Esegui la migrazione di un dominio personalizzato App Engine a Cloud Load Balancing

Questa guida spiega come configurare un nuovo endpoint pubblico per la tua app App Engine utilizzando Cloud Load Balancing.

Con Cloud Load Balancing, configuri l'endpoint del dominio personalizzato come servizio frontend e configuri l'app App Engine come servizio di backend utilizzando un gruppo di endpoint di rete (NEG) serverless. Il traffico verso l'endpoint del servizio frontend Cloud Load Balancing viene instradato allo stesso modo di prima, incluse tutte le regole di routing definite nel file dispatch.yaml della tua app.

Il seguente diagramma descrive le modifiche apportate alla tua app:

La migrazione a Cloud Load Balancing ti offre una flessibilità molto maggiore nella gestione del traffico quando raggiunge il tuo dominio, ad esempio la pubblicazione di contenuti statici da Cloud Storage o l'aggiunta di servizi in esecuzione su altre piattaforme di calcolo come Cloud Run e Google Kubernetes Engine.

Ottieni anche l'accesso a funzionalità Google Cloud chiave non disponibili su App Engine, tra cui:

• Google Cloud Armor, per una maggiore sicurezza con protezione DDoS avanzata, controlli dell'accesso basati su IP e posizione geografica, regole web application firewall e altro ancora
• Cloud CDN, per la distribuzione dei contenuti memorizzati nella cache
• Criteri SSL, per gestire quali funzionalità SSL e versioni TLS accetterà la tua app

Questa guida illustra le istruzioni di configurazione per spostare le richieste in entrata dal tuo servizio App Engine con un dominio personalizzato a un servizio frontend Cloud Load Balancing:

1. Assicurati di disporre delle autorizzazioni necessarie
2. Creare un certificato gestito da Google
3. Configura Cloud Load Balancing
4. Testa il bilanciatore del carico
5. Collegare il dominio al bilanciatore del carico
6. Elimina il mapping del dominio personalizzato App Engine
7. Configura il controllo in entrata per consentire l'accesso solo tramite Cloud Load Balancing

Prima di iniziare

Avere un'app App Engine con un dominio personalizzato configurato nelle impostazioni di App Engine.

Configura autorizzazioni

Per seguire questa guida, devi creare un certificato gestito da Google, un NEG serverless e un bilanciatore del carico HTTP(S) esterno in un progetto. Devi essere un proprietario o un editor del progetto oppure disporre dei seguenti ruoli IAM:

Crea un certificato SSL gestito da Google

Un certificato SSL gestito da Google (noto anche come certificato TLS nella documentazione) consente di ottenere, gestire e rinnovare automaticamente i certificati. Google Cloud Per eseguire la migrazione al frontend di Cloud Load Balancing senza causare tempi di inattività per il servizio App Engine esistente, devi utilizzare Certificate Manager per creare l'autorizzazione DNS e il certificato gestito da Google.

Tieni presente che la documentazione di Cloud Load Balancing contiene istruzioni simili per la creazione di un certificato SSL gestito da Google, ma le istruzioni utilizzano l'autorizzazione del bilanciatore del carico, che richiede tempi di inattività per il servizio App Engine che potrebbero durare fino a diverse ore. Per ulteriori informazioni, vedi Autorizzazione del dominio per i certificati gestiti da Google.

Per evitare tempi di inattività per la tua app, segui i passaggi indicati in questa pagina.

Crea autorizzazione DNS

1. Crea l'autorizzazione DNS in Gestore certificati eseguendo i seguenti comandi:

   gcloud certificate-manager dns-authorizations create AUTHORIZATION_NAME \
       --domain="DOMAIN_NAME"
   gcloud certificate-manager dns-authorizations describe AUTHORIZATION_NAME
   

   Sostituisci quanto segue:

   • AUTHORIZATION_NAME è un nome univoco che descrive questa autorizzazione DNS.
   • DOMAIN_NAME è il nome del dominio personalizzato App Engine per cui stai creando questa autorizzazione DNS.

