デプロイされたリソースを Infrastructure Manager にインポートする

このチュートリアルでは、 Google Cloud リソースを Infrastructure Manager のデプロイにインポートする方法について説明します。インポートできるのは、Terraform を使用してプロビジョニングされたリソースのみです。

Terraform 構成があり、まだGoogle Cloudにデプロイしていない場合は、Infrastructure Manager を使用してインフラストラクチャをデプロイするをご覧ください。

このチュートリアルでは、まず Terraform CLI を使用してGoogle Cloud に Virtual Private Cloud（VPC）をデプロイします。このチュートリアルでは、これらのデプロイされたリソースを Infrastructure Manager にインポートして、リソースを Infrastructure Manager デプロイとして管理する方法について説明します。

このチュートリアルの例を使用して、他のGoogle Cloud リソースを Infra Manager にインポートする方法を理解できます。デプロイを Infra Manager にインポートするには、リソースのプロビジョニングに使用される Terraform 構成が制約に準拠している必要があり、リソースがサポートされている Terraform バージョンを使用してプロビジョニングされている必要があります。

費用

このチュートリアルでは、課金対象である次の Google Cloudコンポーネントを使用します。

始める前に

  1. Google アカウントにログインします。

    Google アカウントをまだお持ちでない場合は、新しいアカウントを登録します。

  2. Google Cloud CLI をインストールします。

  3. 外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

  4. gcloud CLI を初期化するには、次のコマンドを実行します。

    gcloud init

  5. Google Cloud プロジェクトを作成または選択します。

    プロジェクトの選択または作成に必要なロール

    • プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
    • プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。

    • Google Cloud プロジェクトを作成します。

      gcloud projects create PROJECT_ID

      PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。

    • 作成した Google Cloud プロジェクトを選択します。

      gcloud config set project PROJECT_ID

      PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

  6. Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

  7. Infrastructure Manager API がまだ有効になっていない場合は、有効にします。

    API を有効にするために必要なロール

    API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。

    gcloud services enable config.googleapis.com

  8. 認証を設定します。

    1. サービス アカウントの作成 IAM ロール（roles/iam.serviceAccountCreator）とプロジェクト IAM 管理者ロール（roles/resourcemanager.projectIamAdmin）があることを確認します。ロールを付与する方法を確認する。

    2. サービス アカウントを作成します。

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      SERVICE_ACCOUNT_NAME をサービス アカウントの名前に置き換えます。

    3. サービス アカウントに roles/config.agent IAM ロールを付与します。

      gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=roles/config.agent

      以下を置き換えます。

      • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
      • PROJECT_ID: サービス アカウントを作成したプロジェクト ID

  9. Google Cloud CLI をインストールします。

  10. 外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

  11. gcloud CLI を初期化するには、次のコマンドを実行します。

    gcloud init

  12. Google Cloud プロジェクトを作成または選択します。

    プロジェクトの選択または作成に必要なロール

    • プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
    • プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。

    • Google Cloud プロジェクトを作成します。

      gcloud projects create PROJECT_ID

      PROJECT_ID は、作成する Google Cloud プロジェクトの名前に置き換えます。

    • 作成した Google Cloud プロジェクトを選択します。

      gcloud config set project PROJECT_ID

      PROJECT_ID は、 Google Cloud プロジェクトの名前に置き換えます。

  13. Google Cloud プロジェクトに対して課金が有効になっていることを確認します。

  14. Infrastructure Manager API がまだ有効になっていない場合は、有効にします。

    API を有効にするために必要なロール

    API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。

    gcloud services enable config.googleapis.com

  15. 認証を設定します。

    1. サービス アカウントの作成 IAM ロール（roles/iam.serviceAccountCreator）とプロジェクト IAM 管理者ロール（roles/resourcemanager.projectIamAdmin）があることを確認します。ロールを付与する方法を確認する。

    2. サービス アカウントを作成します。

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      SERVICE_ACCOUNT_NAME をサービス アカウントの名前に置き換えます。

    3. サービス アカウントに roles/config.agent IAM ロールを付与します。

      gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=roles/config.agent

      以下を置き換えます。

      • SERVICE_ACCOUNT_NAME: サービス アカウントの名前
      • PROJECT_ID: サービス アカウントを作成したプロジェクト ID
    16.
  16. Terraform のサポートされているバージョンをインストールします。

