共有 VPC 環境で Cloud Storage バケットを使用してリージョン外部アプリケーションロードバランサを設定する

このドキュメントでは、Cloud Storage バケットを使用して共有 VPC 環境でリージョン外部アプリケーションロードバランサを設定するための 2 つのサンプル構成を示します。

最初の例では、1 つのサービスプロジェクトにロードバランサのすべてのコンポーネントとバックエンドを作成します。
2 番目の例では、ロードバランサのフロントエンドコンポーネントと URL マップを 1 つのサービスプロジェクト内に作成し、ロードバランサのバックエンドバケットと Cloud Storage バケットを別のサービスプロジェクト内に作成します。

どちらの例でも、ロードバランサの作成を開始する前に、同じ初期構成を使用して必要なロールを付与し、共有 VPC を設定する必要があります。

このドキュメントで前述した構成例の他に、ロードバランサのフロントエンドと URL マップがホストプロジェクトに作成され、バックエンドバケットと Cloud Storage バケットがサービスプロジェクトに作成される共有 VPC デプロイを設定することもできます。その他の有効な共有 VPC アーキテクチャの詳細については、共有 VPC アーキテクチャをご覧ください。

共有 VPC ネットワークを使用しない場合は、Cloud Storage バケットを使用してリージョン外部アプリケーションロードバランサを設定するをご覧ください。

始める前に

設定が次の前提条件を満たしていることを確認します。

Google Cloud プロジェクトを作成する

1 つのホストプロジェクトと 2 つのサービスプロジェクトの Google Cloud プロジェクトを作成します。

必要なロール

Cloud Storage バケットを含む共有 VPC 環境でリージョン外部アプリケーションロードバランサを設定するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

共有 VPC を設定するには: ホストプロジェクトに対する Compute 共有 VPC 管理者（roles/compute.xpnAdmin）
サービスプロジェクト管理者に共有 VPC ネットワークの使用権限を付与するには: ホストプロジェクトに対する Compute ネットワークユーザー（roles/compute.networkUser）
Cloud Storage バケットを作成するには: サービスプロジェクトに対するストレージオブジェクト管理者（roles/storage.objectAdmin）
ロードバランシングリソースを作成する: サービスプロジェクトに対する Compute ネットワーク管理者（roles/compute.networkAdmin）
Compute Engine インスタンスを作成する: サービスプロジェクトに対する Compute インスタンス管理者（roles/compute.instanceAdmin.v1）
Compute Engine SSL 証明書を作成して変更する: サービスプロジェクトに対する Compute セキュリティ管理者（roles/compute.securityAdmin）
Certificate Manager SSL 証明書を作成して変更する: サービスプロジェクトに対する Certificate Manager オーナー（roles/certificatemanager.owner）
他のサービスプロジェクトのバックエンドバケットを参照するには: サービスプロジェクトに対する Compute ロードバランササービスユーザー（roles/compute.loadBalancerServiceUser）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

共有 VPC 環境を設定する

共有 VPC 環境を設定するには、ホストプロジェクトで次の手順を完了します。

カスタムモードの VPC ネットワークを構成する。
プロキシ専用サブネットを構成する。
ホストプロジェクトで共有 VPC を設定する。

このセクションの手順は、新しいロードバランサを作成するたびに行う必要はありません。ただし、ロードバランサの作成に進む前に、ここで説明するリソースにアクセスできることを確認する必要があります。

この例では、次の VPC ネットワーク、リージョン、プロキシ専用サブネットを使用します。

ネットワーク。ネットワークは、lb-network という名前のカスタムモード VPC ネットワークです。
Envoy プロキシのサブネット。us-east1 リージョンの proxy-only-subnet-us という名前のサブネットは、プライマリ IP 範囲として 10.129.0.0/23 を使用します。

カスタムモードの VPC ネットワークを構成する

コンソール

Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
[VPC ネットワークを作成] をクリックします。
[名前] に「lb-network」と入力します。
[作成] をクリックします。

gcloud

gcloud compute networks create コマンドを使用して、lb-network というカスタム VPC ネットワークを作成します。
```
  gcloud compute networks create lb-network \
      --subnet-mode=custom \
      --project=HOST_PROJECT_ID
```
HOST_PROJECT_ID は、共有 VPC 環境でホストプロジェクトとして有効になっているプロジェクトに割り当てられたGoogle Cloud プロジェクト ID に置き換えます。

プロキシ専用サブネットを構成する

プロキシ専用サブネットには、 Google Cloud がユーザーに代わって Envoy プロキシを実行する際に使用する一連の IP アドレスが用意されています。このプロキシは、クライアントからの接続を終端し、バックエンドへの新しい接続を作成します。

