Déployer un VPC avec Terraform

Déployer un VPC avec Terraform

Découvrez comment utiliser Infrastructure Manager pour déployer un cloud privé virtuel (VPC).

Ce guide de démarrage rapide utilise une configuration Terraform stockée dans un dépôt GitHub public. La configuration définit le VPC à provisionner.

Avant de commencer

Connectez-vous à votre compte Google.
Si vous n'en possédez pas déjà un, vous devez en créer un.
Installez la Google Cloud CLI.
Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.
Pour initialiser la gcloud CLI, exécutez la commande suivante :
gcloud init
Créez ou sélectionnez un projet Google Cloud .
Rôles requis pour sélectionner ou créer un projet
• Sélectionnez un projet : la sélection d'un projet ne nécessite pas de rôle IAM spécifique. Vous pouvez sélectionner n'importe quel projet pour lequel un rôle vous a été attribué.
• Créer un projet : pour créer un projet, vous devez disposer du rôle Créateur de projet (roles/resourcemanager.projectCreator), qui contient l'autorisation resourcemanager.projects.create. Découvrez comment attribuer des rôles.
Remarque : Si vous ne comptez pas conserver les ressources créées dans cette procédure, créez un projet au lieu de sélectionner un projet existant. Après avoir suivi ces étapes, vous pouvez supprimer le projet. Cela entraîne la suppression de toutes les ressources qui lui sont associées.
• Créez un projet Google Cloud  :

  gcloud projects create PROJECT_ID

  Remplacez PROJECT_ID par le nom du projet Google Cloud que vous créez.

• Sélectionnez le projet Google Cloud que vous avez créé :

  gcloud config set project PROJECT_ID

  Remplacez PROJECT_ID par le nom de votre projet Google Cloud .
Vérifiez que la facturation est activée pour votre projet Google Cloud .
Activez l'API Infrastructure Manager, si ce n'est pas déjà fait :
Rôles requis pour activer les API
Pour activer les API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation grâce au rôle Propriétaire (roles/owner). Sinon, vous pouvez obtenir cette autorisation grâce au rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.
gcloud services enable config.googleapis.com
Configurez l'authentification :
1. Assurez-vous de disposer des rôles IAM "Créateur de compte de service" (roles/iam.serviceAccountCreator) et "Administrateur IAM du projet" (roles/resourcemanager.projectIamAdmin). Découvrez comment attribuer des rôles.

2. Créez le compte de service :

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Remplacez SERVICE_ACCOUNT_NAME par le nom que vous souhaitez donner au compte de service.

3. Attribuez le rôle IAM roles/config.agent au compte de service.

   gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=roles/config.agent

   Remplacez les éléments suivants :

   • SERVICE_ACCOUNT_NAME : nom du compte de service.
   • PROJECT_ID : ID du projet dans lequel vous avez créé le compte de service.
   Remarque : L'option --role détermine les ressources auxquelles le compte de service peut accéder dans votre projet. Vous pouvez révoquer ces rôles ou attribuer des rôles supplémentaires ultérieurement.

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour initialiser la gcloud CLI, exécutez la commande suivante :

gcloud init

Créez ou sélectionnez un projet Google Cloud .

Rôles requis pour sélectionner ou créer un projet

• Sélectionnez un projet : la sélection d'un projet ne nécessite pas de rôle IAM spécifique. Vous pouvez sélectionner n'importe quel projet pour lequel un rôle vous a été attribué.
• Créer un projet : pour créer un projet, vous devez disposer du rôle Créateur de projet (roles/resourcemanager.projectCreator), qui contient l'autorisation resourcemanager.projects.create. Découvrez comment attribuer des rôles.

Remarque : Si vous ne comptez pas conserver les ressources créées dans cette procédure, créez un projet au lieu de sélectionner un projet existant. Après avoir suivi ces étapes, vous pouvez supprimer le projet. Cela entraîne la suppression de toutes les ressources qui lui sont associées.

• Créez un projet Google Cloud  :

  gcloud projects create PROJECT_ID

  Remplacez PROJECT_ID par le nom du projet Google Cloud que vous créez.

• Sélectionnez le projet Google Cloud que vous avez créé :

  gcloud config set project PROJECT_ID

  Remplacez PROJECT_ID par le nom de votre projet Google Cloud .

Vérifiez que la facturation est activée pour votre projet Google Cloud .

Activez l'API Infrastructure Manager, si ce n'est pas déjà fait :

Rôles requis pour activer les API

Pour activer les API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation grâce au rôle Propriétaire (roles/owner). Sinon, vous pouvez obtenir cette autorisation grâce au rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

gcloud services enable config.googleapis.com

Configurez l'authentification :

1. Assurez-vous de disposer des rôles IAM "Créateur de compte de service" (roles/iam.serviceAccountCreator) et "Administrateur IAM du projet" (roles/resourcemanager.projectIamAdmin). Découvrez comment attribuer des rôles.

2. Créez le compte de service :

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Remplacez SERVICE_ACCOUNT_NAME par le nom que vous souhaitez donner au compte de service.

3. Attribuez le rôle IAM roles/config.agent au compte de service.

   gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=roles/config.agent

   Remplacez les éléments suivants :

   • SERVICE_ACCOUNT_NAME : nom du compte de service.
   • PROJECT_ID : ID du projet dans lequel vous avez créé le compte de service.
   Remarque : L'option --role détermine les ressources auxquelles le compte de service peut accéder dans votre projet. Vous pouvez révoquer ces rôles ou attribuer des rôles supplémentaires ultérieurement.

