Aprovisiona la VPC compartida

Console

Para otorgar la función de administrador de VPC compartida a nivel de organización, haz lo siguiente:

1. Accede a la consola de Google Cloud como administrador de la organización y, luego, ve a la página de IAM.

   Ve a la página IAM

2. Desde el menú del proyecto, selecciona tu organización.

   Si seleccionas un proyecto, el menú Roles muestra entradas incorrectas.

3. Haz clic en Agregar.

4. Ingresa las direcciones de correo electrónico de los Principales nuevos.

5. En el menú Roles, selecciona Compute Engine > Administrador de VPC compartida de Compute.

6. Haz clic en Agregar otra función.

7. En el menú desplegable Funciones, selecciona Administrador de recursos > Administrador de IAM del proyecto.

8. Haz clic en Guardar.

Para otorgar la función de administrador de VPC compartida a nivel de carpeta, haz lo siguiente:

1. Accede a la consola de Google Cloud como administrador de la organización y, luego, ve a la página de IAM.

   Ve a la página IAM

2. Desde el menú del proyecto, selecciona tu carpeta.

   Si seleccionas un proyecto o una organización, las opciones que ves son incorrectas.

3. Haz clic en Agregar.

4. Ingresa las direcciones de correo electrónico de los Principales nuevos.

5. En Seleccionar un rol, selecciona Compute Engine > Administrador de VPC compartida de Compute.

6. Haz clic en Agregar otra función.

7. En el menú Roles, selecciona Administrador de recursos > Administrador de IAM del proyecto.

8. Haz clic en Agregar otra función.

9. En el menú Roles, selecciona Administrador de recursos > Visualizador de red de Compute.

10. Haz clic en Guardar.

gcloud

1. Autentícate en gcloud como administrador de la organización. Reemplaza ORG_ADMIN por el nombre de un administrador de la organización:

   gcloud auth login ORG_ADMIN
   

2. Para determinar el número de ID de la organización, consulta el resultado de este comando.

   gcloud organizations list
   

3. Para asignar el rol de administrador de VPC compartida a nivel de organización, haz lo siguiente:

   1. Aplica la función de administrador de VPC compartida a un principal de IAM existente. Reemplaza ORG_ID por el número de ID de la organización del paso anterior y EMAIL_ADDRESS por la dirección de correo electrónico del usuario al que le otorgas la función de administrador de la VPC compartida.

      gcloud organizations add-iam-policy-binding ORG_ID \
        --member='user:EMAIL_ADDRESS' \
        --role="roles/compute.xpnAdmin"
      

      gcloud organizations add-iam-policy-binding ORG_ID \
        --member='user:EMAIL_ADDRESS' \
        --role="roles/resourcemanager.projectIamAdmin"
      

4. Para asignar el rol de administrador de VPC compartida a nivel de carpeta, haz lo siguiente:

   1. Para determinar tu ID de carpeta, consulta el resultado de este comando.

      gcloud resource-manager folders list --organization=ORG_ID
      

   2. Aplica la función de administrador de VPC compartida a un principal de IAM existente. Reemplaza ORG_ID por el número de ID de la organización del paso anterior y EMAIL_ADDRESS por la dirección de correo electrónico del usuario al que le otorgas la función de administrador de la VPC compartida.

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/compute.xpnAdmin"
      

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/resourcemanager.projectIamAdmin"
      

      gcloud resource-manager folders add-iam-policy-binding FOLDER_ID \
         --member='user:EMAIL_ADDRESS' \
         --role="roles/compute.networkViewer"
      

5. Revoca el token de la cuenta del administrador de la organización en la herramienta de línea de comandos de gcloud cuando termines de realizar tareas para proteger tu cuenta.

   gcloud auth revoke ORG_ADMIN
   

API

• Para asignar la función de administrador de VPC compartida a nivel de organización, usa el siguiente procedimiento:

  1. Determina el número de ID de la organización.

     POST https://cloudresourcemanager.googleapis.com/v1/organizations
     

  2. Describe y, luego, registra los detalles de la política de la organización existente.

     POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORG_ID:getIamPolicy
     

     Reemplaza ORG_ID por el ID de tu organización.