2. Prendi nota del CNAME restituito dal comando gcloud. Devi utilizzarlo per aggiornare il record DNS nei passaggi successivi.

Aggiungere il record CNAME alla configurazione DNS

A seconda che utilizzi Cloud DNS o un'altra soluzione DNS di terze parti, segui le istruzioni appropriate per il tuo caso d'uso:

Crea un certificato gestito da Google che faccia riferimento all'autorizzazione DNS

Per creare un certificato gestito da Google che faccia riferimento all'autorizzazione DNS che hai creato nei passaggi precedenti, esegui questi comandi:

1. Crea un certificato gestito da Google:

   gcloud certificate-manager certificates create CERTIFICATE_NAME \
   --domains=DOMAIN_NAME --dns-authorizations=AUTHORIZATION_NAME
   

   Sostituisci quanto segue:

   • CERTIFICATE_NAME è un nome univoco che descrive il certificato.
   • DOMAIN_NAME è il nome del dominio personalizzato App Engine.
   • AUTHORIZATION_NAME è il nome dell'autorizzazione DNS creata in precedenza.

2. Verifica che il certificato sia attivo.

   Utilizza il comando seguente per verificare che il certificato stesso sia attivo prima di implementarlo nel bilanciatore del carico. Tieni presente che potrebbero essere necessarie diverse ore prima che lo stato del certificato diventi ACTIVE.

   gcloud certificate-manager certificates describe CERTIFICATE_NAME
   

   Sostituisci CERTIFICATE_NAME con il nome del certificato gestito da Google creato in precedenza.

   Lo strumento gcloud restituisce un output simile al seguente:

   certificatePem: myPEM
   createTime: '2021-10-20T12:19:53.370778666Z'
   expireTime: '2022-05-07T05:03:49Z'
   managed:
     authorizationAttemptInfo:
     - domain: example.com
       state: AUTHORIZED
     dnsAuthorizations:
     - projects/my-project/locations/global/dnsAuthorizations/myAuth
     domains:
     - example.com
     state: ACTIVE
   name: projects/myProject/locations/global/certificates/myCert
   scope: myScope
   sanDnsnames:
   - example.com
   updateTime: '2021-10-20T12:19:55.083385630Z'
   

   Se lo strumento gcloud restituisce un output diverso, consulta la sezione Risoluzione dei problemi di Certificate Manager.

Creare una mappa di certificati

1. Crea una mappa dei certificati:

   gcloud certificate-manager maps create CERTIFICATE_MAP_NAME
   

   Sostituisci CERTIFICATE_MAP_NAME con un nome univoco che descriva la mappa dei certificati.

2. Crea una voce mappa di certificati e associala al certificato e alla mappa di certificati creati in precedenza:

   gcloud certificate-manager maps entries create CERTIFICATE_MAP_ENTRY_NAME \
       --map=CERTIFICATE_MAP_NAME \
       --certificates=CERTIFICATE_NAME \
       --set-primary
   

   Sostituisci quanto segue:

   • CERTIFICATE_MAP_ENTRY_NAME è un nome univoco che descrive questa voce mappa di certificati.
   • CERTIFICATE_MAP_NAME è il nome della mappa di certificati a cui è collegata questa voce della mappa di certificati.
   • CERTIFICATE_NAME è il nome del certificato che vuoi associare a questa voce della mappa dei certificati.

   Puoi aggiungere il flag --set-primary per assicurarti che il certificato venga utilizzato come certificato predefinito se non viene specificato un nome di dominio.

3. Verifica che la mappa di certificati sia attiva.

   Utilizza il comando seguente per verificare che la voce della mappa dei certificati sia attiva prima di collegare la mappa dei certificati corrispondente al proxy di destinazione:

   gcloud certificate-manager maps entries describe CERTIFICATE_MAP_ENTRY_NAME \
       --map=CERTIFICATE_MAP_NAME
   

   Sostituisci quanto segue:

   • CERTIFICATE_MAP_ENTRY_NAME è il nome della voce della mappa dei certificati di prima.
   • CERTIFICATE_MAP_NAME è il nome della mappa di certificati a cui è collegata questa voce.

