ロード バランシング サービスを作成する

このチュートリアルでは、サービス プロデューサーとして、内部パススルー ネットワーク ロードバランサを使用するシンプルなサービスを作成する方法について説明します。デフォルトでは、内部パススルー ネットワーク ロードバランサは、それをホストする VPC ネットワーク内からのみ使用できます。

このチュートリアルは、クラウド アーキテクト、ネットワーク アーキテクト、ネットワーク管理者、IT 管理者を対象としています。

目標

  • サービス プロデューサー リソースのネットワーキングを構成する
  • ロードバランサのバックエンド用の VM リソースを作成する
  • ロードバランサ コンポーネントを構成する
  • ロードバランサへのアクセスをテストする

費用

このドキュメントでは、課金対象である次の Google Cloudコンポーネントを使用します。

料金計算ツールを使うと、予想使用量に基づいて費用の見積もりを生成できます。

新規の Google Cloud ユーザーは無料トライアルをご利用いただける場合があります。

このドキュメントに記載されているタスクの完了後、作成したリソースを削除すると、それ以上の請求は発生しません。詳細については、クリーンアップをご覧ください。

始める前に

  1. サービス プロデューサー リソースに使用するプロジェクトを作成または選択します。このプロジェクトは、以降のチュートリアルで PRODUCER_PROJECT として参照されます。

    1. Google Cloud コンソールで、プロジェクトの選択ページに移動します。

      プロジェクト セレクタに移動

    2. Google Cloud プロジェクトの選択または作成

      プロジェクトの選択または作成に必要なロール

      • プロジェクトを選択する: プロジェクトの選択に特定の IAM ロールは必要ありません。ロールが付与されているプロジェクトであれば、どのプロジェクトでも選択できます。
      • プロジェクトを作成する: プロジェクトを作成するには、resourcemanager.projects.create 権限を含むプロジェクト作成者ロール（roles/resourcemanager.projectCreator）が必要です。詳しくは、ロールを付与する方法をご覧ください。

  2. Compute Engine API を有効にします。

    API を有効にするために必要なロール

    API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。

    API の有効化

  3. プロジェクトで次のロール（複数の場合あり）が割り当てられていることを確認します。 [Compute Engine] > [Compute ネットワーク管理者]、[Compute Engine] > [Compute セキュリティ管理者]、[Compute Engine] > [Compute インスタンス管理者]

    ロールを確認する

    1. Google Cloud コンソールで、[IAM] ページに移動します。

      IAM に移動
    2. プロジェクトを選択します。

    3. [プリンシパル] 列で、自分または自分が所属するグループの行をすべて確認します。所属するグループについては、管理者にお問い合わせください。

    4. 自分のメールアドレスを含む行の [ロール] 列で、ロールのリストに必要なロールが含まれているかどうか確認します。

    ロールを付与する

    1. Google Cloud コンソールで、[IAM] ページに移動します。

      IAM に移動
    2. プロジェクトを選択します。
    3. [ アクセスを許可] をクリックします。

    4. [新しいプリンシパル] フィールドに、ユーザー ID を入力します。 これは通常、Google アカウントのメールアドレスです。

    5. [ロールを選択] をクリックし、ロールを検索します。
    6. 追加のロールを付与するには、 [別のロールを追加] をクリックして各ロールを追加します。
    7. [保存] をクリックします。

ネットワークを構成する

以降のセクションでは、サービスのネットワーク、サブネット、ファイアウォール ルールを作成する方法について説明します。

ネットワークとサブネットを構成する

ロードバランサのサービス ネットワークとサブネットを作成するには、次のセクションの手順を完了します。

コンソール

  1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

    [VPC ネットワーク] に移動

  2. [VPC ネットワークを作成] をクリックします。

  3. [名前] に「service-network」と入力します。

  4. [サブネット作成モード] で [カスタム] を選択します。

  5. [新しいサブネット] セクションに、次の情報を入力します。

    1. [名前] に「service-subnet」と入力します。
    2. [リージョン] で、使用するリージョンを選択します。
    3. [IP スタックタイプ] で [IPv4（シングルスタック）] を選択します。
    4. [IPv4 範囲] に「10.10.10.0/24」と入力します。
    5. [完了] をクリックします。

  6. [作成] をクリックします。

gcloud

  1. カスタムモードの VPC ネットワークを作成します。

    gcloud compute networks create service-network --subnet-mode=custom

  2. service-network ネットワークにサブネットを作成します。

    gcloud compute networks subnets create service-subnet \
    --network=service-network \
    --range=10.10.10.0/24 \
    --region=REGION

    REGION は、使用するリージョンに置き換えます。

ファイアウォール ルールを構成する

次のトラフィックを許可するファイアウォール ルールを作成します。

  • fw-allow-subnet: 10.10.10.0/24 からのトラフィックが 10.10.10.0/24 内の他のリソースに到達できるようにします。
  • fw-allow-ssh: 0.0.0.0/0 からの SSH トラフィックが allow-ssh ネットワーク タグを持つ VM に到達できるようにします。

  • fw-allow-healthcheck: Google Cloudヘルスチェック システムからのトラフィックが allow-healthcheck ネットワーク タグを持つ VM に到達できるようにします。

コンソール

  1. Google Cloud コンソールで、[ファイアウォール ポリシー] ページに移動します。

    [ファイアウォール ポリシー] に移動

  2. サブネット トラフィックを許可するには、[ファイアウォール ルールを作成] をクリックして、次の設定を使用します。

    • [名前] に「fw-allow-subnet」と入力します。
    • [ネットワーク] で service-network を選択します。
    • [優先度] に「1000」と入力します。
    • [トラフィックの方向] で [上り（内向き）] をオンにします。
    • [一致したときのアクション] で [許可] をオンにします。
    • [ターゲット] で [