Benutzerdefinierte Domains für Cloud Workstations einrichten

Für den Zugriff auf Ihre Workstations können Sie eine vertrauenswürdige, benutzerdefinierte Domain anstelle der Domain cloudworkstations.dev angeben.

Architektur

Wenn Sie Cloud Workstations mit einem benutzerdefinierten Hostnamen verwenden möchten, richten Sie einen privaten Cluster ein und richten Sie den Private Service Connect-Endpunkt (PSC) für eingehenden HTTP-Traffic für Ihren privaten Cluster ein. Außerdem müssen Sie einen Application Load Balancer mit PSC-Backend erstellen, der auf den für Ihren privaten Cluster erstellten PSC-Endpunkt verweist. Dieser Application Load Balancer kann entweder extern oder intern sein und verwaltet das SSL-Zertifikat für Ihre benutzerdefinierte Domain.

Das folgende Diagramm zeigt einen Cluster mit einer benutzerdefinierten Domain:

Abbildung 1: Cluster mit benutzerdefinierter Domain

Hinweis

So richten Sie eine benutzerdefinierte Domain für Cloud Workstations ein:

  1. Erstellen Sie einen privaten Cluster und geben Sie eine vertrauenswürdige, benutzerdefinierte Domain mit der gcloud-Befehlszeile oder REST API-Befehlen an.

  2. Erstellen Sie einen Application Load Balancer mit einem Private Service Connect-Backend (PSC) im selben Projekt, das Sie für das Workstation-Clusterprojekt verwendet haben. Wichtige Hinweise:

    1. Wenn Ihre Workstations privat sein sollen (nicht über das öffentliche Internet zugänglich), müssen Sie einen internen Load Balancer erstellen. Erstellen Sie dazu eine private DNS-Zone und fügen Sie einen Eintrag hinzu, der die Domain der internen IP-Adresse zuordnet, die vom Load Balancer verwendet wird. Weitere Informationen zum Erstellen eines internen Load Balancers finden Sie unter Interne Application Load Balancer.

    2. Den Dienstanhang, auf den Sie im Load Balancer verweisen müssen, finden Sie in der Workstation-Clusterressource, nachdem Sie den Cluster erstellt haben.

    3. Sie müssen ein Zertifikat anfordern und es im Load Balancer als Platzhalterzertifikat für Ihre Domain angeben, z. B. *.us-west1-cluster1.example.com. Informationen zu den Zertifikatstypen, die für den von Ihnen ausgewählten Load Balancer unterstützt werden, finden Sie unter Zertifikate und Google Cloud Load Balancer.

    4. Sie können den Load Balancer auch in einem anderen Projekt erstellen, solange Sie ihn der Liste PrivateClusterConfig.allowedProjects hinzufügen.

    5. Wenn Sie mehrere Workstation-Cluster in Ihrer Organisation haben, können Sie einen einzelnen Load Balancer mit separaten Backend-Diensten, Zertifikaten und Routingregeln verwenden.

  3. Richten Sie ein Domain Name System (DNS) ein. Da es sich um eine von Ihnen verwaltete Domain handelt, richten Sie ein DNS für diese Domain ein. Ordnen Sie dazu alle Subdomains der bereitgestellten Domain dem Load Balancer zu. Erstellen Sie beispielsweise eine DNS-Zone für us-west1-cluster1.example.com und fügen Sie einen Eintrag hinzu, der *.us-west1-cluster1.example.com der externen IP-Adresse zuordnet, die von Ihrem Load Balancer verwendet wird.

  4. Wenn Sie über die benutzerdefinierte Domain auf Workstations zugreifen möchten, verwenden Sie den von Ihnen erstellten Cluster, um eine Workstationkonfiguration zu erstellen. Erstellen Sie dann eine Workstation mit dieser Workstationkonfiguration.