   Lo strumento gcloud restituisce un output simile al seguente:

   createTime: '2021-09-06T10:01:56.229472109Z'
   name: projects/my-project/locations/global/certificateMaps/myCertMap/certificateMapEntries/myCertMapEntry
   state: ACTIVE
   updateTime: '2021-09-06T10:01:58.277031787Z'
   

Per saperne di più sull'utilizzo di Certificate Manager, vedi Come funziona Certificate Manager.

Configura Cloud Load Balancing

Dopo aver ottenuto un certificato gestito da Google, puoi sostituire il tuo dominio personalizzato App Engine con un servizio frontend di Cloud Load Balancing.

Il seguente diagramma mostra un bilanciatore del carico HTTPS con un singolo servizio di backend e un NEG serverless.

Le regole di forwarding instradano le richieste in arrivo da indirizzi IP esterni e indirizzano le richieste al proxy HTTPS di destinazione. I bilanciatori del carico HTTPS utilizzano le mappe URL per indirizzare le richieste al servizio di backend, che contiene un NEG serverless per il servizio App Engine.

Prenotare un indirizzo IP esterno

Prima di configurare Cloud Load Balancing, devi configurare un indirizzo IP esterno statico globale per consentire agli utenti di raggiungere il bilanciatore del carico.

Configura il servizio di backend per App Engine

Un gruppo di endpoint di rete (NEG) viene utilizzato per specificare un gruppo di endpoint di backend per un bilanciatore del carico. Per specificare un backend che punta a un servizio App Engine, configura il NEG serverless, quindi configura il servizio di backend, le regole di routing e il servizio di frontend in Cloud Load Balancing.

1. Crea un NEG serverless per la tua app App Engine:

   gcloud compute network-endpoint-groups create APP_ENGINE_NEG \
   --network-endpoint-type=serverless \
   --app-engine-app \
   --region=APP_ENGINE_REGION
   

   Sostituisci quanto segue:

   • APP_ENGINE_NEG è il nome del gruppo di endpoint di rete.
   • APP_ENGINE_REGION è la regione impostata in App Engine.

   Puoi aggiungere il flag --app-engine-app sopra per utilizzare il routing predefinito, anziché indirizzare a un servizio App Engine specifico. L'utilizzo del routing predefinito significa che le richieste verranno inviate al servizio predefinito (https://PROJECT_ID.REGION_ID.r.appspot.com) e seguiranno tutte le regole di routing definite nel file dispatch.yaml. Questo è lo stesso comportamento dei domini personalizzati configurati utilizzando App Engine.

2. Crea il servizio di backend:

   gcloud compute backend-services create APP_ENGINE_BACKEND \
     --global \
     --load-balancing-scheme=EXTERNAL_MANAGED
   

   Sostituisci APP_ENGINE_BACKEND con il nome del servizio di backend da creare.

3. Aggiungi il NEG serverless al servizio di backend App Engine:

   gcloud compute backend-services add-backend APP_ENGINE_BACKEND \
   --global --network-endpoint-group=APP_ENGINE_NEG \
   --network-endpoint-group-region=APP_ENGINE_REGION
   

   Sostituisci quanto segue:

   • APP_ENGINE_BACKEND è il nome del servizio di backend di prima.
   • APP_ENGINE_NEG è il nome del gruppo di endpoint di rete.
   • APP_ENGINE_REGION è la regione impostata in App Engine.

4. Crea una mappa URL per instradare le richieste in entrata al servizio di backend:

   gcloud compute url-maps create URL_MAP_NAME \
         --default-service APP_ENGINE_BACKEND
   

   Sostituisci quanto segue:

   • URL_MAP_NAME è un nome univoco per la risorsa mappa URL che definisce la mappatura degli URL ai servizi di backend.
   • APP_ENGINE_BACKEND è il nome del servizio di backend di prima.

