共有 VPC を使用してリージョン外部アプリケーション ロードバランサを設定する

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [VPC ネットワークを作成] をクリックします。
3. [名前] に「lb-network」と入力します。

4. [サブネット] セクションで次の設定を行います。

   1. [サブネット作成モード] を [カスタム] に設定します。

   2. [新しいサブネット] セクションに、次の情報を入力します。

      • 名前: lb-frontend-and-backend-subnet

      • リージョン: us-west1

      • IP アドレス範囲: 10.1.2.0/24

   3. [完了] をクリックします。

5. [作成] をクリックします。

gcloud

1. gcloud compute networks create コマンドを使用して、VPC ネットワークを作成します。

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. サブネットを us-west1 リージョン内の lb-network ネットワークに作成します。

   gcloud compute networks subnets create lb-frontend-and-backend-subnet 
   
       --network=lb-network 
   
       --range=10.1.2.0/24 
   
       --region=us-west1
   

Terraform

1. VPC ネットワークを作成します。

   # Shared VPC network
   resource "google_compute_network" "lb_network" {
     name                    = "lb-network"
     provider                = google-beta
     project                 = "my-host-project-id"
     auto_create_subnetworks = false
   }

2. us-west1 リージョンにサブネットを作成します。

   # Shared VPC network - backend subnet
   resource "google_compute_subnetwork" "lb_frontend_and_backend_subnet" {
     name          = "lb-frontend-and-backend-subnet"
     provider      = google-beta
     project       = "my-host-project-id"
     region        = "us-west1"
     ip_cidr_range = "10.1.2.0/24"
     role          = "ACTIVE"
     network       = google_compute_network.lb_network.id
   }

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 共有 VPC ネットワークの名前 lb-network をクリックします。
3. [サブネットを追加] をクリックします。
4. [名前] に「proxy-only-subnet」と入力します。
5. [リージョン] で us-west1 を選択します。
6. [目的] を [リージョン マネージド プロキシ] に設定します。
7. [IP アドレス範囲] に「10.129.0.0/23」と入力します。
8. [追加] をクリックします。

gcloud

gcloud compute networks subnets create コマンドを使用して、プロキシ専用サブネットを作成します。

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-west1 \
    --network=lb-network \
    --range=10.129.0.0/23

Terraform

プロキシ専用サブネットを作成します。

# Shared VPC network - proxy-only subnet
resource "google_compute_subnetwork" "proxy_only_subnet" {
  name          = "proxy-only-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.129.0.0/23"
  role          = "ACTIVE"
  purpose       = "REGIONAL_MANAGED_PROXY"
  network       = google_compute_network.lb_network.id
}

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-health-check
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: load-balanced-backend
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 130.211.0.0/22 と 35.191.0.0/16
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「80」と入力します。

  このルールは、ヘルスチェックに使用されているプロトコルとポートのみに制限することをおすすめします。プロトコルとポートに tcp:80 を使用すると、Google Cloud は、ポート 80 で HTTP を使用して VM に接続できますが、ポート 443 で HTTPS を使用して VM に接続することはできません。

3. [作成] をクリックします。
4. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-proxies
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: load-balanced-backend
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 10.129.0.0/23
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「80, 443, 8080」と入力します。
5. [作成] をクリックします。

gcloud

1. Google Cloud ヘルスチェックを許可する fw-allow-health-check ファイアウォール ルールを作成します。この例では、ヘルスチェック プローバーからのすべての TCP トラフィックを許可します。ただし、必要に応じてポートの範囲を狭く構成することもできます。

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=load-balanced-backend \
      --rules=tcp
   

2. Envoy プロキシ専用サブネットからのトラフィックがバックエンドに到達できるように fw-allow-proxies ファイアウォール ルールを作成します。

   gcloud compute firewall-rules create fw-allow-proxies \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=10.129.0.0/23 \
      --target-tags=load-balanced-backend \
      --rules=tcp:80,tcp:443,tcp:8080
   

Terraform

1. Google Cloud ヘルスチェックを許可するファイアウォール ルールを作成します。

   resource "google_compute_firewall" "fw_allow_health_check" {
     name          = "fw-allow-health-check"
     provider      = google-beta
     project       = "my-host-project-id"
     direction     = "INGRESS"
     network       = google_compute_network.lb_network.id
     source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
     allow {
       protocol = "tcp"
     }
     target_tags = ["load-balanced-backend"]
   }