  5. Starten Sie Ihre Workstation und prüfen Sie die URL. Wenn Sie eine benutzerdefinierte Domain angeben, hat die Workstation-URL das folgende Format:

    https://PORT-WORKSTATION_NAME.DOMAIN

    Die folgenden Teile der URL hängen von Ihrer Konfiguration ab:

    • PORT: die Portnummer, standardmäßig Port 80.
    • WORKSTATION_NAME: der Name Ihrer Workstation.
    • DOMAIN: Ihr clusterspezifischer Domainname

Privaten Cluster erstellen

So erstellen Sie einen privaten Workstation-Cluster mit einem privaten Endpunkt:

gcloud

  1. Bevor Sie beginnen, müssen Sie die gcloud-Befehlszeile initialisieren. Führen Sie dazu gcloud init aus und geben Sie ein Standardprojekt an. In den folgenden Beispielen wird davon ausgegangen, dass Sie Ihr Standardprojekt festgelegt haben.

  2. Führen Sie den folgenden Befehl aus, um einen privaten Workstation-Cluster zu erstellen:

    gcloud workstations clusters create WORKSTATION_CLUSTER \
  --region=REGION \
  --domain=DOMAIN \
  --network=NETWORK \
  --subnetwork=SUBNETWORK \
  --enable-private-endpoint

    Ersetzen Sie Folgendes:

    • WORKSTATION_CLUSTER: der Name des zu erstellenden Workstation-Clusters.
    • REGION: der Name der Region des Clusters.
    • DOMAIN: der Domainname, der von Cloud Workstations für eingehenden HTTP-Traffic verwendet wird. Verwenden Sie eine für diesen Cluster eindeutige Subdomain, z. B. us-west1-cluster1.example.com.
    • NETWORK: der Name des VPC-Netzwerks Wenn nichts angegeben ist, wird das Standard-VPC-Netzwerk verwendet.
    • SUBNETWORK: der Name des Subnetzwerks im VPC-Netzwerk. Wenn sowohl Netzwerk als auch Subnetzwerk weggelassen werden, wird das Standard-VPC-Netzwerk verwendet und das Standardsubnetzwerk in der angegebenen REGION.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud workstations clusters create.

curl

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json"  -d '{"domain_config": {"domain": "DOMAIN"}, "private_cluster_config": {"enable_private_endpoint":true}, "network": "NETWORK", "subnetwork": "SUBNETWORK"}'  https://workstations.googleapis.com/v1/projects/PROJECT_NAME/locations/REGION/workstationClusters?workstation_cluster_id=WORKSTATION_CLUSTER

Ersetzen Sie Folgendes:

  • DOMAIN: der Domainname, der von Cloud Workstations für eingehenden HTTP-Traffic verwendet wird. Dies muss eine für diesen Cluster eindeutige Subdomain sein, z. B. us-west1-cluster1.example.com.
  • NETWORK: der Name des VPC-Netzwerks. Wenn nichts angegeben ist, wird das Standard-VPC-Netzwerk verwendet.
  • SUBNETWORK: der Name des Subnetzwerks im VPC-Netzwerk. Wenn sowohl Netzwerk als auch Subnetzwerk weggelassen werden, wird das Standard-VPC-Netzwerk verwendet und das Standardsubnetzwerk in der angegebenen REGION.
  • PROJECT_NAME: der Name des Projekts.
  • REGION: der Name der Region des Clusters.
  • WORKSTATION_CLUSTER: der Name des zu erstellenden Workstation-Clusters.

Weitere Informationen zu dieser API-Methode finden Sie in der workstationClusters.create-Referenzdokumentation.

REST

POST https://workstations.googleapis.com/v1/projects/PROJECT_NAME/locations/REGION/workstationClusters?workstationClusterId=WORKSTATION_CLUSTER
{
  "domainConfig": {
    "domain": "DOMAIN"
  },
  "privateClusterConfig": {
    "enablePrivateEndpoint": true
  },
  "network": "NETWORK",
  "subnetwork": "SUBNETWORK"
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • REGION: der Name der Region des Clusters.
  • WORKSTATION_CLUSTER: der Name des zu erstellenden Workstation-Clusters.
  • DOMAIN: der Domainname, der von Cloud Workstations für eingehenden HTTP-Traffic verwendet wird. Dies sollte eine für diesen Cluster eindeutige Subdomain sein, z. B. us-west1-cluster1.example.com.
  • NETWORK: der Name des VPC-Netzwerks. Wenn nichts angegeben ist, wird das Standard-VPC-Netzwerk verwendet.
  • SUBNETWORK: der Name des Subnetzwerks im VPC-Netzwerk. Wenn sowohl Netzwerk als auch Subnetzwerk weggelassen werden, wird das Standard-VPC-Netzwerk verwendet und das Standardsubnetzwerk in der angegebenen REGION.

