Elenco di controllo per la configurazione di Google Cloud

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Una risorsa organizzazione in Google Cloud rappresenta la tua attività e funge da nodo di primo livello della gerarchia. Per creare la tua organizzazione, devi configurare un servizio di identità Google e associarlo al tuo dominio. Al termine di questa procedura, viene creata automaticamente una risorsa dell'organizzazione.

Per una panoramica della risorsa organizzazione, consulta quanto segue:

• Gestisci le risorse dell'organizzazione.
• Best practice per la pianificazione di account e organizzazioni.

Chi esegue questa attività

Questa operazione viene eseguita dai seguenti due amministratori:

• Un amministratore delle identità responsabile dell'assegnazione dell'accesso basato sul ruolo. Devi assegnare questa persona come super amministratore di Cloud Identity. Per ulteriori informazioni sull'utente super amministratore, consulta Ruoli amministrativi predefiniti.

• Un amministratore di dominio con accesso all'host del dominio dell'azienda. Questa persona modifica le impostazioni del dominio, ad esempio le configurazioni DNS, nell'ambito della procedura di verifica del dominio.

Cosa fai in questa attività

• Se non lo hai ancora fatto, configura Cloud Identity, dove crei un account utente gestito per l'utente super amministratore.
• Collega Cloud Identity al tuo dominio (ad esempio example.com).
• Verifica il dominio. Questa procedura crea il nodo radice della gerarchia delle risorse, noto come risorsa dell'organizzazione.

Perché consigliamo questa attività

Nell'ambito della tua Google Cloud base, devi configurare quanto segue:

• Un servizio di identità Google per gestire centralmente le identità.
• Una risorsa dell'organizzazione per stabilire la radice della gerarchia e del controllo dell'accesso.

Opzioni del servizio di identità Google

Utilizzi uno o entrambi i seguenti servizi di identità Google per amministrare le credenziali per gli Google Cloud utenti:

• Cloud Identity: gestisce centralmente utenti e gruppi. Puoi federare le identità tra Google e altri provider di identità. Per ulteriori informazioni, consulta la Panoramica di Cloud Identity.
• Google Workspace: gestisce utenti e gruppi e fornisce accesso a prodotti per la produttività e la collaborazione come Gmail e Google Drive. Per saperne di più, vedi Google Workspace.

Per informazioni dettagliate sulla pianificazione delle identità, consulta Pianificare la procedura di onboarding per le identità aziendali.

Prima di iniziare

Per scoprire come gestire un account super amministratore, consulta le best practice per gli account super amministratore.

Configura un provider di identità e verifica il dominio

I passaggi da completare in questa attività dipendono dal fatto che tu sia un cliente nuovo o esistente. Identifica l'opzione più adatta alle tue esigenze:

• Nuovo cliente: configura Cloud Identity, verifica il tuo dominio e crea la tua organizzazione.

• Cliente Google Workspace esistente: utilizza Google Workspace come fornitore di identity per gli utenti che accedono a Google Workspace e Google Cloud. Se prevedi di creare utenti che accedono solo a Google Cloud, attiva Cloud Identity.

• Cliente Cloud Identity esistente: verifica il tuo dominio, assicurati che la tua organizzazione sia stata creata e conferma che Cloud Identity sia abilitato.

Passaggi successivi

Crea gruppi e aggiungi membri.

In questa attività configuri identità, utenti e gruppi per gestire l'accesso alle risorseGoogle Cloud .

Per ulteriori informazioni sulla gestione degli accessi su Google Cloud, consulta quanto segue:

• Panoramica di Identity and Access Management (IAM).
• Per le best practice, consulta Utilizzare IAM in modo sicuro.

Chi esegue questa attività

Puoi eseguire questa operazione se hai uno dei seguenti dispositivi:

• Il super amministratore di Google Workspace o Cloud Identity che hai creato nell'attività Organizzazione.
• Uno dei seguenti ruoli IAM:
  • Organization Administrator (roles/resourcemanager.organizationAdmin).
  • Amministratore pool di identità forza lavoro (roles/iam.workforcePoolAdmin).

Cosa fai in questa attività

• Connettiti a Cloud Identity o al tuo provider di identità (IdP) esterno.

• Crea gruppi e utenti amministrativi che eseguiranno il resto della Google Cloud procedura di configurazione. Concedi l'accesso a questi gruppi in un'attività successiva.

Perché consigliamo questa attività

Questa operazione ti aiuta a implementare le seguenti best practice per la sicurezza:

• Principio del privilegio minimo: concedi agli utenti le autorizzazioni minime necessarie per svolgere il loro ruolo e rimuovi l'accesso non appena non è più necessario.

• Controllo degli accessi basato sui ruoli (RBAC): assegna le autorizzazioni ai gruppi di utenti in base al loro ruolo lavorativo. Non aggiungere autorizzazioni ai singoli account utente.

Puoi utilizzare i gruppi per applicare in modo efficiente i ruoli IAM a una raccolta di utenti. Questa prassi ti consente di semplificare la gestione dell'accesso.

Seleziona un provider di identità

Per gestire gli utenti e i gruppi e collegarli Google Cloud, puoi utilizzare uno dei seguenti elementi:

• Google Workspace o Cloud Identity: crei e gestisci utenti e gruppi in Google Workspace o Cloud Identity. Puoi scegliere di eseguire la sincronizzazione con il tuo provider di identità esterno in un secondo momento.
• Il tuo provider di identità esterno, ad esempio Microsoft Entra ID o Okta: crei e gestisci utenti e gruppi nel tuo provider di identità esterno. Poi, collega il tuo fornitore a Google Cloud per attivare il Single Sign-On.

Per selezionare il tuo provider di identità:

1. Accedi alla console Google Cloud come uno degli utenti identificati in Chi esegue questa attività.

2. Vai a Google Cloud Configurazione: utenti e gruppi.

   Vai a Utenti e gruppi

3. Esamina i dettagli dell'attività e fai clic su Continua la configurazione dell'identità.

4. Nella pagina Seleziona il tuo provider di identità, seleziona una delle seguenti opzioni per iniziare una configurazione guidata:

   • Utilizza Google per gestire Google Cloud centralmente gli utenti: utilizza Google Workspace o Cloud Identity per eseguire il provisioning e gestire gli utenti e i gruppi come super amministratore del tuo dominio verificato. In un secondo momento, puoi eseguire la sincronizzazione con il tuo provider di identità esterno.
   • Microsoft Entra ID (Azure AD): utilizza OpenID Connect per configurare un collegamento a Microsoft Entra ID.
   • Okta: utilizza OpenID Connect per configurare una connessione a Okta.
   • OpenID Connect: utilizza il protocollo OpenID per connetterti a un provider di identità compatibile.
   • SAML: utilizza il protocollo SAML per connetterti a un provider di identità compatibile.
   • Per il momento salta la configurazione di un IdP esterno: se hai un provider di identità esterno e non vuoi connetterlo a Google Cloud, puoi creare utenti e gruppi in Google Workspace o Cloud Identity.

5. Fai clic su Continua.

6. Per i passaggi successivi, consulta una delle seguenti risorse:

   • Creare utenti e gruppi in Cloud Identity
   • Collegare il provider di identità esterno a Google Cloud

Creare utenti e gruppi in Cloud Identity

Se non hai un provider di identità esistente o se non vuoi collegare il tuo provider di identità a Google Cloud, puoi creare e gestire utenti e gruppi in Cloud Identity o Google Workspace. Per creare utenti e gruppi:

• Crea un gruppo per ogni funzione amministrativa consigliata, tra cui organizzazione, fatturazione e amministrazione di rete.
• Crea account utente gestito per gli amministratori.
• Assegna gli utenti ai gruppi amministrativi corrispondenti alle loro responsabilità.

