Une base inclut des paramètres fondamentaux qui vous aident à organiser, gérer et maintenir les ressources Google Cloud . Créez une base de production avancée pour contrôler les paramètres détaillés de chaque phase du processus de configuration de Google Cloud , y compris les paramètres de sécurité et réseau détaillés.
Ce document décrit les étapes et fournit des informations générales pour vous aider à configurer une base de production avancée, y compris les phases suivantes :
Établir votre organisation, vos administrateurs et votre facturation : configurez le nœud de premier niveau de votre hiérarchie, créez les utilisateurs administrateurs initiaux et attribuez-leur des droits d'accès, puis connectez votre mode de paiement.
Créer une architecture initiale : sélectionnez un dossier et une structure de projet initiaux, appliquez les paramètres de sécurité, configurez la journalisation et la surveillance, et configurez votre réseau.
Déployer vos paramètres : vos choix initiaux d'architecture sont compilés dans les fichiers de configuration Terraform. Vous pouvez les déployer via la console Google Cloud , ou télécharger les fichiers pour les personnaliser et les itérer à l'aide de votre propre workflow. Après le déploiement, choisissez une formule d'assistance.
Établir votre organisation, vos administrateurs et votre facturation
Créer une architecture initiale
Dans cette tâche, vous allez définir votre configuration de mise en réseau initiale, que vous pourrez adapter à vos besoins.
Architecture de cloud privé virtuel
Un réseau cloud privé virtuel (VPC) est une version virtuelle d'un réseau physique, implémentée au sein du réseau de production de Google. Un Réseau VPC est une ressource globale qui consiste en des sous-réseaux régionaux.
Les réseaux VPC fournissent des fonctionnalités de mise en réseau à vos ressources Google Cloud , telles que des instances de machines virtuelles Compute Engine, des conteneurs GKE et des instances de l'environnement flexible App Engine.
Le VPC partagé connecte les ressources de plusieurs projets à un réseau VPC commun afin qu'elles puissent communiquer entre elles à l'aide des adresses IP internes du réseau. Le schéma suivant illustre l'architecture de base d'un réseau VPC partagé avec des projets de service associés.
Lorsque vous utilisez un VPC partagé, vous désignez un projet hôte et vous lui associez un ou plusieurs projets de service. Les réseaux de cloud privé virtuel (VPC) du projet hôte sont appelés réseaux VPC partagés.
L'exemple de diagramme comporte des projets hôtes de production et hors production, qui contiennent chacun un réseau VPC partagé. Vous pouvez utiliser un projet hôte pour gérer les éléments suivants de manière centralisée :
- Routes
- Pare-feu
- Connexions VPN
- Sous-réseaux
Un projet de service est un projet associé à un projet hôte. Vous pouvez partager des sous-réseaux, y compris des plages secondaires, entre des projets hôtes et des projets de service.
Dans cette architecture, chaque réseau VPC partagé contient des sous-réseaux publics et privés :
- Le sous-réseau public peut être utilisé par des instances Web pour la connectivité externe.
- Le sous-réseau privé peut être utilisé par des instances orientées vers l'intérieur auxquelles aucune adresse IP publique n'est allouée.
Dans cette tâche, vous allez créer une configuration réseau initiale basée sur le schéma d'exemple.
Utilisateurs effectuant cette tâche
Vous devez disposer de l'un des éléments suivants pour effectuer cette tâche :
- Le rôle
roles/compute.networkAdmin. - Inclusion dans le groupe
gcp-network-admins@YOUR_DOMAINque vous avez créé dans la tâche Utilisateurs et groupes
Actions à effectuer dans cette tâche
Créez une configuration réseau initiale, y compris les éléments suivants :
- Créez plusieurs projets hôtes pour refléter vos environnements de développement.
- Créez un réseau VPC partagé dans chaque projet hôte pour permettre à des ressources distinctes de partager le même réseau.
- Créez des sous-réseaux distincts dans chaque réseau VPC partagé pour fournir un accès réseau aux projets de service.
Raisons pour lesquelles nous recommandons cette tâche
Des équipes distinctes peuvent utiliser un VPC partagé pour se connecter à un réseau VPC commun géré de manière centralisée.