Accorder des autorisations pour les ressources de la configuration

Vous avez accordé les autorisations nécessaires pour exécuter Infra Manager, mais vous devez également accorder des autorisations spécifiques aux ressources décrites dans la configuration que vous déployez.

Accorder des autorisations pour le VPC, qui est la ressource définie dans la configuration Terraform.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --role=roles/compute.networkAdmin

Remplacez les éléments suivants :

• SERVICE_ACCOUNT_NAME : nom du compte de service.
• PROJECT_ID : ID de votre projet.

Prévisualiser le déploiement

Avant de créer un déploiement, vous pouvez le prévisualiser. Vous pouvez utiliser cet aperçu pour vérifier les ressources qui doivent être provisionnées.

La commande suivante comporte quatre valeurs qui n'ont pas de valeur par défaut. Ces valeurs sont les suivantes : l'ID de votre projet, le nom du compte de service, l'emplacement us-central1 et le nom quickstart-vpc du réseau que vous créez.

Pour créer un aperçu, utilisez la commande suivante :

    gcloud infra-manager previews create projects/PROJECT_ID/locations/us-central1/previews/quickstart-preview \
        --service-account projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
        --git-source-repo=https://github.com/terraform-google-modules/terraform-google-network \
        --git-source-directory=modules/vpc \
        --git-source-ref=main \
        --input-values=project_id=PROJECT_ID,network_name=quickstart-vpc

Une fois que vous avez créé un aperçu, vous pouvez examiner les résultats. Ce guide de démarrage rapide ignore cette étape, mais vous pouvez consulter Exporter et afficher les résultats de l'aperçu pour en savoir plus.

Créer un déploiement

Utilisez Infra Manager pour créer un déploiement. Cela signifie qu'Infra Manager provisionne les ressources définies dans la configuration Terraform.

La configuration de ce guide de démarrage rapide comporte quatre valeurs qui n'ont pas de valeur par défaut. La commande suivante ajoute ces valeurs : l'ID de votre projet, le nom du compte de service, l'emplacement us-central1 et le nom quickstart-vpc du réseau que vous créez.

gcloud infra-manager deployments apply projects/PROJECT_ID/locations/us-central1/deployments/quickstart-deployment \
    --service-account=projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --git-source-repo=https://github.com/terraform-google-modules/terraform-google-network \
    --git-source-directory=modules/vpc \
    --git-source-ref=main \
    --input-values=project_id=PROJECT_ID,network_name=quickstart-vpc

Une fois le déploiement terminé, le message suivant s'affiche :

Creating the deployment...done

Le VPC est maintenant créé et configuré comme décrit dans la configuration.

Afficher les résultats de compilation dans Cloud Build

Pour afficher le job Cloud Build qu'Infra Manager a utilisé pour créer le déploiement, ouvrez la page Historique des compilations dans la console Google Cloud  :

Ouvrir la page Historique de compilation

Afficher l'état du déploiement

Maintenant que le déploiement est terminé, vous pouvez afficher sa description pour examiner les informations le concernant, y compris l'état.

Affichez la description du déploiement :

gcloud infra-manager deployments describe projects/PROJECT_ID/locations/us-central1/deployments/quickstart-deployment

La sortie contient des informations sur le déploiement, y compris le code temporel du déploiement, le nom de la dernière révision et l'état.

L'état est ACTIVE.

Afficher les détails du VPC provisionné

Affichez les détails du VPC provisionné :

gcloud infra-manager resources list --revision=projects/PROJECT_ID/locations/us-central1/deployments/quickstart-deployment/revisions/REVISION_ID

Remplacez REVISION_ID par l'ID de la dernière révision. Cet ID est r-0, sauf si vous avez déployé plusieurs fois. Vous trouverez l'ID de la dernière révision dans la description du déploiement de la section précédente.

Afficher le VPC dans la console

Affichez le VPC dans la console :

Accéder aux réseaux VPC

Le VPC nommé quickstart-vpc s'affiche. Il s'agit du VPC provisionné par Infra Manager.

Effectuer un nettoyage

Pour éviter que les ressources utilisées sur cette page soient facturées sur votre compte Google Cloud , veillez à supprimer celles dont vous n'avez plus besoin.

Supprimer le VPC

Supprimez le VPC et les métadonnées concernant le déploiement :

gcloud infra-manager deployments delete projects/PROJECT_ID/locations/us-central1/deployments/quickstart-deployment

(Facultatif) Supprimez le projet.

Si vous avez déployé la solution dans un nouveau projet Google Cloud et que vous n'avez plus besoin du projet, supprimez-le en procédant comme suit :

Attention : Si vous supprimez un projet, toutes ses ressources sont définitivement supprimées.

1. Dans la console Google Cloud , accédez à la page Gérer les ressources.

   Accéder à la page "Gérer les ressources"

2. Dans la liste des projets, sélectionnez le projet que vous souhaitez supprimer, puis cliquez sur Supprimer.
3. Lorsque vous y êtes invité, saisissez l'ID du projet, puis cliquez sur Arrêter.

Étapes suivantes

• Pour en savoir plus sur Infra Manager, consultez Fonctionnement d'Infra Manager.
• En savoir plus sur Infra Manager et Terraform
• Mettre à jour un déploiement
• Automatisez les déploiements.
• Pour obtenir un ensemble de configurations et de modules prêts à l'emploi avec Google Cloud, consultez Plans et modules Terraform pour Google Cloud.