  3. Asigna el rol de administrador de VPC compartida.

     POST https://cloudresourcemanager.googleapis.com/v1/organizations/ORG_ID:setIamPolicy
     {
       "bindings": [
         ...copy existing bindings
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.xpnAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/resourcemanager.projectIamAdmin"
         }
       ],
       "etag": "ETAG",
       "version": 1,
       ...other existing policy details
     }
     

     Reemplaza lo siguiente:

     • ORG_ID: El ID de la organización que contiene el usuario al que le otorgas el rol de administrador de VPC compartida.
     • EMAIL_ADDRESS: La dirección de correo electrónico del usuario.
     • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.

     Para obtener más información, consulta el método organizations.setIamPolicy.

• Para asignar el rol de administrador de VPC compartida a nivel de carpeta, usa la siguiente solicitud:

  1. Determina el número de ID de la organización.

     POST https://cloudresourcemanager.googleapis.com/v1/organizations
     

  2. Busca el ID de la carpeta.

     GET https://cloudresourcemanager.googleapis.com/v2/folders?parent=organizations/ORG_ID
     

     Reemplaza ORG_ID por el ID de tu organización.

  3. Describe y, luego, registra los detalles de la política de la carpeta existente.

     POST https://cloudresourcemanager.googleapis.com/v2/folders/FOLDER_ID:getIamPolicy
     

     Reemplaza FOLDER_ID por el ID de tu carpeta.

  4. Asigna el rol de administrador de VPC compartida.

     POST https://cloudresourcemanager.googleapis.com/v1/organizations/FOLDER_ID:setIamPolicy
     {
       "bindings": [
         ...copy existing bindings
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.xpnAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/resourcemanager.projectIamAdmin"
         },
         {
           "members": [
             "user:EMAIL_ADDRESS"
           ],
           "role": "roles/compute.networkViewer"
         }
       ],
       "etag": "ETAG",
       "version": 1,
       ...other existing policy details
     }
     

     Reemplaza lo siguiente:

     • FOLDER_ID: El ID de la organización que contiene el usuario al que le otorgas el rol de administrador de VPC compartida.
     • EMAIL_ADDRESS: La dirección de correo electrónico del usuario.
     • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.

     Para obtener más información, consulta el método folders.setIamPolicy.

Console

Si aún no tienes el rol de administrador de VPC compartida de Compute (roles/compute.xpnAdmin), no podrás ver esta página en la consola de Google Cloud.

1. En la consola de Google Cloud, ve a la página VPC compartida.

   Ir a VPC compartida

2. Accede como un administrador de VPC compartida.

3. Selecciona el proyecto que deseas habilitar como proyecto host de VPC compartida en el selector de proyectos.

4. Haz clic en Configurar VPC compartida.

5. En la página siguiente, haz clic en Guardar y continuar, en Habilitar proyecto host.

6. En Seleccionar subredes, realiza una de las siguientes acciones:

   1. Haz clic en Compartir todas las subredes (permisos a nivel de proyecto) si necesitas compartir todas las subredes actuales y futuras en las redes de VPC del proyecto host con proyectos de servicio y administradores del proyecto de servicio especificados en los próximos pasos.
   2. Haz clic en Subredes individuales (permisos a nivel de subred) si necesitas compartir subredes de forma selectiva de las redes de VPC del proyecto host con proyectos de servicio y administradores del proyecto de servicio. Luego, selecciona Subredes que se compartirán.

7. Haz clic en Continuar.
   Se muestra la siguiente pantalla.

8. En Nombres de proyectos, especifica los proyectos de servicio que deseas vincular con el proyecto host. Ten en cuenta que vincular proyectos de servicio no define ningún administrador de proyecto de servicio; eso se hace en el siguiente paso.

9. En la sección Seleccionar usuarios por función, agrega administradores de proyectos de servicio. Se otorgará a estos usuarios la función de IAM compute.networkUser para las subredes compartidas. Solo los administradores de proyectos de servicio pueden crear recursos en las subredes del proyecto host de VPC compartida.