2. Envoy プロキシ専用サブネットからのトラフィックがバックエンドに到達できるようにファイアウォール ルールを作成します。

   resource "google_compute_firewall" "fw_allow_proxies" {
     name          = "fw-allow-proxies"
     provider      = google-beta
     project       = "my-host-project-id"
     direction     = "INGRESS"
     network       = google_compute_network.lb_network.id
     source_ranges = ["10.129.0.0/23"]
     allow {
       protocol = "tcp"
       ports    = ["80", "443", "8080"]
     }
     target_tags = ["load-balanced-backend"]
   }

コンソール

1. インスタンス テンプレートを作成します。Google Cloud コンソールで、[インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

   1. [インスタンス テンプレートを作成] をクリックします。
   2. [名前] に「l7-xlb-backend-template」と入力します。
   3. [ブートディスク] が Debian GNU/Linux 12 (bookworm) などの Debian イメージに設定されていることを確認します。以降の手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。ブートディスクを変更する必要がある場合は、[変更] をクリックします。
      1. [オペレーティング システム] で [Debian] を選択します。
      2. [バージョン] で、利用可能な Debian イメージ（Debian GNU/Linux 12 (bookworm) など）を選択します。
      3. [選択] をクリックします。
   4. [詳細オプション] をクリックして、[ネットワーキング] をクリックします。
   5. ネットワーク タグ load-balanced-backend を入力します。
   6. [ネットワーク インターフェース] で、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。
   7. lb-network ネットワークから lb-frontend-and-backend-subnet サブネットを選択します。

   8. [管理] をクリックします。[管理] で、[起動スクリプト] フィールドに次のスクリプトを挿入します。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   9. [作成] をクリックします。

2. マネージド インスタンス グループを作成します。Google Cloud コンソールで、[インスタンス グループ] ページに移動します。
   

   [インスタンス グループ] に移動

   1. [インスタンス グループを作成] をクリックします。
   2. [新しいマネージド インスタンス グループ（ステートレス）] を選択します。詳細については、ステートレス MIG とステートフル MIG をご覧ください。
   3. [名前] に「l7-xlb-backend-example」と入力します。
   4. [ロケーション] で [シングルゾーン] を選択します。
   5. [リージョン] で [us-west1] を選択します。
   6. [ゾーン] で [us-west1-a] を選択します。
   7. [インスタンス テンプレート] で [l7-xlb-backend-template] を選択します。

   8. グループ内に作成するインスタンスの数を指定します。

      この例では、[自動スケーリング] で次のオプションを指定します。

      • [自動スケーリング モード] で [Off:do not autoscale] を選択します。
      • [インスタンスの最大数] に「2」と入力します。

      オプションとして、[自動スケーリング] セクションで、インスタンスの CPU 使用率に基づいてインスタンスを自動的に追加または削除するようにインスタンス グループを構成できます。

   9. [作成] をクリックします。

gcloud

このガイドの gcloud の手順は、Cloud Shell または bash がインストールされた別の環境を使用していることを前提としています。

1. gcloud compute instance-templates create コマンドを使用して、HTTP サーバーで VM インスタンス テンプレートを作成します。

   gcloud compute instance-templates create l7-xlb-backend-template \
   --region=us-west1 \
   --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
   --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
   --tags=load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2' \
   --project=SERVICE_PROJECT_ID
   

2. gcloud compute instance-groups managed create コマンドを使用して、ゾーンにマネージド インスタンス グループを作成します。

   gcloud compute instance-groups managed create l7-xlb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-xlb-backend-template \
       --project=SERVICE_PROJECT_ID
   

コンソール

1. Google Cloud コンソールで [静的アドレスの予約] ページに移動します。

   [静的アドレスの予約] に移動

2. 新しいアドレスの名前を指定します。

3. [ネットワーク サービス ティア] で [スタンダード] を選択します。

4. [IP バージョン] で [IPv4] を選択します。IPv6 アドレスはグローバルのみで、グローバル ロードバランサでのみ使用できます。

5. [タイプ] で [リージョン] を選択します。

6. [リージョン] で us-west1 を選択します。

7. [接続先] オプションは [なし] のままにします。ロードバランサを作成すると、この IP アドレスがロードバランサの転送ルールに関連付けられます。

8. IP アドレスを予約するには、[予約] をクリックします。

gcloud

静的外部 IP アドレスを予約するには、compute addresses create コマンドを使用します。

gcloud compute addresses create IP_ADDRESS_NAME  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_ID

次のように置き換えます。

• IP_ADDRESS_NAME: このアドレスに付ける名前。
• SERVICE_PROJECT_ID: ロードバランサが作成されるサービス プロジェクトのプロジェクト ID。

