共有 VPC を使用して内部アプリケーション ロードバランサを設定する

Console

1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [VPC ネットワークを作成] をクリックします。
3. [名前] に「lb-network」と入力します。

4. [サブネット] セクションで次の設定を行います。

   1. [サブネット作成モード] を [カスタム] に設定します。

   2. [新しいサブネット] セクションに、次の情報を入力します。

      • 名前: lb-frontend-and-backend-subnet

      • リージョン: us-west1

      • IP アドレス範囲: 10.1.2.0/24

   3. [完了] をクリックします。

5. [作成] をクリックします。

gcloud

1. gcloud compute networks create コマンドを使用して、VPC ネットワークを作成します。

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. サブネットを us-west1 リージョン内の lb-network ネットワークに作成します。

   gcloud compute networks subnets create lb-frontend-and-backend-subnet 
   
       --network=lb-network 
   
       --range=10.1.2.0/24 
   
       --region=us-west1
   

Terraform

1. VPC ネットワークを作成します。

   # Shared VPC network
   resource "google_compute_network" "lb_network" {
     name                    = "lb-network"
     provider                = google-beta
     project                 = "my-host-project-id"
     auto_create_subnetworks = false
   }

2. us-west1 リージョンにサブネットを作成します。

   # Shared VPC network - backend subnet
   resource "google_compute_subnetwork" "lb_frontend_and_backend_subnet" {
     name          = "lb-frontend-and-backend-subnet"
     provider      = google-beta
     project       = "my-host-project-id"
     region        = "us-west1"
     ip_cidr_range = "10.1.2.0/24"
     role          = "ACTIVE"
     network       = google_compute_network.lb_network.id
   }

Console

1. Google Cloud コンソールで、[VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 共有 VPC ネットワークの名前 lb-network をクリックします。
3. [サブネットを追加] をクリックします。
4. [名前] に「proxy-only-subnet」と入力します。
5. [リージョン] で、us-west1 を選択します。
6. [目的] を [リージョン マネージド プロキシ] に設定します。
7. [IP アドレス範囲] に「10.129.0.0/23」と入力します。
8. [追加] をクリックします。

gcloud

gcloud compute networks subnets create コマンドを使用して、プロキシ専用サブネットを作成します。

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-west1 \
    --network=lb-network \
    --range=10.129.0.0/23

Terraform

プロキシ専用サブネットを作成します。

# Shared VPC network - proxy-only subnet
resource "google_compute_subnetwork" "proxy_only_subnet" {
  name          = "proxy-only-subnet"
  provider      = google-beta
  project       = "my-host-project-id"
  region        = "us-west1"
  ip_cidr_range = "10.129.0.0/23"
  role          = "ACTIVE"
  purpose       = "REGIONAL_MANAGED_PROXY"
  network       = google_compute_network.lb_network.id
}

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-health-check
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: load-balanced-backend
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 130.211.0.0/22 と 35.191.0.0/16
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「80」と入力します。

  このルールは、ヘルスチェックで使用されているプロトコルとポートのみに制限することをおすすめします。プロトコルとポートに tcp:80 を使用すると、Google Cloud は、ポート 80 で HTTP を使用して VM に接続できますが、ポート 443 で HTTPS を使用して VM に接続することはできません。

3. [作成] をクリックします。
4. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-proxies
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: load-balanced-backend
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 10.129.0.0/23
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「80, 443, 8080」と入力します。
5. [作成] をクリックします。
6. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-ssh
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: allow-ssh
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 0.0.0.0/0
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「22」と入力します。
7. [作成] をクリックします。

gcloud

1. Google Cloud ヘルスチェックを許可する fw-allow-health-check ファイアウォール ルールを作成します。この例では、ヘルスチェック プローバーからのすべての TCP トラフィックを許可します。ただし、必要に応じてポートの範囲を狭く構成することもできます。

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=load-balanced-backend \
      --rules=tcp
   

2. Envoy プロキシ専用サブネットからのトラフィックがバックエンドに到達できるように fw-allow-proxies ファイアウォール ルールを作成します。

   gcloud compute firewall-rules create fw-allow-proxies \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=10.129.0.0/23 \
      --target-tags=load-balanced-backend \
      --rules=tcp:80,tcp:443,tcp:8080
   

3. ネットワーク タグ allow-ssh を使用して、VM との SSH 接続を許可する fw-allow-ssh ファイアウォール ルールを作成します。 source-ranges を省略すると、Google Cloud は任意の送信元を対象とするものとしてルールを解釈します。

   gcloud compute firewall-rules create fw-allow-ssh \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --target-tags=allow-ssh \
      --rules=tcp:22
   

Terraform

1. Google Cloud ヘルスチェックを許可するファイアウォール ルールを作成します。

   resource "google_compute_firewall" "fw_allow_health_check" {
     name          = "fw-allow-health-check"
     provider      = google-beta
     project       = "my-host-project-id"
     direction     = "INGRESS"
     network       = google_compute_network.lb_network.id
     source_ranges = ["130.211.0.0/22", "35.191.0.0/16"]
     allow {
       protocol = "tcp"
     }
     target_tags = ["load-balanced-backend"]
   }

2. Envoy プロキシ専用サブネットからのトラフィックがバックエンドに到達できるようにファイアウォール ルールを作成します。

   resource "google_compute_firewall" "fw_allow_proxies" {
     name          = "fw-allow-proxies"
     provider      = google-beta
     project       = "my-host-project-id"
     direction     = "INGRESS"
     network       = google_compute_network.lb_network.id
     source_ranges = ["10.129.0.0/23"]
     allow {
       protocol = "tcp"
       ports    = ["80", "443", "8080"]
     }
     target_tags = ["load-balanced-backend"]
   }

3. ネットワーク タグ allow-ssh を使用して、VM との SSH 接続を許可するファイアウォール ルールを作成します。

   resource "google_compute_firewall" "fw_allow_ssh" {
     name          = "fw-allow-ssh"
     provider      = google-beta
     project       = "my-host-project-id"
     direction     = "INGRESS"
     network       = google_compute_network.lb_network.id
     source_ranges = ["0.0.0.0/0"]
     allow {
       protocol = "tcp"
       ports    = ["22"]
     }
     target_tags = ["allow-ssh"]
   }