Avant de commencer
Effectuez les tâches suivantes :
- Créez un super-administrateur et votre organisation dans la tâche Organisation.
- Ajoutez des utilisateurs et créez des groupes dans la tâche Utilisateurs et groupes.
- Attribuez des rôles IAM aux groupes dans la tâche Accès administrateur.
- Créez ou associez un compte de facturation dans la tâche Facturation.
- Configurez votre hiérarchie et attribuez des accès dans la tâche Hiérarchie et accès.
Configurer votre architecture réseau
Créez votre configuration réseau initiale avec deux projets hôtes pour segmenter les charges de travail de production et de non-production. Chaque projet hôte contient un réseau VPC partagé, qui peut être utilisé par plusieurs projets de service. Vous allez configurer les détails du réseau, puis déployer un fichier de configuration dans une tâche ultérieure.
Pour configurer votre réseau initial, procédez comme suit :
Connectez-vous à la console Google Cloud en tant qu'utilisateur du groupe
gcp-organization-admins@YOUR_DOMAINque vous avez créé dans la tâche Utilisateurs et groupes.Sélectionnez votre organisation dans la liste déroulante Sélectionnez une organisation en haut de la page.
Accédez à Google Cloud Configuration : mise en réseau.
Examinez l'architecture réseau par défaut.
Pour modifier le nom du réseau, procédez comme suit :
- Cliquez sur Actions.
- Sélectionnez Modifier le nom du réseau.
- Dans le champ Nom du réseau, saisissez des lettres minuscules, des chiffres ou des tirets. Le nom du réseau ne peut pas dépasser 25 caractères.
- Cliquez sur Enregistrer.
Modifier les détails du pare-feu
Les règles de pare-feu par défaut du projet hôte sont basées sur les bonnes pratiques recommandées. Vous pouvez choisir de désactiver une ou plusieurs règles de pare-feu par défaut. Pour obtenir des informations générales sur les règles de pare-feu, consultez Règles de pare-feu VPC.
Pour modifier les paramètres de pare-feu, procédez comme suit :
Cliquez sur Actions.
Sélectionnez Modifier les règles de pare-feu.
Pour en savoir plus sur chaque règle de pare-feu par défaut, consultez Règles préremplies dans le réseau par défaut.
Pour désactiver une règle de pare-feu, décochez la case correspondante.
Pour désactiver la journalisation des règles de pare-feu, cliquez sur Désactivé.
Par défaut, le trafic vers et depuis les instances Compute Engine est consigné à des fins d'audit. Ce processus entraîne des coûts. Pour en savoir plus, consultez la page Présentation de la journalisation des règles de pare-feu VPC.
Cliquez sur Enregistrer.
Modifier les détails du sous-réseau
Chaque réseau VPC contient au moins un sous-réseau, qui est une ressource régionale à laquelle une plage d'adresses IP est associée. Dans cette configuration multirégionale, vous devez disposer d'au moins deux sous-réseaux dont les plages d'adresses IP ne se chevauchent pas.
Pour en savoir plus, consultez la section Sous-réseaux.
Chaque sous-réseau est configuré selon les bonnes pratiques recommandées. Si vous souhaitez personnaliser chaque sous-réseau, procédez comme suit :
- Cliquez sur Actions.
- Sélectionnez Modifier les sous-réseaux.
- Dans le champ Nom, saisissez des lettres minuscules, des chiffres ou des tirets. Le nom de sous-réseau ne peut pas dépasser 25 caractères.
Dans la liste déroulante Région, sélectionnez une région proche de votre point de service.
Nous vous recommandons d'utiliser une région différente pour chaque sous-réseau. Vous ne pouvez pas modifier la région après avoir déployé votre configuration. Pour en savoir plus sur le choix d'une région, consultez Ressources régionales.
Dans le champ Plage d'adresses IP, saisissez une plage au format CIDR (par exemple, 10.0.0.0/24).
La plage que vous saisissez ne doit pas chevaucher d'autres sous-réseaux de ce réseau. Pour en savoir plus sur les plages valides, consultez la section Plages de sous-réseaux IPv4.
Répétez ces étapes pour le Sous-réseau 2.
Pour configurer d'autres sous-réseaux dans ce réseau, cliquez sur Ajouter un sous-réseau et répétez ces étapes.
Cliquez sur Enregistrer.