コンソール

コンテキストをサービス プロジェクトに切り替える

1. Google Cloud コンソールで [ダッシュボード] ページに移動します。

   ダッシュボードに移動

2. ページ上部にある [選択元] リストをクリックします。表示された [選択元] ウィンドウで、ロードバランサを作成するサービス プロジェクトを選択します。

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [インターネット接続（外部）] を選択し、[次へ] をクリックします。
5. [グローバルまたはシングル リージョンのデプロイ] で [リージョン ワークロードに最適] を選択し、[次へ] をクリックします。
6. [構成] をクリックします。

基本構成

1. ロードバランサの名前に「l7-xlb-shared-vpc」と入力します。
2. [リージョン] で us-west1 を選択します。

3. [ネットワーク] で [lb-network] を選択します（[プロジェクト: HOST_PROJECT_ID] から）。

   [共有 VPC ネットワークに必要なプロキシ専用サブネット] という警告が表示されたら、ホスト プロジェクト管理者が lb-network 共有 VPC ネットワークの us-west1 リージョンに proxy-only-subnet を作成していることを確認します。このページで、プロキシ専用サブネットを表示する権限がなくても、ロードバランサの作成は成功します。

4. 続行するには、ページを開いたままにしてください。

フロントエンドを構成する

HTTP の場合:

1. [フロントエンドの構成] をクリックします。
2. [フロントエンド IP とポートの追加] をクリックします。
3. [名前] を l7-xlb-forwarding-rule に設定します。
4. [プロトコル] を HTTP に設定します。
5. [ポート] を 80 に設定します。

6. ロードバランサの IP アドレスの予約で作成した IP アドレスを選択します。

7. [完了] をクリックします。

HTTPS の場合:

クライアントとロードバランサ間で HTTPS を使用する場合は、プロキシを構成するために 1 つ以上の SSL 証明書リソースが必要になります。SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、リージョン外部アプリケーション ロードバランサでは、Google マネージド証明書はサポートされていません。

1. [フロントエンドの構成] をクリックします。
2. [フロントエンド IP とポートの追加] をクリックします。
3. [名前] フィールドに「l7-xlb-forwarding-rule」と入力します。
4. [プロトコル] フィールドで [HTTPS (includes HTTP/2)] を選択します。
5. HTTPS トラフィックを許可するように、[ポート] が 443 に設定されていることを確認します。
6. ロードバランサの IP アドレスの予約で作成した IP アドレスを選択します。
7. [証明書] リストをクリックします。
   1. プライマリ SSL 証明書として使用しようとしているセルフマネージド SSL 証明書リソースがすでにある場合は、メニューから選択します。
   2. そうでない場合は、[新しい証明書を作成] を選択します。
      1. [名前] に「l7-xlb-cert」と入力します。
      2. 該当するフィールドに PEM 形式のファイルをアップロードします。
         • 公開鍵証明書
         • 証明書チェーン
         • 秘密鍵
      3. [作成] をクリックします。
8. プライマリ SSL 証明書リソースに加えて証明書リソースを追加するには、次の手順に沿って操作します。
   1. [証明書を追加] をクリックします。
   2. [証明書] リストから証明書を選択するか、[新しい証明書の作成] をクリックし、上記の手順を行います。
9. [完了] をクリックします。

バックエンドを構成する

1. [バックエンドの構成] をクリックします。
2. [バックエンド サービスの作成または選択] メニューから [バックエンド サービスを作成] を選択します。
3. バックエンド サービスの [名前] を l7-xlb-backend-service に設定します。
4. [バックエンド タイプ] をインスタンス グループに設定します。
5. [新しいバックエンド] セクションで、次の操作を行います。
   1. [インスタンス グループ] を l7-xlb-backend-example に設定します。
   2. [ポート番号] を 80 に設定します。
   3. [分散モード] を [使用率] に設定します。
   4. [完了] をクリックします。
6. [ヘルスチェック] セクションで、[ヘルスチェックを作成] を選択し、次のパラメータを選択します。
   1. 名前: l7-xlb-basic-check
   2. プロトコル: HTTP
   3. ポート: 80
7. [保存して次へ] をクリックします。
8. [作成] をクリックします。

ルーティング ルールを構成する

• [ルーティング ルール] をクリックします。l7-xlb-backend-service が、ホストとパスが一致しなかった場合に使用される唯一のバックエンド サービスであることを確認します。