Weitere Informationen zu dieser API-Methode finden Sie in der workstationClusters.create-Referenzdokumentation.

Application Load Balancer mit PSC-Backend erstellen

Führen Sie die folgenden Schritte in der gcloud-Befehlszeile und der REST API aus, um einen Application Load Balancer mit einem PSC-Backend zu erstellen:

  1. NEG zum Herstellen einer Verbindung zu einem veröffentlichten Dienst erstellen
  2. Backend zu einem globalen externen Application Load Balancer hinzufügen
  3. URL-Zuordnung erstellen, um eingehende Anfragen an den Backend-Dienst weiterzuleiten
  4. Ziel-HTTPS-Proxy erstellen
  5. Globale Adresse erstellen
  6. Weiterleitungsregel erstellen
  7. Optional: Regionalen oder internen Application Load Balancer konfigurieren

NEG zum Herstellen einer Verbindung zu einem veröffentlichten Dienst erstellen

Wenn Sie eine NEG erstellen, die auf einen veröffentlichten Dienst verweist, benötigen Sie den URI des Dienstanhangs für den Dienst. Der Dienstanhang hat folgendes Format: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME. Sie finden den URI in der Workstation-Cluster-Ressource.

gcloud

gcloud compute network-endpoint-groups create NEG_NAME \
  --network-endpoint-type=private-service-connect \
  --psc-target-service=TARGET_SERVICE \
  --region=REGION \
  --network=NETWORK \
  --subnet=SUBNET

Dabei gilt:

  • NEG_NAME ist ein Name für die Netzwerk-Endpunktgruppe.
  • TARGET_SERVICE ist der URI des Dienstanhangs.
  • REGION ist die Region, in der die Netzwerk-Endpunktgruppe erstellt werden soll. Die Region muss mit der Region des Zieldienstes übereinstimmen.
  • NETWORK: das VPC-Netzwerk, in dem die Netzwerk-Endpunktgruppe erstellt werden soll. Wenn nichts angegeben ist, wird das Standardnetzwerk verwendet.
  • SUBNET: das Subnetz, in dem die Netzwerk-Endpunktgruppe erstellt werden soll. Das Subnetz muss sich in derselben Region wie der Zieldienst befinden. Ein Subnetz muss angegeben werden, wenn Sie das Netzwerk angeben. Wenn sowohl Netzwerk als auch Subnetz weggelassen werden, wird das Standardnetzwerk verwendet und das Standardsubnetz in der angegebenen REGION.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute network-endpoint-groups create.

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/networkEndpointGroups
{
  "pscTargetService": "TARGET_SERVICE",
  "networkEndpointType": "PRIVATE_SERVICE_CONNECT",
  "name": "NEG_NAME",
  "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/networks/NETWORK",
  "subnetwork": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET"
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • REGION ist die Region, in der die Netzwerk-Endpunktgruppe erstellt werden soll. Die Region muss mit der Region des Zieldienstes übereinstimmen.
  • TARGET_SERVICE ist der URI des Dienstanhangs.
  • NEG_NAME ist ein Name für die Netzwerk-Endpunktgruppe.
  • NETWORK: das VPC-Netzwerk, in dem die Netzwerk-Endpunktgruppe erstellt werden soll. Wenn nichts angegeben ist, wird das Standardnetzwerk verwendet.
  • SUBNET: das Subnetz, in dem die Netzwerk-Endpunktgruppe erstellt werden soll. Das Subnetz muss sich in derselben Region wie der Zieldienst befinden. Ein Subnetz muss angegeben werden, wenn Sie das Netzwerk angeben. Wenn sowohl Netzwerk als auch Subnetz weggelassen werden, wird das Standardnetzwerk verwendet und das Standardsubnetz in der angegebenen REGION.