このプロキシ専用サブネットは、VPC ネットワークと同じリージョン内のすべての Envoy ベースのロードバランサで使用されます。特定の目的では、リージョンごと、ネットワークごとにアクティブなプロキシ専用サブネットが 1 つだけの場合があります。

コンソール

Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

[VPC ネットワーク] に移動
作成した VPC ネットワークの名前をクリックします。
[サブネット] タブで [サブネットを追加] をクリックします。
次の情報を入力します。
- 名前: proxy-only-subnet-us
- リージョン: us-east1
- 目的: リージョンマネージドプロキシ
- IP アドレス範囲: 10.129.0.0/23
[追加] をクリックします。

gcloud

gcloud compute networks subnets create コマンドを使用して、us-east1 リージョンにプロキシ専用サブネットを作成します。
```
gcloud compute networks subnets create proxy-only-subnet-us \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-east1 \
    --network=lb-network \
    --range=10.129.0.0/23 \
    --project=HOST_PROJECT_ID
```
HOST_PROJECT_ID は、ホストプロジェクトに割り当てられたGoogle Cloud プロジェクト ID に置き換えます。

ホストプロジェクトで共有 VPC を設定する

共有 VPC ホストプロジェクトを有効にして、サービスプロジェクトをホストプロジェクトに接続することで、サービスプロジェクトで共有 VPC ネットワークを使用できるようになります。ホストプロジェクトに共有 VPC を設定するには、次のページをご覧ください。

上記の手順を完了すると、次のいずれかの設定を行うことができます。

サービスプロジェクトでロードバランサを構成する
クロスプロジェクト構成を使用してロードバランサを構成する

サービスプロジェクトでロードバランサを構成する

この例では、すべてのロードバランシングコンポーネント（転送ルール、ターゲットプロキシ、URL マップ、バックエンドバケット）と Cloud Storage バケットがサービスプロジェクト内に作成される、リージョン外部アプリケーションロードバランサを作成します。

リージョン外部アプリケーションロードバランサのネットワークリソース（プロキシ専用サブネットなど）は、ホストプロジェクトに作成されます。

図 1. Cloud Storage バケットを使用する共有 VPC 環境のリージョン外部 HTTP(S) ロードバランサ — **図 1.** Cloud Storage バケットを使用する共有 VPC 環境のリージョン外部アプリケーションロードバランサ

このセクションでは、ロードバランサとバックエンドを設定する方法について説明します。

このページの例では、エフェメラル IP アドレスの割り振りを許可せずに、リージョン外部アプリケーションロードバランサの転送ルールに予約済み IP アドレスを明示的に構成しています。転送ルールの IP アドレスは予約しておくことをおすすめします。

Cloud Storage バケットを構成する

Cloud Storage バケットを構成するプロセスは次のとおりです。

Cloud Storage バケットを作成します。
コンテンツを Cloud Storage バケットにコピーする。
Cloud Storage バケットを一般公開します。

Cloud Storage バケットを作成する

この例では、us-east1 リージョンに 2 つの Cloud Storage バケットを作成します。

コンソール

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。

[バケット] に移動
[作成] をクリックします。
[始める] セクションに、命名ガイドラインに沿ったグローバルに一意の名前を入力します。
[データの保存場所の選択] をクリックします。
[ロケーションタイプ] を [リージョン] に設定します。
リージョンのリストから [us-east1] を選択します。
[作成] をクリックします。
[バケット] をクリックして Cloud Storage の [バケット] ページに戻ります。次の手順で、us-east1 リージョンに 2 番目のバケットを作成します。

gcloud

gcloud storage buckets create コマンドを使用して、us-east1 リージョンに最初のバケットを作成します。

gcloud storage buckets create gs://BUCKET1_NAME \
    --default-storage-class=standard \
    --location=us-east1 \
    --uniform-bucket-level-access \
    --project=SERVICE_PROJECT_ID

gcloud storage buckets create コマンドを使用して、us-east1 リージョンに 2 つ目のバケットを作成します。

gcloud storage buckets create gs://BUCKET2_NAME \
    --default-storage-class=standard \
    --location=us-east1 \
    --uniform-bucket-level-access \
    --project=SERVICE_PROJECT_ID

次のように置き換えます。

BUCKET1_NAME と BUCKET2_NAME: Cloud Storage バケットの名前
SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloud プロジェクト ID

Cloud Storage バケットにコンテンツをコピーする

Cloud Storage バケットにデータを入力するには、Cloud Storage の公開バケットから独自の Cloud Storage バケットにグラフィックファイルをコピーします。

  gcloud storage cp gs://gcp-external-http-lb-with-bucket/three-cats.jpg gs://BUCKET1_NAME/love-to-purr/

  gcloud storage cp gs://gcp-external-http-lb-with-bucket/two-dogs.jpg gs://BUCKET2_NAME/love-to-fetch/

