Configurer un équilibreur de charge d'application externe régional avec des buckets Cloud Storage dans un environnement VPC partagé

Preview

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités de pré-DG sont proposés "en l'état" et peuvent avoir une compatibilité limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Ce document présente deux exemples de configuration pour la configuration d'un équilibreur de charge d'application externe régional dans un environnement de VPC partagé avec des buckets Cloud Storage :

• Le premier exemple crée tous les composants et les backends de l'équilibreur de charge dans un projet de service.
• Le deuxième exemple crée les composants d'interface et le mappage d'URL de l'équilibreur de charge dans un projet de service, tandis que le bucket backend et les buckets Cloud Storage de l'équilibreur de charge sont créés dans un projet de service différent.

Les deux exemples nécessitent la même configuration initiale pour accorder les rôles requis et configurer un VPC partagé avant de pouvoir commencer à créer des équilibreurs de charge.

En plus des exemples de configurations mentionnés dans ce document, vous pouvez également configurer un déploiement de VPC partagé dans lequel l'interface et le mappage d'URL de l'équilibreur de charge sont créés dans le projet hôte, et les buckets de backend, ainsi que les buckets Cloud Storage, sont créés dans un projet de service. Pour en savoir plus sur les autres architectures de VPC partagé valides, consultez Architectures de VPC partagé.

Si vous ne souhaitez pas utiliser de réseau VPC partagé, consultez la page Configurer un équilibreur de charge d'application externe régional avec des buckets Cloud Storage.

Avant de commencer

Assurez-vous que votre configuration remplit les conditions préalables suivantes.

Créer des projets Google Cloud

Créez des Google Cloud projets pour un projet hôte et deux projets de service.

Rôles requis

Pour obtenir les autorisations nécessaires pour configurer un équilibreur de charge d'application externe régional dans un environnement VPC partagé avec des buckets Cloud Storage, demandez à votre administrateur de vous accorder les rôles IAM suivants :

• Pour configurer le VPC partagé : Administrateur Compute de VPC partagé (roles/compute.xpnAdmin) sur le projet hôte
• Pour permettre à un administrateur de projet de service d'utiliser le réseau VPC partagé : Utilisateur de réseau Compute (roles/compute.networkUser) sur le projet hôte
• Pour créer des buckets Cloud Storage : Administrateur des objets de l'espace de stockage (roles/storage.objectAdmin) sur le projet de service
• Pour créer les ressources d'équilibrage de charge : Administrateur de réseaux Compute (roles/compute.networkAdmin) sur le projet de service
• Pour créer des instances Compute Engine : Administrateur d'instances Compute (roles/compute.instanceAdmin.v1) sur le projet de service
• Pour créer et modifier des certificats SSL Compute Engine : Administrateur de sécurité Compute (roles/compute.securityAdmin) sur le projet de service
• Pour créer et modifier des certificats SSL du gestionnaire de certificats : Propriétaire du gestionnaire de certificats (roles/certificatemanager.owner) sur le projet de service
• Pour référencer des buckets de backend dans d'autres projets de service : Utilisateur des services de l'équilibreur de charge Compute (roles/compute.loadBalancerServiceUser) sur le projet de service

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Configurer un environnement VPC partagé

Suivez les étapes ci-dessous dans le projet hôte pour configurer un environnement VPC partagé :

1. Configurez un réseau VPC en mode personnalisé.
2. Configurez un sous-réseau proxy réservé.
3. Configurez un VPC partagé dans le projet hôte.

Il n'est pas nécessaire de suivre les étapes de cette section chaque fois que vous souhaitez créer un équilibreur de charge. Toutefois, vous devez vous assurer que vous avez accès aux ressources décrites ici avant de créer l'équilibreur de charge.

Remarque : Pour cette configuration, vous n'avez pas besoin de sous-réseau pour la règle de transfert ni pour le bucket Cloud Storage.

• Les adresses IPv4 externes régionales existent toujours en dehors des réseaux VPC. Pour en savoir plus, consultez Règles de transfert et réseaux VPC.
• Un bucket Cloud Storage n'est associé à aucun réseau VPC.

Cet exemple utilise le réseau VPC, la région et le sous-réseau proxy réservé suivants :

• Réseau : le réseau est un réseau VPC en mode personnalisé nommé lb-network.

• Sous-réseau pour les proxys Envoy. Un sous-réseau nommé proxy-only-subnet-us dans la région us-east1 utilise 10.129.0.0/23 pour sa plage d'adresses IP principale.

Configurer un réseau VPC en mode personnalisé

Console

1. Dans la console Google Cloud , accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur Créer un réseau VPC.

3. Dans le champ Nom, saisissez lb-network.

4. Cliquez sur Créer.

gcloud

1. Créez un réseau VPC personnalisé nommé lb-network à l'aide de la commande gcloud compute networks create.

     gcloud compute networks create lb-network \
         --subnet-mode=custom \
         --project=HOST_PROJECT_ID
   

   Remplacez HOST_PROJECT_ID par l'Google Cloud ID de projet attribué au projet activé en tant que projet hôte dans un environnement VPC partagé.