トラフィック管理の詳細については、トラフィック管理の設定をご覧ください。

構成を確認して完了する

• [作成] をクリックします。

gcloud

1. gcloud compute health-checks create http コマンドを使用して HTTP ヘルスチェックを定義します。

   gcloud compute health-checks create http l7-xlb-basic-check \
      --region=us-west1 \
      --use-serving-port \
      --project=SERVICE_PROJECT_ID
   

2. gcloud compute backend-services create コマンドを使用してバックエンド サービスを定義します。

   gcloud compute backend-services create l7-xlb-backend-service \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=l7-xlb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

3. gcloud compute backend-services add-backend コマンドを使用して、バックエンド サービスにバックエンドを追加します。

   gcloud compute backend-services add-backend l7-xlb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-xlb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

4. gcloud compute url-maps create コマンドを使用して、URL マップを作成します。

   gcloud compute url-maps create l7-xlb-map \
     --default-service=l7-xlb-backend-service \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

5. ターゲット プロキシを作成します。

   HTTP の場合:

   HTTP ロードバランサの場合は、gcloud compute target-http-proxies create コマンドを使用してターゲット プロキシを作成します。

   gcloud compute target-http-proxies create l7-xlb-proxy \
     --url-map=l7-xlb-map \
     --url-map-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

   HTTPS の場合:

   SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、リージョン外部アプリケーション ロードバランサでは、Google マネージド証明書はサポートされていません。

   ファイルパスを変数名に割り当てます。

   export LB_CERT=path to PEM-formatted file
   

   export LB_PRIVATE_KEY=path to PEM-formatted file
   

   gcloud compute ssl-certificates create コマンドを使用してリージョン SSL 証明書を作成します。

   gcloud compute ssl-certificates create l7-xlb-cert \
     --certificate=$LB_CERT \
     --private-key=$LB_PRIVATE_KEY \
     --region=us-west1
   

   リージョン SSL 証明書を使用して、gcloud compute target-https-proxies create コマンドでターゲット プロキシを作成します。

   gcloud compute target-https-proxies create l7-xlb-proxy \
     --url-map=l7-xlb-map \
     --region=us-west1 \
     --ssl-certificates=l7-xlb-cert \
     --project=SERVICE_PROJECT_ID
   

6. 転送ルールを作成します。

   カスタム ネットワークでは、転送ルールでサブネットを参照する必要があります。

   転送ルールの IP アドレスには、lb-frontend-and-backend-subnet を使用します。プロキシ専用サブネットを使用すると、転送ルールの作成に失敗します。

   HTTP の場合:

   適切なフラグを設定して gcloud compute forwarding-rules create コマンドを実行します。

   gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --address=IP_ADDRESS_NAME \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-xlb-proxy \
     --target-http-proxy-region=us-west1 \
     --network-tier=STANDARD \
     --project=SERVICE_PROJECT_ID
   

   HTTPS の場合:

   適切なフラグを設定して gcloud compute forwarding-rules create コマンドを実行し、転送ルールを作成します。

   gcloud compute forwarding-rules create l7-xlb-forwarding-rule \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --address=IP_ADDRESS_NAME \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-xlb-proxy \
     --target-https-proxy-region=us-west1 \
     --network-tier=STANDARD \
     --project=SERVICE_PROJECT_ID
   

Console

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. 作成したロードバランサをクリックします。
3. ロードバランサの IP アドレスをメモします。この IP アドレスは、次の手順で LB_IP_ADDRESS として参照されます。
4. [バックエンド] セクションで、VM が正常であることを確認します。[正常] 列には、両方の VM が正常であること（2/2）が示されます。それ以外の場合は、最初にページを再読み込みしてみてください。VM が正常な状態であることが Google Cloud コンソールに表示されるまでに時間がかかる場合があります。数分経ってもバックエンドが正常に動作しない場合は、ファイアウォールの構成と、バックエンド VM に割り当てられているネットワーク タグを確認します。
5. Google Cloud コンソールでバックエンド インスタンスが正常であることを確認したら、ウェブブラウザ（https://LB_IP_ADDRESS または http://LB_IP_ADDRESS）でロードバランサをテストできます。LB_IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。
6. HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。
7. ページを提供したインスタンスの名前とそのゾーン（Page served from: lb-backend-example-xxxx など）を示すコンテンツを含むページがブラウザで表示されます。お使いのブラウザでこのページがレンダリングされない場合は、このガイドの構成設定を確認してください。

gcloud

予約されている IP アドレスをメモします。

gcloud compute addresses describe IP_ADDRESS_NAME \
    --format="get(address)" \
    --region=us-west1

ウェブブラウザで https://IP_ADDRESS_NAME（または http://IP_ADDRESS_NAME）に移動して、ロードバランサをテストできます。IP_ADDRESS_NAME は、ロードバランサの IP アドレスに置き換えます。

HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

バックエンド インスタンスに関する最小限の情報を含むページがブラウザで表示されます。お使いのブラウザでこのページが表示されない場合は、このガイドの構成設定を確認してください。

コンソール

1. Google Cloud コンソールで、[静的アドレスの予約] ページに移動します。

   [静的アドレスの予約] に移動

2. 新しいアドレスの名前として「cross-ref-ip-address」と入力します。

3. [ネットワーク サービス ティア] で [スタンダード] を選択します。

4. [IP バージョン] で [IPv4] を選択します。IPv6 アドレスはグローバルのみで、グローバル ロードバランサでのみ使用できます。

5. [タイプ] で [リージョン] を選択します。

6. [リージョン] で us-west1 を選択します。

7. [接続先] オプションは [なし] のままにします。ロードバランサを作成すると、この IP アドレスがロードバランサの転送ルールに関連付けられます。

8. IP アドレスを予約するには、[予約] をクリックします。

gcloud

静的外部 IP アドレスを予約するには、compute addresses create コマンドを使用します。

gcloud compute addresses create IP_ADDRESS_CROSS_REF  \
    --region=us-west1 \
    --network-tier=STANDARD \
    --project=SERVICE_PROJECT_A_ID

次のように置き換えます。

• IP_ADDRESS_CROSS_REF: この IP アドレスに付ける名前。
• SERVICE_PROJECT_A_ID: ロードバランサのフロントエンドが作成されたサービス プロジェクト A のプロジェクト ID。

コンソール

1. インスタンス テンプレートを作成します。Google Cloud コンソールで、[インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

   1. [インスタンス テンプレートを作成] をクリックします。
   2. インスタンス テンプレートの名前（cross-ref-backend-template）を入力します。
   3. [ブートディスク] が Debian GNU/Linux 12 (bookworm) などの Debian イメージに設定されていることを確認します。以降の手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。ブートディスクを変更する必要がある場合は、[変更] をクリックします。
      1. [オペレーティング システム] で [Debian] を選択します。
      2. [バージョン] で、利用可能な Debian イメージ（Debian GNU/Linux 12 (bookworm) など）を選択します。
      3. [選択] をクリックします。
   4. [詳細オプション] をクリックして、[ネットワーキング] をクリックします。
   5. ネットワーク タグ load-balanced-backend を入力します。
   6. [ネットワーク インターフェース] で、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。
   7. lb-network ネットワークから lb-frontend-and-backend-subnet サブネットを選択します。

   8. [管理] をクリックします。[管理] で、[起動スクリプト] フィールドに次のスクリプトを挿入します。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   9. [作成] をクリックします。

2. マネージド インスタンス グループを作成します。Google Cloud コンソールで、[インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

   1. [インスタンス グループを作成] をクリックします。
   2. [新しいマネージド インスタンス グループ（ステートレス）] を選択します。詳細については、ステートレス MIG とステートフル MIG をご覧ください。
   3. [名前] にインスタンス グループの名前（cross-ref-ig-backend）を入力します。
   4. [ロケーション] で [シングルゾーン] を選択します。
   5. [リージョン] で [us-west1] を選択します。
   6. [ゾーン] で [us-west1-a] を選択します。
   7. [インスタンス テンプレート] で cross-ref-backend-template を選択します。

   8. グループ内に作成するインスタンスの数を指定します。

      この例では、[自動スケーリング] で次のオプションを指定します。

      • [自動スケーリング モード] で [Off:do not autoscale] を選択します。
      • [インスタンスの最大数] に「2」と入力します。

      オプションとして、[自動スケーリング] セクションで、インスタンスの CPU 使用率に基づいてインスタンスを自動的に追加または削除するようにインスタンス グループを構成できます。

   9. [作成] をクリックします。

3. リージョン バックエンド サービスを作成します。この手順の一環として、ヘルスチェックを作成して、バックエンド サービスへのバックエンドの追加も行います。Google Cloud コンソールの [バックエンド] ページに移動します。