5. Crea un proxy HTTPS di destinazione per instradare le richieste alla mappa URL:

   gcloud compute target-https-proxies create TARGET_HTTPS_PROXY_NAME \
         --certificate-map=CERTIFICATE_MAP_NAME \
         --url-map=URL_MAP_NAME
   

   Sostituisci quanto segue:

   • TARGET_HTTPS_PROXY_NAME è un nome univoco che scegli per descrivere il proxy HTTPS.
   • CERTIFICATE_MAP_NAME è il nome della mappa di certificati che fa riferimento alla voce della mappa di certificati e al relativo certificato.
   • URL_MAP_NAME è il nome della mappa URL di prima.

6. Crea una regola di forwarding per instradare le richieste in entrata al proxy:

   gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
         --load-balancing-scheme=EXTERNAL_MANAGED \
         --network-tier=PREMIUM \
         --address=EXTERNAL_IP \
         --target-https-proxy=TARGET_HTTPS_PROXY_NAME \
         --global \
         --ports=443
   

   Sostituisci quanto segue:

   • HTTPS_FORWARDING_RULE_NAME è un nome univoco che descrive la regola di forwarding per indirizzare il traffico di rete al proxy HTTPS.
   • TARGET_HTTPS_PROXY_NAME è un nome del proxy HTTPS precedente.
   • EXTERNAL_IP è il nome dell'indirizzo IPv4 che è stato creato in precedenza.

Testa il bilanciatore del carico

Ora che hai configurato il bilanciatore del carico, puoi iniziare a inviare traffico all'indirizzo IP del bilanciatore del carico per eseguire i test prima di eseguire la migrazione del dominio.

1. Vai alla pagina Bilanciamento del carico nella console Google Cloud .
   Vai a Bilanciamento del carico
2. Fai clic sul bilanciatore del carico che hai appena creato.
3. Prendi nota dell'indirizzo IP del bilanciatore del carico.

4. Per un bilanciatore del carico HTTPS, puoi testarlo utilizzando un browser web andando all'indirizzo https://IP_ADDRESS. Sostituisci IP_ADDRESS con l'indirizzo IP del bilanciatore del carico, ad esempio 30.90.80.100.

   • Se non funziona e utilizzi un certificato gestito da Google, verifica che il certificato sia ACTIVE e che la mappa dei certificati sia ACTIVE.
   • Se utilizzi un certificato autofirmato per i test, il browser visualizza un avviso. Devi indicare esplicitamente al browser di accettare un certificato autofirmato. Fai clic sull'avviso per visualizzare la pagina effettiva.

   Per ulteriori opzioni di configurazione, consulta Configura un bilanciatore del carico HTTP(S) esterno globale con piattaforme serverless.

Collegare il dominio al bilanciatore del carico

Dopo aver creato il bilanciatore del carico, prendi nota dell'indirizzo IP associato al bilanciatore del carico, ad esempio 30.90.80.100. Per indirizzare il tuo dominio al bilanciatore del carico, crea un record A utilizzando il servizio di registrazione del dominio. Se hai aggiunto più domini al certificato SSL, devi aggiungere un record A per ciascuno, tutti indirizzati all'indirizzo IP del bilanciamento del carico. Ad esempio, per creare record A per www.example.com e example.com, utilizza quanto segue:

NAME                  TYPE     DATA
www                   A        30.90.80.100
@                     A        30.90.80.100

Se utilizzi Cloud DNS come provider DNS, consulta Aggiungere, modificare ed eliminare record.

Elimina il mapping del dominio personalizzato App Engine

Nella console Google Cloud :

1. Vai alla scheda Domini personalizzati della pagina Impostazioni di App Engine.

   Vai a Domini personalizzati

2. Seleziona il nome di dominio personalizzato e fai clic su Elimina.

In alternativa, puoi utilizzare i comandi gcloud o l'API Admin per eliminare il dominio personalizzato.

Configura il controllo in entrata per consentire l'accesso solo tramite Cloud Load Balancing

Dopo aver testato il bilanciatore del carico, ti consigliamo di aggiornare l'app App Engine in modo che accetti il traffico solo da Cloud Load Balancing. Per scoprire come configurare i controlli di ingresso internal-and-cloud-load-balancing, consulta Impostazioni di Ingress.