Prima di iniziare

• Individuare ed eseguire la migrazione degli utenti che hanno già Account Google. Per informazioni dettagliate, vedi Aggiungere utenti con account non gestiti.

• Devi essere un super amministratore.

Crea gruppi amministrativi

Un gruppo è una raccolta denominata di Account Google e account di servizio. Ogni gruppo ha un indirizzo email univoco, ad esempio gcp-billing-admins@example.com. Crei gruppi per gestire gli utenti e applicare i ruoli IAM su larga scala.

Ti consigliamo di creare i seguenti gruppi per aiutarti ad amministrare le funzioni di base della tua organizzazione e completare la Google Cloud procedura di configurazione.

Per creare gruppi amministrativi:

1. Seleziona Google come fornitore.

2. Nella pagina Crea gruppi, esamina l'elenco dei gruppi amministrativi consigliati e poi esegui una delle seguenti operazioni:

   • Per creare tutti i gruppi consigliati, fai clic su Crea tutti i gruppi.
   • Se vuoi creare un sottoinsieme dei gruppi consigliati, fai clic su Crea nelle righe scelte.

3. Fai clic su Continua.

Creare utenti amministrativi

Ti consigliamo di aggiungere inizialmente gli utenti che completano le procedure di configurazione per l'organizzazione, la rete, la fatturazione e altro ancora. Puoi aggiungere altri utenti dopo aver completato la Google Cloud procedura di configurazione.

Per aggiungere utenti amministrativi che eseguono Google Cloud attività di configurazione, procedi come segue:

1. Esegui la migrazione degli account consumer ad account utente gestiti controllati da Cloud Identity. Per la procedura dettagliata, consulta quanto segue:

   • Eseguire la migrazione degli account consumer.
   • Aggiungi utenti con account non gestiti.

2. Accedi alla Console di amministrazione Google utilizzando un account super amministratore.

3. Per aggiungere utenti, scegli una delle seguenti opzioni:

   • Per aggiungere più utenti contemporaneamente, vedi Aggiungere o aggiornare più utenti da un file CSV.
   • Per aggiungere utenti singolarmente, vedi Aggiungere un account per un nuovo utente.

4. Al termine dell'aggiunta degli utenti, torna a Google Cloud Configurazione: utenti e gruppi (creazione utenti).

5. Fai clic su Continua.

Aggiungere utenti amministrativi ai gruppi

Aggiungi gli utenti che hai creato ai gruppi amministrativi corrispondenti alle loro funzioni.

1. Assicurati di aver creato utenti amministrativi.

2. In Google Cloud Configurazione: Utenti e gruppi (Aggiungi utenti ai gruppi), esamina i dettagli del passaggio.

3. In ogni riga Gruppo:

   1. Fai clic su Aggiungi membri.
   2. Inserisci l'indirizzo email dell'utente.

   3. Nell'elenco a discesa Ruolo gruppo, seleziona le impostazioni di autorizzazione del gruppo dell'utente. Per ulteriori informazioni, vedi Impostare chi può visualizzare, pubblicare e moderare i post.

      Ogni membro eredita tutti i ruoli IAM concessi a un gruppo, indipendentemente dal ruolo del gruppo selezionato.

   4. Per aggiungere un altro utente a questo gruppo, fai clic su Aggiungi un altro membro e ripeti questi passaggi. Ti consigliamo di aggiungere più di un membro a ogni gruppo.

   5. Quando hai finito di aggiungere utenti a questo gruppo, fai clic su Salva.

4. Quando hai finito con tutti i gruppi, fai clic su Conferma utenti e gruppi.

5. Se vuoi federare il tuo provider di identità in Google Cloud, consulta quanto segue:

   • Architetture di riferimento: utilizzo di un IdP esterno.
   • Per eseguire automaticamente il provisioning degli utenti e attivare l'accesso singolo, consulta quanto segue:
     • Federa Google Cloud Identity con Active Directory.
     • Esegui la federazione di Cloud Identity con Microsoft Entra ID.
   • Per sincronizzare gli utenti e i gruppi di Active Directory con Google Cloud, utilizza Directory Sync o Google Cloud Directory Sync.
     • Per un confronto, vedi Confronto tra Directory Sync e GCDS.

Connetti il tuo provider di identità esterno a Google Cloud

Puoi utilizzare il tuo provider di identità esistente per creare e gestire gruppi e utenti. Configura il Single Sign-On per Google Cloud impostando la federazione delle identità per la forza lavoro con il tuo provider di identità esterno. Per i concetti chiave di questa procedura, consulta Federazione delle identità per la forza lavoro.

Per collegare il provider di identità esterno, devi completare una configurazione guidata che include i seguenti passaggi:

1. Crea un pool di forza lavoro: un pool di identità della forza lavoro ti consente di gestire le identità e il loro accesso alle risorse. Inserisci i seguenti dettagli in un formato leggibile da una persona.
   • ID pool di risorse umane: un identificatore univoco a livello globale utilizzato in IAM.
   • ID provider: un nome per il provider, che gli utenti dovranno specificare quando accedono a Google Cloud.
2. Configura Google Cloud nel tuo provider: la configurazione guidata include passaggi specifici per il tuo provider.
3. Inserisci i dettagli del pool di forza lavoro del tuo provider: per aggiungere il tuo provider come autorità attendibile per rivendicare le identità, recupera i dettagli del provider e aggiungili a Google Cloud:
4. Configura un insieme iniziale di gruppi amministrativi: la configurazione guidata include passaggi specifici per il tuo fornitore. Assegni gruppi nel tuo provider e stabilisci una connessione a Google Cloud. Per una descrizione dettagliata di ciascun gruppo, vedi Creare gruppi amministrativi.
5. Assegna gli utenti a ogni gruppo: ti consigliamo di assegnare più di un utente a ogni gruppo.

Per informazioni di base sulla procedura di collegamento per ciascun fornitore, consulta quanto segue:

• Configura la federazione delle identità della forza lavoro con Azure AD e fai accedere gli utenti.
• Configurare la federazione delle identità della forza lavoro con Okta e far accedere gli utenti
• Per altri provider che supportano OIDC o SAML, consulta Configurare la federazione delle identità della forza lavoro

Passaggi successivi

Assegna le autorizzazioni ai gruppi di amministratori.

In questa attività utilizzi Identity and Access Management (IAM) per assegnare raccolte di autorizzazioni a gruppi di amministratori a livello di organizzazione. Questa procedura offre agli amministratori visibilità e controllo centralizzati su ogni risorsa cloud che appartiene alla tua organizzazione.

Per una panoramica di Identity and Access Management in Google Cloud, consulta Panoramica di IAM.

Chi esegue questa attività

Per eseguire questa operazione, devi essere uno dei seguenti utenti:

• Un utente super amministratore.
• Un utente con il ruolo Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin).

Cosa fai in questa attività

• Esamina un elenco dei ruoli predefiniti assegnati a ciascun gruppo di amministratori creato nell'attività Utenti e gruppi.

• Se vuoi personalizzare un gruppo, puoi procedere nel seguente modo:

  • Aggiungi o rimuovi i ruoli.
  • Se non prevedi di utilizzare un gruppo, puoi eliminarlo.

Perché consigliamo questa attività

Devi concedere esplicitamente tutti i ruoli amministrativi per la tua organizzazione. Questa attività ti aiuta a implementare le seguenti best practice per la sicurezza:

• Principio del privilegio minimo: concedi agli utenti le autorizzazioni minime necessarie per svolgere il proprio lavoro e rimuovi l'accesso non appena non è più necessario.