   [バックエンド] に移動

   1. [リージョン バックエンド サービスを作成] をクリックします。
   2. バックエンド サービスの名前（cross-ref-backend-service）を入力します。
   3. [リージョン] で [us-west1] を選択します。
   4. [ロードバランサの種類] で、[リージョン外部アプリケーション ロードバランサ（EXTERNAL_MANAGED）] を選択します。
   5. [バックエンド タイプ] を [インスタンス グループ] に設定します。
   6. [バックエンド] セクションで、[ネットワーク] を lb-network に設定します。
   7. [バックエンドを追加] をクリックして、次のフィールドを設定します。
      1. [インスタンス グループ] を cross-ref-ig-backend に設定します。
      2. [ポート番号] を 80 に設定します。
      3. [分散モード] を [使用率] に設定します。
      4. [完了] をクリックします。
   8. [ヘルスチェック] セクションで、[ヘルスチェックを作成] を選択し、次のパラメータを選択します。
      1. 名前: cross-ref-http-health-check
      2. プロトコル: HTTP
      3. ポート: 80
      4. [保存] をクリックします。

   9. 省略可: [権限の追加] セクションで、他のバックエンド ロードバランサ管理者の IAM プリンシパル（通常はメールアドレス）を入力して、管理者のプロジェクトでこのバックエンド サービスをロードバランサに使用できるようにします。この権限がないと、プロジェクト間のサービス参照を使用できません。

      このプロジェクトのバックエンド サービスのアクセス制御ポリシーを設定する権限がなくても、ここでバックエンド サービスを作成することは可能です。バックエンド サービスを使用する権限をロードバランサ管理者に付与するセクションで説明されているように、この処理は権限のあるユーザーがあとで行うことができます。このセクションでは、このプロジェクトのすべてのバックエンド サービスへのアクセスを許可する方法についても説明されています。これにより、新しいバックエンド サービスを作成するたびにアクセス権を付与する必要がなくなります。

   10. [作成] をクリックします。

gcloud

1. gcloud compute instance-templates create コマンドを使用して、HTTP サーバーで VM インスタンス テンプレートを作成します。

   gcloud compute instance-templates create BACKEND_IG_TEMPLATE \
       --region=us-west1 \
       --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
       --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
       --tags=load-balanced-backend \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2' \
       --project=SERVICE_PROJECT_B_ID
   

   次のように置き換えます。

   • BACKEND_IG_TEMPLATE: インスタンス グループ テンプレートの名前。
   • SERVICE_PROJECT_B_ID: ロードバランサのバックエンドとバックエンド サービスが作成されるサービス プロジェクト B のプロジェクト ID。
   • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトのプロジェクト ID。

2. gcloud compute instance-groups managed create コマンドを使用して、ゾーンにマネージド インスタンス グループを作成します。

   gcloud compute instance-groups managed create BACKEND_MIG \
       --zone=us-west1-a \
       --size=2 \
       --template=BACKEND_IG_TEMPLATE \
       --project=SERVICE_PROJECT_B_ID
   

   次のように置き換えます。

   • BACKEND_MIG: バックエンド インスタンス グループの名前。

3. gcloud compute health-checks create http コマンドを使用して HTTP ヘルスチェックを定義します。

   gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
     --region=us-west1 \
     --use-serving-port \
     --project=SERVICE_PROJECT_B_ID
   

   次のように置き換えます。

   • HTTP_HEALTH_CHECK_NAME: HTTP ヘルスチェックの名前。

4. gcloud compute backend-services create コマンドを使用してバックエンド サービスを定義します。

   gcloud compute backend-services create BACKEND_SERVICE_NAME \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=HTTP_HEALTH_CHECK_NAME \
     --health-checks-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_B_ID
   

   次のように置き換えます。

   • BACKEND_SERVICE_NAME: サービス プロジェクト B で作成されたバックエンド サービスの名前。

5. gcloud compute backend-services add-backend コマンドを使用して、バックエンド サービスにバックエンドを追加します。

   gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
     --balancing-mode=UTILIZATION \
     --instance-group=BACKEND_MIG \
     --instance-group-zone=us-west1-a \
     --region=us-west1 \
     --project=SERVICE_PROJECT_B_ID
   

コンソール

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [インターネット接続（外部）] を選択し、[次へ] をクリックします。
5. [グローバルまたはシングル リージョンのデプロイ] で [リージョン ワークロードに最適] を選択し、[次へ] をクリックします。
6. [構成] をクリックします。

ロードバランサを準備する

1. ロードバランサの名前を入力します（cross-ref-l7-xlb-shared-vpc）。
2. [リージョン] で us-west1 を選択します。

3. [ネットワーク] で [lb-network] を選択します（[プロジェクト: HOST_PROJECT_ID] から）。

   [共有 VPC ネットワークに必要なプロキシ専用サブネット] という警告が表示されたら、ホスト プロジェクト管理者が lb-network 共有 VPC ネットワークの us-west1 リージョンに proxy-only-subnet を作成していることを確認します。このページで、プロキシ専用サブネットを表示する権限がなくても、ロードバランサの作成は成功します。

