Über Back-Ends auf globale Google APIs zugreifen

Console

1. Rufen Sie in der Google Cloud Console die Seite Netzwerk-Endpunktgruppe erstellen auf.

   Netzwerk-Endpunktgruppe erstellen

2. Geben Sie auf der Seite Netzwerk-Endpunktgruppe erstellen einen Namen für die Netzwerk-Endpunktgruppe ein.

3. Wählen Sie für den Typ der Netzwerk-Endpunktgruppe die Option Private Service Connect NEG (regional) aus.

4. Wählen Sie für Ziel die Option Globale Google APIs aus.

5. Wählen Sie die Region für die Netzwerk-Endpunktgruppe aus.

6. Wählen Sie den Zieldienst für die Netzwerk-Endpunktgruppe aus.

7. Klicken Sie auf Erstellen.

gcloud

Führen Sie den Befehl network-endpoint-groups create aus.

gcloud compute network-endpoint-groups create NEG_NAME \
    --network-endpoint-type=private-service-connect \
    --psc-target-service=TARGET_SERVICE \
    --region=REGION

Ersetzen Sie dabei Folgendes:

• NEG_NAME ist ein Name für die Netzwerk-Endpunktgruppe.

• TARGET_SERVICE: das globale Google API-Ziel, mit dem Sie eine Verbindung herstellen möchten, z. B. pubsub.googleapis.com. Liste der unterstützten globalen Google API-Ziele

• REGION ist die Region, in der die Netzwerk-Endpunktgruppe erstellt werden soll.

API

Stellen Sie eine POST-Anfrage an die Methode regionNetworkEndpointGroups.insert.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkEndpointGroups
{
  "name": "NEG_NAME",
  "networkEndpointType": "PRIVATE_SERVICE_CONNECT",
  "pscTargetService": "TARGET_SERVICE"
}

Ersetzen Sie dabei Folgendes:

• PROJECT_ID: die Projekt-ID der Netzwerk-Endpunktgruppe.
• REGION ist die Region, in der die Netzwerk-Endpunktgruppe erstellt werden soll.
• NEG_NAME ist ein Name für die Netzwerk-Endpunktgruppe.
• TARGET_SERVICE: das globale Google API-Ziel, mit dem Sie eine Verbindung herstellen möchten, z. B. pubsub.googleapis.com. Liste der unterstützten globalen Google API-Ziele

Console

Konfiguration starten

1. Rufen Sie in der Google Cloud Console die Seite Load-Balancing auf.

   Load-Balancing aufrufen

2. Klicken Sie auf Load-Balancer erstellen.
3. Wählen Sie unter Typ des Load Balancers die Option Application Load Balancer (HTTP/HTTPS) aus und klicken Sie auf Weiter.
4. Wählen Sie für Öffentlich oder intern die Option Intern aus und klicken Sie auf Weiter.
5. Wählen Sie für Regionenübergreifende oder Einzelregions-Bereitstellung die Option Best für regionenübergreifende Arbeitslasten aus und klicken Sie auf Weiter.
6. Klicken Sie auf Konfigurieren.

Grundlegende Konfiguration

1. Geben Sie im Feld Name eine Bezeichnung für den Load-Balancer ein.

2. Wählen Sie ein Netzwerk für den Load-Balancer aus.

   Das Netzwerk muss ein Nur-Proxy-Subnetz in der Region enthalten, in der Sie den Load Balancer erstellen.

Frontend-Konfiguration

1. Klicken Sie auf Frontend-Konfiguration.
2. Geben Sie einen Namen für die Weiterleitungsregel des Load Balancers ein.
3. Wählen Sie im Feld Protokoll die Option HTTPS (einschließlich HTTP/2 und HTTP/3) aus.
4. Wählen Sie eine Subnetzwerkregion für das Subnetzwerk des Load Balancers aus.
5. Wählen Sie ein Subnetzwerk für den Load-Balancer aus.
6. Klicken Sie auf IP-Adresse und führen Sie einen der folgenden Schritte aus:
   • Wenn Sie eine Sitzungsspezifische IP-Adresse automatisch zuweisen möchten, wählen Sie Sitzungsspezifisch (automatisch) aus.
   • Wenn Sie eine sitzungsspezifische IP-Adresse auswählen möchten, wählen Sie Sitzungsspezifisch (benutzerdefiniert) aus und geben Sie dann eine benutzerdefinierte sitzungsspezifische IP-Adresse aus dem IP-Adressbereich des Subnetzes des Load Balancers ein.
   • Wenn Sie eine statische interne IP-Adresse reservieren und verwenden möchten, klicken Sie auf IP-Adresse erstellen und führen Sie dann die folgenden Schritte aus:
     1. Geben Sie einen Namen für die IP-Adresse ein.
     2. Klicken Sie auf Statische IP-Adresse und führen Sie einen der folgenden Schritte aus:
        • Wenn Sie eine statische IP-Adresse automatisch zuweisen möchten, wählen Sie Automatisch zuweisen aus.
        • Wenn Sie eine bestimmte IP-Adresse konfigurieren möchten, wählen Sie Selbst auswählen aus und geben Sie dann eine benutzerdefinierte IP-Adresse aus dem IP-Adressbereich des Subnetzes des Load Balancers ein.
     3. Klicken Sie auf Reservieren.
7. Achten Sie darauf, dass der Port auf 443 festgelegt ist, um HTTPS-Traffic zuzulassen.
8. Klicken Sie auf die Liste Zertifikat und wählen Sie Ihr selbst verwaltetes Zertifikat aus.
9. Klicken Sie auf Fertig.

Backend-Konfiguration

1. Klicken Sie auf Backend-Konfiguration.

2. Erstellen Sie für jede globale Google API, auf die Sie zugreifen möchten, einen globalen Backend-Dienst. So erstellen Sie einen globalen Backend-Dienst:

   1. Wählen Sie im Menü Backend-Dienst erstellen oder auswählen die Option Backend-Dienst erstellen aus.
   2. Geben Sie im Feld Name eine Bezeichnung für den Backend-Dienst ein.
   3. Setzen Sie den Backend-Typ auf Private Service Connect-Netzwerk-Endpunktgruppe.
   4. Legen Sie den Private Service Connect-Zieltyp auf Globale Google API fest.
   5. Wählen Sie HTTPS als Protokoll aus.

   6. Klicken Sie unter Backends auf das Menü Neues Backend und wählen Sie die Netzwerk-Endpunktgruppe von Private Service Connect aus.

      Wenn Sie eine neue Private Service Connect-Netzwerk-Endpunktgruppe erstellen müssen, klicken Sie auf PSC-NEG erstellen.

   7. Klicken Sie auf Fertig.

   8. Klicken Sie auf Erstellen.

3. Achten Sie darauf, dass alle Backend-Dienste, die Sie hinzufügen möchten, im Menü Backend-Dienste erstellen oder auswählen ausgewählt sind. Klicken Sie dann auf OK.

Routingregeln

Die Gruppe von Regeln zum Weiterleiten eingehender HTTPS-Anfragen an bestimmte Backend-Dienste wird als URL-Zuordnung bezeichnet. Weitere Informationen zu URL-Zuordnungen finden Sie unter Übersicht über URL-Zuordnungen.

Wenn Sie nur einen Backend-Dienst für den Load Balancer konfigurieren, reicht die Standard-Routingregel aus und Sie können mit Überprüfen und abschließen fortfahren.

Wenn Sie mehrere Backend-Dienste konfigurieren, müssen Sie für jeden Backend-Dienst einen Pfad-Matcher erstellen. Jede Hostregel kann nur auf einen Pfad-Matcher verweisen, aber zwei oder mehr Hostregeln können auf denselben Pfad-Matcher verweisen.

1. Wenn Sie mehr als einen Backend-Dienst haben, klicken Sie auf Routingregeln.
2. Wählen Sie Einfache Host- und Pfadregel aus.
3. For each backend, do the following:
   1. Klicken Sie auf Host- und Pfadregel hinzufügen.
   2. Geben Sie unter Host den Hostnamen ein, der zum Senden von Anfragen an diesen Dienst verwendet wird, z. B. pubsub.example.com.
   3. Geben Sie unter Pfade den Pfad ein, z. B. /*.
   4. Wählen Sie bei Backends den Backend-Dienst aus.

Prüfen und abschließen

1. Klicken Sie auf Prüfen und abschließen, um die Konfiguration zu prüfen.
2. Klicken Sie auf Erstellen.

gcloud

1. Führen Sie für jede globale Google API, auf die Sie zugreifen möchten, die folgenden Schritte aus:

   1. Verwenden Sie den Befehl gcloud compute backend-services create, um einen globalen Backend-Dienst zu erstellen.

      gcloud compute backend-services create BACKEND_SERVICE_NAME \
          --load-balancing-scheme=INTERNAL_MANAGED \
          --protocol=HTTPS \
          --global
      

      Ersetzen Sie BACKEND_SERVICE_NAME durch den Namen des Backend-Dienstes.

   2. Verwenden Sie den Befehl gcloud compute backend-services add-backend, um dem entsprechenden Backend-Dienst eine NEG hinzuzufügen.

      gcloud compute backend-services add-backend BACKEND_SERVICE_NAME \
          --network-endpoint-group=NEG_NAME \
          --network-endpoint-group-region=REGION \
          --global
      

      Ersetzen Sie dabei Folgendes:

      • NEG_NAME: der Name der Private Service Connect-NEG.
      • REGION: die Region des Private Service Connect-NEG.

2. Verwenden Sie den Befehl gcloud compute url-maps create, um eine globale URL-Zuordnung für den Load Balancer zu erstellen.

   Eine URL-Zuordnung muss auf einen Standard-Backend-Dienst verweisen. Wenn Sie Ihren Load-Balancer mit einem Backend-Dienst konfigurieren, legen Sie diesen Backend-Dienst als Standard fest. Wenn Sie Ihren Load-Balancer für die Verwendung mehrerer Backend-Dienste konfigurieren, wählen Sie einen der Backend-Dienste als URL-Zuordnungsstandard aus.

   gcloud compute url-maps create URL_MAP_NAME \
       --default-service=DEFAULT_BACKEND_SERVICE_NAME
   

   Ersetzen Sie dabei Folgendes:

   • URL_MAP_NAME ist ein Name für die URL-Zuordnung.
   • DEFAULT_BACKEND_SERVICE_NAME ist der Name des Standard-Backend-Dienstes des Load-Balancers Die Standardeinstellung wird verwendet, wenn keine Hostregel mit dem angeforderten Hostnamen übereinstimmt.

3. Optional: Wenn Sie Ihren Load Balancer für die Verwendung mehrerer Backend-Dienste konfigurieren, führen Sie diesen Schritt aus. Wenn Ihre URL-Zuordnung nur auf einen Backend-Dienst verweist, überspringen Sie diesen Schritt.

   Verwenden Sie den Befehl gcloud compute url-maps add-path-matcher, um der URL-Zuordnung zusätzliche Backend-Dienste hinzuzufügen.

   Fügen Sie für jeden Backend-Dienst einen Pfad-Matcher und eine oder mehrere Hostregeln hinzu. Sie müssen für jeden Backend-Dienst einen Pfad-Matcher erstellen. Jede Hostregel kann nur auf einen Pfad-Matcher verweisen, aber zwei oder mehr Hostregeln können auf denselben Pfad-Matcher verweisen.

   gcloud compute url-maps add-path-matcher URL_MAP_NAME \
       --path-matcher-name=PATH_MATCHER \
       --default-service=BACKEND_SERVICE_NAME \
       --new-hosts=HOSTNAMES
   

   Ersetzen Sie dabei Folgendes:

   • PATH_MATCHER ist ein Name für den Pfad-Matcher.
   • BACKEND_SERVICE_NAME ist der Name des Backend-Dienstes.
   • HOSTNAMES: Ein oder mehrere Hostnamen, an die Anfragen für den Backend-Dienst gesendet werden sollen, z. B. pubsub.example.com. Sie können mehrere Host-Namen in einer durch Kommas getrennten Liste angeben.

4. Verwenden Sie den Befehl gcloud compute target-https-proxies create, um einen Ziel-HTTPS-Proxy zu erstellen.

   gcloud compute target-https-proxies create PROXY_NAME \
       --url-map=URL_MAP_NAME \
       --certificate-manager-certificates=CERTIFICATE_NAME
   

   Ersetzen Sie dabei Folgendes:

   • PROXY_NAME ist ein Name für den Ziel-HTTPS-Proxy.
   • URL_MAP_NAME ist der Name der URL-Zuordnung.
   • CERTIFICATE_NAME ist der Name der Zertifikatsressource.

5. Verwenden Sie den Befehl gcloud compute forwarding-rules create, um eine globale Weiterleitungsregel für Ihren Load Balancer zu erstellen.

   gcloud compute forwarding-rules create RULE_NAME \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=NETWORK \
       --address=IP_ADDRESS \
       --ports=443 \
       --target-https-proxy=PROXY_NAME \
       --subnet=SUBNET \
       --subnet-region=SUBNET_REGION \
       --global
   

   Ersetzen Sie dabei Folgendes:

   • RULE_NAME: der Name der Weiterleitungsregel.
   • NETWORK: das VPC-Netzwerk der Weiterleitungsregel. Dieses Netzwerk muss ein Nur-Proxy-Subnetz in der Region enthalten, in der Sie den Load Balancer erstellen.
   • IP_ADDRESS: Die interne IP-Adresse der Weiterleitungsregel, die sich innerhalb des IP-Adressbereichs des Subnetzes der Weiterleitungsregel befinden muss. Wenn Sie eine bestimmte sitzungsspezifische IP-Adresse verwenden möchten, geben Sie die IP-Adresse ein, z. B. 10.0.0.5. Wenn Sie eine statische interne IP-Adresse verwenden möchten, geben Sie den Namen der IP-Adresse ein. Wenn Google Cloud eine sitzungsspezifische IP-Adresse auswählen soll, lassen Sie dieses Flag aus.
   • SUBNET: das Subnetz der Weiterleitungsregel.
   • SUBNET_REGION: die Region des Subnetzes der Weiterleitungsregel.

API

1. Führen Sie für jede globale Google API, auf die Sie zugreifen möchten, die folgenden Schritte aus:

   1. Senden Sie zum Erstellen eines globalen Backend-Dienstes eine POST-Anfrage an die Methode backendServices.insert.

      POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices
      {
        "loadBalancingScheme": "INTERNAL_MANAGED",
        "name": "BACKEND_SERVICE_NAME",
        "protocol": "HTTPS"
      }
      

      Ersetzen Sie dabei Folgendes:

      • PROJECT_ID: Projekt-ID Ihres Projekts
      • BACKEND_SERVICE_NAME: Der Name des Backend-Dienstes.

   2. Wenn Sie dem entsprechenden Backend-Dienst eine NEG hinzufügen möchten, senden Sie eine PATCH-Anfrage an die Methode backendServices.patch.

      PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME
      {
        "backends": [
          {
            "group": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/networkEndpointGroups/NEG_NAME"
          }
        ]
      }
      

      Ersetzen Sie dabei Folgendes:

      • REGION: Die Region der NEG.
      • NEG_NAME ist der Name der hinzuzufügenden Netzwerk-Endpunktgruppe.

2. Wenn Sie eine globale URL-Zuordnung für den Load Balancer erstellen möchten, senden Sie eine POST-Anfrage an die urlMaps.insert-Methode.

   Eine URL-Zuordnung muss auf einen Standard-Backend-Dienst verweisen. Wenn Sie Ihren Load-Balancer mit einem Backend-Dienst konfigurieren, legen Sie diesen Backend-Dienst als Standard fest. Wenn Sie Ihren Load-Balancer für die Verwendung mehrerer Backend-Dienste konfigurieren, wählen Sie einen der Backend-Dienste als URL-Zuordnungsstandard aus.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/urlMaps
    {
      "defaultService": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/DEFAULT_BACKEND_SERVICE_NAME",
      "name": "URL_MAP_NAME"
    }
    

   Ersetzen Sie dabei Folgendes:

   • DEFAULT_BACKEND_SERVICE_NAME ist der Name des Load-Balancers. Die Standardeinstellung wird verwendet, wenn keine Hostregel mit dem angeforderten Hostnamen übereinstimmt.
   • URL_MAP_NAME ist ein Name für die URL-Zuordnung.

3. Wenn Sie Ihren Load Balancer für die Verwendung mehrerer Backend-Dienste konfigurieren, führen Sie diesen Schritt aus. Wenn Ihre URL-Zuordnung nur auf einen Backend-Dienst verweist, überspringen Sie diesen Schritt.

   Wenn Sie der URL-Zuordnung zusätzliche Backend-Dienste hinzufügen möchten, senden Sie eine PATCH-Anfrage an die Methode urlMaps.patch.

   Fügen Sie für jeden Backend-Dienst einen Pfad-Matcher und eine oder mehrere Hostregeln hinzu. Sie müssen für jeden Backend-Dienst einen Pfad-Matcher erstellen. Jede Hostregel kann nur auf einen Pfad-Matcher verweisen, aber zwei oder mehr Hostregeln können auf denselben Pfad-Matcher verweisen.

   Sie können mehrere Pfad-Matcher und Hostregeln hinzufügen, indem Sie eine einzelne API-Anfrage senden.

    PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/urlMaps/URL_MAP_NAME
    {
      "pathMatchers": [
        {
          "name": "PATH_MATCHER_NAME_1",
          "defaultService": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME_1"
        },
        {
          "name": "PATH_MATCHER_NAME_2",
          "defaultService": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME_2"
        }
      ],
      "hostRules": [
        {
          "hosts": ["HOSTNAME_1"],
          "pathMatcher": "PATH_MATCHER_NAME_1"
        },
        {
          "hosts": ["HOSTNAME_2"],
          "pathMatcher": "PATH_MATCHER_NAME_2"
        }
      ]
    }
    

   Ersetzen Sie dabei Folgendes:

   • PATH_MATCHER_NAME_1: ein Name für den ersten Pfad-Matcher.
   • BACKEND_SERVICE_NAME_1: der Name des ersten Backend-Dienstes.
   • PATH_MATCHER_NAME_2: ein Name für den zweiten Pfad-Matcher.
   • BACKEND_SERVICE_NAME_2: der Name des zweiten Backend-Dienstes.
   • HOSTNAME_1: der Hostname, an den Anfragen für den ersten Dienst gesendet werden, z. B. pubsub.example.com.
   • HOSTNAME_2 ist der Hostname, an den Anfragen für den zweiten Dienst gesendet werden.

4. Um einen Ziel-HTTPS-Proxy zu erstellen, senden Sie eine POST-Anfrage an die targetHttpsProxies.insert-Methode.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxies
    {
      "name": "PROXY_NAME",
      "sslCertificates": [
        "https://certificatemanager.googleapis.com/v1/projects/PROJECT_ID/locations/global/certificates/CERTIFICATE_NAME"
      ],
      "urlMap": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/urlMaps/URL_MAP_NAME"
    }
    

   Ersetzen Sie dabei Folgendes:

   • PROJECT_ID: die ID des Projekts.
   • PROXY_NAME ist ein Name für den Ziel-HTTPS-Proxy.
   • CERTIFICATE_NAME ist der Name der Zertifikatsressource.
   • URL_MAP_NAME ist der Name der URL-Zuordnung.

5. Wenn Sie eine globale Weiterleitungsregel für Ihren Load Balancer erstellen möchten, senden Sie eine POST-Anfrage an die Methode globalForwardingRules.insert. Das Netzwerk der Weiterleitungsregel muss ein Nur-Proxy-Subnetz im Subnetz der Region der Weiterleitungsregel enthalten.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules
    {
      "IPAddress": "IP_ADDRESS",
      "loadBalancingScheme": "INTERNAL_MANAGED",
      "name": "FORWARDING_RULE_NAME",
      "network": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/NETWORK_NAME",
      "portRange": "443",
      "subnetwork": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/SUBNET_REGION/subnetworks/SUBNET_NAME",
      "target": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxies/PROXY_NAME"
    }
    

   Ersetzen Sie dabei Folgendes:

   • IP_ADDRESS: Die interne IP-Adresse der Weiterleitungsregel, die sich innerhalb des IP-Adressbereichs des Subnetzes der Weiterleitungsregel befinden muss. Wenn Sie eine bestimmte sitzungsspezifische IP-Adresse verwenden möchten, geben Sie die IP-Adresse an, z. B. 10.0.0.5. Wenn Sie eine statische interne IP-Adresse verwenden möchten, geben Sie den Namen der IP-Adresse an. Wenn Google Cloud eine sitzungsspezifische IP-Adresse auswählen soll, lassen Sie dieses Feld leer.
   • FORWARDING_RULE_NAME: der Name der Weiterleitungsregel
   • NETWORK_NAME: der Name des VPC-Netzwerks der Weiterleitungsregel. Dieses Netzwerk muss ein Nur-Proxy-Subnetz in der Region enthalten, in der Sie den Load Balancer erstellen.
   • SUBNET_REGION ist die Region des Subnetzes der Weiterleitungsregel.
   • SUBNET_NAME: der Name des Subnetzes der Weiterleitungsregel.