Configurer un sous-réseau proxy réservé

Un sous-réseau proxy réservé fournit un ensemble d'adresses IP utilisées par Google Cloud pour exécuter des proxys Envoy en votre nom. Les proxys interrompent les connexions du client et créent de nouvelles connexions vers les backends.

Ce sous-réseau proxy réservé est utilisé par tous les équilibreurs de charge régionaux basés sur Envoy dans la même région que le réseau VPC. Il ne peut y avoir qu'un seul sous-réseau proxy réservé actif pour une utilisation donnée, par région et par réseau.

Console

1. Dans la console Google Cloud , accédez à la page Réseaux VPC.

   Accéder aux réseaux VPC

2. Cliquez sur le nom du réseau VPC que vous avez créé.

3. Dans l'onglet Sous-réseau, cliquez sur Ajouter un sous-réseau.

4. Saisissez les informations suivantes :

   • Nom : proxy-only-subnet-us
   • Région : us-east1
   • Objectif : Proxy géré régional
   • Plage d'adresses IP : 10.129.0.0/23

5. Cliquez sur Ajouter.

gcloud

1. Créez un sous-réseau proxy réservé dans la région us-east1 à l'aide de la commande gcloud compute networks subnets create.

   gcloud compute networks subnets create proxy-only-subnet-us \
       --purpose=REGIONAL_MANAGED_PROXY \
       --role=ACTIVE \
       --region=us-east1 \
       --network=lb-network \
       --range=10.129.0.0/23 \
       --project=HOST_PROJECT_ID
   

   Remplacez HOST_PROJECT_ID par l'Google Cloud ID de projet attribué au projet hôte.

Configurer un VPC partagé dans le projet hôte

Vous pouvez activer un projet hôte de VPC partagé et y associer des projets de service afin que ces derniers puissent utiliser le réseau VPC partagé. Pour configurer un VPC partagé dans le projet hôte, consultez les pages suivantes :

• Activer un projet hôte
• Associer un projet de service

Après avoir suivi les étapes précédentes, vous pouvez effectuer l'une des configurations suivantes :

• Configurer un équilibreur de charge dans le projet de service
• Configurer un équilibreur de charge avec une configuration multiprojet

Configurer un équilibreur de charge dans le projet de service

Cet exemple crée un équilibreur de charge d'application externe régional dans lequel tous les composants d'équilibrage de charge (règle de transfert, proxy cible, mappage d'URL et bucket backend) et les buckets Cloud Storage sont créés dans le projet de service.

Les ressources réseau de l'équilibreur de charge d'application externe régional, telles que le sous-réseau proxy réservé, sont créées dans le projet hôte.

Figure 1. Équilibreur de charge d'application externe régional dans un environnement VPC partagé avec des buckets Cloud Storage

Cette section vous explique comment configurer l'équilibreur de charge et les backends.

Les exemples de configuration de cette page définissent explicitement une adresse IP réservée pour la règle de transfert de l'équilibreur de charge d'application externe régional au lieu d'autoriser l'allocation d'une adresse IP éphémère. Nous vous recommandons de réserver les adresses IP pour les règles de transfert.

Configurer vos buckets Cloud Storage

Le processus de configuration des buckets Cloud Storage est le suivant :

1. Créez les buckets Cloud Storage.
2. Copiez le contenu dans les buckets Cloud Storage.
3. Rendez les buckets Cloud Storage accessibles au public.

Créer les buckets Cloud Storage

Dans cet exemple, vous allez créer deux buckets Cloud Storage dans la région us-east1.

Console

1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.
   

   Accéder à la page "Buckets"

2. Cliquez sur  Créer.

3. Dans la section Premiers pas, saisissez un nom unique qui respecte les consignes de dénomination.

4. Cliquez sur Choisissez où stocker vos données.

5. Définissez le Type d'emplacement sur Région.

6. Dans la liste des régions, sélectionnez us-east1.

7. Cliquez sur Créer.

8. Cliquez sur Buckets pour revenir à la page des buckets Cloud Storage. Suivez ces instructions pour créer un second bucket dans la région us-east1.

gcloud

1. Créez le premier bucket dans la région us-east1 à l'aide de la commande gcloud storage buckets create.

   gcloud storage buckets create gs://BUCKET1_NAME \
       --default-storage-class=standard \
       --location=us-east1 \
       --uniform-bucket-level-access \
       --project=SERVICE_PROJECT_ID
   

2. Créez le deuxième bucket également dans la région us-east1 à l'aide de la commande gcloud storage buckets create.

   gcloud storage buckets create gs://BUCKET2_NAME \
       --default-storage-class=standard \
       --location=us-east1 \
       --uniform-bucket-level-access \
       --project=SERVICE_PROJECT_ID
   

Remplacez les éléments suivants :

• BUCKET1_NAME et BUCKET2_NAME : nom de vos buckets Cloud Storage
• SERVICE_PROJECT_ID : ID du projet Google Cloud attribué au projet de service.