• Controllo degli accessi basato sui ruoli (RBAC): assegna le autorizzazioni ai gruppi di utenti in base alle loro mansioni. Non concedere ruoli ai singoli account utente.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.

Concedere l'accesso ai gruppi di amministratori

Per concedere l'accesso appropriato a ogni gruppo di amministratori creato nell'attività Utenti e gruppi, controlla i ruoli predefiniti assegnati a ciascun gruppo. Puoi aggiungere o rimuovere ruoli per personalizzare l'accesso di ciascun gruppo.

1. Assicurati di aver eseguito l'accesso alla console Google Cloud come utente super amministratore.

   In alternativa, puoi accedere come utente con il ruolo Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin).

2. Vai a Google Cloud Configurazione: accesso amministrativo.

   Vai ad Accesso amministrativo

3. Seleziona il nome della tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

4. Rivedi la panoramica dell'attività e fai clic su Continua l'accesso amministrativo.

5. Esamina i gruppi nella colonna Gruppo (principale) che hai creato nell'attività Utenti e gruppi.

6. Per ogni gruppo, esamina i ruoli IAM predefiniti. Puoi aggiungere o rimuovere i ruoli assegnati a ciascun gruppo in base alle esigenze specifiche della tua organizzazione.

   Ogni ruolo contiene più autorizzazioni che consentono agli utenti di eseguire attività pertinenti. Per ulteriori informazioni sulle autorizzazioni di ciascun ruolo, consulta Riferimento ai ruoli di base e predefiniti di IAM.

7. Quando è tutto pronto per assegnare i ruoli a ciascun gruppo, fai clic su Salva e concedi accesso.

Passaggi successivi

Configura la fatturazione.

In questa attività dovrai configurare un account di fatturazione per pagare le risorse Google Cloud. A questo scopo, associa alla tua organizzazione uno dei seguenti elementi.

• Un account di fatturazione Cloud esistente. Se non hai accesso all'account, puoi richiedere l'accesso all'amministratore dell'account pagamenti.

• Un nuovo account di fatturazione Cloud.

Per ulteriori informazioni sulla fatturazione, consulta la documentazione di Cloud Billing.

Chi esegue questa attività

Una persona nel gruppo gcp-billing-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

• Crea o utilizza un account di fatturazione Cloud self-service esistente.
• Decidi se passare da un account self-service a un account con fatturazione mensile non automatica.
• Configura un account Cloud Billing e un metodo di pagamento.

Perché consigliamo questa attività

Gli account di fatturazione Cloud sono collegati a uno o più Google Cloud progetti e vengono usati per pagare le risorse che utilizzi, ad esempio macchine virtuali, networking e spazio di archiviazione.

Determinare il tipo di account di fatturazione

L'account di fatturazione che associ alla tua organizzazione è uno dei seguenti tipi.

• Self-service (o online): registrati online utilizzando una carta di credito o di debito. Ti consigliamo questa opzione se sei una piccola impresa o un privato. Quando ti registri online per un account di fatturazione, questo viene configurato automaticamente come account self-service.

• Con fatturazione mensile non automatica (o offline). Se hai già un account di fatturazione self-service, potresti avere l'idoneità a richiedere la fatturazione mensile non automatica se la tua attività soddisfa i requisiti di idoneità.

Non puoi creare un account con fatturazione mensile non automatica online, ma puoi richiedere la conversione di un account self-service in un account con fatturazione mensile non automatica.

Per ulteriori informazioni, consulta Tipi di account di fatturazione Cloud.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Configura l'account di fatturazione

Ora che hai scelto un tipo di account di fatturazione, associalo alla tua organizzazione. Al termine di questa procedura, puoi utilizzare il tuo account di fatturazione per pagare le risorse. Google Cloud

1. Accedi alla console Google Cloud come utente del gruppo gcp-billing-admins@YOUR_DOMAIN.

2. Vai a Google Cloud Configurazione: fatturazione.

   Vai a Fatturazione

3. Esamina la panoramica dell'attività e poi fai clic su Continua la fatturazione.

4. Seleziona una delle seguenti opzioni per l'account di fatturazione:

   Crea un nuovo account

   Se la tua organizzazione non ha un account, creane uno nuovo.

   1. Seleziona Voglio creare un nuovo account di fatturazione.
   2. Fai clic su Continua.

   3. Seleziona il tipo di account di fatturazione che vuoi creare. Per la procedura dettagliata, consulta quanto segue:

      • Per creare un nuovo account self-service, consulta Creare un nuovo account di fatturazione Cloud self-service.
      • Per eseguire la transizione di un account self-service esistente alla fatturazione mensile, consulta Richiedere la fatturazione mensile.

   4. Verifica che l'account di fatturazione sia stato creato:

      1. Se hai creato un account con fatturazione mensile non automatica, attendi fino a 5 giorni lavorativi per ricevere la conferma via email.

      2. Vai alla pagina Fatturazione.

      3. Seleziona la tua organizzazione dall'elenco Seleziona da nella parte superiore della pagina. Se l'account è stato creato correttamente, viene visualizzato nell'elenco degli account di fatturazione.

   Utilizza il mio account esistente

   Se hai già un account di fatturazione, puoi associarlo alla tua organizzazione.

   1. Seleziona In questo elenco ho identificato un account di fatturazione che vorrei utilizzare per completare la procedura di configurazione.
   2. Dall'elenco a discesa Fatturazione, seleziona l'account da associare alla tua organizzazione.
   3. Fai clic su Continua.
   4. Esamina i dettagli e fai clic su Conferma account di fatturazione.

   Utilizzare l'account di un altro utente

   Se un altro utente ha accesso a un account di fatturazione esistente, puoi chiedergli di associarlo alla tua organizzazione oppure l'utente può concederti l'accesso per completare l'associazione.

   1. Seleziona Voglio utilizzare un account di fatturazione gestito da un altro account utente Google.
   2. Fai clic su Continua.
   3. Inserisci l'indirizzo email dell'amministratore dell'account di fatturazione.
   4. Fai clic su Contatta l'amministratore.
   5. Attendi che l'amministratore dell'account di fatturazione ti contatti per fornirti ulteriori istruzioni.

Passaggi successivi

Crea una gerarchia delle risorse e assegna l'accesso.

In questa attività, configuri la gerarchia delle risorse creando e assegnando accesso alle seguenti risorse:

Cartelle

Forniscono un meccanismo di raggruppamento e limiti di isolamento tra i progetti. Ad esempio, le cartelle possono rappresentare i reparti principali della tua organizzazione, come finanza o vendita al dettaglio, o ambienti come produzione o non produzione.

Progetti

Contengono le Google Cloud risorse, come macchine virtuali, database e bucket di archiviazione.

Per considerazioni sul design e best practice per organizzare le risorse nei progetti, consulta Decidere una gerarchia delle risorse per la Google Cloud landing zone.

Chi esegue questa attività

Una persona nel gruppo gcp-organization-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi può eseguire questa attività.

Cosa fai in questa attività

• Crea una struttura gerarchica iniziale che includa cartelle e progetti.
• Imposta i criteri IAM per controllare l'accesso alle cartelle e ai progetti.

Perché consigliamo questa attività

La creazione di una struttura per cartelle e progetti ti consente di gestire le risorseGoogle Cloud e assegnare l'accesso in base al modo in cui la tua organizzazione opera. Ad esempio, puoi organizzare e fornire l'accesso alle risorse in base alla raccolta unica di regioni geografiche, strutture sussidiarie o framework di responsabilità della tua organizzazione.