10. Haz clic en Guardar.

gcloud

1. Autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Habilita la VPC compartida para el proyecto que necesitas que se convierta en un proyecto host. Reemplaza HOST_PROJECT_ID por el ID del proyecto.

   gcloud compute shared-vpc enable HOST_PROJECT_ID
   

3. Confirma que el proyecto aparezca como proyecto host para la organización. Reemplaza ORG_ID por el ID de tu organización (determinado por gcloud organizations list).

   gcloud compute shared-vpc organizations list-host-projects ORG_ID
   

4. Si solo necesitabas habilitar un proyecto host, puedes salir de gcloud para proteger las credenciales de tu cuenta de administrador de VPC compartida. De lo contrario, omite este paso y continúa con los pasos para vincular proyectos de servicio.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. Habilita la VPC compartida para el proyecto mediante el uso de credenciales con permisos de administrador de VPC compartida.

   POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/enableXpnHost
   

   Reemplaza HOST_PROJECT_ID por el ID del proyecto que será un proyecto host de VPC compartida.

   Para obtener más información, consulta el método projects.enableXpnHost.

2. Confirma que el proyecto aparezca como proyecto host.

   POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/listXpnHosts
   

   Reemplaza HOST_PROJECT_ID por el ID del proyecto host de VPC compartida.

   Para obtener más información, consulta el método projects.listXpnHosts.

Terraform

Puedes usar un recurso de Terraform para habilitar un proyecto host.

resource "google_compute_shared_vpc_host_project" "host" {
  project = var.project # Replace this with your host project ID in quotes
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Console

1. Accede a la consola de Google Cloud como un administrador de VPC compartida.
2. En la consola de Google Cloud, ve a la página VPC compartida.
   Ir a la página de VPC compartida
3. Haz clic en la pestaña Proyectos vinculados.
4. En la pestaña Proyectos vinculados, haz clic en el botón Vincular proyectos.
5. Marca las casillas de los proyectos de servicio que deseas vincular en la sección Nombres de proyectos. Ten en cuenta que vincular proyectos de servicio no define ningún administrador de proyecto de servicio; eso se hace en el siguiente paso.
6. En la sección Permisos de red de VPC, selecciona las funciones que corresponden a los principales que obtendrán la función de compute.networkUser. A los principales de IAM se les otorga la función de usuario de red para todo el proyecto host o ciertas subredes en el proyecto host, según el modo de uso compartido de redes de VPC. Estos principales se conocen como administradores de proyectos de servicio en sus respectivos proyectos de servicio.
7. En la sección Modo de uso compartido de redes de VPC, selecciona una de las siguientes opciones:
   1. Haz clic en Compartir todas las subredes (permisos a nivel de proyecto) para compartir todas las subredes actuales y futuras en las redes de VPC del proyecto host con todos los proyectos de servicio y administradores de proyectos de servicio.
   2. Haz clic en Subredes individuales (permisos a nivel de subred) si necesitas compartir subredes de forma selectiva de las redes de VPC del proyecto host con proyectos de servicio y administradores de proyectos de servicio. Luego, selecciona Subredes que se compartirán.
8. Haz clic en Guardar.

gcloud

1. Si aún no lo hiciste, autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Vincula un proyecto de servicio a un proyecto host ya habilitado. Reemplaza SERVICE_PROJECT_ID por el ID del proyecto de servicio y HOST_PROJECT_ID por el ID del proyecto host.

   gcloud compute shared-vpc associated-projects add SERVICE_PROJECT_ID \
       --host-project HOST_PROJECT_ID
   

3. Confirma que el proyecto de servicio se haya vinculado.

   gcloud compute shared-vpc get-host-project SERVICE_PROJECT_ID
   

4. De manera opcional, puedes enumerar los proyectos de servicio que están vinculados al proyecto host:

   gcloud compute shared-vpc list-associated-resources HOST_PROJECT_ID
   

5. Si solo necesitabas vincular un proyecto de servicio, puedes salir de gcloud para proteger las credenciales de la cuenta de administrador de VPC compartida. De lo contrario, omite este paso y define a los administradores del proyecto de servicio para todas las subredes o solo algunas subredes.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. Adjunta un proyecto de servicio al proyecto host de VPC compartida.

   POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/enableXpnResource
   {
     "xpnResource": {
       "id": "SERVICE_PROJECT"
     }
   }
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
   • SERVICE_PROJECT: el ID del proyecto de servicio que se vinculará.

   Para obtener más información, consulta el método projects.enableXpnResource.

2. Confirma que los proyectos de servicio estén vinculados al proyecto host.

   GET https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/getXpnResources
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.

   Para obtener más información, consulta el método projects.getXpnResources.

Terraform

Puedes usar un recurso de Terraform para vincular un proyecto de servicio.

resource "google_compute_shared_vpc_service_project" "service1" {
  host_project    = google_compute_shared_vpc_host_project.host.project
  service_project = var.service_project # Replace this with your service project ID in quotes
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Console

Para definir una principal de IAM de un proyecto de servicio como administrador del proyecto de servicio con acceso a todas las subredes en un proyecto host mediante la consola de Google Cloud, consulta la sección Vincula proyectos de servicio.

gcloud

En estos pasos, se incluye la definición de un principal de IAM de un proyecto de servicio como administrador del proyecto de servicio con acceso a todas las subredes en un proyecto host. Para poder seguir estos pasos, debes habilitar un proyecto host y vincular el proyecto de servicio al proyecto host.

1. Si aún no lo hiciste, autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Crea una vinculación de políticas para convertir a un principal de IAM del proyecto de servicio en un administrador del proyecto de servicio. Reemplaza HOST_PROJECT_ID por el ID del proyecto host y SERVICE_PROJECT_ADMIN por la dirección de correo electrónico del usuario administrador del proyecto de servicio.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
   --member "user:SERVICE_PROJECT_ADMIN" \
   --role "roles/compute.networkUser"
   

   Puedes especificar diferentes tipos de principales si cambias el formato del argumento --member:

   • Usa group: para especificar un grupo de Google (por dirección de correo electrónico) como principal.
   • Usa domain: para especificar un dominio de Google como principal.
   • Usa serviceAccount: para especificar una cuenta de servicio. Para obtener más información sobre este caso práctico, consulta Cuentas de servicio como administradores de proyectos de servicio.

3. Repite el paso anterior para cada administrador del proyecto de servicio adicional que necesites definir.

4. Si terminaste de definir a los administradores del proyecto de servicio, puedes salir de gcloud para proteger las credenciales de cuenta de administrador de VPC compartida.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. Describe y, luego, registra los detalles de la política del proyecto existente. Necesitarás la política existente y el valor de etag.

   POST https://cloudresourcemanager.googleapis.com/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   Reemplaza HOST_PROJECT_ID por el ID del proyecto host que contiene la red de VPC compartida.

2. Crea una vinculación de políticas para designar a los principales de IAM en el proyecto de servicio como administradores de proyectos de servicio.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           PRINCIPAL,
           ...additional principals
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: El ID del proyecto host que contiene la red de VPC compartida.
   • PRINCIPAL: una identidad con la que está asociada el rol, como un usuario, un grupo, un dominio o una cuenta de servicio. Para obtener más información, consulta el campo members en la documentación de Resource Manager.
   • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.

   Para obtener más información, consulta el método projects.setIamPolicy.

Console

Para definir una principal de IAM de un proyecto de servicio como administrador del proyecto de servicio con acceso a solo algunas subredes en un proyecto host mediante la consola de Google Cloud, consulta la sección Vincula proyectos de servicio.

gcloud

En estos pasos, se explica cómo definir principales de IAM de un proyecto de servicio como administradores de proyectos de servicio con acceso solo a algunas subredes en un proyecto host. Para poder definirlos, debes habilitar un proyecto host y vincular el proyecto de servicio al proyecto host.

1. Si aún no lo hiciste, autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Selecciona la subred del proyecto host al que deben acceder los administradores de proyectos de servicio. Obtén la política de IAM actual en formato JSON. Reemplaza SUBNET_NAME por el nombre de la subred en el proyecto host y HOST_PROJECT_ID por el ID del proyecto host.

   gcloud compute networks subnets get-iam-policy SUBNET_NAME \
       --region SUBNET_REGION \
       --project HOST_PROJECT_ID \
       --format json
   

3. Copia el resultado JSON del paso anterior y guárdalo en un archivo. Para mayor claridad, en estos pasos, se guarda en un archivo llamado subnet-policy.json.

