Mengonfigurasi Kontrol Layanan VPC dan cluster pribadi

Halaman ini menjelaskan cara kerja VPC Service Controls dan klaster privat serta cara mengaturnya di Cloud Workstations.

Kontrol Layanan VPC

VPC Service Controls memberikan keamanan tambahan untuk workstation Anda guna membantu mengurangi risiko kebocoran data. Dengan menggunakan VPC Service Controls, Anda dapat menambahkan proyek ke perimeter layanan yang dapat membantu melindungi sumber daya dan layanan dari permintaan yang berasal dari luar perimeter.

Berikut adalah persyaratan untuk menggunakan Cloud Workstation di dalam perimeter layanan VPC:

• Untuk membantu melindungi Cloud Workstation, Anda harus membatasi API Compute Engine di perimeter layanan Anda setiap kali Anda membatasi API Cloud Workstation.

• Pastikan Google Cloud Storage API dan Artifact Registry API sudah diaktifkan. VPC dapat diakses di dalam area layanan Anda. Tindakan ini diperlukan untuk menarik image ke workstation Anda. Kami juga merekomendasikan agar Anda mengizinkan Cloud Logging API dan Cloud Error Reporting API untuk dapat diakses melalui VPC di perimeter layanan Anda, meskipun ini tidak wajib untuk menggunakan Cloud Workstation.

• Pastikan klaster workstation Anda adalah private. Mengonfigurasi klaster privat mencegah koneksi ke workstation Anda dari luar perimeter layanan VPC Anda. Layanan Cloud Workstations mencegah pembuatan klaster publik di dalam perimeter layanan VPC.
• Pastikan Anda menonaktifkan alamat IP publik dalam konfigurasi workstation Anda. Jika tidak dilakukan, akan menghasilkan VM dengan alamat IP publik di proyek Anda. Kami sangat menyarankan Anda untuk menggunakan batasan kebijakan organisasi constraints/compute.vmExternalIpAccess untuk menonaktifkan alamat IP publik untuk semua VM di perimeter layanan VPC Anda. Untuk detailnya, lihat Membatasi alamat IP eksternal ke VM tertentu.

Catatan: Kontrol akses hanya didasarkan pada apakah jaringan pribadi yang Anda gunakan untuk terhubung termasuk dalam perimeter keamanan. Kontrol akses berdasarkan perangkat, alamat IP eksternal, atau lokasi tidak didukung.

Untuk mempelajari perimeter layanan lebih lanjut, lihat Detail dan konfigurasi perimeter layanan.

Arsitektur

Saat Anda mengkonfigurasi klaster workstation sebagai privat, bidang kontrol klaster workstation hanya memiliki alamat IP internal. Ini berarti bahwa klien dari internet publik tidak dapat terhubung ke workstation yang termasuk dalam klaster workstation. Untuk menggunakan klaster privat, Anda harus menghubungkan klaster privat tersebut secara manual ke jaringan Virtual Private Cloud (VPC) Anda melalui titik akhir Private Service Connect.

Konfigurasi dengan klaster privat memerlukan dua titik akhir PSC:

• Secara default, Cloud Workstations membuat endpoint PSC terpisah untuk menghubungkan bidang kontrol ke VM workstation.

• Anda harus membuat endpoint PSC tambahan untuk cluster pribadi. Untuk terhubung dari mesin lokal ke workstation di cluster pribadi, mesin lokal Anda harus terhubung ke jaringan VPC Anda. Gunakan Cloud VPN atau Cloud Interconnect untuk menghubungkan jaringan eksternal tempat Anda menjalankan mesin ke jaringan VPC. Endpoint PSC tambahan ini harus dibuat di jaringan yang sama dengan jaringan eksternal Anda yang terhubung ke Cloud VPN atau Cloud Interconnect.

Diagram berikut mengilustrasikan contoh arsitektur cluster pribadi:

Gambar 1. Cluster pribadi

Sebelum memulai

Sebelum memulai, pastikan Anda menyelesaikan langkah-langkah penyiapan yang diperlukan berikut:

Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. Aktifkan Cloud Workstations API.