Pianifica la gerarchia delle risorse

La gerarchia delle risorse ti aiuta a creare confini e a condividere le risorse all'interno della tua organizzazione per attività comuni. Puoi creare la gerarchia utilizzando una delle seguenti configurazioni iniziali, in base alla struttura della tua organizzazione:

• Semplice e orientato all'ambiente:

  • Isola gli ambienti come Non-production e Production.
  • Implementa criteri, requisiti normativi e controlli di accesso distinti in ogni cartella dell'ambiente.
  • Ideale per piccole aziende con ambienti centralizzati.

• Semplice e orientato al team:

  • Isola i team come Development e QA.
  • Isola l'accesso alle risorse utilizzando le cartelle degli ambienti secondari in ogni cartella del team.
  • Ideale per piccole aziende con team autonomi.

• Orientati all'ambiente:

  • Dai la priorità all'isolamento di ambienti come Non-production e Production.
  • In ogni cartella dell'ambiente, isola le unità aziendali.
  • Isola i team in ogni unità aziendale.
  • Ideale per grandi aziende con ambienti centralizzati.

• Orientata alle business unit:

  • Dai la priorità all'isolamento di unità aziendali come Human Resources e Engineering per assicurarti che gli utenti possano accedere solo alle risorse e ai dati di cui hanno bisogno.
  • Isola i team in ogni unità aziendale.
  • Isola gli ambienti sotto ogni team.
  • Ideale per grandi aziende con team autonomi.

Ogni configurazione ha una cartella Common per i progetti che contengono risorse condivise. Potrebbero essere inclusi progetti di registrazione e monitoraggio.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.

Configurare le cartelle e i progetti iniziali

Seleziona la gerarchia delle risorse che rappresenta la struttura della tua organizzazione.

Per configurare le cartelle e i progetti iniziali:

1. Accedi alla console Google Cloud come utente del gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: Gerarchia e accesso.

   Vai a Gerarchia e accesso

4. Esamina la panoramica dell'attività, quindi fai clic su Avvia accanto a Gerarchia delle risorse.

5. Seleziona una configurazione iniziale.

6. Fai clic su Continua e configura.

7. Personalizza la gerarchia delle risorse in modo che rifletta la struttura organizzativa. Ad esempio, puoi personalizzare quanto segue:

   • Nomi delle cartelle.

   • Progetti di servizi per ogni team. Per concedere l'accesso ai progetti di servizi, puoi creare quanto segue:

     • Un gruppo per ogni progetto di servizio.
     • Utenti di ciascun gruppo.

     Per una panoramica dei progetti di servizio, consulta VPC condiviso.

   • Progetti necessari per il monitoraggio, il logging e il networking.

   • Progetti personalizzati.

8. Fai clic su Continua.

9. Concedi l'accesso alle tue cartelle e ai tuoi progetti.

Concedi l'accesso alle tue cartelle e ai tuoi progetti

Nell'attività Accesso amministrativo, hai concesso accesso amministrativo ai gruppi a livello di organizzazione. In questa attività, configurerai l'accesso ai gruppi che interagiscono con le cartelle e i progetti appena configurati.

I progetti, le cartelle e le organizzazioni hanno ciascuno i propri criteri IAM, che vengono ereditati tramite la gerarchia delle risorse:

• Organizzazione: i criteri si applicano a tutte le cartelle e a tutti i progetti dell'organizzazione.
• Cartella: i criteri si applicano ai progetti e alle altre cartelle all'interno della cartella.
• Progetto: i criteri si applicano solo al progetto e alle sue risorse.

Aggiorna i criteri IAM per le cartelle e i progetti:

1. Nella sezione Configura il controllo dell'accesso di Gerarchia e accesso, concedi ai gruppi l'accesso alle cartelle e ai progetti:

   1. Nella tabella, controlla l'elenco dei ruoli IAM consigliati concessi a ciascun gruppo per ogni risorsa.

   2. Se vuoi modificare i ruoli assegnati a ciascun gruppo, fai clic su Modifica nella riga che ti interessa.

      Per ulteriori informazioni su ciascun ruolo, consulta Ruoli IAM di base e predefiniti.

2. Fai clic su Continua.

3. Rivedi le modifiche e fai clic su Conferma configurazione di bozza.

Passaggi successivi

Configura le impostazioni di sicurezza.

In questa attività devi configurare i prodotti e le impostazioni di sicurezza per proteggere la tua organizzazione.

Chi esegue questa attività

Per completare questa attività, devi disporre di uno dei seguenti elementi:

• Il ruolo Amministratore dell'organizzazione (roles/resourcemanager.organizationAdmin).
• L'appartenenza a uno dei seguenti gruppi che hai creato nell'attività Utenti e gruppi:
  • gcp-organization-admins@<your-domain>.com
  • gcp-security-admins@<your-domain>.com

Cosa fai in questa attività

Applica le norme dell'organizzazione consigliate in base alle seguenti categorie:

• Gestione degli accessi.
• Comportamento dell'account di servizio.
• Configurazione della rete VPC.
• Cloud KMS con Autokey, disponibile solo per l'opzione Sicurezza avanzata (anteprima).

Inoltre, consenti a Security Command Center di centralizzare la segnalazione di vulnerabilità e minacce.

Perché consigliamo questa attività

L'applicazione dei criteri dell'organizzazione consigliati ti consente di limitare le azioni degli utenti che non sono in linea con il tuo livello di sicurezza.

L'attivazione di Security Command Center ti consente di creare un punto di riferimento centrale per analizzare vulnerabilità e minacce.

L'applicazione e l'automazione di Cloud KMS con Autokey ti aiutano a utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in modo coerente per proteggere le tue risorse.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Avvia l'attività di sicurezza

1. Accedi alla console Google Cloud con un utente identificato in Chi esegue questa attività.

2. Seleziona la tua organizzazione dal menu a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: sicurezza.

   Vai a Sicurezza

4. Esamina la panoramica dell'attività, quindi fai clic su Avvia sicurezza.

Centralizzare la generazione di report sulle vulnerabilità e sulle minacce

Per centralizzare i servizi di segnalazione di vulnerabilità e minacce, abilita Security Command Center. In questo modo puoi rafforzare la tua security posture e mitigare i rischi. Per maggiori informazioni, consulta la panoramica di Security Command Center.

1. Nella pagina Google Cloud Configurazione: sicurezza, assicurati che la casella di controllo Abilita Security Command Center: Standard sia attivata.

   Questa attività attiva il livello Standard gratuito. Puoi eseguire l'upgrade alla versione Premium in un secondo momento. Per ulteriori informazioni, consulta i livelli di servizio di Security Command Center.

2. Fai clic su Applica le configurazioni di Security Command Center.

Applica i criteri dell'organizzazione consigliati

I criteri dell'organizzazione si applicano a livello di organizzazione e vengono ereditati da cartelle e progetti. In questa attività, esamina e applica l'elenco delle norme consigliate. Puoi modificare i criteri dell'organizzazione in qualsiasi momento. Per ulteriori informazioni, consulta Introduzione al servizio Norme dell'organizzazione.

1. Esamina l'elenco dei criteri dell'organizzazione consigliati. Se non vuoi applicare un criterio consigliato, fai clic sulla relativa casella di controllo per rimuoverlo.

   Per una spiegazione dettagliata di ogni criterio dell'organizzazione, vedi Vincoli dei criteri dell'organizzazione.

2. Fai clic su Conferma configurazione delle policy dell'organizzazione.

I criteri dell'organizzazione selezionati vengono applicati quando esegui il deployment della configurazione in un'attività successiva.

Applica e automatizza le chiavi di crittografia del cliente

Cloud KMS con Autokey consente agli sviluppatori della tua organizzazione di creare chiavi di crittografia simmetrica, se necessario, per proteggere le tue risorse. Google Cloud

1. Esamina la descrizione di Cloud KMS con Autokey, quindi per Utilizza Cloud KMS con Autokey e applica le policy dell'organizzazione, fai clic su Sì (consigliato).
2. Fai clic su Conferma la configurazione della gestione delle chiavi.