BUCKET1_NAME と BUCKET2_NAME は、Cloud Storage バケットの名前に置き換えます。

Cloud Storage バケットを一般公開する

公共のインターネット上のすべてのユーザーがバケット内のすべてのオブジェクトにアクセスできるようにするには、プリンシパル allUsers に Storage オブジェクト閲覧者（roles/storage.objectViewer）のロールを付与します。

コンソール

バケット内のすべてのオブジェクトに対するアクセス権をすべてのユーザーに付与するには、バケットごとに次の手順を繰り返します。

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。

[バケット] に移動
バケットのリストで、公開するバケットの名前をクリックします。
[権限] タブを選択します。
[権限] セクションで、[ アクセスを許可] ボタンをクリックします。[アクセスを許可] ダイアログが表示されます。
[新しいプリンシパル] フィールドに「allUsers」と入力します。
[ロールを選択] フィールドで、フィルタボックスに「Storage Object Viewer」と入力し、フィルタされた結果から [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。
[一般公開アクセスを許可] をクリックします。

gcloud

バケット内のオブジェクトを表示する権限をすべてのユーザーに付与するには、buckets add-iam-policy-binding コマンドを実行します。

gcloud storage buckets add-iam-policy-binding gs://BUCKET1_NAME --member=allUsers --role=roles/storage.objectViewer

gcloud storage buckets add-iam-policy-binding gs://BUCKET2_NAME --member=allUsers --role=roles/storage.objectViewer

BUCKET1_NAME と BUCKET2_NAME は、Cloud Storage バケットの名前に置き換えます。

ロードバランサの IP アドレスを予約する

ロードバランサの転送ルールに静的外部 IP アドレスを予約します。

コンソール

Google Cloud コンソールで、[静的アドレスの予約] ページに移動します。

[静的アドレスの予約] に移動
[名前] に新しいアドレスの名前を入力します。
[IP バージョン] で [IPv4] を選択します。
[タイプ] で [リージョン] を選択します。
[リージョン] で [us-east1] を選択します。
[接続先] オプションは [なし] のままにします。ロードバランサを作成すると、この IP アドレスがロードバランサの転送ルールに関連付けられます。
[予約] をクリックして IP アドレスを予約します。

gcloud

gcloud compute を使用して静的外部 IP アドレスを予約するには、compute addresses create コマンドを使用します。
```
 gcloud compute addresses create ADDRESS_NAME  \
     --region=us-east1 \
     --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- ADDRESS_NAME: この IP アドレスに割り当てる名前。
- REGION: このアドレスを予約するリージョン。このリージョンは、ロードバランサと同じリージョンにする必要があります。
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID。
結果を表示するには、compute addresses describe コマンドを使用します。
```
 gcloud compute addresses describe ADDRESS_NAME
```
ADDRESS_NAME は、IP アドレスに割り当てた名前に置き換えます。

返された IP アドレスは、以降のセクションで RESERVED_IP_ADDRESS と呼ばれます。

SSL 証明書リソースを設定する

リクエストレスポンスプロトコルとして HTTPS を使用するリージョン外部アプリケーションロードバランサの場合は、Compute Engine SSL 証明書または Certificate Manager 証明書を使用して SSL 証明書リソースを作成できます。

この例では、次のいずれかのドキュメントの説明に沿って Certificate Manager を使用して SSL 証明書リソースを作成します。

証明書を作成したら、証明書を HTTPS ターゲットプロキシに関連付けることができます。

Google マネージド証明書を使用することをおすすめします。

バックエンドバケットを使用してロードバランサを構成する

このセクションでは、リージョン外部アプリケーションロードバランサに次のリソースを作成する方法について説明します。

2 つのバックエンドバケット。バックエンドバケットは、前に作成した Cloud Storage バケットのラッパーとして機能します。
URL マップ
ターゲットプロキシ
リージョン IP アドレスを持つ転送ルール。転送ルールに外部 IP アドレスが設定されている。

この例では、クライアントとロードバランサの間のリクエストレスポンスプロトコルとして HTTP または HTTPS を使用できます。HTTPS ロードバランサを作成するには、ロードバランサのフロントエンドに SSL 証明書リソースを追加する必要があります。

gcloud CLI を使用して前述のロードバランシングコンポーネントを作成するには、次の操作を行います。

gcloud compute backend-buckets create コマンドを使用して、2 つのバックエンドバケットを作成します。バックエンドバケットのロードバランシングスキームは EXTERNAL_MANAGED です。

  gcloud beta compute backend-buckets create backend-bucket-cats \
      --gcs-bucket-name=BUCKET1_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID

  gcloud beta compute backend-buckets create backend-bucket-dogs \
      --gcs-bucket-name=BUCKET2_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID

次のように置き換えます。

BUCKET1_NAME と BUCKET2_NAME: Cloud Storage バケットの名前
SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID

gcloud compute url-maps create コマンドを使用して、受信リクエストをバックエンドバケットに転送する URL マップを作成します。
```
  gcloud beta compute url-maps create URL_MAP_NAME \
      --default-backend-bucket=backend-bucket-cats \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
gcloud compute url-maps add-path-matcher コマンドを使用して、URL マップのホストルールとパスルールを構成します。