   Peran yang diperlukan untuk mengaktifkan API

   Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Admin Penggunaan Layanan (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

   Mengaktifkan API

2. Pastikan Anda memiliki peran IAM Admin Workstation Cloud pada proyek tersebut agar Anda dapat membuat konfigurasi workstation. Untuk memeriksa peran IAM Anda di konsol Google Cloud , buka halaman IAM:

   Buka IAM

3. Cloud Workstation dihosting pada VM yang di-boot dari image Container-Optimized OS (COS) publik yang telah dikonfigurasi sebelumnya oleh Compute Engine. Jika batasan kebijakan organisasi constraints/compute.trustedimageProjects diberlakukan, Anda harus menetapkan batasan akses gambar untuk mengizinkan pengguna membuat disk boot dari projects/cos-cloud atau semua gambar publik.
4. Cloud Workstations menggunakan Private Service Connect untuk terhubung ke layanan yang dikelola Google. Jika batasan kebijakan organisasi constraints/compute.restrictPrivateServiceConnectProducer diberlakukan di organisasi Anda, Anda harus menambahkan Google sebagai produsen yang diizinkan (under:organizations/433637338589).
5. Jika batasan kebijakan organisasi constraints/compute.disablePrivateServiceConnectCreationForConsumers diberlakukan di organisasi Anda, Anda harus memastikan bahwa titik akhir Private Service Connect yang terhubung ke Google API (GOOGLE_APIS) diizinkan . Jika Anda mengkonfigurasi klaster pribadi, titik akhir yang terhubung ke layanan yang dipublikasikan (SERVICE_PRODUCERS) juga harus diizinkan.
6. Opsional: Aktifkan API Sistem File Kontainer untuk memungkinkan startup workstation yang lebih cepat.

   Aktifkan API Sistem File Kontainer

   Untuk informasi selengkapnya, lihat Kurangi waktu startup workstation dengan streaming gambar.

Membuat cluster pribadi

Ikuti langkah-langkah ini untuk membuat klaster pribadi:

1. Di konsol Google Cloud , buka halaman Cloud Workstations.

   Buka Stasiun Kerja Cloud

2. Buka halaman Manajemen Klaster workstation.

3. Klik Create.

4. Masukkan Name dan pilih Region untuk cluster workstation Anda.

5. Di bagian Networking, pilih Networks in this project.

6. Pilih Network dan Subnetwork.

7. Untuk Gateway type, pilih Private gateway.

8. Opsional: Tentukan satu atau beberapa project tambahan yang menghosting endpoint Private Service Connect yang memungkinkan akses HTTP ke cluster pribadi Anda. Secara default, endpoint ini hanya dapat dibuat di project cluster workstation dan project host jaringan VPC (jika berbeda). Jika diperlukan, project ini juga dapat ditentukan setelah pembuatan cluster.

9. Klik Create. Saat cluster sedang dibuat, statusnya akan muncul sebagai Memperbarui.

   Pembuatan cluster memerlukan waktu beberapa menit hingga selesai. Setelah pembuatan cluster selesai, status cluster mungkin muncul sebagai Degraded. Setelah Anda menyelesaikan langkah-langkah di bagian Buat endpoint PSC, status cluster akan berubah menjadi Siap dalam beberapa menit.

Mengaktifkan konektivitas cluster pribadi

Klien tidak dapat terhubung ke workstation di cluster workstation pribadi dari internet publik. Klien harus berada di jaringan yang terhubung ke cluster workstation menggunakan Private Service Connect (PSC). Ikuti langkah-langkah di bagian ini untuk terhubung ke workstation:

1. Buat endpoint PSC yang menargetkan lampiran layanan workstation Anda.

2. Buat zona DNS pribadi.

3. Gunakan Cloud DNS untuk membuat data DNS yang memetakan nama host cluster Anda ke endpoint PSC.

Membuat endpoint Private Service Connect

Catatan: Secara default, endpoint PSC dan zona DNS hanya dapat dibuat di project cluster workstation dan project host jaringan VPC (jika berbeda). Jika Anda ingin membuat resource ini di project lain, perbarui kolom privateClusterConfig.allowedProjects di cluster workstation menggunakan API atau UI workstation untuk menyertakan project.

Ikuti langkah-langkah berikut untuk membuat endpoint PSC:

1. Di konsol Google Cloud , buka Private Service Connect.

   Buka Private Service Connect

2. Klik tab Titik akhir yang terhubung lalu klik tambahHubungkan titik akhir.

3. Untuk Target, pilih Published service.

4. Pada kolom Layanan target, masukkan URI lampiran layanan yang dibuat untuk klaster workstation. Temukan ini dengan menavigasi ke klaster workstation Anda di konsol dan mencari bidang Service attachment URI di bawah Network settings.

5. Pada kolom Endpoint, masukkan nama endpoint.

6. Pilih Jaringan untuk titik akhir dan kemudian pilih Subjaringan. Jaringan ini haruslah jaringan yang ingin Anda gunakan untuk terhubung ke workstation Anda, dan harus sama dengan jaringan eksternal yang terhubung dengan Cloud VPN atau Cloud Interconnect.

7. Pilih IP address untuk endpoint.

   Jika Anda memerlukan alamat IP baru, pilih Buat alamat IP:

   1. Masukkan Name dan Description opsional untuk alamat IP.
   2. Untuk sebuah Alamat IP statis, pilih Tetapkan secara otomatis. Untuk Alamat IP Kustom, pilih Izinkan saya memilih dan masukkan alamat IP yang ingin Anda gunakan.
   3. Untuk Tujuan, pilih Tidak dibagikan.
   4. Klik Reserve.