Copier du contenu dans les buckets Cloud Storage

Pour remplir les buckets Cloud Storage, copiez un fichier graphique depuis un bucket Cloud Storage public vers vos propres buckets Cloud Storage.

  gcloud storage cp gs://gcp-external-http-lb-with-bucket/three-cats.jpg gs://BUCKET1_NAME/love-to-purr/
  

  gcloud storage cp gs://gcp-external-http-lb-with-bucket/two-dogs.jpg gs://BUCKET2_NAME/love-to-fetch/
  

Remplacez BUCKET1_NAME et BUCKET2_NAME par le nom de vos buckets Cloud Storage.

Rendre les buckets Cloud Storage accessibles au public

Pour rendre tous les objets d'un bucket accessibles à tous sur l'Internet public, attribuez au compte principal allUsers le rôle Lecteur des objets de l'espace de stockage (roles/storage.objectViewer).

Console

Pour autoriser tous les utilisateurs à afficher des objets dans vos buckets, répétez la procédure suivante pour chaque bucket :

1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.
   

   Accéder à la page Buckets

2. Dans la liste des buckets, cliquez sur le nom de celui que vous souhaitez rendre public.

3. Sélectionnez l'onglet Autorisations.

4. Dans la section Autorisations, cliquez sur le bouton Accorder l'accès. La boîte de dialogue Accorder l'accès s'affiche.

5. Dans le champ Nouveaux comptes principaux, saisissez allUsers.

6. Dans le champ Sélectionner un rôle, saisissez Storage Object Viewer dans le champ de filtre, puis sélectionnez Lecteur des objets de l'espace de stockage dans les résultats filtrés.

7. Cliquez sur Enregistrer.

8. Cliquez sur Autoriser l'accès public.

gcloud

Pour autoriser tous les utilisateurs à afficher les objets de vos buckets, exécutez la commande buckets add-iam-policy-binding.

gcloud storage buckets add-iam-policy-binding gs://BUCKET1_NAME --member=allUsers --role=roles/storage.objectViewer

gcloud storage buckets add-iam-policy-binding gs://BUCKET2_NAME --member=allUsers --role=roles/storage.objectViewer

Remplacez BUCKET1_NAME et BUCKET2_NAME par le nom de vos buckets Cloud Storage.

Réserver l'adresse IP de l'équilibreur de charge

Réservez une adresse IP externe statique pour la règle de transfert de l'équilibreur de charge.

Console

1. Dans la console Google Cloud , accédez à la page Réserver une adresse statique.

   Accédez à la page "Réserver une adresse statique"

2. Dans le champ Nom, saisissez un nom pour la nouvelle adresse.

3. Pour Version IP, sélectionnez IPv4.

4. Pour le Type, sélectionnez Régional.

5. Dans le champ Région, sélectionnez us-east1.

6. Laissez l'option Associé à définie sur Aucun. Une fois l'équilibreur de charge créé, cette adresse IP sera associée à la règle de transfert de l'équilibreur de charge.

7. Cliquez sur Réserver pour réserver l'adresse IP.

gcloud

1. Pour réserver une adresse IP externe statique à l'aide de gcloud compute, utilisez la commande compute addresses create.

    gcloud compute addresses create ADDRESS_NAME  \
        --region=us-east1 \
        --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • ADDRESS_NAME : nom que vous souhaitez attribuer à cette adresse IP.
   • REGION : région dans laquelle vous souhaitez réserver cette adresse. Cette région doit être la même que celle de l'équilibreur de charge.
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service.

2. Utilisez la commande compute addresses describe pour afficher le résultat :

    gcloud compute addresses describe ADDRESS_NAME
   

   Remplacez ADDRESS_NAME par le nom que vous avez attribué à l'adresse IP.

   L'adresse IP renvoyée est appelée RESERVED_IP_ADDRESS dans les sections suivantes.

Configurer une ressource de certificat SSL

Pour un équilibreur de charge d'application externe régional qui utilise HTTPS comme protocole de requête et de réponse, vous pouvez créer une ressource de certificat SSL à l'aide d'un certificat SSL Compute Engine ou d'un certificat Certificate Manager.

Pour cet exemple, créez une ressource de certificat SSL à l'aide du gestionnaire de certificats, comme décrit dans l'un des documents suivants :

• Déployer un certificat régional géré par Google avec une autorisation DNS
• Déployer un certificat régional géré par Google avec le service d'autorité de certification
• Déployer un certificat autogéré au niveau régional

Après avoir créé le certificat, vous pouvez l'associer au proxy cible HTTPS.