コンソール

1. インスタンス テンプレートを作成します。Google Cloud コンソールで、[インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

   1. [インスタンス テンプレートを作成] をクリックします。
   2. [名前] に「l7-ilb-backend-template」と入力します。
   3. [ブートディスク] が Debian GNU/Linux 12 (bookworm) などの Debian イメージに設定されていることを確認します。以降の手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。ブートディスクを変更する必要がある場合は、[変更] をクリックします。
      1. [オペレーティング システム] で [Debian] を選択します。
      2. [バージョン] で、利用可能な Debian イメージ（Debian GNU/Linux 12 (bookworm) など）を選択します。
      3. [選択] をクリックします。
   4. [詳細オプション] をクリックして、[ネットワーキング] をクリックします。
   5. 次のネットワーク タグを入力する: allow-ssh,load-balanced-backend。
   6. [ネットワーク インターフェース] セクションで、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。
   7. lb-network ネットワークから lb-frontend-and-backend-subnet サブネットを選択します。
   8. [管理] をクリックします。[管理] で、[起動スクリプト] フィールドに次のスクリプトを挿入します。

       #! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" 
      
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | 
      
       tee /var/www/html/index.html
       systemctl restart apache2
       

   9. [作成] をクリックします。

2. マネージド インスタンス グループを作成します。Google Cloud コンソールで、[インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

   1. [インスタンス グループを作成] をクリックします。
   2. [新しいマネージド インスタンス グループ（ステートレス）] を選択します。詳細については、ステートレス MIG とステートフル MIG をご覧ください。
   3. [名前] に「l7-ilb-backend-example」と入力します。
   4. [ロケーション] で [シングルゾーン] を選択します。
   5. [リージョン] で、us-west1 を選択します。
   6. [ゾーン] で、[us-west1-a] を選択します。
   7. [インスタンス テンプレート] で [l7-ilb-backend-template] を選択します。

   8. グループ内に作成するインスタンスの数を指定します。

      この例では、[自動スケーリング] で次のオプションを指定します。

      • [自動スケーリング モード] で [Off:do not autoscale] を選択します。
      • [インスタンスの最大数] に「2」と入力します。

      オプションとして、UI の [自動スケーリング] セクションで、インスタンスの CPU 使用率に基づいてインスタンスを自動的に追加または削除するようにインスタンス グループを構成できます。

   9. [作成] をクリックします。

gcloud

このガイドの gcloud の手順は、Cloud Shell または bash がインストールされた別の環境を使用していることを前提としています。

1. gcloud compute instance-templates create コマンドを使用して、HTTP サーバーで VM インスタンス テンプレートを作成します。

   gcloud compute instance-templates create l7-ilb-backend-template \
   --region=us-west1 \
   --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
   --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
   --tags=allow-ssh,load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
   apt-get update
   apt-get install apache2 -y
   a2ensite default-ssl
   a2enmod ssl
   vm_hostname="$(curl -H "Metadata-Flavor:Google" \
   http://metadata.google.internal/computeMetadata/v1/instance/name)"
   echo "Page served from: $vm_hostname" | \
   tee /var/www/html/index.html
   systemctl restart apache2' \
   --project=SERVICE_PROJECT_ID
   

2. gcloud compute instance-groups managed create コマンドを使用して、ゾーンにマネージド インスタンス グループを作成します。

   gcloud compute instance-groups managed create l7-ilb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-ilb-backend-template \
       --project=SERVICE_PROJECT_ID
   

Terraform

1. VM インスタンス テンプレートを作成します。

   # Instance template
   resource "google_compute_instance_template" "default" {
     name     = "l7-ilb-backend-template"
     provider = google-beta
     project  = "my-service-project-id"
     region   = "us-west1"
     # For machine type, using small. For more options check https://cloud.google.com/compute/docs/machine-types
     machine_type = "e2-small"
     tags         = ["allow-ssh", "load-balanced-backend"]
     network_interface {
       network    = google_compute_network.lb_network.id
       subnetwork = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
       access_config {
         # add external ip to fetch packages like apache2, ssl
       }
     }
     disk {
       source_image = "debian-cloud/debian-12"
       auto_delete  = true
       boot         = true
     }
   
     # install apache2 and serve a simple web page
     metadata = {
       startup-script = <<EOF
       #! /bin/bash
       sudo apt-get update
       sudo apt-get install apache2 -y
       sudo a2ensite default-ssl
       sudo a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       sudo echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       sudo systemctl restart apache2
       EOF
     }
   }

2. マネージド インスタンス グループを作成する。

   HTTP の場合:

   # MIG
   resource "google_compute_instance_group_manager" "default" {
     name               = "l7-ilb-backend-example"
     provider           = google-beta
     project            = "my-service-project-id"
     zone               = "us-west1-a"
     base_instance_name = "vm"
     target_size        = 2
     version {
       instance_template = google_compute_instance_template.default.id
       name              = "primary"
     }
     named_port {
       name = "http"
       port = 80
     }
   }

   HTTPS の場合:

   # MIG
   resource "google_compute_instance_group_manager" "default" {
     name               = "l7-ilb-backend-example"
     provider           = google-beta
     project            = "my-service-project-id"
     zone               = "us-west1-a"
     base_instance_name = "vm"
     target_size        = 2
     version {
       instance_template = google_compute_instance_template.default.id
       name              = "primary"
     }
     named_port {
       name = "https"
       port = 443
     }
   }

Console

コンテキストをサービス プロジェクトに切り替える

1. Google Cloud コンソールで [ダッシュボード] ページに移動します。

   ダッシュボードに移動

2. ページ上部にある [選択元] リストをクリックします。表示された [選択元] ウィンドウで、ロードバランサを作成するサービス プロジェクトを選択します。

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [内部] を選択し、[次へ] をクリックします。
5. [クロスリージョンまたはシングル リージョンのデプロイ] で [リージョン ワークロードに最適] を選択し、[次へ] をクリックします。
6. [構成] をクリックします。

