En esta página, se describen los pasos de requisitos previos que debes completar antes de comenzar a configurar una puerta de enlace de Cloud NAT. Esto incluye los pasos para obtener los permisos necesarios, configurar tu política de red, habilitar la salida y crear subredes.
Agrega roles de IAM
El modelo de recursos predeterminado se diseñó en torno a la persona del administrador de la plataforma que crea el proyecto, la política de red del proyecto y las subredes externas que contienen las direcciones de Protocolo de Internet (IP) de salida. La persona del operador de la aplicación administra las puertas de enlace de Cloud NAT con alcance de proyecto. La persona del operador de la infraestructura tiene permisos integrales para depurar Cloud NAT y los recursos de red relacionados.
Puedes otorgar permisos si asignas los roles de Cloud Identity and Access Management (IAM) de Cloud NAT en la siguiente lista.
- Desarrollador de Cloud NAT (
cloud-nat-developer): Este rol proporciona los permisos necesarios para que los operadores de aplicaciones creen, lean, actualicen y borren (CRUD) objetos de Cloud NAT dentro de sus proyectos asignados. Se enfoca exclusivamente en los aspectos operativos de la configuración de Cloud NAT, sin otorgar acceso a la infraestructura de red fundamental. - Visualizador de Cloud NAT (
cloud-nat-viewer): Este rol ofrece acceso de solo lectura a los recursos de Cloud NAT. Está destinado a operadores de aplicaciones y otros usuarios que necesitan supervisar las configuraciones y el estado de Cloud NAT sin la capacidad de realizar modificaciones. - Depurador de Cloud NAT (
cloud-nat-debugger): Este rol especializado, asignado a los operadores de infraestructura, proporciona permisos integrales para depurar Cloud NAT y los recursos de red relacionados. Este rol otorga control total sobre los recursos de Cloud NAT, junto con permisos elevados para inspeccionar y solucionar problemas de los componentes de red subyacentes que afectan directamente la funcionalidad de Cloud NAT.
Configura el proyecto y la política de red del proyecto
Antes de crear una puerta de enlace de Cloud NAT, crea un proyecto siguiendo las instrucciones para crear un proyecto.
De forma predeterminada, Google Distributed Cloud (GDC) aísla las cargas de trabajo en un proyecto para que no salgan de la organización. Las cargas de trabajo pueden salir de la organización si el administrador de la plataforma (PA) inhabilitó la protección robo de datos para el proyecto. Los PAs pueden hacerlo si adjuntan la etiqueta
networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true" a
el proyecto o si inhabilitan la protección robo de datos desde la consola.
Un ejemplo de proyecto con el tráfico de salida habilitado:
apiVersion: resourcemanager.gdc.goog/v1
kind: Project
metadata:
namespace: platform
name: project-1
labels:
networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true"
Un ejemplo de política de red que permite toda la salida:
apiVersion: networking.gdc.goog/v1alpha1
kind: ProjectNetworkPolicy
metadata:
namespace: project-1
name: allow-egress-traffic
spec:
policyType: Egress
subject:
subjectType: UserWorkload
egress:
- to:
- ipBlock:
cidr: 0.0.0.0/0