Nous vous recommandons d'utiliser un certificat géré par Google.

Configurer l'équilibreur de charge avec des buckets backend

Cette section vous explique comment créer les ressources suivantes pour un équilibreur de charge d'application externe régional :

• Deux buckets backend. Les buckets backend servent de wrapper aux buckets Cloud Storage que vous avez créés précédemment.
• Mappage d'URL
• Proxy cible
• Une règle de transfert avec des adresses IP régionales. La règle de transfert possède une adresse IP externe.

Dans cet exemple, vous pouvez utiliser HTTP ou HTTPS comme protocole de requête et de réponse entre le client et l'équilibreur de charge. Pour créer un équilibreur de charge HTTPS, vous devez ajouter une ressource de certificat SSL au frontal de l'équilibreur de charge.

Remarque : Vous ne pouvez utiliser gcloud CLI que pour configurer un équilibreur de charge d'application externe régional avec des buckets de backend.

Pour créer les composants d'équilibrage de charge mentionnés ci-dessus à l'aide de la gcloud CLI, procédez comme suit :

1. Créez deux buckets de backend à l'aide de la commande gcloud compute backend-buckets create. Les buckets de backend ont un schéma d'équilibrage de charge EXTERNAL_MANAGED.

     gcloud beta compute backend-buckets create backend-bucket-cats \
         --gcs-bucket-name=BUCKET1_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

     gcloud beta compute backend-buckets create backend-bucket-dogs \
         --gcs-bucket-name=BUCKET2_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • BUCKET1_NAME et BUCKET2_NAME : nom des buckets Cloud Storage
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

2. Créez un mappage d'URL pour acheminer les requêtes entrantes vers le bucket backend à l'aide de la commande gcloud compute url-maps create.

     gcloud beta compute url-maps create URL_MAP_NAME \
         --default-backend-bucket=backend-bucket-cats \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

3. Configurez les règles d'hôte et de chemin d'accès du mappage d'URL à l'aide de la commande gcloud compute url-maps add-path-matcher.

   Dans cet exemple, le bucket backend par défaut est backend-bucket-cats, qui gère tous les chemins d'accès qu'il contient. Toutefois, toute requête ciblant http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg utilise le backend backend-bucket-dogs. Par exemple, si le dossier /love-to-fetch/ existe également dans votre backend par défaut (backend-bucket-cats), l'équilibreur de charge donne la priorité au backend backend-bucket-dogs, car il existe une règle de chemin d'accès spécifique pour /love-to-fetch/*.

     gcloud beta compute url-maps add-path-matcher URL_MAP_NAME \
         --path-matcher-name=path-matcher-pets \
         --new-hosts=* \
         --backend-bucket-path-rules="/love-to-fetch/*=backend-bucket-dogs" \
         --default-backend-bucket=backend-bucket-cats \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

4. Créez un proxy cible à l'aide de la commande gcloud compute target-http-proxies create.

   Pour le trafic HTTP, créez un proxy HTTP cible qui va acheminer les requêtes vers le mappage d'URL :

     gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
         --url-map=URL_MAP_NAME \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • TARGET_HTTP_PROXY_NAME : nom du proxy HTTP cible.
   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

   Pour le trafic HTTPS, créez un proxy HTTPS cible pour acheminer les requêtes vers le mappage d'URL. Le proxy est la partie de l'équilibreur de charge qui contient le certificat SSL pour un équilibreur de charge HTTPS. Après avoir créé le certificat, vous pouvez l'associer au proxy cible HTTPS.

   Pour associer un certificat Certificate Manager, exécutez la commande suivante :

     gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
         --url-map=URL_MAP_NAME \
         --certificate-manager-certificates=CERTIFICATE_NAME \
         --region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • TARGET_HTTPS_PROXY_NAME : nom du proxy HTTPS cible.
   • URL_MAP_NAME : nom du mappage d'URL
   • CERTIFICATE_NAME : nom du certificat SSL du gestionnaire de certificats
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

5. Créez une règle de transfert avec une adresse IP dans la région us-east1 à l'aide de la commande gcloud compute forwarding-rules create.

