Cloud NAT の利用を開始する前に

このページでは、Cloud NAT ゲートウェイの設定を開始する前に必要な手順について説明します。これには、必要な権限の取得、ネットワーク ポリシーの設定、下り（外向き）の有効化、サブネットの作成の手順が含まれます。

IAM ロールを追加する

デフォルトのリソースモデルは、プラットフォーム管理者がプロジェクト、プロジェクト ネットワーク ポリシー、下り（外向き）のインターネット プロトコル（IP）アドレスを含む外部サブネットを作成することを前提に設計されています。アプリケーション オペレーターは、プロジェクト スコープの Cloud NAT ゲートウェイを管理します。インフラストラクチャ オペレーターは、Cloud NAT と関連するネットワーク リソースをデバッグするための包括的な権限を持っています。

権限を付与するには、次のリストの Cloud NAT Identity and Access Management（IAM）ロールを割り当てます。

  • Cloud NAT デベロッパー（cloud-nat-developer）: このロールは、アプリケーション オペレーターが割り当てられたプロジェクト内で Cloud NAT オブジェクトを作成、読み取り、更新、削除（CRUD）するために必要な権限を提供します。基盤となるネットワーク インフラストラクチャへのアクセス権を付与することなく、Cloud NAT 構成の運用面にのみ焦点を当てています。
  • Cloud NAT 閲覧者（cloud-nat-viewer）: このロールは、Cloud NAT リソースへの読み取り専用アクセスを提供します。変更を加えることなく Cloud NAT の構成とステータスをモニタリングする必要があるアプリケーション オペレーターやその他のユーザーを対象としています。
  • Cloud NAT デバッガ（cloud-nat-debugger）: インフラストラクチャ オペレーターに割り当てられるこの特別なロールは、Cloud NAT と関連するネットワーク リソースをデバッグするための包括的な権限を提供します。このロールは、Cloud NAT リソースに対する完全な制御権と、Cloud NAT の機能に直接影響する基盤となるネットワーク コンポーネントを検査してトラブルシューティングするための昇格された権限を付与します。

プロジェクトとプロジェクト ネットワーク ポリシーを設定する

Cloud NAT ゲートウェイを作成する前に、the プロジェクトの作成の 手順に沿ってプロジェクトを作成します。

デフォルトでは、Google Distributed Cloud（GDC）エアギャップは、プロジェクト内のワークロードが組織外に出るのをブロックします。プラットフォーム管理者（PA）がプロジェクトのデータ漏洩保護を無効にしている場合、ワークロードは組織外に出ることができます。PA は、ラベル networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true" を プロジェクトにアタッチするか、コンソールからデータ漏洩保護を無効にすることで、これを行うことができます。

下り（外向き）トラフィックが有効になっているプロジェクトの例:

apiVersion: resourcemanager.gdc.goog/v1
kind: Project
metadata:
  namespace: platform
  name: project-1
  labels:
    networking.gdc.goog/enable-default-egress-allow-to-outside-the-org: "true"

すべての下り（外向き）を許可するネットワーク ポリシーの例:

apiVersion: networking.gdc.goog/v1alpha1
kind: ProjectNetworkPolicy
metadata:
  namespace: project-1
  name: allow-egress-traffic
spec:
  policyType: Egress
  subject:
    subjectType: UserWorkload
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0