Le seguenti configurazioni vengono applicate quando esegui il deployment della configurazione in un'attività successiva:

• Configura un progetto Autokey in ogni cartella dell'ambiente della gerarchia.
• Attiva Cloud KMS con Autokey nelle cartelle dell'ambiente.
• Richiedi l'utilizzo di chiavi di crittografia gestite dal cliente (CMEK) per le risorse create in ogni cartella dell'ambiente.
• Limita ogni cartella a utilizzare solo le chiavi Cloud KMS nel progetto Autokey per quella cartella.

Passaggi successivi

Logging e monitoraggio centralizzati.

In questa attività, configura quanto segue:

• Log centralizzato per aiutarti ad analizzare e ottenere informazioni dettagliate dai log per tutti i progetti della tua organizzazione.
• Monitoraggio centralizzato per aiutarti a visualizzare le metriche di tutti i progetti creati in questa configurazione.

Chi esegue questa attività

Per configurare il logging e il monitoraggio, devi disporre di uno dei seguenti elementi:

• I ruoli Logging Admin (roles/logging.admin) e Monitoring Admin (roles/monitoring.admin).
• L'appartenenza a uno dei seguenti gruppi che hai creato nell'attività Utenti e gruppi:
  • gcp-organization-admins@YOUR_DOMAIN
  • gcp-security-admins@YOUR_DOMAIN
  • gcp-logging-monitoring-admins@YOUR_DOMAIN

Cosa fai in questa attività

In questa attività:

• Organizza in modo centralizzato i log creati nei progetti della tua organizzazione per migliorare la sicurezza, il controllo e la conformità.
• Configura un progetto di monitoraggio centralizzato per accedere alle metriche di monitoraggio tra i progetti che hai creato in questa configurazione.

Perché consigliamo questa attività

L'archiviazione e la conservazione dei log semplificano l'analisi e preservano l'audit trail. Il monitoraggio centralizzato ti consente di visualizzare le metriche in un unico posto.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Organizza il logging in modo centralizzato

Cloud Logging ti aiuta ad archiviare, cercare, analizzare, monitorare e creare avvisi su dati di log ed eventi di Google Cloud. Puoi anche raccogliere ed elaborare i log dalle tue applicazioni, dalle risorse on-premise e da altri cloud. Ti consigliamo di utilizzare Cloud Logging per consolidare i log in un unico bucket di log.

Per ulteriori informazioni, consulta le seguenti risorse:

• Per una panoramica, consulta la Panoramica su routing e archiviazione.
• Per informazioni sul logging delle risorse on-premise, consulta Logging delle risorse on-premise con BindPlane.
• Per la procedura per modificare il filtro dei log dopo il deployment della configurazione, consulta Filtri di inclusione.

Per archiviare i dati dei log in un bucket di log centrale:

1. Accedi alla console Google Cloud come utente identificato in Chi esegue questa attività.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: logging e monitoraggio centralizzati.

   Vai a Logging e monitoraggio centralizzati

4. Esamina la panoramica dell'attività e fai clic su Avvia il flusso di logging e monitoraggio centralizzati.

5. Esamina i dettagli dell'attività.

6. Per inoltrare i log a un bucket di log centrale, assicurati che sia selezionata l'opzione Archivia gli audit log a livello di organizzazione in un bucket di log.

7. Espandi Esegui il routing dei log in un bucket di log di Logging e segui questi passaggi:

   1. Nel campo Nome del bucket dei log, inserisci un nome per il bucket dei log centrale.

   2. Nell'elenco Regione del bucket di log, seleziona la regione in cui sono archiviati i dati dei log.

      Per ulteriori informazioni, consulta Località dei bucket di log.

   3. Per impostazione predefinita, i log vengono archiviati per 30 giorni. Consigliamo alle grandi imprese di archiviare i log per 365 giorni. Per personalizzare il periodo di conservazione, inserisci il numero di giorni nel campo Periodo di conservazione.

      I log archiviati per più di 30 giorni comportano un costo di conservazione. Per ulteriori informazioni, consulta il riepilogo dei prezzi di Cloud Logging.

Esportare i log al di fuori di Google Cloud

Se vuoi esportare i log in una destinazione esterna a Google Cloud, puoi eseguire l'esportazione utilizzando Pub/Sub. Ad esempio, se utilizzi più provider cloud, potresti decidere di esportare i dati dei log da ciascun provider cloud in uno strumento di terze parti.

Puoi filtrare i log esportati in base alle tue esigenze e ai tuoi requisiti specifici. Ad esempio, puoi scegliere di limitare i tipi di log da esportare per controllare i costi o ridurre il rumore nei dati.

Per ulteriori informazioni sull'esportazione dei log, consulta le seguenti risorse:

• Per una panoramica, consulta Che cos'è Pub/Sub?
• Per informazioni sui prezzi, consulta quanto segue:
  • Prezzi di Pub/Sub.
  • Best practice per Cloud Audit Logs: prezzi.
• Per informazioni sullo streaming in Splunk, vedi Eseguire il deployment dello streaming dei log da Google Cloud a Splunk.

Per esportare i log:

1. Fai clic su Trasmetti i log ad altre applicazioni, altri repository o terze parti.

2. Nel campo ID argomento Pub/Sub, inserisci un identificatore per l'argomento che contiene i log esportati. Per informazioni su come iscriverti a un argomento, consulta la sezione Abbonamenti pull.

3. Per selezionare i log da esportare:

   1. Per informazioni su ciascun tipo di log, vedi Informazioni sui log di controllo di Cloud.

   2. Per impedire l'esportazione di uno dei seguenti log consigliati, fai clic sull'elenco Filtro di inclusione e deseleziona la casella di controllo del log:

      • Cloud Audit Logs: attività di amministrazione: chiamate API o azioni che modificano la configurazione o i metadati delle risorse.
      • Cloud Audit Logs: evento di sistema: Google Cloud azioni che modificano la configurazione delle risorse.
      • Access Transparency: azioni intraprese dal personale di Google quando accede ai contenuti dei clienti.

   3. Seleziona i seguenti log aggiuntivi per esportarli:

      • Log di controllo cloud: accesso ai dati: chiamate API che leggono la configurazione o i metadati delle risorse e chiamate API guidate dall'utente che creano, modificano o leggono i dati delle risorse forniti dall'utente.
      • Cloud Audit Logs: Policy Denied: Google Cloud rifiuti di accesso ai servizi a account utente o di servizio, in base a violazioni delle norme di sicurezza.

   4. I log selezionati in questo passaggio vengono esportati solo se sono attivati nei progetti o nelle risorse. Per la procedura per modificare il filtro dei log per i progetti e le risorse dopo il deployment della configurazione, consulta Filtri di inclusione.

   5. Fai clic su OK.

4. Fai clic su Continua a Monitoraggio.

Configura monitoraggio centralizzato

Il monitoraggio centralizzato ti aiuta ad analizzare l'integrità, le prestazioni e la sicurezza del sistema per più progetti. In questa attività aggiungi i progetti che hai creato durante l'attività Gerarchia e accesso a un progetto di ambito. Puoi quindi monitorare questi progetti dal progetto di definizione dell'ambito. Dopo aver completato la configurazione di Cloud, puoi configurare altri progetti da monitorare dal progetto di ambito.

Per ulteriori informazioni, consulta la panoramica dell'ambito delle metriche.

Per configurare il monitoraggio centralizzato:

1. Per configurare i progetti creati durante la Google Cloud configurazione per il monitoraggio centralizzato, assicurati che sia selezionata l'opzione Usa monitoraggio centralizzato.