Backend zu einem globalen externen Application Load Balancer hinzufügen

gcloud

  1. Erstellen Sie einen Backend-Dienst für den Zieldienst:

    gcloud compute backend-services create BACKEND_SERVICE_NAME \
--load-balancing-scheme=EXTERNAL_MANAGED \
--protocol=HTTPS \
--global

    Ersetzen Sie BACKEND_SERVICE_NAME durch den Namen des Backend-Dienstes.

  2. Fügen Sie die Private Service Connect NEG hinzu, die auf den Zieldienst verweist.

    gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
--network-endpoint-group=NEG_NAME \
--network-endpoint-group-region=NEG_REGION \
--global

    Ersetzen Sie dabei Folgendes:

    • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
    • NEG_NAME ist der Name der Netzwerk-Endpunktgruppe.
    • NEG_REGION ist die Region der Netzwerk-Endpunktgruppe.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute backend-services create und gcloud compute backend-services add-backend.

REST

  1. Erstellen Sie einen Backend-Dienst für den Zieldienst:

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices
{
  "protocol": "HTTPS",
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "name": "BACKEND_SERVICE_NAME"
}

    Ersetzen Sie BACKEND_SERVICE_NAME durch den Namen des Backend-Dienstes.

  2. Fügen Sie die Private Service Connect NEG hinzu, die auf den Zieldienst verweist.

    PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices/BACKEND_SERVICE_NAME
{
  "backends": [
    {
      "group": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/NEG_REGION/networkEndpointGroups/NEG_NAME "
    }
  ]
}

    Ersetzen Sie Folgendes:

    • PROJECT_NAME: der Name des Projekts.
    • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
    • NEG_REGION ist die Region der Netzwerk-Endpunktgruppe.
    • NEG_NAME ist der Name der Netzwerk-Endpunktgruppe.

URL-Zuordnung erstellen, um eingehende Anfragen an den Backend-Dienst weiterzuleiten

gcloud

gcloud compute url-maps create URL_MAP_NAME \
  --default-service=BACKEND_SERVICE_NAME \
  --global

Ersetzen Sie Folgendes:

  • URL_MAP_NAME: der Name der zu erstellenden URL-Zuordnung.
  • BACKEND_SERVICE_NAME: Der Name des Backend-Dienstes, der für Anfragen verwendet werden soll, wenn diese URL-Zuordnung keine Zuordnungen enthält.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute url-maps create.

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/urlMaps
{
  "name": "URL_MAP_NAME",
  "defaultService": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/backendServices/BACKEND_SERVICE_NAME "
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • URL_MAP_NAME: der Name der zu erstellenden URL-Zuordnung.
  • BACKEND_SERVICE_NAME: Der Name des Backend-Dienstes, der für Anfragen verwendet werden soll, wenn diese URL-Zuordnung keine Zuordnungen enthält.

HTTPS-Proxy erstellen

Erstellen Sie einen HTTPS-Zielproxy, um Anfragen an Ihr URL-Mapping zu leiten. Der Proxy ist der Teil des Load Balancers, der das SSL-Zertifikat für das HTTPS-Load Balancing besitzt. Daher laden Sie in diesem Schritt auch Ihr Zertifikat:

gcloud

gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
  --ssl-certificates=SSL_CERTIFICATE_NAME \
  --url-map=URL_MAP_NAME \
  --global

Ersetzen Sie Folgendes:

  • TARGET_HTTPS_PROXY_NAME: der Name des zu erstellenden HTTPS-Zielproxys.
  • SSL_CERTIFICATE_NAME: das SSL-Zertifikat, das mit dem Load Balancer verknüpft ist.
  • URL_MAP_NAME: die URL-Zuordnungsressource.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute target-https-proxies create.

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/targetHttpsProxies
{
  "sslCertificates": [
    "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/sslCertificates/SSL_CERTIFICATE_NAME"
  ],
  "urlMap": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/urlMaps/URL_MAP_NAME",
  "name": "TARGET_HTTPS_PROXY_NAME"
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • SSL_CERTIFICATE_NAME: das SSL-Zertifikat, das dem Load Balancer zugeordnet ist.
  • URL_MAP_NAME: die URL-Zuordnungsressource.
  • TARGET_HTTPS_PROXY_NAME: der Name des zu erstellenden HTTPS-Zielproxys.