8. Pilih Namespace dari menu drop-down atau buat namespace baru. Region akan terisi berdasarkan sub jaringan yang dipilih.

9. Klik Add endpoint.

10. Salin alamat IP dari endpoint agar Anda dapat menggunakannya di bagian selanjutnya untuk Membuat zona DNS pribadi dan catatan DNS.

Buat zona DNS pribadi

Ikuti langkah-langkah ini untuk membuat zona DNS privat untuk klaster workstation ini dengan Nama DNS yang diatur ke clusterHostname, yang dapat Anda temukan dengan menavigasi ke klaster workstation Anda di konsol.

1. Di konsol Google Cloud , buka halaman Create a DNS zone.

   Buka Buat zona DNS

2. Untuk Zone type, pilih Private.

3. Masukkan Zone name seperti private-workstations-cluster-zone.

4. Masukkan akhiran DNS name untuk zona pribadi. Semua data di zona memiliki akhiran ini. Tetapkan nama ini ke clusterHostname Anda.

   Untuk menemukan clusterHostname, buka halaman Cloud Workstations  > Cluster management di konsol Google Cloud , lalu klik cluster workstation Anda untuk melihat nama host.

5. Opsional: Tambahkan deskripsi.

6. Di bagian Options, pilih Default (private).

7. Pilih jaringan tempat Anda membuat endpoint PSC di bagian sebelumnya karena alamat IP hanya valid di jaringan tersebut.

8. Klik Create.

Untuk mengetahui informasi selengkapnya tentang zona DNS pribadi, lihat dokumentasi Cloud DNS tentang cara Membuat zona pribadi dan Praktik terbaik untuk zona pribadi Cloud DNS.

Membuat data DNS

Untuk menambahkan data yang memetakan *.<clusterHostname> ke alamat IP yang dicadangkan saat Anda membuat endpoint Private Service Connect, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Cloud DNS zones.

   Buka Cloud DNS zones

2. Klik nama zona terkelola yang ingin Anda tambahi data.

3. Di halaman Zone details, klik Add Standard.

4. Di halaman Create record set, di kolom DNS name, masukkan *.<clusterHostname>.

5. Di kolom IP Address, masukkan alamat IP yang Anda cadangkan untuk endpoint Private Service Connect di bagian sebelumnya.

6. Klik Create.

7. Jaringan VPC Anda kini akan terhubung ke cluster workstation dan Anda dapat terhubung ke workstation menggunakan jaringan ini.

Mengaktifkan resolusi DNS secara lokal

Untuk menggunakan editor berbasis browser default di workstation, gunakan browser dari mesin yang terhubung ke jaringan VPC. Anda dapat menggunakan Cloud VPN atau Cloud Interconnect untuk terhubung dari jaringan eksternal tempat Anda menjalankan browser ke jaringan VPC.

Untuk terhubung dari jaringan eksternal, Anda perlu mengkonfigurasi DNS di jaringan eksternal tersebut. Mirip dengan langkah-langkah sebelumnya, Anda dapat membuat zona DNS untuk clusterHostname dan menambahkan catatan yang memetakan *.<clusterHostname> ke alamat IP yang dicadangkan saat Anda membuat titik akhir Private Service Connect. Alternatifnya, Anda dapat mengatur zona penerusan DNS atau kebijakan server DNS untuk memungkinkan pencarian nama DNS antara lingkungan lokal dan Google Cloud Anda.

Anda mungkin juga perlu menambahkan *cloudworkstations.dev ke daftar yang diizinkan pada infrastruktur lokal Anda.

Konfigurasi Kontrol Layanan VPC untuk streaming gambar

Jika Anda secara opsional mengaktifkan image streaming untuk mengurangi waktu startup workstation, dan klaster workstation Anda berada di dalam perimeter VPC Service Controls, Anda harus mengkonfigurasi hal berikut dalam kebijakan perimeter Anda:

• Sertakan API Sistem File Kontainer (containerfilesystem.googleapis.com) dalam layanan terbatas dari perimeter layanan Anda.
• Tambahkan aturan keluar (egress rule) di perimeter layanan yang memungkinkan akun layanan yang ditentukan dalam konfigurasi workstation untuk mengakses API Sistem File Kontainer (Container File System API) pada proyek yang menampung citra kontainer Anda.
• Jika Anda menggunakanIDE yang telah dikonfigurasi sebelumnya Anda juga harus mengkonfigurasi aturan keluar (egress rule) untuk mengizinkan akses kecloud-workstations-images proyek (nomor proyek)662288601415 ).

Langkah berikutnya

• Siapkan akses VPC Bersama
• Memecahkan masalah umum VPC