   I progetti che hai creato durante la Google Cloud configurazione vengono aggiunti all'ambito delle metriche del progetto di definizione dell'ambito elencato.

2. Cloud Monitoring include un'allocazione mensile gratuita. Per ulteriori informazioni, consulta il riepilogo dei prezzi di Cloud Monitoring.

3. Per la procedura di configurazione dei progetti creati al di fuori della Google Cloud configurazione, consulta quanto segue:

   • Configura un ambito delle metriche.
   • Limiti dei progetti monitorati.

Completare la configurazione

Per completare l'attività di logging e monitoraggio, segui questi passaggi:

1. Fai clic su Conferma configurazione.

2. Rivedi i dettagli della configurazione di logging e monitoraggio. La configurazione non viene eseguita fino a quando non esegui il deployment delle impostazioni in un'attività successiva.

Passaggi successivi

Configura la configurazione di networking iniziale.

In questa attività configuri la tua configurazione di networking iniziale, che puoi scalare in base alle tue esigenze.

Architettura Virtual Private Cloud

Una rete Virtual Private Cloud (VPC) è una versione virtuale di una rete fisica implementata all'interno della rete di produzione di Google. Una rete VPC è una risorsa globale composta da subnet regionali.

Le reti VPC forniscono funzionalità di networking alle tue Google Cloud risorse, come le istanze di macchine virtuali di Compute Engine, i container GKE e le istanze dell'ambiente flessibile di App Engine.

La VPC condivisa connette risorse di più progetti a una rete VPC comune in modo che possano comunicare tra loro utilizzando gli indirizzi IP interni della rete. Il seguente diagramma mostra l'architettura di base di una rete VPC condivisa con progetti di servizio collegati.

Quando utilizzi una VPC condivisa, designi un progetto host e colleghi uno o più progetti di servizio. Le reti Virtual Private Cloud nel progetto host sono chiamate reti VPC condivise.

Il diagramma di esempio contiene progetti host di produzione e non di produzione, ciascuno con una rete VPC condivisa. Puoi utilizzare un progetto host per gestire centralmente quanto segue:

• Route
• Firewall
• Connessioni VPN
• Subnet

Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Puoi condividere le subnet, inclusi gli intervalli secondari, tra i progetti host e di servizio.

In questa architettura, ogni rete VPC condivisa contiene subnet pubbliche e private:

• La subnet pubblica può essere utilizzata dalle istanze rivolte a internet per la connettività esterna.
• La subnet privata può essere utilizzata da istanze rivolte all'interno a cui non sono stati allocati indirizzi IP pubblici.

In questa attività, crei una configurazione di rete iniziale in base al diagramma di esempio.

Chi esegue questa attività

Per eseguire questa operazione, devi disporre di uno dei seguenti elementi:

• Il ruolo roles/compute.networkAdmin.
• Inclusione nel gruppo gcp-network-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Crea una configurazione di rete iniziale, inclusi i seguenti elementi:

• Crea più progetti host per riflettere i tuoi ambienti di sviluppo.
• Crea una rete VPC condivisa in ogni progetto host per consentire a risorse distinte di condividere la stessa rete.
• Crea subnet distinte in ogni rete VPC condivisa per fornire accesso alla rete ai progetti di servizio.

Perché consigliamo questa attività

Team distinti possono utilizzare VPC condiviso per connettersi a una rete VPC comune gestita centralmente.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Configura l'architettura di rete

Crea la configurazione di rete iniziale con due progetti host per segmentare i carichi di lavoro di produzione e non di produzione. Ogni progetto host contiene una rete VPC condivisa, che può essere utilizzata da più progetti di servizio. Configura i dettagli della rete e poi esegui il deployment di un file di configurazione in un'attività successiva.

Per configurare la rete iniziale:

1. Accedi alla console Google Cloud come utente del gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona un'organizzazione nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: reti.

   Vai a Networking

4. Esamina l'architettura di rete predefinita.

5. Per modificare il nome della rete:

   1. Fai clic su more_vert Azioni.
   2. Seleziona Modifica nome rete.
   3. Nel campo Nome della rete, inserisci lettere minuscole, numeri o trattini. Il nome della rete non può superare i 25 caratteri.
   4. Fai clic su Salva.

Modificare i dettagli del firewall

Le regole firewall predefinite nel progetto host si basano sulle best practice consigliate. Puoi scegliere di disattivare una o più regole firewall predefinite. Per informazioni generali sulle regole firewall, consulta Regole firewall VPC.

Per modificare le impostazioni del firewall:

1. Fai clic su more_vert Azioni.

2. Seleziona Modifica regole firewall.

3. Per informazioni dettagliate su ogni regola firewall predefinita, consulta Regole precompilate nella rete predefinita.

4. Per disattivare una regola firewall, deseleziona la relativa casella di controllo.

5. Per disattivare il logging delle regole firewall, fai clic su Off.

   Per impostazione predefinita, il traffico da e verso le istanze Compute Engine viene registrato per scopi di controllo. Questa procedura comporta dei costi. Per ulteriori informazioni, consulta Logging delle regole firewall.

6. Fai clic su Salva.

Modificare i dettagli della subnet

Ogni rete VPC contiene almeno una subnet, ovvero una risorsa regionale con un intervallo di indirizzi IP associato. In questa configurazione multiregionale, devi avere almeno due subnet con intervalli IP non sovrapposti.

Per ulteriori informazioni, consulta Subnet.

Ogni subnet è configurata utilizzando le best practice consigliate. Se vuoi personalizzare ogni sottorete:

1. Fai clic su more_vert Azioni.
2. Seleziona Modifica subnet.
3. Nel campo Nome, inserisci lettere minuscole, numeri o trattini. Il nome della sottorete non può contenere più di 25 caratteri.

4. Dal menu a discesa Regione, seleziona una regione vicina al tuo punto di servizio.

   Consigliamo una regione diversa per ogni subnet. Non puoi modificare la regione dopo aver eseguito il deployment della configurazione. Per informazioni sulla scelta di una regione, consulta Risorse regionali.

5. Nel campo Intervallo di indirizzi IP, inserisci un intervallo in notazione CIDR, ad esempio 10.0.0.0/24.

   L'intervallo inserito non deve sovrapporsi ad altre subnet in questa rete. Per informazioni sugli intervalli validi, consulta Intervalli di subnet IPv4.

6. Ripeti questi passaggi per la sottorete 2.

7. Per configurare altre subnet in questa rete, fai clic su Aggiungi subnet e ripeti questi passaggi.

8. Fai clic su Salva.

Le sottoreti vengono configurate automaticamente in base alle best practice. Se vuoi modificare la configurazione, nella pagina Google Cloud Configurazione: reti VPC, procedi nel seguente modo:

1. Per disattivare i log di flusso VPC, seleziona Off nella colonna Log di flusso.

   Quando i log di flusso sono attivi, ogni sottorete registra i flussi di rete che puoi analizzare per motivi di sicurezza, ottimizzazione delle spese e altri scopi. Per maggiori informazioni, consulta Utilizzare i log di flusso VPC.

   I log di flusso VPC comportano costi. Per ulteriori informazioni, consulta Prezzi di Virtual Private Cloud.

2. Per disattivare l'accesso privato Google, seleziona Off nella colonna Accesso privato.

   Quando l'accesso privato Google è attivo, le istanze VM che non hanno indirizzi IP esterni possono raggiungere le API e i servizi Google. Per ulteriori informazioni, consulta Accesso privato Google.

3. Per attivare Cloud NAT, seleziona On nella colonna Cloud NAT.

   Quando Cloud NAT è attivo, determinate risorse possono creare connessioni in uscita verso internet. Per ulteriori informazioni, consulta la panoramica di Cloud NAT.