Globale Adresse erstellen

Reservieren Sie eine statische IP-Adresse, die von Ihrem Load Balancer verwendet werden soll:

gcloud

gcloud compute addresses create LB_IP_ADDRESS_NAME \
  --global

Ersetzen Sie Folgendes:

  • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute addresses create.

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/addresses
{
  "name": "LB_IP_ADDRESS_NAME"
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.

Weiterleitungsregel erstellen

Erstellen Sie eine Weiterleitungsregel, um eingehende Anfragen an den Proxy weiterzuleiten:

gcloud

gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network-tier=PREMIUM \
  --address=LB_IP_ADDRESS_NAME  \
  --target-https-proxy=TARGET_HTTPS_PROXY_NAME  \
  --global \
  --ports=443

Ersetzen Sie Folgendes:

  • HTTPS_FORWARDING_RULE_NAME ist der Name der zu erstellenden Weiterleitungsregel.
  • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.
  • TARGET_HTTPS_PROXY_NAME: der Ziel-HTTPS-Proxy, der den Traffic empfängt.

Weitere Informationen zu diesem gcloud-CLI-Befehl finden Sie in der Referenzdokumentation zu gcloud compute forwarding-rules create.

REST

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/global/forwardingRules
{
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "networkTier": "PREMIUM",
  "IPAddress": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/addresses/LB_IP_ADDRESS_NAME",
  "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/targetHttpsProxies/TARGET_HTTPS_PROXY_NAME",
  "name": "HTTPS_FORWARDING_RULE_NAME",
  "portRange": "443-443"
}

Ersetzen Sie Folgendes:

  • PROJECT_NAME: der Name des Projekts.
  • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.
  • TARGET_HTTPS_PROXY_NAME: der Ziel-HTTPS-Proxy, der den Traffic empfängt.
  • HTTPS_FORWARDING_RULE_NAME ist der Name der zu erstellenden Weiterleitungsregel.

Regionalen oder internen Application Load Balancer konfigurieren

Wenn Sie einen regionalen externen Application Load Balancer (z. B. für Anforderungen an den Datenstandort) oder einen internen Application Load Balancer konfigurieren, beachten Sie die folgenden Anforderungen. Bevor Sie regionale Load-Balancer-Ressourcen konfigurieren, müssen Sie die Private Service Connect-NEG erstellen, die auf Ihren Workstationcluster verweist, wie unter NEG für die Verbindung mit einem veröffentlichten Dienst erstellen beschrieben.

  1. Nur-Proxy-Subnetz konfigurieren: Regionale Envoy-basierte Load Balancer erfordern ein Nur-Proxy-Subnetz in der Region und im VPC-Netzwerk, in dem sich der Load Balancer befindet. Sie müssen das Nur-Proxy-Subnetz erstellen, bevor Sie die Weiterleitungsregel erstellen:

    gcloud

    gcloud compute networks subnets create PROXY_ONLY_SUBNET \
  --purpose=REGIONAL_MANAGED_PROXY \
  --role=ACTIVE \
  --region=REGION \
  --network=NETWORK \
  --range=PROXY_ONLY_RANGE

    Ersetzen Sie Folgendes:

    • PROXY_ONLY_SUBNET: ein Name für das Nur-Proxy-Subnetz.
    • REGION: die Region, in der sich der Workstation-Cluster und der Load Balancer befinden.
    • NETWORK: das VPC-Netzwerk, in dem sich der Workstation-Cluster und der Load Balancer befinden.
    • PROXY_ONLY_RANGE: ein nicht verwendeter CIDR-Block in Ihrem VPC-Netzwerk, z. B. 10.0.0.0/24, mit einer Mindestgröße von /26 (64 Adressen).

    Weitere Informationen finden Sie unter Nur-Proxy-Subnetze für Envoy-basierte Load Balancer und in der Referenzdokumentation zu gcloud compute networks subnets create.

