Instanz in einem freigegebenen VPC-Netzwerk in Dienstprojekten erstellen

In dieser Anleitung erfahren Sie, wie Sie eine Filestore-Instanz in einem gemeinsam genutzten VPC-Netzwerk aus einem Dienstprojekt erstellen.

Sie können Filestore-Instanzen in einem freigegebene VPC-Netzwerk entweder im Hostprojekt oder in einem der zugehörigen Dienstprojekte erstellen. Beim Erstellen einer Instanz im Hostprojekt können Sie das freigegebene VPC-Netzwerk wie gewohnt auswählen und Dienstprojektclients können eine Verbindung zur Instanz herstellen. Wenn Sie die Instanz jedoch in einem Dienstprojekt erstellen möchten, müssen Sie zuerst den Zugriff auf private Dienste im freigegebene VPC-Netzwerk vom Hostprojekt aus aktivieren.

Ziele

  • Aktivieren Sie den Zugriff auf private Dienste im freigegebene VPC-Netzwerk.
  • Erstellen Sie eine Instanz im freigegebene VPC-Netzwerk.
  • Stellen Sie die Instanz bereit.

Kosten

In diesem Dokument verwenden Sie die folgenden kostenpflichtigen Komponenten von Google Cloud:

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen.

Neuen Nutzern von Google Cloud steht möglicherweise eine kostenlose Testversion zur Verfügung.

Nach Abschluss der in diesem Dokument beschriebenen Aufgaben können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen. Weitere Informationen finden Sie unter Bereinigen.

Hinweis

  1. Prüfen Sie, ob die Abrechnung für Ihr Google Cloud Projekt aktiviert ist.

  2. Erstellen Sie ein gemeinsam genutztes VPC-Netzwerk mit einem Hostprojekt und einem verbundenen Dienstprojekt.

  3. Aktivieren Sie die Filestore API und die Service Networking API, falls sie noch nicht aktiviert sind.

    Rollen, die zum Aktivieren von APIs erforderlich sind

    Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

    APIs aktivieren

Zugriff auf private Dienste im freigegebene VPC-Netzwerk aktivieren

Zum Erstellen einer Filestore-Instanz in einem Dienstprojekt, das ein freigegebene VPC-Netzwerk verwendet, muss für das freigegebene VPC-Netzwerk der Zugriff auf private Dienste (Private Services Access, PSA) aktiviert sein. Informationen zu spezifischen Filestore-Anforderungen finden Sie unter Reservierten IP-Adressbereich konfigurieren.

Prüfen, ob der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist

Prüfen Sie mit einer der folgenden Methoden, ob der Zugriff auf private Dienste bereits für das freigegebene VPC-Netzwerk aktiviert ist:

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite „Filestore-Instanzen“ auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen.

  3. Wählen Sie das freigegebene VPC-Netzwerk aus, das Sie verwenden möchten.

  4. Klicken Sie auf Erweiterte Netzwerkoptionen.

  5. Im Abschnitt Verbindung für den Zugriff auf private Dienste wird angezeigt, ob der Zugriff auf private Dienste aktiviert ist.

gcloud-CLI

Führen Sie dazu den Befehl services vpc-peerings list aus.

gcloud beta services vpc-peerings list \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebene VPC-Netzwerks, das Sie für Ihre Filestore-Instanz verwenden möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Wenn der Zugriff auf private Dienste bereits aktiviert ist, zeigt die Antwort, dass ein Peering für servicenetworking-googleapis-com eingerichtet wurde:

network: projects/PROJECT_NUMBER/global/networks/SHARED_VPC_NAME
peering: servicenetworking-googleapis-com
reservedPeeringRanges: RANGES

Wenn der Zugriff auf private Dienste für das freigegebene VPC-Netzwerk aktiviert ist, können Sie dort Filestore-Instanzen erstellen. Andernfalls müssen Sie zuerst den Zugriff auf private Dienste aktivieren.

Zugriff auf private Dienste aktivieren

Sie müssen die Rolle "Inhaber" (roles/owner), "Bearbeiter" (roles/editor) oder "Administrator für die Netzwerkverwaltung" (roles/networkmanagement.admin) haben, um zugewiesene IP-Adressbereiche erstellen und private Verbindungen verwalten zu können. Wenden Sie sich an Ihren Netzwerkadministrator, wenn Sie diese Berechtigungen nicht haben. Weitere Informationen finden Sie unter Informationen zu Rollen.