この例では、デフォルトのバックエンドバケットは backend-bucket-cats で、このバケット内に存在するすべてのパスを処理します。ただし、http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg をターゲットとするリクエストは backend-bucket-dogs バックエンドを使用します。たとえば、/love-to-fetch/ フォルダがデフォルトバックエンド（backend-bucket-cats）にも存在する場合、/love-to-fetch/* に特定のパスルールがあるため、ロードバランサは backend-bucket-dogs バックエンドの優先度を上げます。
```
  gcloud beta compute url-maps add-path-matcher URL_MAP_NAME \
      --path-matcher-name=path-matcher-pets \
      --new-hosts=* \
      --backend-bucket-path-rules="/love-to-fetch/*=backend-bucket-dogs" \
      --default-backend-bucket=backend-bucket-cats \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
gcloud compute target-http-proxies create コマンドを使用して、ターゲットプロキシを作成します。

HTTP トラフィックの場合、リクエストを URL マップに転送するターゲット HTTP プロキシを作成します。
```
  gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
      --url-map=URL_MAP_NAME \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- TARGET_HTTP_PROXY_NAME: ターゲット HTTP プロキシの名前
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
HTTPS トラフィックの場合、リクエストを URL マップに転送するターゲット HTTPS プロキシを作成します。プロキシは、HTTPS ロードバランサの SSL 証明書を保持するロードバランサの一部です。証明書を作成したら、証明書を HTTPS ターゲットプロキシに関連付けることができます。

Certificate Manager 証明書を関連付けるには、次のコマンドを実行します。
```
  gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
      --url-map=URL_MAP_NAME \
      --certificate-manager-certificates=CERTIFICATE_NAME \
      --region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- TARGET_HTTPS_PROXY_NAME: ターゲット HTTPS プロキシの名前
- URL_MAP_NAME: URL マップの名前
- CERTIFICATE_NAME: Certificate Manager SSL 証明書の名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
gcloud compute forwarding-rules create コマンドを使用して、us-east1 リージョンの IP アドレスを持つ転送ルールを作成します。

HTTP トラフィックの場合、受信リクエストを HTTP ターゲットプロキシに転送するリージョン転送ルールを作成します。
```
  gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
      --address=RESERVED_IP_ADDRESS \
      --ports=80 \
      --region=us-east1 \
      --target-http-proxy=TARGET_HTTP_PROXY_NAME \
      --target-http-proxy-region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- HOST_PROJECT_ID: ホストプロジェクトに割り当てられた Google Cloudプロジェクト ID
- RESERVED_IP_ADDRESS: 予約済みの IP アドレス
- TARGET_HTTP_PROXY_NAME: ターゲット HTTP プロキシの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
HTTPS トラフィックの場合、受信リクエストを HTTPS ターゲットプロキシに転送するリージョン転送ルールを作成します。
```
  gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
      --address=RESERVED_IP_ADDRESS \
      --ports=443 \
      --region=us-east1 \
      --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
      --target-https-proxy-region=us-east1 \
      --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- HOST_PROJECT_ID: ホストプロジェクトに割り当てられた Google Cloudプロジェクト ID
- RESERVED_IP_ADDRESS: 予約済みの IP アドレス
- TARGET_HTTPS_PROXY_NAME: ターゲット HTTPS プロキシの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID

ロードバランサに HTTP リクエストを送信する

ロードバランシングサービスが稼働中になったので、ロードバランサの転送ルールにトラフィックを送信できます。

us-east1 リージョンにあるロードバランサの転送ルールの IP アドレスを取得します。
```
 gcloud compute forwarding-rules describe FORWARDING_RULE_NAME \
     --region=us-east1 \
     --project=SERVICE_PROJECT_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
返された IP アドレスをコピーして、次のステップで FORWARDING_RULE_IP_ADDRESS として使用します。
curl を使用して、転送ルールの仮想 IP アドレス（VIP）に HTTP リクエストを送信します。
```
 curl http://FORWARDING_RULE_IP_ADDRESS/love-to-purr/three-cats.jpg --output three-cats.jpg
```
```
 curl http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg --output two-dogs.jpg
```
FORWARDING_RULE_IP_ADDRESS は、ロードバランサの転送ルールの IP アドレスに置き換えます。