   Pour le trafic HTTP, créez une règle de transfert régionale pour acheminer les requêtes entrantes vers le proxy HTTP cible :

     gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
         --address=RESERVED_IP_ADDRESS \
         --ports=80 \
         --region=us-east1 \
         --target-http-proxy=TARGET_HTTP_PROXY_NAME \
         --target-http-proxy-region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • HOST_PROJECT_ID : ID du projet Google Cloudattribué au projet hôte
   • RESERVED_IP_ADDRESS : adresse IP réservée
   • TARGET_HTTP_PROXY_NAME : nom du proxy HTTP cible.
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

   Pour le trafic HTTPS, créez une règle de transfert régionale pour acheminer les requêtes entrantes vers le proxy HTTPS cible :

     gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
         --address=RESERVED_IP_ADDRESS \
         --ports=443 \
         --region=us-east1 \
         --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
         --target-https-proxy-region=us-east1 \
         --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • HOST_PROJECT_ID : ID du projet Google Cloudattribué au projet hôte
   • RESERVED_IP_ADDRESS : adresse IP réservée
   • TARGET_HTTPS_PROXY_NAME : nom du proxy HTTPS cible.
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

Envoyer une requête HTTP à l'équilibreur de charge

Maintenant que le service d'équilibrage de charge est en cours d'exécution, vous pouvez envoyer le trafic vers la règle de transfert de l'équilibreur de charge.

1. Obtenez l'adresse IP de la règle de transfert de l'équilibreur de charge, qui se trouve dans la région us-east1.

    gcloud compute forwarding-rules describe FORWARDING_RULE_NAME \
        --region=us-east1 \
        --project=SERVICE_PROJECT_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

   Copiez l'adresse IP renvoyée pour l'utiliser comme FORWARDING_RULE_IP_ADDRESS à l'étape suivante.

2. Envoyez une requête HTTP à l'adresse IP virtuelle (VIP) de la règle de transfert à l'aide de curl.

    curl http://FORWARDING_RULE_IP_ADDRESS/love-to-purr/three-cats.jpg --output three-cats.jpg
   

    curl http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg --output two-dogs.jpg
   

   Remplacez FORWARDING_RULE_IP_ADDRESS par l'adresse IP de la règle de transfert de l'équilibreur de charge.

Configurer un équilibreur de charge avec une configuration multiprojet

L'exemple précédent de cette page vous explique comment configurer un déploiement de VPC partagé dans lequel tous les composants de l'équilibreur de charge et ses backends sont créés dans le projet de service.

Les équilibreurs de charge d'application externes régionaux vous permettent également de configurer des déploiements de VPC partagé dans lesquels un mappage d'URL d'un projet hôte ou de service peut faire référence à des buckets de backend situés sur plusieurs projets de service dans des environnements VPC partagés.

Vous pouvez utiliser les étapes de cette section comme référence pour configurer l'une des combinaisons compatibles répertoriées ici :

• Règle de transfert, proxy cible et mappage d'URL dans le projet hôte, et bucket de backend dans un projet de service
• Règle de transfert, proxy cible et mappage d'URL dans un projet de service, et bucket de backend dans un autre projet de service

Dans cette section, la dernière configuration est présentée à titre d'exemple.

Vue d'ensemble de la configuration

Cet exemple configure un équilibreur de charge avec son interface et son backend dans deux projets de service différents.

Si vous ne l'avez pas déjà fait, vous devez configurer les rôles requis et configurer un environnement VPC partagé. Pour obtenir des instructions, consultez les sections suivantes au début de cette page :

• Configurer les rôles requis
• Configurer un environnement VPC partagé

Figure 2. Interface et backend de l'équilibreur de charge dans différents projets de service

Configurer les buckets Cloud Storage et les buckets backend dans le projet de service B

Toutes les étapes de cette section doivent être effectuées dans le projet de service B.

Voici comment configurer les buckets Cloud Storage et les buckets de backend :

1. Créez les buckets Cloud Storage.
2. Copiez le contenu dans les buckets Cloud Storage.
3. Rendez les buckets Cloud Storage accessibles au public.
4. Créez des buckets backend et pointez-les vers les buckets Cloud Storage.

Créer les buckets Cloud Storage

Console

1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.
   

   Accéder à la page "Buckets"

2. Cliquez sur  Créer.

3. Dans la section Premiers pas, saisissez un nom unique qui respecte les consignes de dénomination.

4. Cliquez sur Choisissez où stocker vos données.

5. Définissez le Type d'emplacement sur Région.

6. Dans la liste des régions, sélectionnez us-east1.

7. Cliquez sur Créer.

8. Cliquez sur Buckets pour revenir à la page des buckets Cloud Storage. Suivez ces instructions pour créer un second bucket dans la région us-east1.

gcloud

1. Créez le premier bucket dans la région us-east1 à l'aide de la commande gcloud storage buckets create.

   gcloud storage buckets create gs://BUCKET1_NAME \
       --default-storage-class=standard \
       --location=us-east1 \
       --uniform-bucket-level-access \
       --project=SERVICE_PROJECT_B_ID
   

2. Créez le deuxième bucket également dans la région us-east1 à l'aide de la commande gcloud storage buckets create.

   gcloud storage buckets create gs://BUCKET2_NAME \
       --default-storage-class=standard \
       --location=us-east1 \
       --uniform-bucket-level-access \
       --project=SERVICE_PROJECT_B_ID
   

Remplacez les éléments suivants :