Aktivieren Sie den Zugriff auf private Dienste in einem freigegebene VPC-Netzwerk mit einer der folgenden Methoden:

Google Cloud Console

IP-Adressbereich im freigegebene VPC-Netzwerk für von Google verwaltete Dienste reservieren

  1. Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerke“ auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Private Dienstverbindung aus.

  5. Wählen Sie auf dem Tab Private Dienstverbindung den Tab Diensten zugewiesene IP-Bereiche aus.

  6. Klicken Sie auf IP-Bereich zuweisen und konfigurieren Sie ihn so:

    • Name: google-service-range
    • Description: Peering range for Google managed services

    • IP-Bereich:

      • Wählen Sie Automatisch aus.
      • Geben Sie in das Textfeld 20 für das Präfix ein. Dieser Bereich wird von allen Google Cloud verwalteten Diensten verwendet. In der Praxis benötigen Sie möglicherweise einen größeren Bereich. Für Instanzen der Basic-Stufe ist ein Präfix von /29 erforderlich. Für Instanzen der Enterprise-, Zonen- und Regional-Stufe mit einem höheren Kapazitätsbereich (früher High Scale SSD) sowie für Instanzen der Zonen- und Regional-Stufe mit einem niedrigeren Kapazitätsbereich ist ein Präfix von /26 erforderlich.

  7. Klicken Sie auf Zuweisen, um den zugewiesenen Bereich zu erstellen.

Private Verbindung für das freigegebene VPC-Netzwerk und das von Google verwaltete Netzwerk erstellen

  1. Rufen Sie in der Google Cloud Console die Seite „VPC-Netzwerke“ auf.

    Zur VPC-Netzwerkseite

  2. Wählen Sie das Hostprojekt aus, das das freigegebene VPC-Netzwerk enthält, das Sie verwenden möchten.

  3. Klicken Sie auf den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

  4. Wählen Sie den Tab Zugriff auf private Dienste aus.

  5. Wählen Sie auf dem Tab Zugriff auf private Dienste den Tab Private Verbindungen zu Diensten aus.

  6. Klicken Sie auf Verbindung erstellen.

  7. Wählen Sie für Zugewiesene Zuordnung die Option google-service-range aus.

  8. Klicken Sie auf Verbinden, um die Verbindung zu erstellen.

gcloud-CLI

  1. Reservieren Sie einen IP-Adressbereich im freigegebene VPC-Netzwerk für von Google verwaltete Dienste, indem Sie den folgenden compute addresses create-Befehl ausführen:

    gcloud compute addresses create google-service-range \
    --global \
    --purpose=VPC_PEERING \
    --prefix-length=PREFIX \
    --description="Peering range for Google managed services" \
    --network=SHARED_VPC_NAME \
    --project=PROJECT_ID

    Ersetzen Sie Folgendes:

    • PREFIX durch eine Präfixlänge. Für Instanzen der Basic-Stufe ist ein /29-Präfix und für Instanzen der zonalen Stufe ein /26-Präfix erforderlich. Dieser Bereich wird jedoch von allen von Google Cloudverwalteten Diensten verwendet. Wenn Sie mehrere Filestore-Instanzen oder andere von Google Cloudverwaltete Dienste verwenden möchten, benötigen Sie ein größeres Präfix, z. B. /20.
    • SHARED_VPC_NAME durch den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

  2. Erstellen Sie eine private Verbindung für das freigegebene VPC-Netzwerk und das verwaltete Google-Dienstnetzwerk, indem Sie den Befehl services vpc-peerings connect ausführen:

    gcloud services vpc-peerings connect \
    --service=servicenetworking.googleapis.com \
    --ranges=google-service-range \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID

    Ersetzen Sie Folgendes:

    • SHARED_VPC_NAME durch den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
    • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

    Der Befehl initiiert einen Vorgang mit langer Ausführungszeit und gibt einen Vorgangsnamen zurück.

  3. Mit dem Befehl services vpc-peerings operations describe können Sie prüfen, ob der Vorgang erfolgreich war:

    gcloud services vpc-peerings operations describe \
    --name=OPERATION_NAME

    Ersetzen Sie OPERATION_NAME durch den Vorgangsnamen, der im vorherigen Schritt zurückgegeben wurde.

Weitere Informationen zum Zuweisen von IP-Adressbereichen und zum Erstellen privater Verbindungen finden Sie unter Zugriff auf private Dienste konfigurieren.