    REST

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/subnetworks
{
  "name": "PROXY_ONLY_SUBNET",
  "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/networks/NETWORK",
  "ipCidrRange": "PROXY_ONLY_RANGE",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

    Ersetzen Sie Folgendes:

    • PROJECT_NAME: der Name des Projekts.
    • REGION: die Region, in der sich der Workstation-Cluster und der Load Balancer befinden.
    • PROXY_ONLY_SUBNET: ein Name für das Nur-Proxy-Subnetz.
    • NETWORK: das VPC-Netzwerk, in dem sich der Workstation-Cluster und der Load Balancer befinden.
    • PROXY_ONLY_RANGE: ein nicht verwendeter CIDR-Block in Ihrem VPC-Netzwerk, z. B. 10.0.0.0/24, mit einer Mindestgröße von /26 (64 Adressen).

  2. Regionale Load-Balancer-Ressourcen erstellen: Erstellen Sie den Backend-Dienst, fügen Sie das Private Service Connect-NEG-Backend hinzu, erstellen Sie die URL-Zuordnung, erstellen Sie den Ziel-HTTPS-Proxy und reservieren Sie eine statische IP-Adresse in derselben Region wie Ihr Workstation-Cluster:

    gcloud

    1. Erstellen Sie einen regionalen Backend-Dienst. Setzen Sie --load-balancing-scheme für einen regionalen externen Application Load Balancer auf EXTERNAL_MANAGED oder für einen internen Application Load Balancer auf INTERNAL_MANAGED:

      gcloud compute backend-services create BACKEND_SERVICE_NAME \
  --load-balancing-scheme=SCHEME \
  --protocol=HTTPS \
  --region=REGION

      Ersetzen Sie Folgendes:

      • BACKEND_SERVICE_NAME: ein Name für den Backend-Dienst.
      • SCHEME: das Load-Balancing-Schema (EXTERNAL_MANAGED für einen regionalen externen Application Load Balancer oder INTERNAL_MANAGED für einen internen Application Load Balancer).
      • REGION: die Region, in der sich der Workstation-Cluster und der Load Balancer befinden.

    2. Fügen Sie dem Backend-Dienst die Private Service Connect-NEG hinzu, die auf Ihren Workstation-Cluster verweist:

      gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
  --network-endpoint-group=NEG_NAME \
  --network-endpoint-group-region=REGION \
  --region=REGION

      Ersetzen Sie Folgendes:

      • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
      • NEG_NAME ist der Name der Netzwerk-Endpunktgruppe.
      • REGION: die Region der Netzwerk-Endpunktgruppe und des Backend-Dienstes.

    3. Erstellen Sie eine regionale URL-Zuordnung, um eingehende Anfragen an den Backend-Dienst weiterzuleiten:

      gcloud compute url-maps create URL_MAP_NAME \
  --default-service=BACKEND_SERVICE_NAME \
  --region=REGION

      Ersetzen Sie Folgendes:

      • URL_MAP_NAME ist ein Name für die URL-Zuordnung.
      • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
      • REGION ist die Region der URL-Zuordnung.

    4. Erstellen Sie einen regionalen HTTPS-Zielproxy:

      gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
  --ssl-certificates=SSL_CERTIFICATE_NAME \
  --url-map=URL_MAP_NAME \
  --url-map-region=REGION \
  --region=REGION

      Ersetzen Sie Folgendes:

      • TARGET_HTTPS_PROXY_NAME ist ein Name für den Ziel-HTTPS-Proxy.
      • SSL_CERTIFICATE_NAME: das regionale SSL-Zertifikat, das mit dem Load Balancer verknüpft ist.
      • URL_MAP_NAME ist der Name der URL-Zuordnung.
      • REGION: die Region des Ziel-HTTPS-Proxys und der URL-Zuordnung.

    5. Reservieren Sie eine statische IP-Adresse für den Load-Balancer:

      Für einen regionalen externen Load Balancer:

      gcloud compute addresses create LB_IP_ADDRESS_NAME \
  --region=REGION

      Für einen internen Load Balancer:

      gcloud compute addresses create LB_IP_ADDRESS_NAME \
  --region=REGION \
  --subnet=SUBNET

      Ersetzen Sie Folgendes:

      • LB_IP_ADDRESS_NAME: ein Name für die reservierte statische IP-Adresse.
      • REGION: die Region der IP-Adresse.
      • SUBNET: Für interne Load Balancer das VPC-Subnetz, in dem die interne IP-Adresse reserviert werden soll.