リソースを Google Cloudにデプロイする

このチュートリアルでデプロイする Google Cloud リソースは VPC です。このセクションでは、デプロイされたリソースを Infra Manager にインポートする例として使用するリソースをデプロイする方法について説明します。

このチュートリアルでは、us-central1 リージョンを使用します。別のリージョンを使用する場合は、Infra Manager が実行されている任意のロケーションを使用できます。有効なロケーションのリストについては、Infrastructure Manager のロケーションをご覧ください。

構成内のリソースに対する権限を付与する

Infra Manager の実行に必要な権限は付与されていますが、デプロイする構成で記述されているリソースに固有の権限も付与する必要があります。

Terraform 構成で定義されたリソースである VPC ネットワークを作成できるように権限を付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
    --role=roles/compute.networkAdmin

次のように置き換えます。

  • SERVICE_ACCOUNT_NAME: サービス アカウントの名前。
  • PROJECT_ID: プロジェクト ID。

Terraform CLI を使用してリソースをデプロイする

  1. 次の Terraform 構成を使用して VPC ネットワークを作成します。これを行うには、次のコマンドを実行します。

    mkdir vpc_to_import
cd vpc_to_import
cat <<EOF > main.tf
variable "project_id" {
  type = string
}

resource "google_compute_network" "vpc_network" {
  name = "my-custom-mode-network"
  project = var.project_id
}
EOF

  2. 次のコマンドを使用して、Terraform CLI で構成をデプロイします。

    terraform init
echo "**************  TERRAFORM APPLY  ******************"
terraform apply -var="project_id=PROJECT_ID" -auto-approve
cd ..

VPC がプロビジョニングされると、Creation complete というテキストで始まる出力が表示されます。

Terraform 構成で定義された VPC が Google Cloudにデプロイされました。Terraform は状態ファイルを作成します。このファイルは、main.tf ファイルの横のファイル システムにあります。

Infrastructure Manager でプレースホルダ デプロイを作成する

リソースを Infra Manager にインポートするには、Infra Manager に既存のデプロイが必要です。

このチュートリアルでは、ストレージ バケットを使用して Terraform 構成を保存します。このチュートリアルを使用して、他のデプロイを Infra Manager にインポートする方法を理解する場合は、Terraform 構成をストレージ バケット、公開 Git リポジトリ、またはローカルマシンに保存できます。

  1. 空の Terraform 構成をストレージ バケットに追加します。

    gcloud storage buckets create gs://import-deployment-configuration --project=PROJECT_ID

mkdir placeholder_deployment
cd placeholder_deployment
cat <<EOF > main.tf
EOF

gcloud storage cp main.tf gs://import-deployment-configuration
cd ..

  2. Infra Manager を使用してデプロイを作成します。

    gcloud infra-manager deployments apply projects/PROJECT_ID/locations/us-central1/deployments/import-deployment \
--gcs-source gs://import-deployment-configuration \
--input-values project_id=PROJECT_ID \
--service-account projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT

    デプロイが完了すると、次のように表示されます。

    Creating the deployment...done

これで、Infra Manager のデプロイが作成されました。次に、このデプロイで VPC を管理できるように、状態ファイルと Terraform 構成をこのデプロイに追加する必要があります。

状態ファイルと Terraform 構成をインポートする

Infra Manager を使用してデプロイされたリソース（VPC）を管理するには、状態ファイルと Terraform 構成を Infra Manager に追加する必要があります。

デプロイをロックする

Infra Manager のデプロイをロックして、状態を変更できるようにします。

LOCK_ID=$(gcloud infra-manager deployments lock projects/PROJECT_ID/locations/us-central1/deployments/import-deployment --format="get(lockId)")

Terraform 状態ファイルを Infra Manager にインポートする

デプロイされたリソースの状態ファイルをインポートします。この状態ファイルは、Terraform CLI を使用して VPC をデプロイしたときに Terraform によって作成されました。

Terraform 状態ファイルを Infra Manager デプロイにアップロードします。

SIGNED_STATE_UPLOAD_URL=$(gcloud infra-manager deployments import-statefile projects/PROJECT_ID/locations/us-central1/deployments/import-deployment --lock-id ${LOCK_ID} --format="get(signedUri)")
cd vpc_to_import
curl -s -X PUT --upload-file terraform.tfstate $SIGNED_STATE_UPLOAD_URL