   Cloud NAT prevede costi. Per ulteriori informazioni, consulta Prezzi di Virtual Private Cloud.

4. Fai clic su Vai a Collega progetti di servizio.

Collegare i progetti di servizio ai progetti host

Un progetto di servizio è qualsiasi progetto collegato a un progetto host. Questo collegamento consente al progetto di servizio di partecipare a VPC condiviso. Ogni progetto di servizio può essere gestito e amministrato da reparti o team diversi per creare una separazione delle responsabilità.

Per saperne di più su come collegare più progetti a una rete VPC comune, consulta la panoramica del VPC condiviso.

Per collegare i progetti di servizio ai progetti host e completare la configurazione, segui questi passaggi:

1. Per ogni subnet nella tabella Reti VPC condivise, seleziona un progetto di servizio da collegare. A tale scopo, seleziona un progetto dal menu a discesa Seleziona un progetto nella colonna Progetto di servizio.

   Puoi collegare un progetto di servizio a più subnet.

2. Fai clic su Continua per la revisione.

3. Esamina la configurazione e apporta le modifiche necessarie.

   Puoi apportare modifiche fino al deployment del file di configurazione.

4. Fai clic su Conferma configurazione di bozza. La configurazione di rete viene aggiunta al file di configurazione.

   La rete non viene dispiattata finché non esegui il deployment del file di configurazione in un'attività successiva.

Passaggi successivi

Configura la connettività ibrida, che ti consente di collegare i server on-premise o altri provider cloud a Google Cloud.

In questa attività, stabilisci connessioni tra le reti peer (on-premise o di altro cloud) e le tue reti Google Cloud , come nel seguente diagramma.

Questa procedura crea una VPN ad alta disponibilità, ovvero una soluzione ad alta disponibilità che puoi creare rapidamente per trasmettere dati tramite internet pubblico.

Dopo aver eseguito il deployment della Google Cloud configurazione, ti consigliamo di creare una connessione più solida utilizzando Cloud Interconnect.

Per ulteriori informazioni sulle connessioni tra le reti peer e Google Cloud, consulta quanto segue:

• Panoramica di Cloud VPN
• Scegliere un prodotto Network Connectivity

Chi esegue questa attività

Devi disporre del ruolo Amministratore organizzazione (roles/resourcemanager.organizationAdmin).

Cosa fai in questa attività

Crea connessioni a bassa latenza e ad alta disponibilità tra le tue reti VPC e le tue reti on-premise o di altri cloud. Configura i seguenti componenti:

• Google Cloud Gateway VPN ad alta disponibilità: una risorsa di regione con due interfacce, ciascuna con un proprio indirizzo IP. Specifica il tipo di stack IP, che determina se il traffico IPv6 è supportato nella connessione. Per informazioni di base, consulta VPN ad alta disponibilità.
• Gateway VPN peer: il gateway sulla rete peer a cui si connette il gateway VPN ad alta disponibilità. Google CloudInserisci gli indirizzi IP esterni utilizzati dal gateway peer per connettersi a Google Cloud. Per informazioni di contesto, consulta Configurare il gateway VPN peer.
• Router Cloud: utilizza il protocollo BGP (Border Gateway Protocol) per scambiare dinamicamente le route tra la tua rete VPC e le reti peer. Assegna un numero di sistema autonomo (ASN) come identificatore per il router Cloud e specifica l'ASN utilizzato dal router peer. Per informazioni di contesto, consulta Creare un router Cloud per connettere una rete VPC a una rete peer.
• Tunnel VPN: collega il Google Cloud gateway al gateway peer. Specifica il protocollo IKE (Internet Key Exchange) da utilizzare per stabilire il tunnel. Puoi inserire la tua chiave IKE generata in precedenza o generare e copiare una nuova chiave. Per informazioni di base, vedi Configurare IKE.

Perché consigliamo questa attività

Una VPN ad alta disponibilità fornisce una connessione sicura e ad alta disponibilità tra la tua infrastruttura esistente e Google Cloud.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.
• Configura la rete nell'attività Reti VPC.

Raccogli le seguenti informazioni dall'amministratore di rete peer:

• Nome del gateway VPN peer: il gateway a cui si connette Cloud VPN.
• Indirizzo IP dell'interfaccia peer 0: un indirizzo IP esterno sul gateway della rete peer.
• Indirizzo IP dell'interfaccia peer 1: un secondo indirizzo esterno oppure puoi riutilizzare l'indirizzo IP 0 se la rete peer ha un solo indirizzo IP esterno.
• ASN (Autonomous System Number) peer: un identificatore univoco assegnato al router della rete peer.
• ASN router Cloud: un identificatore univoco da assegnare al tuo router Cloud.
• Chiavi IKE (Internet Key Exchange): le chiavi utilizzate per stabilire due tunnel VPN con il gateway VPN peer. Se non hai chiavi esistenti, puoi generarle durante questa configurazione e poi applicarle al tuo gateway peer.

Configura le connessioni

Per connettere le reti VPC alle reti peer:

1. Accedi come utente con il ruolo Amministratore dell'organizzazione.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: connettività ibrida.

   Vai a Connettività ibrida

4. Esamina i dettagli dell'attività nel seguente modo:

   1. Esamina la panoramica dell'attività e fai clic su Avvia la connettività ibrida.

   2. Fai clic su ciascuna scheda per saperne di più sulla connettività ibrida e poi su Continua.

   3. Scopri cosa aspettarti in ogni passaggio dell'attività e fai clic su Continua.

   4. Esamina le informazioni di configurazione del gateway peer che devi raccogliere e fai clic su Continua.

5. Nell'area Connessioni ibride, identifica le reti VPC che vuoi collegare in base alle esigenze della tua attività.

6. Nella riga relativa alla prima rete scelta, fai clic su Configura.

7. Nell'area Panoramica della configurazione, leggi la descrizione e fai clic su Avanti.

8. Nell'area Google Cloud Gateway VPN ad alta disponibilità:

   1. Nel campo Nome gateway Cloud VPN, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

   2. Nell'area Tipo di stack IP interno del tunnel VPN, seleziona uno dei seguenti tipi di stack:

      • IPv4 e IPv6 (opzione consigliata): può supportare sia il traffico IPv4 sia quello IPv6. Ti consigliamo questa impostazione se prevedi di consentire il traffico IPv6 nel tunnel.
      • IPv4: può supportare solo il traffico IPv4.

      Il tipo di stack determina il tipo di traffico consentito nel tunnel tra la rete VPC e la rete peer. Non puoi modificare il tipo di stack dopo aver creato il gateway. Per informazioni di sfondo, consulta quanto segue:

      • Supporto IPv6
      • Tipi di stack e sessioni BGP

   3. Fai clic su Avanti.

9. Nell'area Gateway VPN peer, segui questi passaggi:

   1. Nel campo Nome del gateway VPN peer, inserisci il nome fornito dall'amministratore della rete peer. Puoi inserire fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

   2. Nel campo Indirizzo IP dell'interfaccia peer 0, inserisci l'indirizzo IP esterno dell'interfaccia del gateway peer fornito dall'amministratore della rete peer.

   3. Nel campo Indirizzo IP dell'interfaccia peer 1, svolgi una delle seguenti operazioni:

      • Se il gateway peer ha una seconda interfaccia, inserisci il relativo indirizzo IP.
      • Se il gateway peer ha una sola interfaccia, inserisci lo stesso indirizzo inserito in Indirizzo IP dell'interfaccia peer 0.

      Per informazioni di contesto, consulta Configurare il gateway VPN peer.