クロスプロジェクト構成を使用してロードバランサを構成する

このページの前の例では、すべてのロードバランサコンポーネントとそのバックエンドがサービスプロジェクト内に作成される共有 VPC デプロイを設定しました。

リージョン外部アプリケーションロードバランサでは、1 つのホストまたはサービスプロジェクトの URL マップが、共有 VPC 環境の複数のサービスプロジェクトにまたがるバックエンドバケットを参照できる共有 VPC デプロイを構成することもできます。

このセクションの手順では、サポートされている以下のいずれかの組み合わせを構成できます。

転送ルール、ホストプロジェクトのターゲットプロキシと URL マップ、サービスプロジェクトのバックエンドバケット
サービスプロジェクトの転送ルール、ターゲットプロキシ、URL マップ、別のサービスプロジェクトのバックエンドバケット

このセクションでは、後者の構成を例として説明します。

設定の概要

この例では、フロントエンドとバックエンドが別のサービスプロジェクトに存在するロードバランサを構成します。

まだ行っていない場合は、必要なロールを構成し、共有 VPC 環境を設定する必要があります。手順については、このページの始めにある次のセクションをご覧ください。

必要なロールを構成する
共有 VPC 環境を設定する

図 2. ロードバランサのフロントエンドとバックエンドが別のサービスプロジェクトに存在する — **図 2.** ロードバランサのフロントエンドとバックエンドが別のサービスプロジェクトに存在する

サービスプロジェクト B で Cloud Storage バケットとバックエンドバケットを構成する

このセクションの手順はすべて、サービスプロジェクト B で行う必要があります。

Cloud Storage バケットとバックエンドバケットを構成するプロセスは次のとおりです。

Cloud Storage バケットを作成します。
コンテンツを Cloud Storage バケットにコピーする。
Cloud Storage バケットを一般公開します。
バックエンドバケットを作成し、Cloud Storage バケットを参照するようにします。

Cloud Storage バケットを作成する

コンソール

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。

[バケット] に移動
[作成] をクリックします。
[始める] セクションに、命名ガイドラインに沿ったグローバルに一意の名前を入力します。
[データの保存場所の選択] をクリックします。
[ロケーションタイプ] を [リージョン] に設定します。
リージョンのリストから [us-east1] を選択します。
[作成] をクリックします。
[バケット] をクリックして Cloud Storage の [バケット] ページに戻ります。次の手順で、us-east1 リージョンに 2 番目のバケットを作成します。

gcloud

gcloud storage buckets create コマンドを使用して、us-east1 リージョンに最初のバケットを作成します。

gcloud storage buckets create gs://BUCKET1_NAME \
    --default-storage-class=standard \
    --location=us-east1 \
    --uniform-bucket-level-access \
    --project=SERVICE_PROJECT_B_ID

gcloud storage buckets create コマンドを使用して、us-east1 リージョンに 2 つ目のバケットを作成します。

gcloud storage buckets create gs://BUCKET2_NAME \
    --default-storage-class=standard \
    --location=us-east1 \
    --uniform-bucket-level-access \
    --project=SERVICE_PROJECT_B_ID

次のように置き換えます。

BUCKET1_NAME と BUCKET2_NAME: Cloud Storage バケットの名前
SERVICE_PROJECT_B_ID: サービスプロジェクト B に割り当てられた Google Cloud プロジェクト ID

Cloud Storage バケットにコンテンツをコピーする

Cloud Storage バケットにデータを入力するには、Cloud Storage の公開バケットから独自の Cloud Storage バケットにグラフィックファイルをコピーします。

    gcloud storage cp gs://gcp-external-http-lb-with-bucket/three-cats.jpg gs://BUCKET1_NAME/love-to-purr/

    gcloud storage cp gs://gcp-external-http-lb-with-bucket/two-dogs.jpg gs://BUCKET2_NAME/love-to-fetch/

BUCKET1_NAME と BUCKET2_NAME は、Cloud Storage バケットの名前に置き換えます。

Cloud Storage バケットを一般公開する

コンソール

バケット内のすべてのオブジェクトに対するアクセス権をすべてのユーザーに付与するには、バケットごとに次の手順を繰り返します。

Google Cloud コンソールで Cloud Storage の [バケット] ページに移動します。

[バケット] に移動
バケットのリストで、公開するバケットの名前をクリックします。
[権限] タブを選択します。
[権限] セクションで、[ アクセスを許可] ボタンをクリックします。[アクセスを許可] ダイアログが表示されます。
[新しいプリンシパル] フィールドに「allUsers」と入力します。
[ロールを選択] フィールドで、フィルタボックスに「Storage Object Viewer」と入力し、フィルタされた結果から [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。
[一般公開アクセスを許可] をクリックします。

gcloud

バケット内のオブジェクトを表示する権限をすべてのユーザーに付与するには、buckets add-iam-policy-binding コマンドを実行します。

gcloud storage buckets add-iam-policy-binding gs://BUCKET1_NAME --member=allUsers --role=roles/storage.objectViewer

gcloud storage buckets add-iam-policy-binding gs://BUCKET2_NAME --member=allUsers --role=roles/storage.objectViewer