• BUCKET1_NAME et BUCKET2_NAME : nom de votre bucket Cloud Storage
• SERVICE_PROJECT_B_ID : ID du projet Google Cloud attribué au projet de service B

Copier du contenu dans les buckets Cloud Storage

Pour remplir les buckets Cloud Storage, copiez un fichier graphique depuis un bucket Cloud Storage public vers vos propres buckets Cloud Storage.

    gcloud storage cp gs://gcp-external-http-lb-with-bucket/three-cats.jpg gs://BUCKET1_NAME/love-to-purr/
  

    gcloud storage cp gs://gcp-external-http-lb-with-bucket/two-dogs.jpg gs://BUCKET2_NAME/love-to-fetch/
  

Remplacez BUCKET1_NAME et BUCKET2_NAME par le nom de vos buckets Cloud Storage.

Rendre les buckets Cloud Storage accessibles au public

Pour rendre tous les objets d'un bucket accessibles à tous sur l'Internet public, attribuez au compte principal allUsers le rôle Lecteur des objets de l'espace de stockage (roles/storage.objectViewer).

Console

Pour autoriser tous les utilisateurs à afficher des objets dans vos buckets, répétez la procédure suivante pour chaque bucket :

1. Dans la console Google Cloud , accédez à la page Buckets de Cloud Storage.
   

   Accéder à la page Buckets

2. Dans la liste des buckets, cliquez sur le nom de celui que vous souhaitez rendre public.

3. Sélectionnez l'onglet Autorisations.

4. Dans la section Autorisations, cliquez sur le bouton Accorder l'accès. La boîte de dialogue Accorder l'accès s'affiche.

5. Dans le champ Nouveaux comptes principaux, saisissez allUsers.

6. Dans le champ Sélectionner un rôle, saisissez Storage Object Viewer dans le champ de filtre, puis sélectionnez Lecteur des objets de l'espace de stockage dans les résultats filtrés.

7. Cliquez sur Enregistrer.

8. Cliquez sur Autoriser l'accès public.

gcloud

Pour autoriser tous les utilisateurs à afficher les objets de vos buckets, exécutez la commande buckets add-iam-policy-binding.

gcloud storage buckets add-iam-policy-binding gs://BUCKET1_NAME --member=allUsers --role=roles/storage.objectViewer

gcloud storage buckets add-iam-policy-binding gs://BUCKET2_NAME --member=allUsers --role=roles/storage.objectViewer

Remplacez BUCKET1_NAME et BUCKET2_NAME par le nom de vos buckets Cloud Storage.

Créez des buckets backend et pointez-les vers les buckets Cloud Storage.

Pour créer les buckets de backend, procédez comme suit :

1. Créez deux buckets de backend à l'aide de la commande gcloud compute backend-buckets create. Les buckets de backend ont un schéma d'équilibrage de charge EXTERNAL_MANAGED.

     gcloud beta compute backend-buckets create backend-bucket-cats \
         --gcs-bucket-name=BUCKET1_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --region=us-east1 \
         --project=SERVICE_PROJECT_B_ID
   

     gcloud beta compute backend-buckets create backend-bucket-dogs \
         --gcs-bucket-name=BUCKET2_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --region=us-east1 \
         --project=SERVICE_PROJECT_B_ID
   

   Remplacez les éléments suivants :

   • BUCKET1_NAME et BUCKET2_NAME : nom des buckets Cloud Storage
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

Configurer les composants d'interface de l'équilibreur de charge dans le projet de service A

Toutes les étapes de cette section doivent être effectuées dans le projet de service A.

Dans le projet de service A, vous devez créer les composants d'équilibrage de charge d'interface suivants :

1. Ressource de certificat SSL associée au proxy cible. Pour créer le certificat SSL, vous pouvez suivre la procédure décrite dans la section précédente.
2. Adresse IP de la règle de transfert de l'équilibreur de charge. Pour créer une adresse IP, vous pouvez suivre la procédure décrite dans la section précédente.
3. Un mappage d'URL qui référence les buckets backend dans le projet de service B
4. Un proxy cible
5. Une règle de transfert avec des adresses IP régionales. La règle de transfert possède une adresse IP externe.

Pour créer le mappage d'URL, le proxy cible et la règle de transfert :

1. Créez un mappage d'URL pour acheminer les requêtes entrantes vers le bucket backend à l'aide de la commande gcloud beta compute url-maps create.

     gcloud beta compute url-maps create URL_MAP_NAME \
         --default-backend-bucket=backend-bucket-cats \
         --region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

2. Configurez les règles d'hôte et de chemin d'accès du mappage d'URL à l'aide de la commande gcloud beta compute url-maps add-path-matcher.