4. 続行するには、ページを開いたままにしてください。

フロントエンドを構成する

プロジェクト間のサービスが機能するようにするには、フロントエンドは、バックエンド サービスの作成に使用した共有 VPC ホスト プロジェクトと同じネットワーク（lb-network）を使用する必要があります。

HTTP の場合:

1. [フロントエンドの構成] をクリックします。
2. 転送ルールの名前に「cross-ref-http-forwarding-rule」と入力します。
3. [プロトコル] を HTTP に設定します。

4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。

   リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。

5. ロードバランサの IP アドレスの予約で作成した IP アドレス（cross-ref-ip-address という名前）を選択します。

6. [ポート] を 80 に設定します。

7. [完了] をクリックします。

HTTPS の場合:

クライアントとロードバランサ間で HTTPS を使用する場合は、プロキシを構成するために 1 つ以上の SSL 証明書リソースが必要になります。SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、リージョン外部アプリケーション ロードバランサでは、Google マネージド証明書はサポートされていません。

1. [フロントエンドの構成] をクリックします。
2. 転送ルールの名前に「cross-ref-https-forwarding-rule」と入力します。
3. [プロトコル] フィールドで [HTTPS (includes HTTP/2)] を選択します。

4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。

   リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。

5. ロードバランサの IP アドレスの予約で作成した IP アドレス（cross-ref-ip-address という名前）を選択します。

6. HTTPS トラフィックを許可するように、[ポート] が 443 に設定されていることを確認します。

7. [証明書] リストをクリックします。

   1. プライマリ SSL 証明書として使用しようとしているセルフマネージド SSL 証明書リソースがすでにある場合は、メニューから選択します。
   2. そうでない場合は、[新しい証明書を作成] を選択します。
      1. SSL 証明書の名前を入力します。
      2. 該当するフィールドに PEM 形式のファイルをアップロードします。
         • 公開鍵証明書
         • 証明書チェーン
         • 秘密鍵
      3. [作成] をクリックします。

8. プライマリ SSL 証明書リソースに加えて証明書リソースを追加するには、次の手順に沿って操作します。

   1. [証明書を追加] をクリックします。
   2. [証明書] リストから証明書を選択するか、[新しい証明書の作成] をクリックし、上記の手順を行います。

9. [完了] をクリックします。

バックエンドを構成する

1. [バックエンドの構成] をクリックします。
2. [プロジェクト間のバックエンド サービス] をクリックします。
3. [プロジェクト ID] に、サービス プロジェクト B のプロジェクト ID を入力します。
4. [バックエンド サービスを選択] リストから、使用するサービス プロジェクト B のバックエンド サービスを選択します。この例では、「cross-ref-backend-service」と入力します。
5. [OK] をクリックします。

ルーティング ルールを構成する

• [ルーティング ルール] をクリックします。cross-ref-backend-service が、一致しないホストと一致しないパスの唯一のバックエンド サービスであることを確認します。

トラフィック管理の詳細については、トラフィック管理の設定をご覧ください。

構成を確認して完了する

• [作成] をクリックします。

ロードバランサをテストする

ロードバランサが作成されたら、ロードバランサのテストの手順でロードバランサをテストします。

gcloud

1. 省略可: バックエンド サービスを相互参照するロードバランサを作成する前に、参照するバックエンド サービスを URL マップを使用して参照できるかどうかを確認します。

   gcloud compute backend-services list-usable \
       --region=us-west1 \
       --project=SERVICE_PROJECT_B_ID
   

2. URL マップを作成し、サービス プロジェクト B に作成されたバックエンド サービスにデフォルト サービスを設定します。

   gcloud compute url-maps create URL_MAP_NAME \
       --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \
       --region=us-west1 \
       --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • URL_MAP_NAME: URL マップの名前。
   • BACKEND_SERVICE_NAME: サービス プロジェクト B で作成されたバックエンド サービスの名前。
   • SERVICE_PROJECT_B_ID: ロードバランサのバックエンドとバックエンド サービスが作成されたサービス プロジェクト B のプロジェクト ID。
   • SERVICE_PROJECT_A_ID: ロードバランサのフロントエンドが作成されたサービス プロジェクト A のプロジェクト ID。

   サービス プロジェクト B にバックエンド サービスの compute.backendServices.use 権限がない場合、URL マップの作成は失敗します。

3. ターゲット プロキシを作成します。

   HTTP の場合:

   gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \
     --url-map=URL_MAP_NAME \
     --url-map-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • HTTP_TARGET_PROXY_NAME: ターゲット HTTP プロキシの名前。