BUCKET1_NAME と BUCKET2_NAME は、Cloud Storage バケットの名前に置き換えます。

バックエンドバケットを作成し、Cloud Storage バケットを参照するようにします。

バックエンドバケットを作成する手順は次のとおりです。

  gcloud beta compute backend-buckets create backend-bucket-cats \
      --gcs-bucket-name=BUCKET1_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --region=us-east1 \
      --project=SERVICE_PROJECT_B_ID

  gcloud beta compute backend-buckets create backend-bucket-dogs \
      --gcs-bucket-name=BUCKET2_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --region=us-east1 \
      --project=SERVICE_PROJECT_B_ID

次のように置き換えます。

BUCKET1_NAME と BUCKET2_NAME: Cloud Storage バケットの名前
SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID

サービスプロジェクト A でロードバランサのフロントエンドコンポーネントを構成する

このセクションの手順はすべて、サービスプロジェクト A で行う必要があります。

サービスプロジェクト A で、次のフロントエンドロードバランシングコンポーネントを作成する必要があります。

ターゲットプロキシに接続されている SSL 証明書リソース。SSL 証明書を作成するには、前のセクションで説明した手順に沿って操作します。
ロードバランサの転送ルールの IP アドレス。前のセクションで説明した手順に沿って、IP アドレスを作成できます。
サービスプロジェクト B のバックエンドバケットを参照する URL マップ
ターゲットプロキシ
リージョン IP アドレスを持つ転送ルール。転送ルールに外部 IP アドレスがある。

URL マップ、ターゲットプロキシ、転送ルールを作成するには、次の操作を行います。

gcloud beta compute url-maps create コマンドを使用して、受信リクエストをバックエンドバケットに転送する URL マップを作成します。
```
  gcloud beta compute url-maps create URL_MAP_NAME \
      --default-backend-bucket=backend-bucket-cats \
      --region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID
gcloud beta compute url-maps add-path-matcher コマンドを使用して、URL マップのホストルールとパスルールを構成します。

この例では、デフォルトのバックエンドバケットは backend-bucket-cats で、このバケット内に存在するすべてのパスを処理します。ただし、http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg をターゲットとするリクエストは backend-bucket-dogs バックエンドを使用します。たとえば、/love-to-fetch/ フォルダがデフォルトバックエンド（backend-bucket-cats）にも存在する場合、/love-to-fetch/* に特定のパスルールがあるため、ロードバランサは backend-bucket-dogs バックエンドの優先度を上げます。
```
  gcloud beta compute url-maps add-path-matcher URL_MAP_NAME \
      --path-matcher-name=path-matcher-pets \
      --new-hosts=* \
      --backend-bucket-path-rules="/love-to-fetch/*=projects/SERVICE_PROJECT_B_ID/regional/backendBuckets/backend-bucket-dogs" \
      --default-backend-bucket=projects/SERVICE_PROJECT_B_ID/regional/backendBuckets/backend-bucket-cats \
      --region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID
gcloud compute target-http-proxies create コマンドを使用して、ターゲットプロキシを作成します。

HTTP トラフィックの場合、リクエストを URL マップに転送するターゲット HTTP プロキシを作成します。
```
  gcloud compute target-http-proxies create TARGET_HTTP_PROXY_NAME \
      --url-map=URL_MAP_NAME \
      --region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- TARGET_HTTP_PROXY_NAME: ターゲット HTTP プロキシの名前
- URL_MAP_NAME: URL マップの名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID
HTTPS トラフィックの場合、リクエストを URL マップに転送するターゲット HTTPS プロキシを作成します。プロキシは、HTTPS ロードバランサの SSL 証明書を保持するロードバランサの一部です。証明書を作成したら、証明書を HTTPS ターゲットプロキシに関連付けることができます。

Certificate Manager 証明書を関連付けるには、次のコマンドを実行します。
```
  gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
      --url-map=lb-map \
      --certificate-manager-certificates=CERTIFICATE_NAME \
      --region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- TARGET_HTTPS_PROXY_NAME: ターゲット HTTPS プロキシの名前
- URL_MAP_NAME: URL マップの名前
- CERTIFICATE_NAME: Certificate Manager SSL 証明書の名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID
gcloud compute forwarding-rules create コマンドを使用して、asia-east1 リージョンの IP アドレスを持つ転送ルールを作成します。