4. Modifica el archivo subnet-policy.json y agrega los principales de IAM que se convertirán en administradores del proyecto de servicio con acceso a la subred. Reemplaza cada SERVICE_PROJECT_ADMIN por la dirección de correo electrónico de un usuario de IAM del proyecto de servicio.

   {
     "bindings": [
     {
        "members": [
              "user:[SERVICE_PROJECT_ADMIN]",
              "user:[SERVICE_PROJECT_ADMIN]"
           ],
           "role": "roles/compute.networkUser"
     }
     ],
     "etag": "[ETAG_STRING]"
   }
   

   Ten en cuenta que puedes especificar diferentes tipos de principales de IAM (además de los usuarios) en las políticas:

   • Cambia user: por group: para especificar un grupo de Google (por dirección de correo electrónico) como principal.
   • Cambia user: por domain: para especificar un dominio de Google como principal.
   • Usa serviceAccount: para especificar una cuenta de servicio. Para obtener más información sobre este caso práctico, consulta Cuentas de servicio como administradores de proyectos de servicio.

5. Actualiza la vinculación de política para la subred mediante el contenido del archivo subnet-policy.json.

   gcloud compute networks subnets set-iam-policy SUBNET_NAME subnet-policy.json \
       --region SUBNET_REGION \
       --project HOST_PROJECT_ID
   

6. Si terminaste de definir a los administradores del proyecto de servicio, puedes salir de gcloud para proteger las credenciales de cuenta de administrador de VPC compartida.

   gcloud auth revoke SHARED_VPC_ADMIN
   

API

1. Describe y, luego, registra los detalles de la política de la subred existente. Necesitarás la política existente y el valor de etag.

   GET https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/regions/SUBNET_REGION/subnetworks/SUBNET_NAME/getIamPolicy
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: El ID del proyecto host que contiene la red de VPC compartida.
   • SUBNET_NAME: Es el nombre de la subred que se compartirá.
   • SUBNET_REGION: la región en la que se encuentra la subred.

2. Para otorgar a los administradores del proyecto de servicio acceso a las subredes del proyecto host, actualiza la política de subred.

   POST https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/regions/SUBNET_REGION/subnetworks/SUBNET_NAME/setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           PRINCIPAL,
           ...additional principals
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   Reemplaza lo siguiente:

   • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.
   • HOST_PROJECT_ID: El ID del proyecto host que contiene la red de VPC compartida.
   • PRINCIPAL: una identidad con la que está asociada el rol, como un usuario, un grupo, un dominio o una cuenta de servicio. Para obtener más información, consulta el campo members en la documentación de Resource Manager.
   • SUBNET_NAME: Es el nombre de la subred que se compartirá.
   • SUBNET_REGION: la región en la que se encuentra la subred.

   Para obtener más información, consulta el método subnetworks.setIamPolicy.

Console

1. Accede a la consola de Google Cloud como un administrador de VPC compartida.
2. En la consola de Google Cloud, ve a la página Configuración.
   Ir a la página Configuración
3. Cambia el proyecto por el proyecto de servicio que contiene la cuenta de servicio que se debe definir como administrador del proyecto de servicio.
4. Copia el ID del proyecto de servicio. Para mayor claridad, en este procedimiento se hace referencia al ID del proyecto de servicio como SERVICE_PROJECT_ID.
5. Cambia el proyecto por el proyecto host de VPC compartida.
6. Ve a la página de IAM en la consola de Google Cloud.
   Ir a la página de IAM
7. Haz clic en Agregar.
8. Agrega SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.iam.gserviceaccount.comal campo Principales y reemplaza SERVICE_ACCOUNT_NAME por el nombre de la cuenta de servicio.
9. Selecciona Compute Engine > Usuario de la red de Compute en el menú Funciones.
10. Haga clic en Agregar.

gcloud

1. Si aún no lo hiciste, autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Si no conoces el ID del proyecto de servicio, puedes enumerar todos los proyectos de la organización. En esta lista, se muestra el ID de cada proyecto.

   gcloud projects list
   

3. Crea una vinculación de políticas para que la cuenta de servicio sea un administrador de proyectos de servicio. Reemplaza HOST_PROJECT_ID por el ID del proyecto host, SERVICE_ACCOUNT_NAME por el nombre de la cuenta de servicio, y SERVICE_PROJECT_ID por el ID del proyecto de servicio.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member "serviceAccount:SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.iam.gserviceaccount.com" \
       --role "roles/compute.networkUser"
   

API

1. Describe y, luego, registra los detalles de la política del proyecto existente. Necesitarás la política existente y el valor de etag.

