Configurare le autorizzazioni per un VPC condiviso

Il VPC condiviso consente a un'organizzazione di connettere risorse di più progetti a una rete VPC (Virtual Private Cloud) comune in modo che possano comunicare tra loro in modo sicuro ed efficiente utilizzando IP interni di quella rete.

Quando utilizzi un VPC condiviso, designi un progetto come progetto host VPC condiviso e colleghi uno o più progetti di servizio. Le reti VPC nel progetto host VPC condiviso sono chiamate reti VPC condivise. Le risorse idonee dei progetti di servizio possono utilizzare subnet della rete VPC condiviso.

Utilizzare il VPC condiviso con Migrate to Virtual Machines

Quando l'ambiente Migrate to Virtual Machines utilizza un VPC condiviso, devi assicurarti di aver configurato correttamente le autorizzazioni per poter eseguire il deployment di una VM di cui è stata eseguita la migrazione nel progetto di destinazione Compute Engine.

Ad esempio, hai il seguente ambiente:

  • Progetto A - Progetto host Migrate to Virtual Machines
  • Progetto B: progetto host VPC condiviso e definizioni di subnet
  • Progetto C: progetto di destinazione Migrate to Virtual Machines e progetto di servizio VPC condiviso

In questo esempio, definisci un VPC condiviso nel progetto B. Il progetto B è denominato progetto host VPC condiviso.

Poi esegui la migrazione di una VM a un'istanza Compute Engine nel progetto C, il progetto di destinazione Migrate to Virtual Machines, in cui il progetto C accede al VPC condiviso. In questo esempio, il progetto C è denominato progetto di servizio VPC condiviso. Prima di eseguire il deployment dell'istanza Compute Engine, devi aver già configurato il progetto C in modo che funzioni come progetto di servizio del progetto B, come descritto in Provisioning di VPC condiviso.

Tuttavia, prima di poter eseguire il deployment dell'istanza Compute Engine, devi anche assicurarti che il account di servizio predefinito di Migrate to Virtual Machines nel progetto A disponga delle autorizzazioni richieste. In particolare, Migrate to Virtual Machines richiede il ruolo compute.networkUser nelle subnet nel progetto host del VPC condiviso.

La sezione seguente descrive come configurare il account di servizio predefinito di Migrate to Virtual Machines.

Autorizzazioni richieste per la configurazione del VPC condiviso

Per configurare i dettagli della destinazione con una subnet VPC condiviso nella consoleGoogle Cloud in una configurazione a tre progetti (progetto host di Migrate to Virtual Machines, progetto di destinazione di Migrate to Virtual Machines e progetto host del VPC condiviso), devi disporre delle seguenti autorizzazioni IAM:

  1. Utente di rete Compute (roles/compute.networkUser) nel progetto host del VPC condiviso (o specificamente nella subnet di destinazione).
  2. Compute Network Viewer (roles/compute.networkViewer) nel progetto di destinazione di Migrate to Virtual Machines.

Senza queste autorizzazioni, non puoi visualizzare o selezionare le subnet VPC condiviso nell'interfaccia utente di configurazione di destinazione di Migrate to Virtual Machines, anche se disponi delle autorizzazioni per creare VM autonome utilizzando queste subnet.

Configura il account di servizio predefinito di Migrate to Virtual Machines

Un account di servizio predefinito viene creato nel progetto host durante la creazione della prima migrazione, come descritto in Installa Migrate Connector.

Per eseguire il deployment di un'istanza Compute Engine in un progetto di destinazione che accede a un VPC condiviso, devi aggiungere il ruolo compute.networkUser alle subnet nel progetto host VPC condiviso all'account di servizio predefinito Migrate to Virtual Machines. Hai due opzioni per aggiungere questo ruolo:

  • Assegna al account di servizio predefinito di Migrate to Virtual Machines il ruolo di amministratore del progetto di servizio con accesso solo ad alcune delle subnet nel progetto host del VPC condiviso. Questa opzione fornisce un mezzo granulare per definire gli amministratori dei progetti di servizio concedendo loro il ruolo compute.networkUser solo per alcune subnet nel progetto host VPC condiviso.

    Per i passaggi di questa procedura, consulta Amministratori del progetto di servizio per alcune subnet.

  • Consenti al account di servizio predefinito di Migrate to Virtual Machines di essere un amministratore del progetto di servizio con accesso a tutte le subnet nel progetto host VPC condiviso. In questo caso, concedi il ruolo compute.networkUser per il progetto host VPC condiviso al account di servizio Migrate to Virtual Machines predefinito. Il account di servizio predefinito ha quindi accesso a tutte le subnet esistenti e future nel progetto host VPC condiviso.

Per configurare il account di servizio predefinito di Migrate to Virtual Machines per l'accesso a tutte le subnet nel progetto host del VPC condiviso:

  1. Apri la pagina Migrate to Virtual Machines nella console Google Cloud :

    Vai alla pagina Migrate to Virtual Machines

  2. Seleziona la scheda Target.

    Nella parte superiore della pagina è presente una casella informativa che mostra l'indirizzo email del account di servizio predefinito di Migrate to Virtual Machines nel formato:

    service-M4CE_HOST_PROJECT_NUMBER@gcp-sa-vmmigration.iam.gserviceaccount.com

  3. Copia l'indirizzo email.

  4. Utilizza questo indirizzo email per concedere il ruolo compute.networkUser nel progetto host VPC condiviso al account di servizio predefinito di Migrate to Virtual Machines:

    gcloud projects add-iam-policy-binding VPC_HOST_PROJECT_ID \
   --member=serviceAccount:service-M4CE_HOST_PROJECT_NUMBER@gcp-sa-vmmigration.iam.gserviceaccount.com \
   --role=roles/compute.networkUser

Per saperne di più sull'assegnazione di ruoli e autorizzazioni a un account utente, consulta Concessione, modifica e revoca dell'accesso alle risorse.