基本構成

1. ロードバランサの名前に「l7-ilb-shared-vpc」と入力します。
2. [リージョン] で us-west1 を選択します。

3. [ネットワーク] で [lb-network] を選択します（[プロジェクト: HOST_PROJECT_ID] から）。

   [共有 VPC ネットワークに必要なプロキシ専用サブネット] という警告が表示されたら、ホスト プロジェクト管理者が lb-network 共有 VPC ネットワークの us-west1 リージョンに proxy-only-subnet を作成していることを確認します。このページで、プロキシ専用サブネットを表示する権限がなくても、ロードバランサの作成は成功します。

4. ウィンドウを開いたままにして続行します。

バックエンドを構成する

1. [バックエンドの構成] をクリックします。
2. [バックエンド サービスの作成または選択] メニューから [バックエンド サービスを作成] を選択します。
3. バックエンド サービスの [名前] を l7-ilb-backend-service に設定します。
4. [バックエンド タイプ] をインスタンス グループに設定します。
5. [新しいバックエンド] セクションで、次の操作を行います。
   1. [インスタンス グループ] を l7-ilb-backend-example に設定します。
   2. [ポート番号] を 80 に設定します。
   3. [分散モード] を [使用率] に設定します。
   4. [完了] をクリックします。
6. [ヘルスチェック] セクションで、[ヘルスチェックを作成] を選択し、次のパラメータを選択します。
   1. 名前: l7-ilb-basic-check
   2. プロトコル: HTTP
   3. ポート: 80
7. [保存して次へ] をクリックします。
8. [作成] をクリックします。

ルーティング ルールを構成する

• [ルーティング ルール] をクリックします。l7-ilb-backend-service が、ホストとパスが一致しなかった場合に使用される唯一のバックエンド サービスであることを確認します。

トラフィック管理の詳細については、トラフィック管理の設定をご覧ください。

フロントエンドを構成する

HTTP の場合:

1. [フロントエンドの構成] をクリックします。
2. [名前] を l7-ilb-forwarding-rule に設定します。
3. [プロトコル] を HTTP に設定します。
4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。 リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。
5. [ポート] を 80 に設定します。
6. [IP アドレス] メニューをクリックし、[IP アドレスを作成] をクリックします。
7. [静的内部 IP アドレスの予約] パネルで、次の詳細情報を入力します。
   1. [名前] に「ip-address-shared-vpc」と入力します。
   2. [静的 IP アドレス] で、Let me choose をクリックします。[カスタム IP アドレス] に「10.1.2.99」と入力します。
   3. （省略可）この IP アドレスを複数のフロントエンドと共有する場合は、[目的] を [共有] に設定します。
8. [完了] をクリックします。

HTTPS の場合:

クライアントとロードバランサ間で HTTPS を使用する場合は、プロキシを構成するために 1 つ以上の SSL 証明書リソースが必要になります。SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、内部アプリケーション ロードバランサでは Google マネージド証明書がサポートされません。

1. [フロントエンドの構成] をクリックします。
2. [名前] フィールドに「l7-ilb-forwarding-rule」と入力します。
3. [プロトコル] フィールドで [HTTPS (includes HTTP/2)] を選択します。
4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。 リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。
5. HTTPS トラフィックを許可するように、[ポート]が 443 に設定されていることを確認します。
6. [IP アドレス] メニューをクリックし、[IP アドレスを作成] をクリックします。
7. [静的内部 IP アドレスの予約] パネルで、次の詳細情報を入力します。
   1. [名前] に「ip-address-shared-vpc」と入力します。
   2. [静的 IP アドレス] で、Let me choose をクリックします。[カスタム IP アドレス] に「10.1.2.99」と入力します。
   3. （省略可）この IP アドレスを複数のフロントエンドと共有する場合は、[目的] を [共有] に設定します。
8. [証明書] リストをクリックします。
   1. プライマリ SSL 証明書として使用しようとしているセルフマネージド SSL 証明書リソースがすでにある場合は、メニューから選択します。
   2. そうでない場合は、[新しい証明書を作成] を選択します。
      1. [名前] に「l7-ilb-cert」と入力します。
      2. 該当するフィールドで、PEM 形式のファイルをアップロードします。
         • 公開鍵証明書
         • 証明書チェーン
         • 秘密鍵
      3. [作成] をクリックします。
9. プライマリ SSL 証明書リソースに加えて証明書リソースを追加するには、次の手順に沿って操作します。
   1. [証明書を追加] をクリックします。
   2. [証明書] リストから証明書を選択するか、[新しい証明書の作成] をクリックし、上記の手順を行います。
10. [完了] をクリックします。

構成を確認して完了する

• [作成] をクリックします。

gcloud

1. gcloud compute health-checks create http コマンドを使用して HTTP ヘルスチェックを定義します。

   gcloud compute health-checks create http l7-ilb-basic-check \
      --region=us-west1 \
      --use-serving-port \
      --project=SERVICE_PROJECT_ID
   

2. gcloud compute backend-services create コマンドを使用してバックエンド サービスを定義します。

   gcloud compute backend-services create l7-ilb-backend-service \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=l7-ilb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

3. gcloud compute backend-services add-backend コマンドを使用して、バックエンド サービスにバックエンドを追加します。

   gcloud compute backend-services add-backend l7-ilb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-ilb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

4. gcloud compute url-maps create コマンドを使用して、URL マップを作成します。

   gcloud compute url-maps create l7-ilb-map \
     --default-service=l7-ilb-backend-service \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

5. ターゲット プロキシを作成します。

   HTTP の場合:

   内部 HTTP ロードバランサの場合は、gcloud compute target-http-proxies create コマンドを使用してターゲット プロキシを作成します。

   gcloud compute target-http-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --url-map-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

   HTTPS の場合:

   SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、内部アプリケーション ロードバランサでは Google マネージド証明書がサポートされません。

   ファイルパスを変数名に割り当てます。

   export LB_CERT=path to PEM-formatted file
   

   export LB_PRIVATE_KEY=path to PEM-formatted file
   

   gcloud compute ssl-certificates create コマンドを使用してリージョン SSL 証明書を作成します。

   gcloud compute ssl-certificates create l7-ilb-cert \
     --certificate=$LB_CERT \
     --private-key=$LB_PRIVATE_KEY \
     --region=us-west1
   

   リージョン SSL 証明書を使用して、gcloud compute target-https-proxies create コマンドでターゲット プロキシを作成します。

   gcloud compute target-https-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --region=us-west1 \
     --ssl-certificates=l7-ilb-cert \
     --project=SERVICE_PROJECT_ID
   