   HTTPS の場合:

   gcloud compute ssl-certificates create コマンドを使用してリージョン SSL 証明書を作成します。

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
     --certificate=PATH_TO_CERTIFICATE \
     --private-key=PATH_TO_PRIVATE_KEY \
     --region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • SSL_CERTIFICATE_NAME: SSL 証明書リソースの名前。
   • PATH_TO_CERTIFICATE: PEM 形式のローカル SSL 証明書ファイルのパス。
   • PATH_TO_PRIVATE_KEY: PEM 形式のローカル SSL 証明書の秘密鍵へのパス。

   リージョン SSL 証明書を使用して、gcloud compute target-https-proxies create コマンドでターゲット プロキシを作成します。

   gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \
     --url-map=URL_MAP_NAME \
     --region=us-west1 \
     --ssl-certificates=SSL_CERTIFICATE_NAME \
     --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • HTTPS_TARGET_PROXY_NAME: ターゲット HTTPS プロキシの名前。

4. 転送ルールを作成します。プロジェクト間のサービスが機能するようにするには、転送ルールは、バックエンド サービスの作成に使用した共有 VPC ホスト プロジェクトと同じネットワーク（lb-network）を使用する必要があります。

   HTTP の場合:

   gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --address=IP_ADDRESS_CROSS_REF \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=HTTP_TARGET_PROXY_NAME \
     --target-http-proxy-region=us-west1 \
     --network-tier=STANDARD \
     --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • HTTP_FORWARDING_RULE_NAME: HTTP トラフィックの処理に使用される転送ルールの名前。

   HTTPS の場合:

   gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
     --load-balancing-scheme=EXTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --address=IP_ADDRESS_CROSS_REF \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=HTTPS_TARGET_PROXY_NAME \
     --target-https-proxy-region=us-west1 \
     --network-tier=STANDARD \
     --project=SERVICE_PROJECT_A_ID
   

   次のように置き換えます。

   • HTTPS_FORWARDING_RULE_NAME: HTTPS トラフィックの処理に使用される転送ルールの名前。

5. ロードバランサをテストするには、ロードバランサのテストで説明されている操作を行います。

コンソール

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

1. Google Cloud コンソールの [IAM] ページに移動します。

   IAM に移動

2. プロジェクトを選択します。

3. [person_addアクセスを許可] をクリックします。

4. [新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。

5. [ロールを選択] リストで、[Compute ロードバランサ サービス ユーザー] を選択します。

6. （省略可）ロールに条件を追加します。

7. [保存] をクリックします。

個々のバックエンド サービスのリソースレベルの権限

プロジェクト内の個々のバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限が必要です。

1. Google Cloud コンソールの [バックエンド] ページに移動します。

   [バックエンド] に移動

2. バックエンドのリストから、アクセス権を付与するバックエンド サービスを選択し、[person_add権限] をクリックします。

3. [person_addプリンシパルを追加] をクリックします。

4. [新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。

5. [ロールを選択] リストで、[Compute ロードバランサ サービス ユーザー] を選択します。

6. [保存] をクリックします。

gcloud

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser"

個々のバックエンド サービスのリソースレベルの権限

バックエンド サービス レベルでは、サービス プロジェクト管理者が次のいずれかのコマンドを使用して Compute ロードバランサ サービス ユーザー ロール（roles/compute.loadBalancerServiceUser）を付与します。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'

または

gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --project=SERVICE_PROJECT_B_ID \
    --region=us-west1

これらのコマンドを使用するには、LOAD_BALANCER_ADMIN をユーザーのプリンシパルに置き換えます（例: test-user@gmail.com）。

条件を使用して条件属性を指定することで、リージョン バックエンド サービスのサブセットにのみ適用されるように IAM 権限を構成することもできます。

gcloud

リージョン共有 VPC バックエンド サービスを参照するリソースを表示するには、次のコマンドを実行します。

gcloud compute backend-services describe BACKEND_SERVICE_NAME \
    --region REGION

次のように置き換えます。

• BACKEND_SERVICE_NAME: ロードバランサのバックエンド サービスの名前
• REGION: ロードバランサのリージョン

コマンド出力で、usedBy フィールドを確認します。ここに、バックエンド サービスを参照するリソースが表示されます。次に例を示します。

id: '123456789'
kind: compute#backendService
loadBalancingScheme: INTERNAL_MANAGED
...
usedBy:
-   reference: https://www.googleapis.com/compute/v1/projects/my-project/region/us-central1/urlMaps/my-url-map