HTTP トラフィックの場合、受信リクエストを HTTP ターゲットプロキシに転送するリージョン転送ルールを作成します。
```
  gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
      --address=RESERVED_IP_ADDRESS \
      --ports=80 \
      --region=us-east1 \
      --target-http-proxy=TARGET_HTTP_PROXY_NAME \
      --target-http-proxy-region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- HOST_PROJECT_ID: ホストプロジェクトに割り当てられた Google Cloudプロジェクト ID
- RESERVED_IP_ADDRESS: 予約済みの IP アドレス
- TARGET_HTTP_PROXY_NAME: ターゲット HTTP プロキシの名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID
HTTPS トラフィックの場合、受信リクエストを HTTPS ターゲットプロキシに転送するリージョン転送ルールを作成します。
```
  gcloud compute forwarding-rules create FORWARDING_RULE_NAME \
      --load-balancing-scheme=EXTERNAL_MANAGED \
      --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
      --address=RESERVED_IP_ADDRESS \
      --ports=443 \
      --region=us-east1 \
      --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
      --target-https-proxy-region=us-east1 \
      --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- HOST_PROJECT_ID: ホストプロジェクトに割り当てられた Google Cloudプロジェクト ID
- RESERVED_IP_ADDRESS: 予約済みの IP アドレス
- TARGET_HTTPS_PROXY_NAME: ターゲット HTTPS プロキシの名前
- SERVICE_PROJECT_A_ID: サービスプロジェクト A に割り当てられた Google Cloudプロジェクト ID

サービスプロジェクトのバックエンドバケットを使用する権限を Compute ロードバランサ管理者に付与する

ロードバランサが他のサービスプロジェクトのバックエンドバケットを参照するには、ロードバランサ管理者に compute.backendBuckets.use 権限が必要です。この権限を付与するには、Compute ロードバランササービスユーザー（roles/compute.loadBalancerServiceUser）という IAM 事前定義ロールを使用します。このロールは、サービスプロジェクト管理者が付与する必要があり、サービスプロジェクトレベルまたは個々のバックエンドバケットレベルで適用できます。

この例では、サービスプロジェクト B のサービスプロジェクト管理者は、次のいずれかのコマンドを実行して、サービスプロジェクト A のロードバランサ管理者に compute.backendBuckets.use 権限を付与する必要があります。これは、プロジェクトレベルで（プロジェクト内のすべてのバックエンドバケットの場合）、またはバックエンドバケットごとに行うことができます。

コンソール

プロジェクトレベルの権限

プロジェクト内のすべてのバックエンドバケットに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendBuckets.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

Google Cloud コンソールで、[IAM] ページに移動します。

[IAM] に移動
プロジェクトを選択します。
[アクセスを許可] をクリックします。
[新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。
[ロールを割り当てる] セクションで、[ロールを追加] をクリックします。
[ロールを選択] ダイアログの [ロールを検索] フィールドに「Compute Load Balancer Services User」と入力します。
[Compute ロードバランササービスユーザー] チェックボックスをオンにします。
[適用] をクリックします。
（省略可）ロールに条件を追加します。
[保存] をクリックします。

個々のバックエンドバケットのリソースレベルの権限

プロジェクト内の個々のバックエンドバケットに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendBuckets.setIamPolicy 権限が必要です。

Google Cloud コンソールで、[バックエンド] ページに移動します。

[バックエンド] に移動
バックエンドのリストから、アクセス権を付与するバックエンドバケットを選択し、[権限] をクリックします。
[プリンシパルを追加] をクリックします。
[新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。
[ロールを選択] リストで、[Compute ロードバランササービスユーザー] を選択します。
[保存] をクリックします。

gcloud

プロジェクトレベルの権限

プロジェクト内のすべてのバックエンドバケットに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendBuckets.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

  gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser"

次のように置き換えます。

SERVICE_PROJECT_B_ID: サービスプロジェクト B に割り当てられた Google Cloudプロジェクト ID
LOAD_BALANCER_ADMIN: バインディングを追加するプリンシパル

個々のバックエンドバケットのリソースレベルの権限

バックエンドバケットレベルでは、サービスプロジェクト管理者が次のいずれかのコマンドを使用して Compute ロードバランササービスユーザーロール（roles/compute.loadBalancerServiceUser）を付与します。

gcloud projects add-iam-policy-binding コマンドを使用して、Compute ロードバランササービスユーザーのロールを付与します。

この手順を完了するには、compute.regionBackendBuckets.setIamPolicy 権限が必要です。

  gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser" \
      --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/REGION/backendBuckets/BACKEND_BUCKET_NAME",title=Shared VPC condition'