6. 転送ルールを作成します。

   カスタム ネットワークでは、転送ルールでサブネットを参照する必要があります。

   転送ルールの IP アドレスには、lb-frontend-and-backend-subnet を使用します。プロキシ専用サブネットを使用すると、転送ルールの作成に失敗します。

   HTTP の場合:

   適切なフラグを設定して gcloud compute forwarding-rules create コマンドを実行します。

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
     --address=IP_ADDRESS_NAME \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-ilb-proxy \
     --target-http-proxy-region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

   HTTPS の場合:

   適切なフラグを設定して gcloud compute forwarding-rules create コマンドを実行します。

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
     --address=IP_ADDRESS_NAME \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-ilb-proxy \
     --target-https-proxy-region=us-west1 \
     --project=SERVICE_PROJECT_ID
   

Terraform

1. HTTP ヘルスチェックを定義します。

   HTTP の場合:

   # health check
   resource "google_compute_health_check" "default" {
     name               = "l7-ilb-basic-check"
     provider           = google-beta
     project            = "my-service-project-id"
     timeout_sec        = 1
     check_interval_sec = 1
     http_health_check {
       port = "80"
     }
   }

   HTTPS の場合:

   # health check
   resource "google_compute_health_check" "default" {
     name               = "l7-ilb-basic-check"
     provider           = google-beta
     project            = "my-service-project-id"
     timeout_sec        = 1
     check_interval_sec = 1
     https_health_check {
       port = "443"
     }
   }

2. バックエンド サービスを定義します。

   # backend service
   resource "google_compute_region_backend_service" "default" {
     name                  = "l7-ilb-backend-service"
     provider              = google-beta
     project               = "my-service-project-id"
     region                = "us-west1"
     protocol              = "HTTP"
     load_balancing_scheme = "INTERNAL_MANAGED"
     timeout_sec           = 10
     health_checks         = [google_compute_health_check.default.id]
     backend {
       group           = google_compute_instance_group_manager.default.instance_group
       balancing_mode  = "UTILIZATION"
       capacity_scaler = 1.0
     }
   }

3. URL マップを作成します。

   # URL map
   resource "google_compute_region_url_map" "default" {
     name            = "l7-ilb-map"
     provider        = google-beta
     project         = "my-service-project-id"
     region          = "us-west1"
     default_service = google_compute_region_backend_service.default.id
   }

4. ターゲット プロキシを作成します。

   HTTP の場合:

   # HTTP target proxy
   resource "google_compute_region_target_http_proxy" "default" {
     name     = "l7-ilb-proxy"
     provider = google-beta
     project  = "my-service-project-id"
     region   = "us-west1"
     url_map  = google_compute_region_url_map.default.id
   }

   HTTPS の場合: リージョン SSL 証明書を作成します。

   SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、内部アプリケーション ロードバランサでは Google マネージド証明書がサポートされません。

   # Use self-signed SSL certificate
   resource "google_compute_region_ssl_certificate" "default" {
     name        = "l7-ilb-cert"
     provider    = google-beta
     project     = "my-service-project-id"
     region      = "us-west1"
     private_key = file("sample-private.key") # path to PEM-formatted file
     certificate = file("sample-server.cert") # path to PEM-formatted file
   }

   リージョン SSL 証明書を使用してターゲット プロキシを作成します。

   # HTTPS target proxy
   resource "google_compute_region_target_https_proxy" "default" {
     name             = "l7-ilb-proxy"
     provider         = google-beta
     project          = "my-service-project-id"
     region           = "us-west1"
     url_map          = google_compute_region_url_map.default.id
     ssl_certificates = [google_compute_region_ssl_certificate.default.id]
   }

5. 転送ルールを作成します。

   カスタム ネットワークでは、転送ルールでサブネットを参照する必要があります。

   HTTP の場合:

   # Forwarding rule
   resource "google_compute_forwarding_rule" "default" {
     name                  = "l7-ilb-forwarding-rule"
     provider              = google-beta
     project               = "my-service-project-id"
     region                = "us-west1"
     ip_protocol           = "TCP"
     port_range            = "80"
     load_balancing_scheme = "INTERNAL_MANAGED"
     target                = google_compute_region_target_http_proxy.default.id
     network               = google_compute_network.lb_network.id
     subnetwork            = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
     network_tier          = "PREMIUM"
     depends_on            = [google_compute_subnetwork.lb_frontend_and_backend_subnet]
   }

   HTTPS の場合:

   # Forwarding rule
   resource "google_compute_forwarding_rule" "default" {
     name                  = "l7-ilb-forwarding-rule"
     provider              = google-beta
     project               = "my-service-project-id"
     region                = "us-west1"
     ip_protocol           = "TCP"
     port_range            = "443"
     load_balancing_scheme = "INTERNAL_MANAGED"
     target                = google_compute_region_target_https_proxy.default.id
     network               = google_compute_network.lb_network.id
     subnetwork            = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
     network_tier          = "PREMIUM"
     depends_on            = [google_compute_subnetwork.lb_frontend_and_backend_subnet]
   }

Console

1. Google Cloud コンソールの [VM インスタンス] ページに移動します。

   [VM インスタンス] に移動

2. [インスタンスを作成] をクリックします。

3. [名前] を client-vm に設定します。

4. ゾーンを us-west1-a に設定します。

5. [詳細オプション] をクリックして、[ネットワーキング] をクリックします。

6. 次のネットワーク タグを入力する: allow-ssh,load-balanced-backend。

7. [ネットワーク インターフェース] セクションで、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。

8. lb-network ネットワークから lb-frontend-and-backend-subnet サブネットを選択します。

9. [作成] をクリックします。

gcloud

テスト用の VM インスタンスを作成します。

gcloud compute instances create client-vm \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
    --zone=us-west1-a \
    --tags=allow-ssh \
    --project=SERVICE_PROJECT_ID

Terraform

テスト用の VM インスタンスを作成します。

resource "google_compute_instance" "vm_test" {
  name         = "client-vm"
  provider     = google-beta
  project      = "my-service-project-id"
  zone         = "us-west1-a"
  machine_type = "e2-small"
  tags         = ["allow-ssh"]
  network_interface {
    network    = google_compute_network.lb_network.id
    subnetwork = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
  }
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-12"
    }
  }
  lifecycle {
    ignore_changes = [
      metadata["ssh-keys"]
    ]
  }
}