Vos sous-réseaux sont automatiquement configurés selon les bonnes pratiques. Si vous souhaitez modifier la configuration, procédez comme suit sur la page Configuration deGoogle Cloud : réseaux VPC :
Pour désactiver les journaux de flux VPC, sélectionnez Désactivé dans la colonne Journaux de flux.
Lorsque les journaux de flux sont activés, chaque sous-réseau enregistre les flux réseau que vous pouvez analyser à des fins de sécurité, d'optimisation des dépenses et autres. Pour plus d'informations, voir Utiliser les journaux de flux VPC.
Les journaux de flux VPC entraînent des coûts. Pour en savoir plus, consultez la page Tarifs du cloud privé virtuel.
Pour désactiver l'Accès privé à Google, dans la colonne Accès privé, sélectionnez Désactivé.
Lorsque l'Accès privé à Google est activé, les instances de VM sans adresses IP externes peuvent accéder aux API et services Google. Pour plus d'informations, consultez Accès privé à Google.
Pour activer Cloud NAT, sélectionnez Activé dans la colonne Cloud NAT.
Lorsque Cloud NAT est activé, certaines ressources peuvent créer des connexions sortantes vers Internet. Pour en savoir plus, consultez la présentation de Cloud NAT.
Cloud NAT engendre des coûts. Pour en savoir plus, consultez la page Tarifs du cloud privé virtuel.
Cliquez sur Continuer avec l'association des projets de service.
Associer des projets de service à vos projets hôtes
Un projet de service est un projet associé à un projet hôte. Ce rattachement permet au projet de service de participer à un VPC partagé. Chaque projet de service peut être exploité et administré par différents services ou équipes pour séparer les responsabilités.
Pour en savoir plus sur la connexion de plusieurs projets à un réseau VPC commun, consultez la page Présentation du VPC partagé.
Pour associer des projets de service à vos projets hôtes et terminer la configuration, procédez comme suit :
Pour chaque sous-réseau du tableau Réseaux VPC partagés, sélectionnez un projet de service à connecter. Pour ce faire, sélectionnez-le dans la liste déroulante Sélectionner un projet de la colonne Projet de service.
Vous pouvez associer un projet de service à plusieurs sous-réseaux.
Cliquez sur Continuer vers la vérification.
Examinez votre configuration et apportez les modifications nécessaires.
Vous pouvez apporter des modifications jusqu'au déploiement de votre fichier de configuration.
Cliquez sur Confirmer le brouillon de configuration. Votre configuration réseau est ajoutée à votre fichier de configuration.
Votre réseau ne sera déployé que lorsque vous déploierez votre fichier de configuration dans une tâche ultérieure.
Étapes suivantes
Configurez une connectivité hybride, qui vous aide à connecter des serveurs sur site ou d'autres fournisseurs cloud à Google Cloud.
Dans cette tâche, vous allez établir des connexions entre vos réseaux pairs (sur site ou dans un autre cloud) et vos réseaux Google Cloud , comme illustré dans le schéma suivant.
Ce processus crée un VPN haute disponibilité, une solution que vous pouvez créer rapidement pour transmettre des données sur l'Internet public.
Une fois votre configuration Google Cloud déployée, nous vous recommandons de créer une connexion plus robuste à l'aide de Cloud Interconnect.
Pour en savoir plus sur les connexions entre les réseaux de pairs et Google Cloud, consultez les ressources suivantes :
Utilisateurs effectuant cette tâche
Vous devez disposer du rôle Administrateur de l'organisation (roles/resourcemanager.organizationAdmin).
Actions à effectuer dans cette tâche
Créez des connexions haute disponibilité et à faible latence entre vos réseaux VPC et vos réseaux sur site ou d'autres réseaux cloud. Vous configurez les composants suivants :
- Google Cloud Passerelle VPN haute disponibilité : ressource régionale dotée de deux interfaces, chacune avec sa propre adresse IP. Vous spécifiez le type de pile IP, qui détermine si le trafic IPv6 est accepté dans votre connexion. Pour en savoir plus, consultez VPN haute disponibilité.