   POST https://cloudresourcemanager.googleapis.com/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   Reemplaza HOST_PROJECT_ID por el ID del proyecto host que contiene la red de VPC compartida.

2. Crea una vinculación de políticas para designar cuentas de servicio como administradores de proyectos de servicio.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           "serviceAccount:SERVICE_ACCOUNT_NAME@SERVICE_PROJECT_ID.iam.gserviceaccount.com",
           ...include additional service accounts
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: El ID del proyecto host que contiene la red de VPC compartida.
   • SERVICE_ACCOUNT_NAME: el nombre de la cuenta de servicio
   • SERVICE_PROJECT_ID: el ID del proyecto de servicio que contiene la cuenta de servicio.
   • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.

   Para obtener más información, consulta el método projects.setIamPolicy.

Console

1. Accede a la consola de Google Cloud como un administrador de VPC compartida.
2. En la consola de Google Cloud, ve a la página Configuración.
   Ir a la página Configuración
3. Cambia el proyecto por el proyecto de servicio que contiene la cuenta de servicio que se debe definir como administrador del proyecto de servicio.
4. Copia el Número de proyecto del proyecto de servicio. Para mayor claridad, en este procedimiento se hace referencia al número de proyecto de servicio como SERVICE_PROJECT_NUMBER.
5. Cambia el proyecto por el proyecto host de VPC compartida.
6. Ve a la página de IAM en la consola de Google Cloud.
   Ir a la página de IAM
7. Haz clic en Agregar.
8. Agrega SERVICE_PROJECT_NUMBER@cloudservices.gserviceaccount.comal campo Miembros.
9. Selecciona Compute Engine > Usuario de la red de Compute en el menú Funciones.
10. Haga clic en Agregar.

gcloud

1. Si aún no lo hiciste, autentícate en gcloud como administrador de VPC compartida. Reemplaza SHARED_VPC_ADMIN por el nombre del administrador de VPC compartida:

   gcloud auth login SHARED_VPC_ADMIN
   

2. Determina el número del proyecto para el proyecto de servicio. Para mayor claridad, en este procedimiento se hace referencia al número de proyecto de servicio como SERVICE_PROJECT_NUMBER. Reemplaza SERVICE_PROJECT_ID por el ID del proyecto de servicio.

   gcloud projects describe SERVICE_PROJECT_ID --format='get(projectNumber)'
   

   • Si no conoces el ID del proyecto de servicio, puedes enumerar todos los proyectos de la organización. En esta lista, se muestra el número del proyecto de cada uno.

     gcloud projects list
     

3. Crea una vinculación de políticas para que la cuenta de servicio sea un administrador de proyectos de servicio. Reemplaza HOST_PROJECT_ID por el ID del proyecto host y SERVICE_PROJECT_NUMBER por el número del proyecto de servicio.

   gcloud projects add-iam-policy-binding HOST_PROJECT_ID \
       --member "serviceAccount:SERVICE_PROJECT_NUMBER@cloudservices.gserviceaccount.com" \
       --role "roles/compute.networkUser"
   

API

1. Describe y, luego, registra los detalles de la política del proyecto existente. Necesitarás la política existente y el valor de etag.

   POST https://cloudresourcemanager.googleapis.com/v2/projects/HOST_PROJECT_ID:getIamPolicy
   

   Reemplaza HOST_PROJECT_ID por el ID del proyecto host que contiene la red de VPC compartida.

2. Enumera el proyecto para encontrar su número.

   GET https://cloudresourcemanager.googleapis.com/v1/projects?filter=projectId="SERVICE_PROJECT_ID"
   

   Reemplaza SERVICE_PROJECT_ID por el ID del proyecto de servicio en el que se encuentra la cuenta de servicio.