Console

1. インスタンス テンプレートを作成します。Google Cloud コンソールで、[インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

   1. [インスタンス テンプレートを作成] をクリックします。
   2. インスタンス テンプレートの名前（cross-ref-backend-template）を入力します。
   3. [ブートディスク] が Debian GNU/Linux 12 (bookworm) などの Debian イメージに設定されていることを確認します。以降の手順では、apt-get などの Debian でのみ使用できるコマンドを使用します。ブートディスクを変更する必要がある場合は、[変更] をクリックします。
      1. [オペレーティング システム] で [Debian] を選択します。
      2. [バージョン] で、利用可能な Debian イメージ（Debian GNU/Linux 12 (bookworm) など）を選択します。
      3. [選択] をクリックします。
   4. [詳細オプション] をクリックして、[ネットワーキング] をクリックします。
   5. 次のネットワーク タグを入力する: allow-ssh,load-balanced-backend。
   6. [ネットワーク インターフェース] セクションで、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。
   7. lb-network ネットワークから lb-frontend-and-backend-subnet サブネットを選択します。
   8. [管理] をクリックします。[管理] で、[起動スクリプト] フィールドに次のスクリプトを挿入します。

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" 
      
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | 
      
      tee /var/www/html/index.html
      systemctl restart apache2
      

   9. [作成] をクリックします。

2. マネージド インスタンス グループを作成します。Google Cloud コンソールで、[インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

   1. [インスタンス グループを作成] をクリックします。
   2. [新しいマネージド インスタンス グループ（ステートレス）] を選択します。詳細については、ステートレス MIG とステートフル MIG をご覧ください。
   3. [名前] にインスタンス グループの名前「cross-ref-ig-backend」を入力します。
   4. [ロケーション] で [シングルゾーン] を選択します。
   5. [リージョン] で、us-west1 を選択します。
   6. [ゾーン] で、[us-west1-a] を選択します。
   7. [インスタンス テンプレート] で cross-ref-backend-template を選択します。

   8. グループ内に作成するインスタンスの数を指定します。

      この例では、[自動スケーリング] で次のオプションを指定します。

      • [自動スケーリング モード] で [Off:do not autoscale] を選択します。
      • [インスタンスの最大数] に「2」と入力します。

      オプションとして、UI の [自動スケーリング] セクションで、インスタンスの CPU 使用率に基づいてインスタンスを自動的に追加または削除するようにインスタンス グループを構成できます。

   9. [作成] をクリックします。

3. リージョン バックエンド サービスを作成します。この手順の一環として、ヘルスチェックを作成して、バックエンド サービスへのバックエンドの追加も行います。Google Cloud コンソールの [バックエンド] ページに移動します。

   [バックエンド] に移動

   1. [リージョン バックエンド サービスを作成] をクリックします。
   2. バックエンド サービスの [名前] に「cross-ref-backend-service」と入力します。
   3. [リージョン] で [us-west1] を選択します。
   4. [ロードバランサのタイプ] で、[リージョンの内部アプリケーション ロードバランサ（INTERNAL_MANAGED）] を選択します。
   5. [バックエンド タイプ] を [インスタンス グループ] に設定します。
   6. [バックエンド] セクションで、[ネットワーク] を lb-network に設定します。
   7. [バックエンドを追加] をクリックして、次のフィールドを設定します。
      1. [インスタンス グループ] を cross-ref-ig-backend に設定します。
      2. [ポート番号] に「80」と入力します。
      3. [分散モード] を [使用率] に設定します。
      4. [完了] をクリックします。
   8. [ヘルスチェック] セクションで、[ヘルスチェックを作成] を選択し、次のパラメータを選択します。
      1. 名前: cross-ref-http-health-check
      2. プロトコル: HTTP
      3. ポート: 80
      4. [保存] をクリックします。
   9. [続行] をクリックします。

   10. 省略可: [権限の追加] セクションで、他のバックエンド ロードバランサ管理者の IAM プリンシパル（通常はメールアドレス）を入力して、管理者のプロジェクトでこのバックエンド サービスをロードバランサに使用できるようにします。この権限がないと、プロジェクト間のサービス参照を使用できません。

       このプロジェクトのバックエンド サービスのアクセス制御ポリシーを設定する権限がなくても、ここでバックエンド サービスを作成することは可能です。バックエンド サービスを使用する権限をロードバランサ管理者に付与するセクションで説明されているように、この処理は権限のあるユーザーがあとで行うことができます。このセクションでは、このプロジェクトのすべてのバックエンド サービスへのアクセスを許可する方法についても説明されています。これにより、新しいバックエンド サービスを作成するたびにアクセス権を付与する必要がなくなります。

   11. [作成] をクリックします。

gcloud

1. gcloud compute instance-templates create コマンドを使用して、HTTP サーバーで VM インスタンス テンプレートを作成します。

   gcloud compute instance-templates create BACKEND_IG_TEMPLATE \
       --region=us-west1 \
       --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
       --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
       --tags=allow-ssh,load-balanced-backend \
       --image-family=debian-12 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2' \
       --project=SERVICE_PROJECT_B_ID
   

   以下を置き換えます。

   • BACKEND_IG_TEMPLATE: インスタンス グループ テンプレートの名前。
   • SERVICE_PROJECT_B_ID: ロードバランサのバックエンドとバックエンド サービスが作成されるサービス プロジェクト B のプロジェクト ID。
   • HOST_PROJECT_ID: 共有 VPC ホスト プロジェクトのプロジェクト ID。

2. gcloud compute instance-groups managed create コマンドを使用して、ゾーンにマネージド インスタンス グループを作成します。

   gcloud compute instance-groups managed create BACKEND_MIG \
       --zone=us-west1-a \
       --size=2 \
       --template=BACKEND_IG_TEMPLATE \
       --project=SERVICE_PROJECT_B_ID
   

   以下を置き換えます。

   • BACKEND_MIG: バックエンド インスタンス グループの名前。

3. gcloud compute health-checks create http コマンドを使用して HTTP ヘルスチェックを定義します。

   gcloud compute health-checks create http HTTP_HEALTH_CHECK_NAME \
     --region=us-west1 \
     --use-serving-port \
     --project=SERVICE_PROJECT_B_ID
   