- Passerelle VPN de pairs : passerelle de votre réseau de pairs à laquelle la passerelle VPN haute disponibilité Google Cloudse connecte. Vous saisissez les adresses IP externes que votre passerelle de pairs utilise pour se connecter à Google Cloud. Pour plus d'informations, consultez Configurer la passerelle VPN de pairs.
- Cloud Router : utilise le protocole BGP (Border Gateway Protocol) pour échanger de manière dynamique des routes entre votre VPC et vos réseaux de pairs. Vous attribuez un numéro de système autonome (ASN) comme identifiant à votre routeur Cloud Router et spécifiez l'ASN utilisé par votre routeur pair. Pour plus d'informations, consultez la page Créer un routeur Cloud Router pour connecter un réseau VPC à un réseau de pairs.
- Tunnels VPN : connectent la passerelle Google Cloud à la passerelle de pairs. Vous spécifiez le protocole Internet Key Exchange (IKE) à utiliser pour établir le tunnel. Vous pouvez saisir votre propre clé IKE générée précédemment, ou en générer et en copier une nouvelle. Pour obtenir des informations générales, consultez Configurer IKE.
Raisons pour lesquelles nous recommandons cette tâche
Un VPN haute disponibilité fournit une connexion sécurisée et à disponibilité élevée entre votre infrastructure existante et Google Cloud.
Avant de commencer
Effectuez les tâches suivantes :
- Créez un super-administrateur et votre organisation dans la tâche Organisation.
- Ajoutez des utilisateurs et créez des groupes dans la tâche Utilisateurs et groupes.
- Attribuez des rôles IAM aux groupes dans la tâche Accès administrateur.
- Créez ou associez un compte de facturation dans la tâche Facturation.
- Configurez votre hiérarchie et attribuez des accès dans la tâche Hiérarchie et accès.
- Configurez votre réseau dans la tâche Réseaux VPC.
Recueillez les informations suivantes auprès de votre administrateur réseau de pairs :
- Nom de votre passerelle VPN de pairs : passerelle à laquelle votre Cloud VPN se connecte.
- Adresse IP de l'interface de pairs 0 : adresse IP externe de votre passerelle de réseau de pairs.
- Adresse IP de l'interface de pairs 1 : une deuxième adresse externe, ou vous pouvez réutiliser l'adresse IP 0 si votre réseau de pairs ne possède qu'une seule adresse IP externe.
- Numéro de système autonome (ASN) de pairs : identifiant unique attribué à votre routeur de réseau de pairs.
- ASN du routeur Cloud Router : identifiant unique que vous attribuerez à votre routeur Cloud Router.
- Clés IKE (Internet Key Exchange) : clés que vous utilisez pour établir deux tunnels VPN avec votre passerelle VPN de pairs. Si vous ne disposez pas de clés, vous pouvez les générer lors de cette configuration, puis les appliquer à votre passerelle de pairs.
Configurer vos connexions
Procédez comme suit pour connecter vos réseaux VPC à vos réseaux de pairs :
Connectez-vous en tant qu'utilisateur disposant du rôle d'administrateur de l'organisation.
Sélectionnez votre organisation dans le menu déroulant Sélectionnez une organisation en haut de la page.
Accédez à Google Cloud Configuration : connectivité hybride.
Examinez les détails de la tâche en procédant comme suit :
Consultez la présentation de la tâche, puis cliquez sur Démarrer la connectivité hybride.
Cliquez sur chaque onglet pour en savoir plus sur la connectivité hybride, puis cliquez sur Continuer.
Découvrez ce qui vous attend à chaque étape de la tâche, puis cliquez sur Continuer.
Consultez les informations de configuration de la passerelle homologue que vous devez collecter, puis cliquez sur Continuer.
Dans la section Connexions hybrides, identifiez les réseaux VPC que vous souhaitez connecter en fonction de vos besoins commerciaux.
Sur la ligne correspondant au premier réseau que vous avez choisi, cliquez sur Configurer.
Dans la zone Présentation de la configuration, lisez la description, puis cliquez sur Suivant.
Dans la zone Passerelle VPN haute disponibilitéGoogle Cloud , procédez comme suit :
Dans le champ Nom de la passerelle Cloud VPN, saisissez jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans la zone Type de pile d'adresses IP internes du tunnel VPN, sélectionnez l'un des types de pile suivants :
- IPv4 et IPv6 (recommandé) : accepte le trafic IPv4 et IPv6. Nous vous recommandons ce paramètre si vous prévoyez d'autoriser le trafic IPv6 dans votre tunnel.