    REST

    1. Erstellen Sie einen regionalen Backend-Dienst:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/backendServices
{
  "name": "BACKEND_SERVICE_NAME",
  "loadBalancingScheme": "SCHEME",
  "protocol": "HTTPS"
}

      Ersetzen Sie Folgendes:

      • PROJECT_NAME: der Name des Projekts.
      • REGION ist die Region des Backend-Dienstes.
      • BACKEND_SERVICE_NAME: ein Name für den Backend-Dienst.
      • SCHEME: das Load-Balancing-Schema (EXTERNAL_MANAGED für einen regionalen externen Application Load Balancer oder INTERNAL_MANAGED für einen internen Application Load Balancer).

    2. Fügen Sie dem Backend-Dienst die Private Service Connect-NEG hinzu, die auf Ihren Workstation-Cluster verweist:

      PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/backendServices/BACKEND_SERVICE_NAME
{
  "backends": [
    {
      "group": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/networkEndpointGroups/NEG_NAME"
    }
  ]
}

      Ersetzen Sie Folgendes:

      • PROJECT_NAME: der Name des Projekts.
      • REGION: die Region des Backend-Dienstes und der NEG.
      • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
      • NEG_NAME ist der Name der Netzwerk-Endpunktgruppe.

    3. Erstellen Sie eine regionale URL-Zuordnung, um eingehende Anfragen an den Backend-Dienst weiterzuleiten:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/urlMaps
{
  "name": "URL_MAP_NAME",
  "defaultService": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/backendServices/BACKEND_SERVICE_NAME"
}

      Ersetzen Sie Folgendes:

      • PROJECT_NAME: der Name des Projekts.
      • REGION ist die Region der URL-Zuordnung.
      • URL_MAP_NAME ist ein Name für die URL-Zuordnung.
      • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.

    4. Erstellen Sie einen regionalen HTTPS-Zielproxy:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/targetHttpsProxies
{
  "name": "TARGET_HTTPS_PROXY_NAME",
  "sslCertificates": [
    "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/sslCertificates/SSL_CERTIFICATE_NAME"
  ],
  "urlMap": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/urlMaps/URL_MAP_NAME"
}

      Ersetzen Sie Folgendes:

      • PROJECT_NAME: der Name des Projekts.
      • REGION: die Region des HTTPS-Zielproxys.
      • TARGET_HTTPS_PROXY_NAME ist ein Name für den Ziel-HTTPS-Proxy.
      • SSL_CERTIFICATE_NAME: das regionale SSL-Zertifikat.
      • URL_MAP_NAME: die URL-Zuordnungsressource.

    5. Reservieren Sie eine statische IP-Adresse für den Load-Balancer:

      Für einen regionalen externen Load Balancer:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/addresses
{
  "name": "LB_IP_ADDRESS_NAME"
}

      Für einen internen Load Balancer:

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/addresses
{
  "name": "LB_IP_ADDRESS_NAME",
  "subnetwork": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET",
  "addressType": "INTERNAL"
}

      Ersetzen Sie Folgendes:

      • PROJECT_NAME: der Name des Projekts.
      • REGION: die Region der IP-Adresse.
      • LB_IP_ADDRESS_NAME: ein Name für die reservierte statische IP-Adresse.
      • SUBNET: Für interne Load Balancer das VPC-Subnetz, in dem die interne IP-Adresse reserviert werden soll.

  3. Netzwerk in der Weiterleitungsregel angeben: Geben Sie beim Erstellen der Weiterleitungsregel das Flag --network (und das Flag --subnet für interne Load Balancer) an:

    gcloud

    Für einen regionalen externen Load Balancer:

    gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=EXTERNAL_MANAGED \
  --network-tier=PREMIUM \
  --network=NETWORK \
  --address=LB_IP_ADDRESS_NAME \
  --ports=443 \
  --region=REGION \
  --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
  --target-https-proxy-region=REGION

    Für einen internen Load Balancer:

    gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
  --load-balancing-scheme=INTERNAL_MANAGED \
  --network=NETWORK \
  --subnet=SUBNET \
  --address=LB_IP_ADDRESS_NAME \
  --ports=443 \
  --region=REGION \
  --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
  --target-https-proxy-region=REGION