   以下を置き換えます。

   • HTTP_HEALTH_CHECK_NAME: HTTP ヘルスチェックの名前。

4. gcloud compute backend-services create コマンドを使用してバックエンド サービスを定義します。

   gcloud compute backend-services create BACKEND_SERVICE_NAME \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=HTTP_HEALTH_CHECK_NAME \
     --health-checks-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_B_ID
   

   以下を置き換えます。

   • BACKEND_SERVICE_NAME: サービス プロジェクト B で作成されたバックエンド サービスの名前。

5. gcloud compute backend-services add-backend コマンドを使用して、バックエンド サービスにバックエンドを追加します。

   gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
     --balancing-mode=UTILIZATION \
     --instance-group=BACKEND_MIG \
     --instance-group-zone=us-west1-a \
     --region=us-west1 \
     --project=SERVICE_PROJECT_B_ID
   

Terraform

1. インスタンス テンプレートを作成します。

   # Instance template
   resource "google_compute_instance_template" "default" {
     name     = "l7-ilb-backend-template"
     provider = google-beta
     project  = "my-service-project-b-id"
     region   = "us-west1"
     # For machine type, using small. For more options check https://cloud.google.com/compute/docs/machine-types
     machine_type = "e2-small"
     tags         = ["allow-ssh", "load-balanced-backend"]
     network_interface {
       network    = google_compute_network.lb_network.id
       subnetwork = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
       access_config {
         # add external ip to fetch packages like apache2, ssl
       }
     }
     disk {
       source_image = "debian-cloud/debian-12"
       auto_delete  = true
       boot         = true
     }
   
     # install apache2 and serve a simple web page
     metadata = {
       startup-script = <<EOF
       #! /bin/bash
       sudo apt-get update
       sudo apt-get install apache2 -y
       sudo a2ensite default-ssl
       sudo a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       sudo echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       sudo systemctl restart apache2
       EOF
     }
   }

2. マネージド インスタンス グループを作成する。

   HTTP の場合

   # MIG
   resource "google_compute_instance_group_manager" "default" {
     name               = "l7-ilb-backend-example"
     provider           = google-beta
     project            = "my-service-project-b-id"
     zone               = "us-west1-a"
     base_instance_name = "vm"
     target_size        = 2
     version {
       instance_template = google_compute_instance_template.default.id
       name              = "primary"
     }
     named_port {
       name = "http"
       port = 80
     }
   }

   HTTPS の場合

   # MIG
   resource "google_compute_instance_group_manager" "default" {
     name               = "l7-ilb-backend-example"
     provider           = google-beta
     project            = "my-service-project-b-id"
     zone               = "us-west1-a"
     base_instance_name = "vm"
     target_size        = 2
     version {
       instance_template = google_compute_instance_template.default.id
       name              = "primary"
     }
     named_port {
       name = "https"
       port = 443
     }
   }

3. バックエンドのヘルスチェックを作成します。

   HTTP の場合

   # health check
   resource "google_compute_health_check" "default" {
     name               = "l7-ilb-basic-check"
     provider           = google-beta
     project            = "my-service-project-b-id"
     timeout_sec        = 1
     check_interval_sec = 1
     http_health_check {
       port = "80"
     }
   }

   HTTPS の場合

   # health check
   resource "google_compute_health_check" "default" {
     name               = "l7-ilb-basic-check"
     provider           = google-beta
     project            = "my-service-project-b-id"
     timeout_sec        = 1
     check_interval_sec = 1
     https_health_check {
       port = "443"
     }
   }

4. リージョン バックエンド サービスを作成します。

   # backend service
   resource "google_compute_region_backend_service" "default" {
     name                  = "l7-ilb-backend-service"
     provider              = google-beta
     project               = "my-service-project-b-id"
     region                = "us-west1"
     protocol              = "HTTP"
     load_balancing_scheme = "INTERNAL_MANAGED"
     timeout_sec           = 10
     health_checks         = [google_compute_health_check.default.id]
     backend {
       group           = google_compute_instance_group_manager.default.instance_group
       balancing_mode  = "UTILIZATION"
       capacity_scaler = 1.0
     }
   }

コンソール

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [内部] を選択し、[次へ] をクリックします。
5. [クロスリージョンまたはシングル リージョンのデプロイ] で [リージョン ワークロードに最適] を選択し、[次へ] をクリックします。
6. [構成] をクリックします。

基本構成

1. ロードバランサの名前を入力します。
2. [リージョン] で us-west1 を選択します。

3. [ネットワーク] で [lb-network] を選択します（[プロジェクト: HOST_PROJECT_NAME] から）。

   [共有 VPC ネットワークに必要なプロキシ専用サブネット] という警告が表示されたら、ホスト プロジェクト管理者が lb-network 共有 VPC ネットワークの us-west1 リージョンに proxy-only-subnet を作成していることを確認します。このページで、プロキシ専用サブネットを表示する権限がなくても、ロードバランサの作成は成功します。

4. ウィンドウを開いたままにして続行します。

バックエンドを構成する

1. [バックエンドの構成] をクリックします。
2. [プロジェクト間のバックエンド サービス] をクリックします。
3. [プロジェクト ID] に、サービス プロジェクト B のプロジェクト ID を入力します。
4. [バックエンド サービスの選択] リストから、使用するサービス プロジェクト B のバックエンド サービスを選択します。この例では、「cross-ref-backend-service」と入力します。
5. [OK] をクリックします。

ルーティング ルールを構成する

• [ルーティング ルール] をクリックします。cross-ref-backend-service が、指定されたホストまたはパスに一致しない URL が送られる唯一のバックエンド サービスであることを確認します。

トラフィック管理の詳細については、トラフィック管理の設定をご覧ください。

フロントエンドを構成する

プロジェクト間のサービスが機能するようにするには、フロントエンドは、バックエンド サービスの作成に使用した共有 VPC ホスト プロジェクトと同じネットワーク（lb-network）を使用する必要があります。

HTTP の場合:

1. [フロントエンドの構成] をクリックします。
2. 転送ルールの [名前] に「cross-ref-http-forwarding-rule」と入力します。
3. [プロトコル] を HTTP に設定します。
4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。 リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。
5. [ポート] を 80 に設定します。
6. [IP アドレス] メニューをクリックし、[IP アドレスを作成] をクリックします。
7. [静的内部 IP アドレスの予約] パネルで、次の詳細情報を入力します。
   1. [名前] に「cross-ref-ip-address」と入力します。
   2. [静的 IP アドレス] で、Let me choose をクリックします。[カスタム IP アドレス] に「10.1.2.98」と入力します。
   3. （省略可）この IP アドレスを複数のフロントエンドと共有する場合は、[目的] を [共有] に設定します。
8. [完了] をクリックします。

HTTPS の場合:

クライアントとロードバランサ間で HTTPS を使用する場合は、プロキシを構成するために 1 つ以上の SSL 証明書リソースが必要になります。SSL 証明書リソースの作成方法については、SSL 証明書をご覧ください。現在、内部アプリケーション ロードバランサでは Google マネージド証明書がサポートされません。

1. [フロントエンドの構成] をクリックします。
2. 転送ルールの名前「cross-ref-https-forwarding-rule」を入力します。
3. [プロトコル] フィールドで [HTTPS (includes HTTP/2)] を選択します。
4. [サブネットワーク] を [lb-frontend-and-backend-subnet] に設定します。 リストで選択できる場合でも、フロントエンドにプロキシ専用サブネットは選択しないでください。
5. HTTPS トラフィックを許可するように、[ポート]が 443 に設定されていることを確認します。
6. [IP アドレス] メニューをクリックし、[IP アドレスを作成] をクリックします。
7. [静的内部 IP アドレスの予約] パネルで、次の詳細情報を入力します。
   1. [名前] に「cross-ref-ip-address」と入力します。
   2. [静的 IP アドレス] で、Let me choose をクリックします。[カスタム IP アドレス] に「10.1.2.98」と入力します。
   3. （省略可）この IP アドレスを複数のフロントエンドと共有する場合は、[目的] を [共有] に設定します。
8. [証明書] リストをクリックします。
   1. プライマリ SSL 証明書として使用しようとしているセルフマネージド SSL 証明書リソースがすでにある場合は、メニューから選択します。
   2. そうでない場合は、[新しい証明書を作成] を選択します。
      1. SSL 証明書の名前を入力します。
      2. 該当するフィールドで、PEM 形式のファイルをアップロードします。
         • 公開鍵証明書
         • 証明書チェーン
         • 秘密鍵
      3. [作成] をクリックします。
9. プライマリ SSL 証明書リソースに加えて証明書リソースを追加するには、次の手順に沿って操作します。
   1. [証明書を追加] をクリックします。
   2. [証明書] リストから証明書を選択するか、[新しい証明書の作成] をクリックし、上記の手順を行います。
10. [完了] をクリックします。

構成を確認して完了する

• [作成] をクリックします。

ロードバランサをテストする

ロードバランサが作成されたら、記載されたロードバランサのテストの手順を使用してロードバランサをテストします。

gcloud

1. 省略可: バックエンド サービスを相互参照するロードバランサを作成する前に、参照するバックエンド サービスを URL マップを使用して参照できるかどうかを確認します。

   gcloud compute backend-services list-usable \
       --region=us-west1 \
       --project=SERVICE_PROJECT_B_ID
   

2. URL マップを作成し、サービス プロジェクト B に作成されたバックエンド サービスにデフォルト サービスを設定します。

   gcloud compute url-maps create URL_MAP_NAME \
       --default-service=projects/SERVICE_PROJECT_B_ID/regions/us-west1/backendServices/BACKEND_SERVICE_NAME \
       --region=us-west1 \
       --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • URL_MAP_NAME: URL マップの名前。
   • BACKEND_SERVICE_NAME: サービス プロジェクト B で作成されたバックエンド サービスの名前。
   • SERVICE_PROJECT_B_ID: ロードバランサのバックエンドとバックエンド サービスが作成されたサービス プロジェクト B のプロジェクト ID。
   • SERVICE_PROJECT_A_ID: ロードバランサのフロントエンドが作成されたサービス プロジェクト A のプロジェクト ID。

   サービス プロジェクト B にバックエンド サービスの compute.backendServices.use 権限がない場合、URL マップの作成は失敗します。

3. ターゲット プロキシを作成します。

   HTTP の場合:

   gcloud compute target-http-proxies create HTTP_TARGET_PROXY_NAME \
     --url-map=URL_MAP_NAME \
     --url-map-region=us-west1 \
     --region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • HTTP_TARGET_PROXY_NAME: ターゲット HTTP プロキシの名前。

   HTTPS の場合:

   gcloud compute ssl-certificates create コマンドを使用してリージョン SSL 証明書を作成します。

   gcloud compute ssl-certificates create SSL_CERTIFICATE_NAME \
     --certificate=PATH_TO_CERTIFICATE \
     --private-key=PATH_TO_PRIVATE_KEY \
     --region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • SSL_CERTIFICATE_NAME: SSL 証明書リソースの名前。
   • PATH_TO_CERTIFICATE: PEM 形式のローカル SSL 証明書ファイルのパス。
   • PATH_TO_PRIVATE_KEY: PEM 形式のローカル SSL 証明書の秘密鍵へのパス。

   リージョン SSL 証明書を使用して、gcloud compute target-https-proxies create コマンドでターゲット プロキシを作成します。

   gcloud compute target-https-proxies create HTTPS_TARGET_PROXY_NAME \
     --url-map=URL_MAP_NAME \
     --region=us-west1 \
     --ssl-certificates=SSL_CERTIFICATE_NAME \
     --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • HTTPS_TARGET_PROXY_NAME: ターゲット HTTPS プロキシの名前。

4. 転送ルールを作成します。プロジェクト間のサービスが機能するようにするには、転送ルールは、バックエンド サービスの作成に使用した共有 VPC ホスト プロジェクトと同じネットワーク（lb-network）を使用する必要があります。

   HTTP の場合:

   gcloud compute forwarding-rules create HTTP_FORWARDING_RULE_NAME \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
     --address=IP_ADDRESS_CROSS_REF \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=HTTP_TARGET_PROXY_NAME \
     --target-http-proxy-region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • HTTP_FORWARDING_RULE_NAME: HTTP トラフィックの処理に使用される転送ルールの名前。

   HTTPS の場合:

   gcloud compute forwarding-rules create HTTPS_FORWARDING_RULE_NAME \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
     --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-frontend-and-backend-subnet \
     --address=IP_ADDRESS_CROSS_REF \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=HTTPS_TARGET_PROXY_NAME \
     --target-https-proxy-region=us-west1 \
     --project=SERVICE_PROJECT_A_ID
   

   以下を置き換えます。

   • HTTPS_FORWARDING_RULE_NAME: HTTPS トラフィックの処理に使用される転送ルールの名前。

5. ロードバランサをテストするには、ロードバランサのテストで説明されている操作を行います。

Terraform

1. URL マップを作成します。

   # URL map
   resource "google_compute_region_url_map" "default" {
     name            = "l7-ilb-map"
     provider        = google-beta
     project         = "my-service-project-a-id"
     region          = "us-west1"
     default_service = google_compute_region_backend_service.default.id
   }

2. ターゲット プロキシを作成します。

   HTTP の場合

   # HTTP target proxy
   resource "google_compute_region_target_http_proxy" "default" {
     name     = "l7-ilb-proxy"
     provider = google-beta
     project  = "my-service-project-a-id"
     region   = "us-west1"
     url_map  = google_compute_region_url_map.default.id
   }

   HTTPS の場合

   リージョン SSL 証明書を作成します。

   # Use self-signed SSL certificate
   resource "google_compute_region_ssl_certificate" "default" {
     name        = "l7-ilb-cert"
     provider    = google-beta
     project     = "my-service-project-a-id"
     region      = "us-west1"
     private_key = file("sample-private.key") # path to PEM-formatted file
     certificate = file("sample-server.cert") # path to PEM-formatted file
   }

   リージョン SSL 証明書を使用してターゲット プロキシを作成します。

   # HTTPS target proxy
   resource "google_compute_region_target_https_proxy" "default" {
     name             = "l7-ilb-proxy"
     provider         = google-beta
     project          = "my-service-project-a-id"
     region           = "us-west1"
     url_map          = google_compute_region_url_map.default.id
     ssl_certificates = [google_compute_region_ssl_certificate.default.id]
   }

3. 転送ルールを作成します。

   HTTP の場合

   # Forwarding rule
   resource "google_compute_forwarding_rule" "default" {
     name                  = "l7-ilb-forwarding-rule"
     provider              = google-beta
     project               = "my-service-project-a-id"
     region                = "us-west1"
     ip_protocol           = "TCP"
     port_range            = "80"
     load_balancing_scheme = "INTERNAL_MANAGED"
     target                = google_compute_region_target_http_proxy.default.id
     network               = google_compute_network.lb_network.id
     subnetwork            = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
     network_tier          = "PREMIUM"
     depends_on            = [google_compute_subnetwork.lb_frontend_and_backend_subnet]
   }

   HTTPS の場合

   # Forwarding rule
   resource "google_compute_forwarding_rule" "default" {
     name                  = "l7-ilb-forwarding-rule"
     provider              = google-beta
     project               = "my-service-project-a-id"
     region                = "us-west1"
     ip_protocol           = "TCP"
     port_range            = "443"
     load_balancing_scheme = "INTERNAL_MANAGED"
     target                = google_compute_region_target_https_proxy.default.id
     network               = google_compute_network.lb_network.id
     subnetwork            = google_compute_subnetwork.lb_frontend_and_backend_subnet.id
     network_tier          = "PREMIUM"
     depends_on            = [google_compute_subnetwork.lb_frontend_and_backend_subnet]
   }

4. ロードバランサをテストするには、ロードバランサのテストで説明されている操作を行います。

コンソール

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の手順を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

1. Google Cloud コンソールの [IAM] ページに移動します。

   IAM に移動

2. プロジェクトを選択します。

3. [person_addアクセスを許可] をクリックします。

4. [新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。

5. [ロールを選択] リストで、[Compute ロードバランサ サービス ユーザー] を選択します。

6. （省略可）ロールに条件を追加します。

7. [保存] をクリックします。

個々のバックエンド サービスのリソースレベルの権限

プロジェクト内の個々のバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限が必要です。

1. Google Cloud コンソールの [バックエンド] ページに移動します。

   [バックエンド] に移動

2. バックエンドのリストから、アクセス権を付与するバックエンド サービスを選択し、[person_add権限] をクリックします。

3. [person_addプリンシパルを追加] をクリックします。

4. [新しいプリンシパル] フィールドに、プリンシパルのメールアドレスまたはその他の ID を入力します。

5. [ロールを選択] リストで、[Compute ロードバランサ サービス ユーザー] を選択します。

6. [保存] をクリックします。

gcloud

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の手順を行います。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser"

個々のバックエンド サービスのリソースレベルの権限

バックエンド サービス レベルでは、サービス プロジェクト管理者が次のいずれかのコマンドを使用して Compute ロードバランサ サービス ユーザー ロール（roles/compute.loadBalancerServiceUser）を付与します。

この手順を完了するには、compute.regionBackendServices.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'

または

gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --project=SERVICE_PROJECT_B_ID \
    --region=us-west1

これらのコマンドを使用するには、LOAD_BALANCER_ADMIN をユーザーのプリンシパルに置き換えます（例: test-user@gmail.com）。

条件を使用して条件属性を指定することで、リージョン バックエンド サービスのサブセットにのみ適用されるように IAM 権限を構成することもできます。

gcloud

リージョン共有 VPC バックエンド サービスを参照するリソースを表示するには、次のコマンドを実行します。

gcloud compute backend-services describe BACKEND_SERVICE_NAME \
    --region REGION

次のように置き換えます。

• BACKEND_SERVICE_NAME: ロードバランサのバックエンド サービスの名前
• REGION: ロードバランサのリージョン

コマンド出力で、usedBy フィールドを確認します。ここに、バックエンド サービスを参照するリソースが表示されます。次に例を示します。

id: '123456789'
kind: compute#backendService
loadBalancingScheme: INTERNAL_MANAGED
...
usedBy:
-   reference: https://www.googleapis.com/compute/v1/projects/my-project/region/us-central1/urlMaps/my-url-map