- IPv4 : ne peut accepter que le trafic IPv4.
Le type de pile détermine le type de trafic autorisé dans le tunnel entre votre réseau VPC et votre réseau pair. Vous ne pouvez pas modifier le type de pile après avoir créé la passerelle. Pour en savoir plus, consultez les ressources suivantes :
Cliquez sur Suivant.
Dans la zone Passerelle VPN de pairs, procédez comme suit :
Dans le champ Nom de la passerelle VPN de pairs, saisissez le nom fourni par votre administrateur réseau de pairs. Vous pouvez saisir jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans le champ Adresse IP de l'interface de pairs 0, saisissez l'adresse IP externe de l'interface de la passerelle de pairs fournie par votre administrateur réseau de pairs.
Dans le champ Adresse IP de l'interface de pairs 1, effectuez l'une des opérations suivantes :
- Si votre passerelle de pairs comporte une deuxième interface, saisissez son adresse IP.
- Si votre passerelle de pairs ne comporte qu'une seule interface, saisissez la même adresse que celle que vous avez saisie dans le champ Adresse IP de l'interface de pairs 0.
Pour plus d'informations, consultez la page Configurer la passerelle VPN de pairs.
Cliquez sur Suivant.
Dans la zone Cloud Router, procédez comme suit :
Dans le champ Numéro ASN du routeur cloud, saisissez le numéro de système autonome que vous souhaitez attribuer à votre routeur Cloud Router, tel que fourni par l'administrateur de votre réseau de pairs. Pour plus d'informations, consultez la page Créer un routeur Cloud Router.
Dans le champ Numéro ASN du routeur de pairs, saisissez le numéro de système autonome de votre routeur de réseau de pairs, tel qu'il vous a été fourni par votre administrateur réseau de pairs.
Dans la zone Tunnel VPN 0, procédez comme suit :
Dans le champ Nom du tunnel 0, saisissez jusqu'à 60 caractères à l'aide de lettres minuscules, de chiffres et de tirets.
Dans la zone version de l'IKE, sélectionnez l'une des options suivantes :
- IKEv2 (recommandé) : accepte le trafic IPv6.
- IKEv1 : utilisez ce paramètre si vous ne prévoyez pas d'autoriser le trafic IPv6 dans le tunnel.
Pour plus d'informations, consultez Configurer des tunnels VPN.
Dans le champ Clé IKE pré-partagée, saisissez la clé que vous utilisez dans la configuration de votre passerelle de pairs, telle que fournie par l'administrateur de votre réseau de pairs. Si vous ne disposez pas d'une clé, vous pouvez cliquer sur Générer et copier, puis attribuer la clé à votre administrateur réseau de pairs.
Dans la zone Tunnel VPN 1, répétez l'étape précédente pour appliquer les paramètres du deuxième tunnel. Vous configurez ce tunnel pour la redondance et le débit supplémentaire.
Cliquez sur Enregistrer.
Répétez ces étapes pour tous les autres réseaux VPC que vous souhaitez connecter à votre réseau de pairs.
Après le déploiement
Une fois que vous avez déployé votre configuration Google Cloud , procédez comme suit pour vous assurer que votre connexion réseau est complète :
Collaborez avec votre administrateur réseau de pairs pour aligner votre réseau de pairs sur vos paramètres de connectivité hybride. Une fois le déploiement effectué, des instructions spécifiques sont fournies pour votre réseau peer-to-peer, y compris les suivantes :
- Paramètres des tunnels
- Paramètres de pare-feu
- Paramètres IKE
Validez les connexions réseau que vous avez créées. Par exemple, vous pouvez utiliser Network Intelligence Center pour vérifier la connectivité entre les réseaux. Pour en savoir plus, consultez la présentation des Tests de connectivité.
Si votre entreprise a besoin d'une connexion plus robuste, utilisez Cloud Interconnect. Pour en savoir plus, consultez la page Choisir un produit de Connectivité réseau.
Étape suivante
Déployez votre configuration, qui inclut les paramètres de votre hiérarchie et de vos accès, de la journalisation, du réseau et de la connectivité hybride.