   4. Fai clic su Avanti.

10. Nell'area Cloud Router, segui questi passaggi:

    1. Nel campo ASN del router Cloud, inserisci l'Autonomous System Number che vuoi assegnare al router Cloud, come fornito dall'amministratore della rete peer. Per informazioni di contesto, vedi Creare un router Cloud.

    2. Nel campo ASN router peer, inserisci l'Autonomous System Number del router della rete peer, come fornito dall'amministratore della rete peer.

11. Nell'area Tunnel VPN 0, svolgi i seguenti passaggi:

    1. Nel campo Nome tunnel 0, inserisci fino a 60 caratteri utilizzando lettere minuscole, numeri e trattini.

    2. Nell'area Versione IKE, seleziona una delle seguenti opzioni:

       • IKEv2 - consigliato: supporta il traffico IPv6.
       • IKEv1: utilizza questa impostazione se non prevedi di consentire il traffico IPv6 nel tunnel.

       Per informazioni di base, consulta Configurare i tunnel VPN.

    3. Nel campo Chiave IKE precondivisa, inserisci la chiave che utilizzi nella configurazione del gateway peer, fornita dall'amministratore della rete peer. Se non hai una chiave esistente, puoi fare clic su Genera e copia e poi consegnarla all'amministratore della rete peer.

12. Nell'area Tunnel VPN 1, ripeti il passaggio precedente per applicare le impostazioni per il secondo tunnel. Configura questo tunnel per la ridondanza e un throughput aggiuntivo.

13. Fai clic su Salva.

14. Ripeti questi passaggi per tutte le altre reti VPC che vuoi collegare alla tua rete peer.

Dopo il deployment

Dopo aver implementato la Google Cloud configurazione di Setup, completa i seguenti passaggi per assicurarti che la connessione di rete sia completa:

1. Collabora con l'amministratore della rete peer per allineare la rete peer alle impostazioni della connettività ibrida. Dopo il deployment, vengono fornite istruzioni specifiche per la rete di peer, tra cui:

   • Impostazioni del tunnel.
   • Impostazioni del firewall.
   • Impostazioni IKE.

2. Convalida le connessioni di rete che hai creato. Ad esempio, puoi utilizzare Network Intelligence Center per controllare la connettività tra le reti. Per ulteriori informazioni, consulta la panoramica dei test di connettività.

3. Se le esigenze della tua attività richiedono una connessione più solida, utilizza Cloud Interconnect. Per ulteriori informazioni, consulta la sezione Scegliere un prodotto Network Connectivity.

Passaggi successivi

Esegui il deployment della configurazione, che include le impostazioni per la gerarchia e l'accesso, il logging, la rete e la connettività ibrida.

Man mano che completi la Google Cloud procedura di configurazione, le impostazioni delle seguenti attività vengono compilate in file di configurazione Terraform:

• Gerarchia e accesso
• Sicurezza
• Logging e monitoraggio centralizzati
• Reti VPC
• Connettività ibrida

Per applicare le impostazioni, rivedi le selezioni e scegli un metodo di implementazione.

Chi esegue questa attività

Una persona nel gruppo gcp-organization-admins@YOUR_DOMAIN che hai creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Esegui il deployment dei file di configurazione per applicare le impostazioni di configurazione.

Perché consigliamo questa attività

Devi implementare i file di configurazione per applicare le impostazioni selezionate.

Prima di iniziare

Devi completare le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.
• Crea o collega un account di fatturazione nell'attività Fatturazione.
• Configura la gerarchia e assegna l'accesso nell'attività Gerarchia e accesso.

Si consiglia di svolgere le seguenti attività:

• Rafforza la tua strategia di sicurezza configurando servizi senza costi nell'attività Sicurezza.
• Consolida i dati dei log in un'unica posizione e monitora tutti i progetti da un singolo progetto nell'attività Logging e monitoraggio centralizzati.
• Configura la rete iniziale nell'attività Reti VPC.
• Collega le reti peer a Google Cloud nell'attività Connettività ibrida.

Rivedi i dettagli della configurazione

Per assicurarti che le impostazioni di configurazione siano complete:

1. Accedi alla console Google Cloud come utente del gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

2. Seleziona la tua organizzazione dall'elenco a discesa Seleziona da nella parte superiore della pagina.

3. Vai a Google Cloud Configurazione: esegui il deployment o scarica.

   Vai a Esegui il deployment o Scarica

4. Rivedi le impostazioni di configurazione selezionate. Fai clic su ciascuna delle seguenti schede e controlla le impostazioni:

   • Gerarchia e accesso alle risorse
   • Sicurezza
   • Logging e monitoraggio
   • Reti VPC
   • Connettività ibrida

Esegui il deployment della configurazione

Dopo aver esaminato i dettagli della configurazione, utilizza una delle seguenti opzioni:

• Esegui il deployment direttamente dalla console: utilizza questa opzione se non hai un flusso di lavoro di deployment di Terraform esistente e vuoi un metodo di deployment semplice. Puoi eseguire il deployment utilizzando questo metodo solo una volta.

• Scarica ed esegui il deployment del file Terraform: utilizza questa opzione se vuoi automatizzare la gestione delle risorse utilizzando un flusso di lavoro di deployment di Terraform. Puoi scaricare e eseguire il deployment utilizzando questo metodo più volte.

Esegui il deployment utilizzando una delle seguenti opzioni:

Passaggi successivi

Scegli un piano di assistenza.

In questa attività, scegli un piano di assistenza adatto alle esigenze della tua attività.

Chi esegue questa attività

Una persona nel gruppo gcp-organization-admins@YOUR_DOMAIN creato nell'attività Utenti e gruppi.

Cosa fai in questa attività

Scegli un piano di assistenza in base alle esigenze della tua azienda.

Perché consigliamo questa attività

Un piano Assistenza Premium assicura un'assistenza business-critical per risolvere rapidamente i problemi con l'aiuto degli esperti di Google Cloud.

Scegli un'opzione di assistenza

Riceverai automaticamente l'assistenza di base gratuita, che include l'accesso alle seguenti risorse:

• Documentazione
• Assistenza e discussioni della community
• Assistenza per problemi di fatturazione

Consigliamo ai clienti aziendali di registrarsi per l'assistenza Premium, che offre assistenza tecnica individuale da parte dei tecnici dell'Assistenza Google. Per confrontare i piani di assistenza, consulta Google Cloud assistenza clienti.

Prima di iniziare

Completa le seguenti attività:

• Crea un utente super amministratore e la tua organizzazione nell'attività Organizzazione.
• Aggiungi utenti e crea gruppi nell'attività Utenti e gruppi.
• Assegna i ruoli IAM ai gruppi nell'attività Accesso amministrativo.

Attivare l'assistenza

Identifica e seleziona un'opzione di assistenza.

1. Esamina e seleziona un piano di assistenza. Per ulteriori informazioni, consulta Google Cloud Assistenza clienti.

2. Accedi alla console Google Cloud con un utente del gruppo gcp-organization-admins@<your-domain>.com che hai creato nell'attività Utenti e gruppi.

3. Vai a Google Cloud Configurazione: assistenza.

   Vai all'assistenza

4. Esamina i dettagli dell'attività e fai clic su Visualizza offerte di assistenza per selezionare un'opzione di assistenza.

5. Dopo aver configurato l'opzione di assistenza, torna alla pagina Google Cloud Configurazione: assistenza e fai clic su Segna attività come completata.

Passaggi successivi

Ora che hai completato la Google Cloud configurazione, puoi estendere la configurazione iniziale, eseguire il deployment di soluzioni preconfigurate ed eseguire la migrazione dei flussi di lavoro esistenti. Per saperne di più, consulta Estendere la configurazione iniziale e iniziare a creare.