Optional: VPC Service Controls aktivieren

Nachdem der Zugriff auf private Dienste aktiviert wurde, können Sie optional VPC Service Controls aktivieren. Führen Sie dazu den Befehl services vpc-peerings enable-vpc-service-controls aus:

gcloud beta services vpc-peerings enable-vpc-service-controls \
    --network=SHARED_VPC_NAME \
    --project=HOST_PROJECT_ID \
    --service=servicenetworking.googleapis.com

Ersetzen Sie Folgendes:

  • SHARED_VPC_NAME durch den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.

Weitere Informationen zur Verwendung von Filestore mit VPC Service Controls finden Sie unter Instanzen mit einem Dienstperimeter sichern.

Filestore-Instanz im freigegebene VPC-Netzwerk erstellen

Sobald in Ihrem freigegebene VPC-Netzwerk der Zugriff auf private Dienste aktiviert ist, können Sie darin Filestore-Instanzen aus einem Dienstprojekt erstellen.

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite „Filestore-Instanzen“ auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf Instanz erstellen und konfigurieren Sie die Instanz wie folgt.

    • Legen Sie als Instanz-ID nfs-server fest.
    • Wählen Sie als Instanztyp die Option Basis aus.
    • Legen Sie Speichertyp auf HDD fest.
    • Setzen Sie Kapazität zuweisen auf 1 TB.
    • Legen Sie für Region den Wert us-central1 und für Zone den Wert us-central1-a fest.
    • Legen Sie für VPC-Netzwerk das freigegebene VPC-Netzwerk fest, das im Format „projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME“ angezeigt wird.
    • Legen Sie für Fileshare-Name den Wert vol1 fest.
    • Setzen Sie Zugewiesener IP-Bereich auf Automatisch zugewiesenen IP-Bereich verwenden.
    • Setzen Sie Zugriffssteuerungen auf Zugriff auf alle Clients gewähren.

  3. Klicken Sie auf Erstellen.

gcloud-CLI

Führen Sie dazu den Befehl instances create aus.

gcloud filestore instances create nfs-server \
    --project=SERVICE_PROJECT_ID \
    --zone=us-central1-c \
    --tier=BASIC_HDD \
    --file-share=name="vol1",capacity=1TiB \
    --network=name="projects/HOST_PROJECT_ID/global/networks/SHARED_VPC_NAME",connect-mode=PRIVATE_SERVICE_ACCESS

Ersetzen Sie Folgendes:

  • SERVICE_PROJECT_ID durch die Projekt-ID des Dienstprojekts, in dem Sie eine Filestore-Instanz erstellen möchten.
  • HOST_PROJECT_ID durch die Projekt-ID des Hostprojekts, das das freigegebene VPC-Netzwerk enthält.
  • SHARED_VPC_NAME durch den Namen des freigegebene VPC-Netzwerks, in dem Sie Ihre Filestore-Instanz erstellen möchten.

Optional: Subnetzrouten importieren

Wenn Ihre Filestore-Instanzen öffentliche IP-Adressen (IP-Adressen außerhalb von RFC 1918) verwenden und Sie Zugriff auf private Dienste aktivieren möchten, müssen Sie die Subnetzrouten der öffentlichen IP-Adresse der Instanz in das freigegebene VPC-Netzwerk importieren. Dazu müssen Sie das VPC-Peering des Dienstnetzwerks so aktualisieren, dass der Import von Subnetzrouten mit öffentlichen IP-Adressen zulässig ist. Weitere Informationen finden Sie unter Peering-Verbindung aktualisieren.

Instanz auf einem Dienstprojektclient bereitstellen

Nachdem Sie eine Filestore-Instanz in einem gemeinsam genutzten VPC-Netzwerk erstellt haben, können Sie diese Instanz für jeden Client im selben Netzwerk bereitstellen. Eine Anleitung zum Bereitstellen finden Sie unter Dateifreigaben auf Compute Engine-Clients bereitstellen.

Bereinigen

Damit Ihrem Google Cloud-Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, löschen Sie entweder das Projekt, das die Ressourcen enthält, oder Sie behalten das Projekt und löschen die einzelnen Ressourcen.

Filestore-Instanz löschen

Google Cloud Console

  1. Rufen Sie in der Google Cloud Console die Seite „Filestore-Instanzen“ auf.

    Zur Seite mit den Filestore-Instanzen

  2. Klicken Sie auf die Instanz-ID nfs-server, um die Detailseite der Instanz zu öffnen.

  3. Klicken Sie auf Löschen .

  4. Geben Sie bei Aufforderung die Instanz-ID ein.

  5. Klicken Sie auf Löschen.

gcloud-CLI

Löschen Sie die nfs-server-Instanz mit dem Befehl instances delete:

gcloud filestore instances delete nfs-server --zone=us-central1-c

Nächste Schritte