Terraform 構成を Cloud Storage バケットにアップロードする

Terraform 状態ファイルをアップロードしたら、VPC ネットワークの作成に使用した Terraform 構成もアップロードする必要があります。Infra Manager のプレビューを実行したときにリソースの変更が見つからないように、Infra Manager には Terraform の状態ファイルが必要です。

次のコマンドを使用して、Terraform 構成を Cloud Storage にアップロードします。

gcloud storage cp main.tf gs://import-deployment-configuration

デプロイのロックを解除する

このチュートリアルを使用して、リソースを Infra Manager にインポートする方法を理解する場合は、状態ファイルと Terraform 構成に違いがないことを確認してください。状態ファイルと Terraform 構成に違いがある場合は、状態ファイルにデプロイするリソースが記述されていることを確認します。デプロイのロックを解除すると、状態ファイルと Terraform 構成の間に違いがある場合、デプロイのロックを解除したときに、Infra Manager は状態ファイルと一致するようにリソースを作成または削除します。

Infra Manager を使用してリソースを管理するには、デプロイのロックを解除する必要があります。このチュートリアルでは、状態ファイルと Terraform 構成で同じ構成が記述されているため、Infra Manager はリソースを作成または削除しません。

次のコマンドを実行して、デプロイからロックを解除します。

gcloud infra-manager deployments unlock projects/PROJECT_ID/locations/us-central1/deployments/import-deployment \
--project PROJECT_ID \
--location us-central1 \
--lock-id ${LOCK_ID}

状態ファイルと Terraform 構成が Infra Manager デプロイに追加されたので、デプロイされたリソースのインポートは完了しました。デプロイされた VPC は、Infra Manager によって管理されるようになりました。

リソースの変更をプレビューする

デプロイのプレビューを実行して、Terraform の状態と Google Cloud にデプロイされたリソースが同期していることを確認します。

  1. 次のコマンドを使用してプレビューを作成します。

    gcloud infra-manager previews create projects/PROJECT_ID/locations/us-central1/previews/IMPORT_DEPLOYMENT_PREVIEW_NAME \
--gcs-source gs://import-deployment-configuration \
--deployment projects/PROJECT_ID/locations/us-central1/deployments/import-deployment \
--service-account projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
--location us-central1

  2. プレビューの詳細を取得して、正常に終了したことを確認します。

    gcloud infra-manager previews describe projects/PROJECT_ID/locations/us-central1/previews/IMPORT_DEPLOYMENT_PREVIEW_NAME

  3. プレビューをエクスポートして変更内容を確認します。

    SIGNED_BIN_PLAN_URL=$(gcloud infra-manager previews export projects/PROJECT_ID/locations/us-central1/previews/IMPORT_DEPLOYMENT_PREVIEW_NAME --format "get(result.binarySignedUri)")
curl -X GET --output tfplan.out $SIGNED_BIN_PLAN_URL

  4. 次のコマンドを使用して、構成がローカルに存在し、初期化されていることを確認します。

    terraform init

  5. Terraform show を実行して、Infrastructure Manager のデプロイ状態と構成の変更を確認します。

    terraform show tfplan.out

Google Cloud の VPC リソースと状態ファイルが同期している場合、terraform show は次の出力を返します。これにより、Infrastructure Manager がデプロイ状態と構成の間に変更を認識していないことが検証されます。次のような出力が表示されます。

No changes. Your infrastructure matches the configuration.

Terraform has compared your real infrastructure against your configuration and found no differences, so no changes are needed.

これで、デプロイされたリソースが Infra Manager で管理されるようにインポートされました。たとえば、Infra Manager を使用してデプロイを更新できるようになりました。

デプロイを更新して、デプロイが Infra Manager に正常にインポートされたことを検証することもできます。

クリーンアップ

このチュートリアルで使用したリソースについて、Google Cloud アカウントに課金されないようにするには、リソースを含むプロジェクトを削除するか、プロジェクトを維持して個々のリソースを削除します。

プロジェクトを削除する

    Google Cloud プロジェクトを削除する:

    gcloud projects delete PROJECT_ID

リソースを個別に削除する

VPC とデプロイに関するメタデータを削除します。

gcloud infra-manager deployments delete projects/PROJECT_ID/locations/us-central1/deployments/quickstart-deployment

次のステップ