• Conectar uma rede VPC ao ambiente.
• Criar um ambiente do Airflow gerenciado.