次のように置き換えます。

SERVICE_PROJECT_B_ID: サービスプロジェクト B に割り当てられた Google Cloudプロジェクト ID
LOAD_BALANCER_ADMIN: バインディングを追加するプリンシパル
REGION: バックエンドバケットが配置されている Google Cloud リージョン
BACKEND_BUCKET_NAME: バックエンドバケットの名前

または、 gcloud compute backend-buckets add-iam-policy-binding コマンドを使用して、Compute ロードバランササービスユーザーのロールを付与します。

  gcloud compute backend-buckets add-iam-policy-binding BACKEND_BUCKET_NAME \
      --member="user:LOAD_BALANCER_ADMIN" \
      --role="roles/compute.loadBalancerServiceUser" \
      --project=SERVICE_PROJECT_B_ID \
      --region=REGION

ロードバランサに HTTP リクエストを送信する

ロードバランシングサービスが稼働中になったので、ロードバランサの転送ルールにトラフィックを送信できます。

us-east1 リージョンにあるロードバランサの転送ルールの IP アドレスを取得します。
```
 gcloud compute forwarding-rules describe FORWARDING_RULE_NAME \
     --region=us-east1 \
     --project=SERVICE_PROJECT_A_ID
```
次のように置き換えます。
- FORWARDING_RULE_NAME: 転送ルールの名前
- SERVICE_PROJECT_ID: サービスプロジェクトに割り当てられた Google Cloudプロジェクト ID
返された IP アドレスをコピーして、次のステップで FORWARDING_RULE_IP_ADDRESS として使用します。
curl を使用して、転送ルールの VIP に HTTP リクエストを送信します。
```
curl http://FORWARDING_RULE_IP_ADDRESS/love-to-purr/three-cats.jpg --output three-cats.jpg
```
```
curl http://FORWARDING_RULE_IP_ADDRESS/love-to-fetch/two-dogs.jpg --output two-dogs.jpg
```
FORWARDING_RULE_IP_ADDRESS は、ロードバランサの転送ルールの IP アドレスに置き換えます。

共有 VPC 環境で Cloud Storage バケットを使用してリージョン外部アプリケーション ロードバランサを設定する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

Google Cloud プロジェクトを作成する

必要なロール

共有 VPC 環境を設定する

カスタムモードの VPC ネットワークを構成する

コンソール

gcloud

プロキシ専用サブネットを構成する

コンソール

gcloud

ホスト プロジェクトで共有 VPC を設定する

サービス プロジェクトでロードバランサを構成する

Cloud Storage バケットを構成する

Cloud Storage バケットを作成する

コンソール

gcloud

Cloud Storage バケットにコンテンツをコピーする

Cloud Storage バケットを一般公開する

コンソール

gcloud

ロードバランサの IP アドレスを予約する

コンソール

gcloud

SSL 証明書リソースを設定する

バックエンド バケットを使用してロードバランサを構成する

ロードバランサに HTTP リクエストを送信する

クロス プロジェクト構成を使用してロードバランサを構成する

設定の概要

サービス プロジェクト B で Cloud Storage バケットとバックエンド バケットを構成する

Cloud Storage バケットを作成する

コンソール

gcloud

Cloud Storage バケットにコンテンツをコピーする

Cloud Storage バケットを一般公開する

コンソール

gcloud

バックエンド バケットを作成し、Cloud Storage バケットを参照するようにします。

サービス プロジェクト A でロードバランサのフロントエンド コンポーネントを構成する

サービス プロジェクトのバックエンド バケットを使用する権限を Compute ロードバランサ管理者に付与する

コンソール

プロジェクト レベルの権限

個々のバックエンド バケットのリソースレベルの権限

gcloud

プロジェクト レベルの権限

個々のバックエンド バケットのリソースレベルの権限

ロードバランサに HTTP リクエストを送信する

次のステップ

共有 VPC 環境で Cloud Storage バケットを使用してリージョン外部アプリケーションロードバランサを設定する

ホストプロジェクトで共有 VPC を設定する

サービスプロジェクトでロードバランサを構成する

バックエンドバケットを使用してロードバランサを構成する

クロスプロジェクト構成を使用してロードバランサを構成する

サービスプロジェクト B で Cloud Storage バケットとバックエンドバケットを構成する

バックエンドバケットを作成し、Cloud Storage バケットを参照するようにします。

サービスプロジェクト A でロードバランサのフロントエンドコンポーネントを構成する

サービスプロジェクトのバックエンドバケットを使用する権限を Compute ロードバランサ管理者に付与する

プロジェクトレベルの権限

個々のバックエンドバケットのリソースレベルの権限

プロジェクトレベルの権限

個々のバックエンドバケットのリソースレベルの権限