    Ersetzen Sie Folgendes:

    • HTTPS_FORWARDING_RULE_NAME ist der Name der zu erstellenden Weiterleitungsregel.
    • NETWORK: das VPC-Netzwerk, in dem sich der Load Balancer und der Workstation-Cluster befinden.
    • SUBNET: Für interne Load Balancer das VPC-Subnetz, in dem sich die reservierte interne IP-Adresse befindet.
    • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.
    • REGION: die Region der Weiterleitungsregel und des Ziel-HTTPS-Proxys.
    • TARGET_HTTPS_PROXY_NAME: der Ziel-HTTPS-Proxy, der den Traffic empfängt.

    REST

    Für einen regionalen externen Load Balancer:

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/forwardingRules
{
  "loadBalancingScheme": "EXTERNAL_MANAGED",
  "networkTier": "PREMIUM",
  "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/networks/NETWORK",
  "IPAddress": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/addresses/LB_IP_ADDRESS_NAME",
  "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/targetHttpsProxies/TARGET_HTTPS_PROXY_NAME",
  "name": "HTTPS_FORWARDING_RULE_NAME",
  "portRange": "443-443"
}

    Für einen internen Load Balancer:

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/forwardingRules
{
  "loadBalancingScheme": "INTERNAL_MANAGED",
  "network": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/global/networks/NETWORK",
  "subnetwork": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET",
  "IPAddress": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/addresses/LB_IP_ADDRESS_NAME",
  "target": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/REGION/targetHttpsProxies/TARGET_HTTPS_PROXY_NAME",
  "name": "HTTPS_FORWARDING_RULE_NAME",
  "portRange": "443-443"
}

    Ersetzen Sie Folgendes:

    • PROJECT_NAME: der Name des Projekts.
    • REGION: die Region der Weiterleitungsregel und des HTTPS-Zielproxys.
    • NETWORK: das VPC-Netzwerk, in dem sich der Load Balancer und der Workstation-Cluster befinden.
    • LB_IP_ADDRESS_NAME: der Name für die reservierte statische externe oder interne IP-Adresse des Load Balancers.
    • TARGET_HTTPS_PROXY_NAME: der Ziel-HTTPS-Proxy, der den Traffic empfängt.
    • HTTPS_FORWARDING_RULE_NAME ist der Name der zu erstellenden Weiterleitungsregel.
    • SUBNET: Für interne Load Balancer das VPC-Subnetz, in dem sich die reservierte interne IP-Adresse befindet.

DNS konfigurieren

Konfigurieren Sie das DNS und fügen Sie einen Eintrag hinzu, der *.DOMAIN (z. B. *.example.com) der im vorherigen Schritt reservierten IP-Adresse zuordnet:

  • Externer Application Load Balancer: Fügen Sie einen DNS-Eintrag hinzu, der *.DOMAIN der reservierten statischen externen IP-Adresse in Ihrer öffentlichen DNS-Zone zuordnet. Wenn Sie DNS für Ihre Domain mit Cloud DNS verwalten, finden Sie weitere Informationen unter DNS-Eintrag hinzufügen.

  • Interner Application Load Balancer: Fügen Sie einen DNS-Eintrag hinzu, der *.DOMAIN der reservierten statischen internen IP-Adresse in einer privaten DNS-Zone zuordnet, die für Ihr VPC-Netzwerk autorisiert ist. Wenn Sie Cloud DNS verwenden, lesen Sie die Informationen unter Private Zone erstellen und DNS-Eintrag hinzufügen.

Workstationkonfiguration und Workstation erstellen

So greifen Sie über die benutzerdefinierte Domain auf Workstations zu:

  1. Verwenden Sie den Cluster mit der benutzerdefinierten Domain, um eine Workstation-Konfiguration zu erstellen.

  2. Erstellen Sie eine Workstation mit der Workstationkonfiguration mit der benutzerdefinierten Domain.

Nächste Schritte

Weitere Informationen zum Einrichten benutzerdefinierter Domains und privater Cluster finden Sie hier: