Questo documento mostra due configurazioni di esempio per la configurazione di un bilanciatore del carico delle applicazioni interno in un ambiente VPC condiviso:
- Il primo esempio crea tutti i componenti del bilanciatore del carico e i backend in un unico progetto di servizio.
- Il secondo esempio crea i componenti frontend e la mappa URL del bilanciatore del carico in un progetto di servizio, mentre il servizio di backend e i backend del bilanciatore del carico vengono creati in un progetto di servizio diverso. Questo tipo di deployment, in cui la mappa URL fa riferimento a un servizio di backend in un altro progetto, è denominato riferimento al servizio tra progetti.
Entrambi gli esempi richiedono la stessa configurazione iniziale per concedere autorizzazioni e configurare VPC condiviso prima di poter iniziare a creare bilanciatori del carico.
Queste non sono le uniche configurazioni di VPC condiviso supportate dai bilanciatori del carico delle applicazioni interni. Per altre architetture VPC condiviso valide, consulta Architetture VPC condivise.
Se non vuoi utilizzare una rete VPC condiviso, consulta Configurare un bilanciatore del carico delle applicazioni interno.
Prima di iniziare
- Leggi la panoramica del VPC condiviso.
- Leggi la panoramica del bilanciatore del carico delle applicazioni interno, inclusa la sezione Architetture VPC condiviso.
Autorizzazioni obbligatorie
La configurazione di un bilanciatore del carico su una rete VPC condiviso richiede una configurazione e un provisioning iniziali da parte di un amministratore. Dopo la configurazione iniziale, il proprietario di un progetto di servizio può:
- Esegui il deployment di tutti i componenti del bilanciatore del carico e dei relativi backend in un progetto di servizio.
- Esegui il deployment dei componenti di backend del bilanciatore del carico (servizio di backend e backend) nei progetti di servizio a cui è possibile fare riferimento da una mappa URL in un altro progetto di servizio o host.
Questa sezione riassume le autorizzazioni necessarie per seguire questa guida per configurare un bilanciatore del carico su una reteVPC condivisoa.
Configura rete VPC condivisa
Per le seguenti attività sono necessari i seguenti ruoli:
- Eseguire attività amministrative una tantum, come la configurazione del VPC condiviso e l'attivazione di un progetto host.
- Esegui attività amministrative che devono essere ripetute ogni volta che vuoi eseguire l'onboarding di un nuovo service project. Ciò include il collegamento del progetto di servizio, il provisioning e la configurazione delle risorse di rete e la concessione dell'accesso all'amministratore del progetto di servizio.
Queste attività devono essere eseguite nel progetto host VPC condiviso. Ti consigliamo che l'amministratore del VPC condiviso sia anche il proprietario del progetto host VPC condiviso. In questo modo vengono concessi automaticamente i ruoli Network Admin e Amministratore sicurezza.
Attività | Ruolo richiesto |
---|---|
Configura il VPC condiviso, attiva il progetto host e concedi l'accesso agli amministratori del progetto di servizio | Amministratore del VPC condiviso |
Crea subnet nel progetto host del VPC condiviso e concedi l'accesso agli amministratori del progetto di servizio | Amministratore di rete |
Aggiungere e rimuovere regole firewall | Amministratore della sicurezza |
Una volta eseguito il provisioning delle subnet, il proprietario del progetto host deve concedere il ruolo Utente di rete nel progetto host a chiunque (in genere amministratori, sviluppatori o service account del progetto di servizio) debba utilizzare queste risorse.
Attività | Ruolo richiesto |
---|---|
Utilizza reti e subnet VPC appartenenti al progetto host | Utente di rete |
Questo ruolo può essere concesso a livello di progetto o per singole subnet. Ti consigliamo di concedere il ruolo sulle singole subnet. La concessione del ruolo nel progetto fornisce l'accesso a tutte le subnet attuali e future nella rete VPC del progetto host.
Esegui il deployment del bilanciatore del carico e dei backend
Gli amministratori del progetto di servizio hanno bisogno dei seguenti ruoli nel progetto di servizio per creare risorse di bilanciamento del carico e backend. Queste autorizzazioni vengono concesse automaticamente al proprietario o all'editor del progetto di servizio.
Attività | Ruolo richiesto |
---|---|
Crea i componenti del bilanciatore del carico | Amministratore di rete |
Creazione delle istanze | Amministratore istanza |
Crea e modifica certificati SSL | Amministratore della sicurezza |
Prerequisiti
In questa sezione devi eseguire i seguenti passaggi:
I passaggi descritti in questa sezione non devono essere eseguiti ogni volta che vuoi creare un nuovo bilanciatore del carico. Tuttavia, prima di procedere alla creazione del bilanciatore del carico, devi assicurarti di avere accesso alle risorse descritte qui.
Configura la rete e le subnet nel progetto host
Hai bisogno di una rete VPC condiviso con due subnet: una per il frontend e i backend del bilanciatore del carico e una per i proxy del bilanciatore del carico.Questo esempio utilizza la seguente rete, regione e subnet:
Rete. La rete si chiama
lb-network
.Subnet per il frontend e i backend del bilanciatore del carico. Una subnet denominata
lb-frontend-and-backend-subnet
nella regioneus-west1
utilizza10.1.2.0/24
per il suo intervallo IP principale.Subnet per i proxy. Una subnet denominata
proxy-only-subnet
nella regioneus-west1
utilizza10.129.0.0/23
per il suo intervallo IP principale.
Configura la subnet per il frontend e i backend del bilanciatore del carico
Questo passaggio non deve essere eseguito ogni volta che vuoi creare un nuovo bilanciatore del carico. Devi solo assicurarti che il progetto di servizio abbia accesso a una subnet nella rete VPC condiviso (oltre alla subnet solo proxy).Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud , vai alla pagina Reti VPC.
- Fai clic su Crea rete VPC.
- In Nome, inserisci
lb-network
. Nella sezione Subnet:
- Imposta Modalità di creazione subnet su Personalizzata.
Nella sezione Nuova subnet, inserisci le seguenti informazioni:
- Nome:
lb-frontend-and-backend-subnet
Regione:
us-west1
Intervallo di indirizzi IP:
10.1.2.0/24
- Nome:
Fai clic su Fine.
Fai clic su Crea.
gcloud
Crea una rete VPC con il comando
gcloud compute networks create
:gcloud compute networks create lb-network --subnet-mode=custom
Crea una subnet nella rete
lb-network
nella regioneus-west1
:gcloud compute networks subnets create lb-frontend-and-backend-subnet
--network=lb-network
--range=10.1.2.0/24
--region=us-west1
Terraform
Crea una rete VPC:
Crea una subnet nella regione
us-west1
:
Configura la subnet solo proxy
La subnet solo proxy viene utilizzata da tutti i bilanciatori del carico basati su Envoy a livello di regione nella regione us-west1
, nella rete VPC lb-network
. Può esserci una sola subnet solo proxy attiva per regione e per rete.
Non eseguire questo passaggio se in questa rete è già riservata una subnet solo proxy nella regione us-west1
.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
- Nella console Google Cloud , vai alla pagina Reti VPC.
- Fai clic sul nome della rete VPC condiviso:
lb-network
. - Fai clic su Aggiungi subnet.
- In Nome, inserisci
proxy-only-subnet
. - In Regione, seleziona
us-west1
. - Imposta Scopo su Proxy gestito a livello di regione.
- In Intervallo di indirizzi IP, inserisci
10.129.0.0/23
. - Fai clic su Aggiungi.
gcloud
Crea la subnet solo proxy con il comando gcloud compute networks subnets
create
:
gcloud compute networks subnets create proxy-only-subnet \ --purpose=REGIONAL_MANAGED_PROXY \ --role=ACTIVE \ --region=us-west1 \ --network=lb-network \ --range=10.129.0.0/23
Terraform
Crea la subnet solo proxy:
Concedere agli amministratori del progetto di servizio l'accesso alla subnet di backend
Gli amministratori del progetto di servizio richiedono l'accesso alla subnetlb-frontend-and-backend-subnet
per poter eseguire il provisioning dei backend del bilanciatore del carico.
Un amministratore del VPC condiviso deve concedere l'accesso alla subnet di backend agli amministratori del progetto di servizio (o agli sviluppatori che eseguono il deployment di risorse e backend che utilizzano la subnet). Per le istruzioni, vedi Amministratori del progetto di servizio per alcune subnet.
Configura le regole firewall nel progetto host
Questo esempio utilizza le seguenti regole firewall:fw-allow-health-check
. Una regola in entrata, applicabile alle istanze con bilanciamento del carico, che consente tutto il traffico TCP proveniente dai sistemi di controllo di integrità in Google Cloud,130.211.0.0/22
e35.191.0.0/16
. Questo esempio utilizza il tag di destinazioneload-balanced-backend
per identificare le istanze a cui deve essere applicato.
fw-allow-proxies
. Una regola in entrata, applicabile alle istanze sottoposte a bilanciamento del carico, che consente il traffico TCP sulle porte80
,443
e8080
dai proxy gestiti del bilanciatore del carico. Questo esempio utilizza il tag di destinazioneload-balanced-backend
per identificare le istanze a cui deve essere applicato.
fw-allow-ssh
. Una regola in entrata, applicabile alle istanze di cui viene eseguito il bilanciamento del carico, che consente la connettività SSH in entrata sulla porta TCP22
da qualsiasi indirizzo. Puoi scegliere un intervallo IP di origine più restrittivo per questa regola. Ad esempio, puoi specificare solo gli intervalli IP del sistema da cui avvii le sessioni SSH. Questo esempio utilizza il tag di destinazioneallow-ssh
per identificare le macchine virtuali (VM) a cui si applica la regola firewall.
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto host.
Console
Nella console Google Cloud , vai alla pagina Policy firewall.
- Fai clic su Crea regola firewall per creare la regola per consentire i controlli di integrità Google Cloud :
- Nome:
fw-allow-health-check
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
130.211.0.0/22
e35.191.0.0/16
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80
per il numero di porta.
Come best practice, limita questa regola solo ai protocolli e alle porte che corrispondono a quelli utilizzati dal controllo di integrità. Se utilizzi
tcp:80
per il protocollo e la porta, Google Cloud puoi utilizzare HTTP sulla porta80
per contattare le tue VM, ma non può utilizzare HTTPS sulla porta443
per contattarle. - Fai clic su Crea.
- Fai clic su Crea regola firewall per creare la regola per consentire i controlli di integrità Google Cloud :
- Nome:
fw-allow-proxies
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
load-balanced-backend
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
10.129.0.0/23
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
80, 443, 8080
per i numeri di porta.
- Fai clic su Crea.
- Fai clic su Crea regola firewall per creare la regola per consentire i controlli di integrità Google Cloud :
- Nome:
fw-allow-ssh
- Rete:
lb-network
- Direzione del traffico: In entrata
- Azione in caso di corrispondenza: Consenti
- Target: Tag di destinazione specificati
- Tag di destinazione:
allow-ssh
- Filtro di origine: Intervalli IPv4
- Intervalli IPv4 di origine:
0.0.0.0/0
- Protocolli e porte:
- Scegli Protocolli e porte specificati.
- Seleziona TCP e inserisci
22
per il numero di porta.
- Fai clic su Crea.
gcloud
Crea la regola firewall
fw-allow-health-check
per consentire i controlli di integritàGoogle Cloud . Questo esempio consente tutto il traffico TCP dai prober di controllo di integrità. Tuttavia, puoi configurare un insieme più ristretto di porte per soddisfare le tue esigenze.gcloud compute firewall-rules create fw-allow-health-check \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=130.211.0.0/22,35.191.0.0/16 \ --target-tags=load-balanced-backend \ --rules=tcp
Crea la regola firewall
fw-allow-proxies
per consentire al traffico dalla subnet solo proxy di Envoy di raggiungere i backend.gcloud compute firewall-rules create fw-allow-proxies \ --network=lb-network \ --action=allow \ --direction=ingress \ --source-ranges=10.129.0.0/23 \ --target-tags=load-balanced-backend \ --rules=tcp:80,tcp:443,tcp:8080
Crea la regola firewall
fw-allow-ssh
per consentire la connettività SSH alle VM con il tag di reteallow-ssh
. Se omettisource-ranges
, Google Cloud interpreta la regola come qualsiasi origine.gcloud compute firewall-rules create fw-allow-ssh \ --network=lb-network \ --action=allow \ --direction=ingress \ --target-tags=allow-ssh \ --rules=tcp:22
Terraform
Crea una regola firewall per consentire i controlli di integrità Google Cloud .
Crea una regola firewall per consentire al traffico dalla subnet solo proxy di Envoy di raggiungere i backend.
Crea una regola firewall per consentire la connettività SSH alle VM con il tag di rete
allow-ssh
.
Configura il VPC condiviso nel progetto host
Questo passaggio prevede l'attivazione di un progetto host VPC condiviso, la condivisione delle subnet del progetto host e il collegamento dei progetti di servizio al progetto host in modo che i progetti di servizio possano utilizzare la rete VPC condivisa. Per configurare il VPC condiviso nel progetto host, consulta le seguenti pagine:
Il resto di queste istruzioni presuppone che tu abbia già configurato il VPC condiviso. Ciò include la configurazione dei criteri IAM per la tua organizzazione e la designazione dei progetti host e di servizio.
Non procedere finché non hai configurato il VPC condiviso e abilitato i progetti host e di servizio.
Dopo aver completato i passaggi definiti in questa sezione dei prerequisiti, puoi procedere con una delle seguenti configurazioni:
Configura un bilanciatore del carico in un progetto di servizio
Configura un bilanciatore del carico con un servizio di backend tra progetti
Configura un bilanciatore del carico nel progetto di servizio
Questo esempio crea un bilanciatore del carico delle applicazioni interno in cui tutti i componenti di bilanciamento del carico (regola di forwarding, proxy di destinazione, mappa URL e servizio di backend) e i backend vengono creati nel progetto di servizio.
Le risorse di rete del bilanciatore del carico delle applicazioni interno, come la subnet solo proxy e la subnet per le istanze di backend, vengono create nel progetto host. Le regole firewall per le istanze di backend vengono create anche nel progetto host.
Questa sezione mostra come configurare il bilanciatore del carico e i backend. Questi passaggi devono essere eseguiti dall'amministratore del progetto di servizio (o da uno sviluppatore che opera all'interno del progetto di servizio) e non richiedono il coinvolgimento dell'amministratore del progetto host. I passaggi descritti in questa sezione sono in gran parte simili ai passaggi standard per configurare un bilanciatore del carico delle applicazioni interno.
L'esempio in questa pagina imposta esplicitamente un indirizzo IP interno riservato per la regola di forwarding del bilanciatore del carico delle applicazioni interno, anziché consentire l'allocazione di un indirizzo IP interno temporaneo. Come best practice, ti consigliamo di riservare gli indirizzi IP per le regole di inoltro.
Crea il backend del gruppo di istanze gestite
Questa sezione mostra come creare un modello e un gruppo di istanze gestite. Il gruppo di istanze gestite fornisce istanze VM che eseguono i server di backend di un bilanciatore del carico delle applicazioni interno di esempio. Il traffico proveniente dai client viene bilanciato su questi server di backend. A scopo dimostrativo, i backend gestiscono i propri nomi host.
Console
Creare un modello di istanza. Nella console Google Cloud , vai alla pagina Modelli di istanza.
- Fai clic su Crea modello istanza.
- In Nome, inserisci
l7-ilb-backend-template
. - Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio
Debian GNU/Linux 12 (bookworm). Queste istruzioni utilizzano comandi
disponibili solo su Debian, come
apt-get
. Se devi modificare il Disco di avvio, fai clic su Cambia.- In Sistema operativo, seleziona Debian.
- Per Versione, seleziona una delle immagini Debian disponibili, ad esempio Debian GNU/Linux 12 (bookworm).
- Fai clic su Seleziona.
- Fai clic su Opzioni avanzate, quindi su Networking.
- Inserisci i seguenti Tag di
rete:
allow-ssh
,load-balanced-backend
. - Nella sezione Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
- Seleziona la subnet
lb-frontend-and-backend-subnet
dalla retelb-network
. - Fai clic su Gestione. Per Gestione, inserisci il seguente script nel campo Script di avvio.
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google"
http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" |
tee /var/www/html/index.html systemctl restart apache2 - Fai clic su Crea.
Creare un gruppo di istanze gestite. Nella console Google Cloud , vai alla pagina Gruppi di istanze.
- Fai clic su Crea gruppo di istanze.
- Scegli Nuovo gruppo di istanze gestite (stateless). Per saperne di più, consulta MIG stateless o stateful.
- In Nome, inserisci
l7-ilb-backend-example
. - Per Località, seleziona Zona singola.
- In Regione, seleziona
us-west1
. - In Zona, seleziona
us-west1-a
. - In Modello di istanza, seleziona
l7-ilb-backend-template
. Specifica il numero di istanze che vuoi creare nel gruppo.
Per questo esempio, specifica le seguenti opzioni per la scalabilità automatica:
- Per la Modalità di scalabilità automatica, seleziona
Off:do not autoscale
. - In Numero massimo di istanze, inserisci
2
.
Se vuoi, nella sezione Scalabilità automatica dell'interfaccia utente, puoi configurare il gruppo di istanze in modo che aggiunga o rimuova automaticamente le istanze in base all'utilizzo della CPU delle istanze.
- Per la Modalità di scalabilità automatica, seleziona
Fai clic su Crea.
gcloud
Le istruzioni gcloud
di questa guida presuppongono che tu stia utilizzando Cloud
Shell o un altro ambiente con bash installato.
Crea un template di istanza VM con un server HTTP utilizzando il comando
gcloud compute instance-templates create
.gcloud compute instance-templates create l7-ilb-backend-template \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --tags=allow-ssh,load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_ID
Crea un gruppo di istanze gestite nella zona con il comando
gcloud compute instance-groups managed create
.gcloud compute instance-groups managed create l7-ilb-backend-example \ --zone=us-west1-a \ --size=2 \ --template=l7-ilb-backend-template \ --project=SERVICE_PROJECT_ID
Terraform
Crea un modello di istanza VM.
Creare un gruppo di istanze gestite.
Per HTTP:
Per HTTPS:
Configura il bilanciatore del carico
Questa sezione mostra come creare le risorse del bilanciatore del carico delle applicazioni interno:
- Controllo di integrità HTTP
- Servizio di backend con un gruppo di istanze gestite come backend
- Una mappa URL
- Certificato SSL (obbligatorio solo per HTTPS)
- Proxy di destinazione
- Regola di forwarding
Disponibilità del proxy
A seconda del numero di progetti di servizio che utilizzano la stessa rete VPC condiviso, potresti raggiungere le quote o i limiti più rapidamente rispetto al modello di deployment di rete in cui ogni progetto ospita la propria rete. Google Cloud
Ad esempio, a volte le regioni Google Cloud non hanno capacità proxy sufficiente per un nuovo bilanciatore del carico delle applicazioni interno. In questo caso, la Google Cloud console mostra un messaggio di avviso sulla disponibilità del proxy quando crei il bilanciatore del carico. Per risolvere il problema, puoi eseguire una delle seguenti operazioni:
- Attendi la risoluzione del problema di capacità.
Contatta il team di vendita Google Cloud per aumentare questi limiti.
Console
Passa al progetto di servizio
- Nella console Google Cloud , vai alla pagina Dashboard.
- Fai clic sull'elenco Seleziona da nella parte superiore della pagina. Nella finestra Seleziona da visualizzata, seleziona il progetto di servizio in cui vuoi creare il bilanciatore del carico.
Seleziona il tipo di bilanciatore del carico
Nella console Google Cloud , vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Interno e fai clic su Avanti.
- In Deployment multiregionale o in una singola regione, seleziona Ideale per workload regionali e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- In Nome del bilanciatore del carico, inserisci
l7-ilb-shared-vpc
. - Per Regione, seleziona
us-west1
. Per Rete, seleziona lb-network (da Progetto: HOST_PROJECT_ID).
Se visualizzi l'avviso La subnet solo proxy è obbligatoria nella rete VPC condiviso, conferma che l'amministratore del progetto host abbia creato
proxy-only-subnet
nella regioneus-west1
nella rete VPC condivisolb-network
. La creazione del bilanciatore del carico va a buon fine anche se non hai l'autorizzazione per visualizzare la subnet solo proxy in questa pagina.Tieni aperta la finestra per continuare.
Configura il backend
- Fai clic su Configurazione backend.
- Nel menu Crea o seleziona servizi di backend, seleziona Crea un servizio di backend.
- Imposta il nome del servizio di backend su
l7-ilb-backend-service
. - Imposta Tipo di backend su Gruppi di istanze.
- Nella sezione Nuovo backend:
- Imposta Gruppo di istanze su
l7-ilb-backend-example
. - Imposta Numeri di porta su
80
. - Imposta Modalità di bilanciamento su Utilizzo.
- Fai clic su Fine.
- Imposta Gruppo di istanze su
- Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con i seguenti parametri:
- Nome:
l7-ilb-basic-check
- Protocollo:
HTTP
- Porta:
80
- Nome:
- Fai clic su Salva e continua.
- Fai clic su Crea.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che
l7-ilb-backend-service
sia l'unico servizio di backend per qualsiasi host senza corrispondenza e qualsiasi percorso senza corrispondenza.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Configura il frontend
Per HTTP:
- Fai clic su Configurazione frontend.
- Imposta Nome su
l7-ilb-forwarding-rule
. - Imposta Protocollo su
HTTP
. - Imposta Subnet su
lb-frontend-and-backend-subnet
. Non selezionare la subnet solo proxy per il frontend anche se è un'opzione nell'elenco. - Imposta Porta su
80
. - Fai clic sul menu Indirizzo IP, quindi su Crea indirizzo IP.
- Nel riquadro Prenota un indirizzo IP interno statico, fornisci i seguenti dettagli:
- In Nome, inserisci
ip-address-shared-vpc
. - Per Indirizzo IP statico, fai clic su Scelta manuale. In Indirizzo IP
personalizzato, inserisci
10.1.2.99
. - (Facoltativo) Se vuoi condividere questo indirizzo IP con frontend diversi, imposta Scopo su Condiviso.
- In Nome, inserisci
- Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, devi configurare il proxy con una o più risorse di certificati SSL. Per informazioni su come creare risorse del certificato SSL, vedi Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni interni.
- Fai clic su Configurazione frontend.
- Nel campo Nome, inserisci
l7-ilb-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. - Imposta Subnet su
lb-frontend-and-backend-subnet
. Non selezionare la subnet solo proxy per il frontend anche se è un'opzione nell'elenco. - Assicurati che la Porta sia impostata su
443
per consentire il traffico HTTPS. - Fai clic sul menu Indirizzo IP, quindi su Crea indirizzo IP.
- Nel riquadro Prenota un indirizzo IP interno statico, fornisci i seguenti dettagli:
- In Nome, inserisci
ip-address-shared-vpc
. - Per Indirizzo IP statico, fai clic su Scelta manuale. In Indirizzo IP
personalizzato, inserisci
10.1.2.99
. - (Facoltativo) Se vuoi condividere questo indirizzo IP con frontend diversi, imposta Scopo su Condiviso.
- In Nome, inserisci
- Fai clic sull'elenco Certificato.
- Se hai già una risorsa del certificato SSL autogestito che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
- In alternativa, seleziona Crea un nuovo certificato.
- Inserisci un Nome di
l7-ilb-cert
. - Nei campi appropriati, carica i file in formato PEM:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
- Inserisci un Nome di
- Per aggiungere risorse del certificato oltre alla risorsa del certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Seleziona un certificato dall'elenco Certificati o fai clic su Crea un nuovo certificato e segui le istruzioni precedenti.
- Fai clic su Fine.
Rivedi e finalizza la configurazione
- Fai clic su Crea.
gcloud
Definisci il controllo di integrità HTTP con il comando
gcloud compute health-checks create http
.gcloud compute health-checks create http l7-ilb-basic-check \ --region=us-west1 \ --use-serving-port \ --project=SERVICE_PROJECT_ID
Definisci il servizio di backend con il comando
gcloud compute backend-services create
.gcloud compute backend-services create l7-ilb-backend-service \ --load-balancing-scheme=INTERNAL_MANAGED \ --protocol=HTTP \ --health-checks=l7-ilb-basic-check \ --health-checks-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Aggiungi backend al servizio di backend con il comando
gcloud compute backend-services add-backend
.gcloud compute backend-services add-backend l7-ilb-backend-service \ --balancing-mode=UTILIZATION \ --instance-group=l7-ilb-backend-example \ --instance-group-zone=us-west1-a \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Crea la mappa URL con il comando
gcloud compute url-maps create
.gcloud compute url-maps create l7-ilb-map \ --default-service=l7-ilb-backend-service \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Crea il proxy di destinazione.
Per HTTP:
Per un bilanciatore del carico HTTP interno, crea il proxy di destinazione con il comando
gcloud compute target-http-proxies create
.gcloud compute target-http-proxies create l7-ilb-proxy \ --url-map=l7-ilb-map \ --url-map-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_ID
Per HTTPS:
Per informazioni su come creare risorse del certificato SSL, vedi Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni interni.
Assegna i percorsi dei file ai nomi delle variabili.
export LB_CERT=path to PEM-formatted file
export LB_PRIVATE_KEY=path to PEM-formatted file
Crea un certificato SSL a livello di regione utilizzando il comando
gcloud compute ssl-certificates create
.gcloud compute ssl-certificates create l7-ilb-cert \ --certificate=$LB_CERT \ --private-key=$LB_PRIVATE_KEY \ --region=us-west1
Utilizza il certificato SSL regionale per creare un proxy di destinazione con il comando
gcloud compute target-https-proxies create
.gcloud compute target-https-proxies create l7-ilb-proxy \ --url-map=l7-ilb-map \ --region=us-west1 \ --ssl-certificates=l7-ilb-cert \ --project=SERVICE_PROJECT_ID
Crea la regola di forwarding.
Per le reti personalizzate, devi fare riferimento alla subnet nella regola di forwarding.
Per l'indirizzo IP della regola di forwarding, utilizza
lb-frontend-and-backend-subnet
. Se provi a utilizzare la subnet solo proxy, la creazione della regola di forwarding non va a buon fine.Per HTTP:
Utilizza il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-ilb-forwarding-rule \ --load-balancing-scheme=INTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --address=IP_ADDRESS_NAME \ --ports=80 \ --region=us-west1 \ --target-http-proxy=l7-ilb-proxy \ --target-http-proxy-region=us-west1 \ --project=SERVICE_PROJECT_ID
Per HTTPS:
Utilizza il comando
gcloud compute forwarding-rules create
con i flag corretti.gcloud compute forwarding-rules create l7-ilb-forwarding-rule \ --load-balancing-scheme=INTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --address=IP_ADDRESS_NAME \ --ports=443 \ --region=us-west1 \ --target-https-proxy=l7-ilb-proxy \ --target-https-proxy-region=us-west1 \ --project=SERVICE_PROJECT_ID
Terraform
Definisci il controllo di integrità HTTP.
Per HTTP:
Per HTTPS:
Definisci il servizio di backend.
Crea la mappa URL.
Crea il proxy di destinazione.
Per HTTP:
Per HTTPS: Crea un certificato SSL a livello di regione
Per informazioni su come creare risorse del certificato SSL, vedi Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni interni.
Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione
Crea la regola di forwarding.
Per le reti personalizzate, devi fare riferimento alla subnet nella regola di forwarding.
Per HTTP:
Per HTTPS:
testa il bilanciatore del carico
Per testare il bilanciatore del carico, crea prima una VM client di esempio. Quindi stabilisci una sessione SSH con la VM e invia il traffico da questa VM al bilanciatore del carico.
Crea un'istanza VM di test
I client possono trovarsi nel progetto host o in qualsiasi progetto di servizio connesso. In questo esempio, verifichi che il bilanciatore del carico funzioni eseguendo il deployment di una VM client in un progetto di servizio. Il client deve utilizzare la stessa rete VPC condiviso e trovarsi nella stessa regione del bilanciatore del carico.
Console
Nella console Google Cloud , vai alla pagina Istanze VM.
Fai clic su Crea istanza.
Imposta Nome su
client-vm
.Imposta la zona su us-west1-a.
Fai clic su Opzioni avanzate, quindi su Networking.
Inserisci i seguenti Tag di rete:
allow-ssh
,load-balanced-backend
.Nella sezione Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
Seleziona la subnet
lb-frontend-and-backend-subnet
dalla retelb-network
.Fai clic su Crea.
gcloud
Crea un'istanza VM di test.
gcloud compute instances create client-vm \ --image-family=debian-12 \ --image-project=debian-cloud \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --zone=us-west1-a \ --tags=allow-ssh \ --project=SERVICE_PROJECT_ID
Terraform
Crea un'istanza VM di test.
Invia traffico al bilanciatore del carico
Utilizza SSH per connetterti all'istanza che hai appena creato e verifica che i servizi HTTP(S) sui backend siano raggiungibili tramite l'indirizzo IP della regola di forwarding del bilanciatore del carico delle applicazioni interno e che il traffico venga bilanciato tra le istanze di backend.
Connettiti all'istanza client tramite SSH.
gcloud compute ssh client-vm \ --zone=us-west1-a
Verifica che l'indirizzo IP stia gestendo il proprio nome host. Sostituisci LB_IP_ADDRESS con l'indirizzo IP del bilanciatore del carico.
curl LB_IP_ADDRESS
Per il test HTTPS, sostituisci
curl
con quanto segue:curl -k -s 'https://LB_IP_ADDRESS:443'
Il flag
-k
fa sì che curl salti la convalida del certificato.
Configura un bilanciatore del carico con un servizio di backend tra progetti
L'esempio precedente in questa pagina mostra come configurare un deployment di VPC condiviso in cui tutti i componenti del bilanciatore del carico e i relativi backend vengono creati nel progetto di servizio.
I bilanciatori del carico delle applicazioni interni consentono anche di configurare deployment VPC condiviso in cui una mappa URL in un progetto host o di servizio può fare riferimento a servizi di backend (e backend) situati in più progetti di servizio negli ambienti VPC condiviso. Questo sistema è chiamato riferimento tra servizi di progetti diversi.
Puoi utilizzare i passaggi descritti in questa sezione come riferimento per configurare una qualsiasi delle combinazioni supportate elencate qui:
- Regola di forwarding, proxy di destinazione e mappa URL nel progetto host e servizio di backend in un progetto di servizio
- Regola di forwarding, proxy di destinazione e mappa URL in un progetto di servizio e servizio di backend in un altro progetto di servizio
Il riferimento ai servizi tra progetti può essere utilizzato con gruppi di istanze, NEG serverless o qualsiasi altro tipo di backend supportato. Se utilizzi NEG serverless, devi creare una VM nella rete VPC in cui intendi creare il frontend del bilanciatore del carico. Per un esempio, consulta Crea un'istanza VM in una subnet specifica in Configura un bilanciatore del carico delle applicazioni interno con Cloud Run.
Requisiti di configurazione
Questo esempio configura un bilanciatore del carico di esempio con il frontend e il backend in due progetti di servizio diversi.
Se non l'hai ancora fatto, devi completare tutti i passaggi preliminari per configurare il VPC condiviso e configurare la rete, le subnet e le regole firewall richieste per questo esempio. Per le istruzioni, vedi quanto segue:
Crea i backend e il servizio di backend nel progetto di servizio B
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio B.
Console
Creare un modello di istanza. Nella console Google Cloud , vai alla pagina Modelli di istanza.
- Fai clic su Crea modello istanza.
- Inserisci un nome per il modello di istanza:
cross-ref-backend-template
. - Assicurati che il disco di avvio sia impostato su un'immagine Debian, ad esempio
Debian GNU/Linux 12 (bookworm). Queste istruzioni utilizzano comandi
disponibili solo su Debian, come
apt-get
. Se devi modificare il Disco di avvio, fai clic su Cambia.- In Sistema operativo, seleziona Debian.
- Per Versione, seleziona una delle immagini Debian disponibili, ad esempio Debian GNU/Linux 12 (bookworm).
- Fai clic su Seleziona.
- Fai clic su Opzioni avanzate, quindi su Networking.
- Inserisci i seguenti Tag di
rete:
allow-ssh
,load-balanced-backend
. - Nella sezione Interfacce di rete, seleziona Reti condivise con me (dal progetto host: HOST_PROJECT_ID).
- Seleziona la subnet
lb-frontend-and-backend-subnet
dalla retelb-network
. - Fai clic su Gestione. Per Gestione, inserisci il seguente script nel campo Script di avvio.
#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google"
http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" |
tee /var/www/html/index.html systemctl restart apache2 - Fai clic su Crea.
Creare un gruppo di istanze gestite. Nella console Google Cloud , vai alla pagina Gruppi di istanze.
- Fai clic su Crea gruppo di istanze.
- Scegli Nuovo gruppo di istanze gestite (stateless). Per saperne di più, consulta MIG stateless o stateful.
- Inserisci un nome per il gruppo di istanze:
cross-ref-ig-backend
. - Per Località, seleziona Zona singola.
- In Regione, seleziona
us-west1
. - In Zona, seleziona
us-west1-a
. - In Modello di istanza, seleziona cross-ref-backend-template.
Specifica il numero di istanze che vuoi creare nel gruppo.
Per questo esempio, specifica le seguenti opzioni per la scalabilità automatica:
- Per la Modalità di scalabilità automatica, seleziona
Off:do not autoscale
. - In Numero massimo di istanze, inserisci
2
.
Se vuoi, nella sezione Scalabilità automatica dell'interfaccia utente, puoi configurare il gruppo di istanze in modo che aggiunga o rimuova automaticamente le istanze in base all'utilizzo della CPU delle istanze.
- Per la Modalità di scalabilità automatica, seleziona
Fai clic su Crea.
Crea un servizio di backend regionale. Nell'ambito di questo passaggio, creeremo anche il controllo di integrità e aggiungeremo i backend al servizio di backend. Nella console Google Cloud , vai alla pagina Backend.
- Fai clic su Crea servizio di backend regionale.
- Inserisci un nome per il servizio di backend:
cross-ref-backend-service
. - In Regione, seleziona us-west1.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni interno regionale (INTERNAL_MANAGED).
- Imposta Tipo di backend su Gruppi di istanze.
- Nella sezione Backend, imposta Rete su lb-network.
- Fai clic su Aggiungi backend e imposta i seguenti campi:
- Imposta Gruppo di istanze su cross-ref-ig-backend.
- Inserisci i Numeri di porta:
80
. - Imposta Modalità di bilanciamento su Utilizzo.
- Fai clic su Fine.
- Nella sezione Controllo di integrità, scegli Crea un controllo di integrità con i seguenti parametri:
- Nome:
cross-ref-http-health-check
- Protocollo:
HTTP
- Porta:
80
- Fai clic su Salva.
- Nome:
- Fai clic su Continua.
(Facoltativo) Nella sezione Aggiungi autorizzazioni, inserisci i principal IAM (in genere un indirizzo email) degli amministratori del bilanciatore del carico di altri progetti in modo che possano utilizzare questo servizio di backend per i bilanciatori del carico nei propri progetti. Senza questa autorizzazione, non puoi utilizzare i riferimenti ai servizi tra progetti.
Se non disponi dell'autorizzazione per impostare i criteri di controllo dell'accesso per i servizi di backend in questo progetto, puoi comunque creare il servizio di backend ora e un utente autorizzato può eseguire questo passaggio in un secondo momento, come descritto nella sezione Concedere le autorizzazioni all'amministratore del bilanciamento del carico per utilizzare il servizio di backend. Questa sezione descrive anche come concedere l'accesso a tutti i servizi di backend in questo progetto, in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.
Fai clic su Crea.
gcloud
Crea un template di istanza VM con un server HTTP utilizzando il comando
gcloud compute instance-templates create
.gcloud compute instance-templates create BACKEND_IG_TEMPLATE \ --region=us-west1 \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --tags=allow-ssh,load-balanced-backend \ --image-family=debian-12 \ --image-project=debian-cloud \ --metadata=startup-script='#! /bin/bash apt-get update apt-get install apache2 -y a2ensite default-ssl a2enmod ssl vm_hostname="$(curl -H "Metadata-Flavor:Google" \ http://metadata.google.internal/computeMetadata/v1/instance/name)" echo "Page served from: $vm_hostname" | \ tee /var/www/html/index.html systemctl restart apache2' \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_IG_TEMPLATE
: il nome del template di gruppo di istanze.SERVICE_PROJECT_B_ID
: l'ID progetto per il progetto di servizio B, in cui vengono creati i backend del bilanciatore del carico e il servizio di backend.HOST_PROJECT_ID
: l'ID progetto del progetto host VPC condiviso.
Crea un gruppo di istanze gestite nella zona con il comando
gcloud compute instance-groups managed create
.gcloud compute instance-groups managed create BACKEND_MIG \ --zone=us-west1-a \ --size=2 \ --template=BACKEND_IG_TEMPLATE \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_MIG
: il nome del gruppo di istanza di backend.
Definisci il controllo di integrità HTTP con il comando
gcloud compute health-checks create http
.gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \ --region=us-west1 \ --use-serving-port \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
HTTP_HEALTH_CHECK_NAME
: il nome del controllo di integrità HTTP.
Definisci il servizio di backend con il comando
gcloud compute backend-services create
.gcloud compute backend-services create BACKEND_SERVICE_NAME \ --load-balancing-scheme=INTERNAL_MANAGED \ --protocol=HTTP \ --health-checks=HTTP_HEALTH_CHECK_NAME \ --health-checks-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Sostituisci quanto segue:
BACKEND_SERVICE_NAME
: il nome del servizio di backend creato nel progetto di servizio B.
Aggiungi backend al servizio di backend con il comando
gcloud compute backend-services add-backend
.gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \ --balancing-mode=UTILIZATION \ --instance-group=BACKEND_MIG \ --instance-group-zone=us-west1-a \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Terraform
Creare un modello di istanza.
Creare un gruppo di istanze gestite.
Per HTTP
Per HTTPS
Crea un controllo di integrità per il backend.
Per HTTP
Per HTTPS
Crea un servizio di backend regionale.
Crea il frontend del bilanciatore del carico e la mappa URL nel progetto di servizio A
Tutti i passaggi di questa sezione devono essere eseguiti nel progetto di servizio A.
Console
Seleziona il tipo di bilanciatore del carico
Nella console Google Cloud , vai alla pagina Bilanciamento del carico.
- Fai clic su Crea bilanciatore del carico.
- In Tipo di bilanciatore del carico, seleziona Bilanciatore del carico delle applicazioni (HTTP/HTTPS) e fai clic su Avanti.
- In Pubblico o interno, seleziona Interno e fai clic su Avanti.
- In Deployment multiregionale o in una singola regione, seleziona Ideale per workload regionali e fai clic su Avanti.
- Fai clic su Configura.
Configurazione di base
- Inserisci un nome per il bilanciatore del carico.
- Per Regione, seleziona
us-west1
. Per Rete, seleziona lb-network (da Progetto: HOST_PROJECT_NAME).
Se visualizzi l'avviso La subnet solo proxy è obbligatoria nella rete VPC condiviso, conferma che l'amministratore del progetto host abbia creato
proxy-only-subnet
nella regioneus-west1
nella rete VPC condivisolb-network
. La creazione del bilanciatore del carico va a buon fine anche se non hai l'autorizzazione per visualizzare la subnet solo proxy in questa pagina.Tieni aperta la finestra per continuare.
Configura il backend
- Fai clic su Configurazione backend.
- Fai clic su Servizi di backend tra progetti.
- In ID progetto, inserisci l'ID progetto per il progetto di servizio B.
- Dall'elenco Seleziona servizi di backend, seleziona i servizi di backend
del progetto di servizio B che vuoi utilizzare. Per questo esempio, inserisci
cross-ref-backend-service
. - Fai clic su OK.
Configura le regole di routing
- Fai clic su Regole di routing. Assicurati che cross-ref-backend-service sia l'unico servizio di backend per qualsiasi host senza corrispondenza e qualsiasi percorso senza corrispondenza.
Per informazioni sulla gestione del traffico, vedi Configurare la gestione del traffico.
Configura il frontend
Affinché il riferimento ai servizi tra progetti funzioni, il frontend deve utilizzare la stessa rete (lb-network
) del progetto host VPC condiviso utilizzata per creare il servizio di backend.
Per HTTP:
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-http-forwarding-rule
. - Imposta Protocollo su
HTTP
. - Imposta Subnet su
lb-frontend-and-backend-subnet
. Non selezionare la subnet solo proxy per il frontend anche se è un'opzione nell'elenco. - Imposta Porta su
80
. - Fai clic sul menu Indirizzo IP, quindi su Crea indirizzo IP.
- Nel riquadro Prenota un indirizzo IP interno statico, fornisci i seguenti dettagli:
- In Nome, inserisci
cross-ref-ip-address
. - Per Indirizzo IP statico, fai clic su Scelta manuale. In Indirizzo IP
personalizzato, inserisci
10.1.2.98
. - (Facoltativo) Se vuoi condividere questo indirizzo IP con frontend diversi, imposta Scopo su Condiviso.
- In Nome, inserisci
- Fai clic su Fine.
Per HTTPS:
Se utilizzi HTTPS tra il client e il bilanciatore del carico, devi configurare il proxy con una o più risorse di certificati SSL. Per informazioni su come creare risorse del certificato SSL, vedi Certificati SSL. I certificati gestiti da Google non sono attualmente supportati con i bilanciatori del carico delle applicazioni interni.
- Fai clic su Configurazione frontend.
- Inserisci un nome per la regola di forwarding:
cross-ref-https-forwarding-rule
. - Nel campo Protocollo, seleziona
HTTPS (includes HTTP/2)
. - Imposta Subnet su
lb-frontend-and-backend-subnet
. Non selezionare la subnet solo proxy per il frontend anche se è un'opzione nell'elenco. - Assicurati che la Porta sia impostata su
443
per consentire il traffico HTTPS. - Fai clic sul menu Indirizzo IP, quindi su Crea indirizzo IP.
- Nel riquadro Prenota un indirizzo IP interno statico, fornisci i seguenti dettagli:
- In Nome, inserisci
cross-ref-ip-address
. - Per Indirizzo IP statico, fai clic su Scelta manuale. In Indirizzo IP
personalizzato, inserisci
10.1.2.98
. - (Facoltativo) Se vuoi condividere questo indirizzo IP con frontend diversi, imposta Scopo su Condiviso.
- In Nome, inserisci
- Fai clic sull'elenco Certificato.
- Se hai già una risorsa certificato SSL autogestita che vuoi utilizzare come certificato SSL principale, selezionala dal menu.
- In alternativa, seleziona Crea un nuovo certificato.
- Inserisci un Nome per il certificato SSL.
- Nei campi appropriati, carica i file in formato PEM:
- Certificato di chiave pubblica
- Catena di certificati
- Chiave privata
- Fai clic su Crea.
- Per aggiungere risorse del certificato oltre alla risorsa del certificato SSL principale:
- Fai clic su Aggiungi certificato.
- Seleziona un certificato dall'elenco Certificati o fai clic su Crea un nuovo certificato e segui le istruzioni precedenti.
- Fai clic su Fine.
Rivedi e finalizza la configurazione
- Fai clic su Crea.
testa il bilanciatore del carico
Dopo aver creato il bilanciatore del carico, testalo seguendo i passaggi descritti in Testa il bilanciatore del carico.
gcloud
(Facoltativo) Prima di creare un bilanciatore del carico con servizi di backend con riferimenti incrociati, scopri se è possibile fare riferimento ai servizi di backend a cui vuoi fare riferimento utilizzando una mappa URL:
gcloud compute backend-services list-usable \ --region=us-west1 \ --project=SERVICE_PROJECT_B_ID
Crea la mappa URL e imposta il servizio predefinito sul servizio di backend creato nel progetto di servizio B.
gcloud compute url-maps create URL_MAP_NAME \ --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
URL_MAP_NAME
: il nome della mappa URL.BACKEND_SERVICE_NAME
: il nome del servizio di backend creato nel progetto di servizio B.SERVICE_PROJECT_B_ID
: l'ID progetto per il progetto di servizio B, in cui vengono creati i backend del bilanciatore del carico e il servizio di backend.SERVICE_PROJECT_A_ID
: l'ID progetto per il progetto di servizio A, in cui viene creato il frontend del bilanciatore del carico.
La creazione della mappa URL non riesce se non disponi dell'autorizzazione
compute.backendServices.use
per il servizio di backend nel progetto di servizio B.Crea il proxy di destinazione.
Per HTTP:
gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \ --url-map=URL_MAP_NAME \ --url-map-region=us-west1 \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTP_TARGET_PROXY_NAME
: il nome del proxy HTTP di destinazione.
Per HTTPS:
Crea un certificato SSL a livello di regione utilizzando il comando
gcloud compute ssl-certificates create
.gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \ --certificate=PATH_TO_CERTIFICATE \ --private-key=PATH_TO_PRIVATE_KEY \ --region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
SSL_CERTIFICATE_NAME
: il nome della risorsa del certificato SSL.PATH_TO_CERTIFICATE
: il percorso del file del certificato SSL locale in formato PEM.PATH_TO_PRIVATE_KEY
: il percorso della chiave privata del certificato SSL locale in formato PEM.
Utilizza il certificato SSL regionale per creare un proxy di destinazione con il comando
gcloud compute target-https-proxies create
.gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \ --url-map=URL_MAP_NAME \ --region=us-west1 \ --ssl-certificates=SSL_CERTIFICATE_NAME \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTPS_TARGET_PROXY_NAME
: il nome del proxy HTTPS di destinazione.
Crea la regola di forwarding. Affinché il riferimento ai servizi tra progetti funzioni, la regola di forwarding deve utilizzare la stessa rete (
lb-network
) del progetto host VPC condiviso utilizzata per creare il servizio di backend.Per HTTP:
gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \ --load-balancing-scheme=INTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --address=IP_ADDRESS_CROSS_REF \ --ports=80 \ --region=us-west1 \ --target-http-proxy=HTTP_TARGET_PROXY_NAME \ --target-http-proxy-region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTP_FORWARDING_RULE_NAME
: il nome della regola di forwarding utilizzata per gestire il traffico HTTP.
Per HTTPS:
gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \ --load-balancing-scheme=INTERNAL_MANAGED \ --network=projects/HOST_PROJECT_ID/global/networks/lb-network \ --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \ --address=IP_ADDRESS_CROSS_REF \ --ports=443 \ --region=us-west1 \ --target-https-proxy=HTTPS_TARGET_PROXY_NAME \ --target-https-proxy-region=us-west1 \ --project=SERVICE_PROJECT_A_ID
Sostituisci quanto segue:
HTTPS_FORWARDING_RULE_NAME
: il nome della regola di forwarding utilizzata per gestire il traffico HTTPS.
Per testare il bilanciatore del carico, segui i passaggi descritti in Testa il bilanciatore del carico.
Terraform
Crea la mappa URL.
Crea il proxy di destinazione.
Per HTTP
Per HTTPS
Crea un certificato SSL a livello di regione
Utilizza il certificato SSL a livello di regione per creare un proxy di destinazione
Crea la regola di forwarding.
Per HTTP
Per HTTPS
Per testare il bilanciatore del carico, segui i passaggi descritti in Testa il bilanciatore del carico.
Concedi le autorizzazioni all'amministratore del bilanciatore del carico per utilizzare il servizio di backend
Se vuoi che i bilanciatori del carico facciano riferimento ai servizi di backend in altri progetti di servizio, l'amministratore del bilanciatore del carico deve disporre dell'autorizzazione compute.backendServices.use
. Per concedere questa autorizzazione, puoi utilizzare il ruolo IAM predefinito denominato Utente dei servizi bilanciatore del carico Compute (roles/compute.loadBalancerServiceUser
). Questo ruolo deve essere concesso dall'amministratore del progetto di servizio e può essere applicato a livello di progetto o di singolo servizio di backend.
Questo passaggio non è obbligatorio se hai già concesso le autorizzazioni richieste a livello di servizio di backend durante la creazione del servizio di backend. Puoi saltare questa sezione o continuare a leggere per scoprire come concedere l'accesso a tutti i servizi di backend in questo progetto, in modo da non dover concedere l'accesso ogni volta che crei un nuovo servizio di backend.
In questo esempio, un amministratore del progetto di servizio del progetto di servizio B deve eseguire uno dei seguenti comandi per concedere l'autorizzazione compute.backendServices.use
a un amministratore del bilanciatore del carico del progetto di servizio A. Questa operazione può essere eseguita a livello di progetto (per tutti i servizi di backend nel progetto) o per servizio di backend.
Console
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend nel tuo progetto:
Per completare questo passaggio, devi disporre delle autorizzazioni compute.regionBackendServices.setIamPolicy
e resourcemanager.projects.setIamPolicy
.
Nella console Google Cloud , vai alla pagina IAM.
Seleziona il progetto.
Fai clic su
Concedi l'accesso.Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.
Nell'elenco Seleziona un ruolo, seleziona Compute Load Balancer Services User.
(Facoltativo) Aggiungi una condizione al ruolo.
Fai clic su Salva.
Autorizzazioni a livello di risorsa per i singoli servizi di backend
Per concedere le autorizzazioni ai singoli servizi di backend nel tuo progetto:
Per completare questo passaggio, devi disporre dell'autorizzazione compute.regionBackendServices.setIamPolicy
.
Nella console Google Cloud , vai alla pagina Backend.
Nell'elenco dei backend, seleziona il servizio di backend a cui vuoi concedere l'accesso e fai clic su
Autorizzazioni.Fai clic su
Aggiungi entità.Nel campo Nuove entità, inserisci l'indirizzo email o un altro identificatore dell'entità.
Nell'elenco Seleziona un ruolo, seleziona Compute Load Balancer Services User.
Fai clic su Salva.
gcloud
Autorizzazioni a livello di progetto
Per concedere le autorizzazioni a tutti i servizi di backend nel tuo progetto:
Per completare questo passaggio, devi disporre delle autorizzazioni compute.regionBackendServices.setIamPolicy
e resourcemanager.projects.setIamPolicy
.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser"
Autorizzazioni a livello di risorsa per i singoli servizi di backend
A livello di servizio di backend, gli amministratori del progetto di servizio possono utilizzare uno dei
seguenti comandi per concedere il ruolo Utente dei servizi bilanciatore del carico Compute
(roles/compute.loadBalancerServiceUser
).
Per completare questo passaggio, devi disporre dell'autorizzazione compute.regionBackendServices.setIamPolicy
.
gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'
o
gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \ --member="user:LOAD_BALANCER_ADMIN" \ --role="roles/compute.loadBalancerServiceUser" \ --project=SERVICE_PROJECT_B_ID \ --region=us-west1
Per utilizzare questi comandi, sostituisci LOAD_BALANCER_ADMIN
con il
principal dell'utente, ad
esempio test-user@gmail.com
.
Puoi anche configurare le autorizzazioni IAM in modo che vengano applicate solo a un sottoinsieme di servizi di backend regionali utilizzando le condizioni e specificando gli attributi di condizione.
Per visualizzare le mappe URL che fanno riferimento a un particolare servizio di backend VPC condiviso:
gcloud
Per visualizzare le risorse che fanno riferimento a un servizio di backend del VPC condiviso regionale, esegui questo comando:
gcloud compute backend-services describe BACKEND_SERVICE_NAME \ --region REGION
Sostituisci quanto segue:
BACKEND_SERVICE_NAME
: il nome del servizio di backend del bilanciatore del caricoREGION
: la regione del bilanciatore del carico
Nell'output del comando, esamina il campo usedBy
, che mostra le risorse che fanno riferimento al servizio di backend, come mostrato nell'esempio seguente:
id: '123456789' kind: compute#backendService loadBalancingScheme: INTERNAL_MANAGED ... usedBy: - reference: https://www.googleapis.com/compute/v1/projects/my-project/region/us-central1/urlMaps/my-url-map
Passaggi successivi
- Puoi limitare l'utilizzo delle funzionalità del VPC condiviso, ad esempio il riferimento ai servizi tra progetti, nel tuo progetto utilizzando i vincoli dei criteri dell'organizzazione. Per saperne di più, consulta Vincoli delle policy dell'organizzazione per Cloud Load Balancing.
- Per gestire la risorsa subnet solo proxy richiesta dai bilanciatori del carico delle applicazioni interni, consulta Subnet solo proxy per i bilanciatori del carico delle applicazioni interni.
- Per scoprire come risolvere i problemi relativi a un bilanciatore del carico delle applicazioni interno, consulta Risolvere i problemi relativi ai bilanciatori del carico delle applicazioni interni.
- Pulisci la configurazione del bilanciatore del carico.