   Dans cet exemple, le bucket backend par défaut est backend-bucket-cats, qui gère tous les chemins d'accès qu'il contient. Toutefois, toute requête ciblant http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg utilise le backend backend-bucket-dogs. Par exemple, si le dossier /love-to-fetch/ existe également dans votre backend par défaut (backend-bucket-cats), l'équilibreur de charge donne la priorité au backend backend-bucket-dogs, car il existe une règle de chemin d'accès spécifique pour /love-to-fetch/*.

     gcloud beta compute url-maps add-path-matcher URL_MAP_NAME \
         --path-matcher-name=path-matcher-pets \
         --new-hosts=* \
         --backend-bucket-path-rules="/love-to-fetch/*=projects/SERVICE_PROJECT_B_ID/regional/backendBuckets/backend-bucket-dogs" \
         --default-backend-bucket=projects/SERVICE_PROJECT_B_ID/regional/backendBuckets/backend-bucket-cats \
         --region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

3. Créez un proxy cible à l'aide de la commande gcloud compute target-http-proxies create.

   Pour le trafic HTTP, créez un proxy HTTP cible qui va acheminer les requêtes vers le mappage d'URL :

     gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
         --url-map=URL_MAP_NAME \
         --region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • TARGET_HTTP_PROXY_NAME : nom du proxy HTTP cible.
   • URL_MAP_NAME : nom du mappage d'URL
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

   Pour le trafic HTTPS, créez un proxy HTTPS cible pour acheminer les requêtes vers le mappage d'URL. Le proxy est la partie de l'équilibreur de charge qui contient le certificat SSL pour un équilibreur de charge HTTPS. Après avoir créé le certificat, vous pouvez l'associer au proxy cible HTTPS.

   Pour associer un certificat Certificate Manager, exécutez la commande suivante :

     gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
         --url-map=lb-map \
         --certificate-manager-certificates=CERTIFICATE_NAME \
         --region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • TARGET_HTTPS_PROXY_NAME : nom du proxy HTTPS cible.
   • URL_MAP_NAME : nom du mappage d'URL
   • CERTIFICATE_NAME : nom du certificat SSL du gestionnaire de certificats
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

4. Créez une règle de transfert avec une adresse IP dans la région asia-east1 à l'aide de la commande gcloud compute forwarding-rules create.

   Pour le trafic HTTP, créez une règle de transfert régionale pour acheminer les requêtes entrantes vers le proxy HTTP cible :

     gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
         --address=RESERVED_IP_ADDRESS \
         --ports=80 \
         --region=us-east1 \
         --target-http-proxy=TARGET_HTTP_PROXY_NAME \
         --target-http-proxy-region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • HOST_PROJECT_ID : ID du projet Google Cloudattribué au projet hôte
   • RESERVED_IP_ADDRESS : adresse IP réservée
   • TARGET_HTTP_PROXY_NAME : nom du proxy HTTP cible.
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

   Pour le trafic HTTPS, créez une règle de transfert régionale pour acheminer les requêtes entrantes vers le proxy HTTPS cible :

     gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
         --address=RESERVED_IP_ADDRESS \
         --ports=443 \
         --region=us-east1 \
         --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
         --target-https-proxy-region=us-east1 \
         --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • HOST_PROJECT_ID : ID du projet Google Cloudattribué au projet hôte
   • RESERVED_IP_ADDRESS : adresse IP réservée
   • TARGET_HTTPS_PROXY_NAME : nom du proxy HTTPS cible.
   • SERVICE_PROJECT_A_ID : ID du projet Google Cloudattribué au projet de service A

Accorder l'autorisation à l'administrateur de l'équilibreur de charge Compute d'utiliser le bucket backend dans le projet de service

Si vous souhaitez que les équilibreurs de charge référencent des buckets de backend dans d'autres projets de service, l'administrateur de l'équilibreur de charge doit disposer de l'autorisation compute.backendBuckets.use. Pour accorder cette autorisation, vous pouvez utiliser le rôle IAM prédéfini appelé Utilisateur des services de l'équilibreur de charge Compute (roles/compute.loadBalancerServiceUser). Ce rôle doit être attribué par l'administrateur de projet de service et peut être appliqué au niveau du projet de service ou au niveau du bucket backend.

Dans cet exemple, un administrateur de projet de service du projet B doit exécuter l'une des commandes suivantes pour accorder l'autorisation compute.backendBuckets.use à un administrateur de l'équilibreur de charge du projet de service A. Cette opération peut être effectuée au niveau du projet (pour tous les buckets de backend du projet) ou par bucket backend.

Console

Autorisations au niveau du projet

Procédez comme suit pour accorder des autorisations à tous les buckets de backend de votre projet.

Vous avez besoin des autorisations compute.regionBackendBuckets.setIamPolicy et resourcemanager.projects.setIamPolicy pour effectuer cette étape.

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM

2. Sélectionnez votre projet.

3. Cliquez sur Accorder l'accès.

4. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail du compte principal ou un autre identifiant.

5. Dans la section Attribuer des rôles, cliquez sur Ajouter des rôles.

6. Dans la boîte de dialogue Sélectionner des rôles, dans le champ Rechercher des rôles, saisissez Compute Load Balancer Services User.

7. Cochez la case Utilisateur des services de l'équilibreur de charge Compute.

8. Cliquez sur Appliquer.

9. Facultatif : ajoutez une condition au rôle.

10. Cliquez sur Enregistrer.

Autorisations au niveau des ressources pour des buckets de backend individuels

Procédez comme suit pour accorder des autorisations à chaque bucket de backend de votre projet.

Vous devez disposer de l'autorisation compute.regionBackendBuckets.setIamPolicy pour effectuer cette étape.

1. Dans la console Google Cloud , accédez à la page Backends.

   Accéder à la page Backends

2. Dans la liste des backends, sélectionnez le bucket backend auquel vous souhaitez accorder l'accès, puis cliquez sur Autorisations.

3. Cliquez sur Ajouter un compte principal.

4. Dans le champ Nouveaux comptes principaux, saisissez l'adresse e-mail du compte principal ou un autre identifiant.

5. Dans la liste Sélectionner un rôle, sélectionnez Utilisateur des services d'équilibrage de charge Compute.

6. Cliquez sur Enregistrer.

gcloud

Autorisations au niveau du projet

Procédez comme suit pour accorder des autorisations à tous les buckets de backend de votre projet.

Vous avez besoin des autorisations compute.regionBackendBuckets.setIamPolicy et resourcemanager.projects.setIamPolicy pour effectuer cette étape.

  gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser"

Remplacez les éléments suivants :

• SERVICE_PROJECT_B_ID : ID du projet Google Cloudattribué au projet de service B
• LOAD_BALANCER_ADMIN : compte principal pour lequel vous souhaitez ajouter la liaison.

Autorisations au niveau des ressources pour des buckets de backend individuels

Au niveau du bucket backend, les administrateurs de projet de service peuvent utiliser l'une des commandes suivantes pour attribuer le rôle d'utilisateur des services de l'équilibreur de charge Compute (roles/compute.loadBalancerServiceUser) :

• Commande gcloud projects add-iam-policy-binding
• Commande gcloud compute backend-buckets add-iam-policy-binding

Utilisez la commande gcloud projects add-iam-policy-binding pour attribuer le rôle "Utilisateur des services d'équilibreur de charge Compute".

Vous devez disposer de l'autorisation compute.regionBackendBuckets.setIamPolicy pour effectuer cette étape.

  gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser" \
      --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/REGION/backendBuckets/BACKEND_BUCKET_NAME",title=Shared VPC condition'

Remplacez les éléments suivants :

• SERVICE_PROJECT_B_ID : ID du projet Google Cloudattribué au projet de service B
• LOAD_BALANCER_ADMIN : compte principal pour lequel vous souhaitez ajouter la liaison.
• REGION : région Google Cloud où se trouve le bucket backend
• BACKEND_BUCKET_NAME : nom du bucket backend

Vous pouvez également utiliser la commande gcloud compute backend-buckets add-iam-policy-binding pour attribuer le rôle Utilisateur des services de l'équilibreur de charge Compute.

  gcloud compute backend-buckets add-iam-policy-binding BACKEND_BUCKET_NAME \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser" \
      --project=SERVICE_PROJECT_B_ID \
      --region=REGION

Envoyer une requête HTTP à l'équilibreur de charge

Maintenant que le service d'équilibrage de charge est en cours d'exécution, vous pouvez envoyer le trafic vers la règle de transfert de l'équilibreur de charge.

1. Obtenez l'adresse IP de la règle de transfert de l'équilibreur de charge, qui se trouve dans la région us-east1.

    gcloud compute forwarding-rules describe FORWARDING_RULE_NAME \
        --region=us-east1 \
        --project=SERVICE_PROJECT_A_ID
   

   Remplacez les éléments suivants :

   • FORWARDING_RULE_NAME : nom de la règle de transfert.
   • SERVICE_PROJECT_ID : ID du projet Google Cloudattribué au projet de service

   Copiez l'adresse IP renvoyée pour l'utiliser comme FORWARDING_RULE_IP_ADDRESS à l'étape suivante.

2. Envoyez une requête HTTP à l'adresse IP virtuelle de la règle de transfert à l'aide de curl.

   curl http://FORWARDING_RULE_IP_ADDRESS/love-to-purr/three-cats.jpg --output three-cats.jpg
   

   curl http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg --output two-dogs.jpg
   

   Remplacez FORWARDING_RULE_IP_ADDRESS par l'adresse IP de la règle de transfert de l'équilibreur de charge.

Étapes suivantes

• Présentation de l'équilibreur de charge d'application externe
• Sous-réseaux proxy réservés aux équilibreurs de charge basés sur Envoy
• Gérer les certificats
• Nettoyer une configuration d'équilibrage de charge