3. Crea una vinculación de políticas para designar cuentas de servicio como administradores de proyectos de servicio.

   POST https://cloudresourcemanager.googleapis.com/v1/projects/HOST_PROJECT_ID:setIamPolicy
   {
     "bindings": [
       ...copy existing bindings
       {
         "members": [
           "serviceAccount:SERVICE_PROJECT_NUMBER@cloudservices.gserviceaccount.com"
         ],
         "role": "roles/compute.networkUser"
       },
     ],
     "etag": "ETAG",
     "version": 1,
     ...other existing policy details
   }
   

   Reemplaza lo siguiente:

   • HOST_PROJECT_ID: El ID del proyecto host que contiene la red de VPC compartida.
   • SERVICE_PROJECT_NUMBER: el número del proyecto de servicio que contiene la cuenta de servicio.
   • ETAG: un identificador único que obtuviste cuando describiste la política existente. Evita las colisiones si se envían varias solicitudes de actualizaciones al mismo tiempo.

   Para obtener más información, consulta el método projects.setIamPolicy.

Console

En la consola de Google Cloud, ve a la página VPC compartida.

Ir a VPC compartida

gcloud

1. Si aún no lo hiciste, autentícate en gcloud como administrador de proyectos de servicio. Reemplaza SERVICE_PROJECT_ADMIN por el nombre del administrador del proyecto de servicio:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. Ejecuta el siguiente comando y reemplaza HOST_PROJECT_ID por el ID del proyecto host de la VPC compartida:

   gcloud compute networks subnets list-usable --project HOST_PROJECT_ID
   

   En el siguiente ejemplo, se enumeran las subredes disponibles en el proyecto host project-1:

   $ gcloud compute networks subnets list-usable --project project-1
   
   PROJECT    REGION       NETWORK  SUBNET    RANGE          SECONDARY_RANGES
   project-1  us-west1     net-1    subnet-1  10.138.0.0/20
   project-1  us-central1  net-1    subnet-2  10.128.0.0/20  r-1 192.168.2.0/24
                                                             r-2 192.168.3.0/24
   project-1  us-east1     net-1    subnet-3  10.142.0.0/20
   

Para obtener más información, consulta el comando list-usable en la documentación del SDK.

API

Enumera las subredes disponibles en el proyecto host. Realiza la solicitud como administrador del proyecto de servicio.

GET https://compute.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/aggregated/subnetworks/listUsable

Reemplaza HOST_PROJECT_ID por el ID del proyecto host que contiene la red de VPC compartida.

Para obtener más información, consulta el método subnetworks.listUsable.

Console

1. Configura la VPC compartida.

2. En la consola de Google Cloud, ve a la página VPC compartida.

   Ir a VPC compartida

3. Accede como un administrador de VPC compartida.

4. Selecciona el proyecto de servicio del selector de proyectos.

5. Para ir a la página Direcciones IP, selecciona Red de VPC > direcciones IP.

6. Haz clic en Reservar dirección IP estática interna.

7. En el campo Nombre, ingresa un nombre de dirección IP.

8. En la lista Versión de IP, selecciona la versión de IP requerida:

   • Para reservar una dirección IPv4 interna estática, elige IPv4.
   • Para reservar una dirección IPv6 interna estática, elige IPv6.

9. Haz clic en el botón de selección Redes compartidas conmigo.

10. En las listas Red y Subred, elige una red de VPC y una subred respectivamente.

11. Especifica cómo deseas reservar la dirección IP:

    • En Direcciones IPv4, para especificar una dirección IPv4 interna estática que se reservará, en Dirección IP estática, selecciona Permitirme elegir y, luego, ingresa una dirección IP personalizada. De lo contrario, el sistema asignará de forma automática una dirección IPv4 interna estática en la subred.
    • Para las direcciones IPv6, el sistema asigna de forma automática una dirección IPv6 interna estática del rango de direcciones IPv6 interno de la subred.

12. Opcional: Si deseas compartir la dirección IPv4 interna estática en diferentes frontends, para Motivo, elige Compartida. La selección predeterminada es No compartida.

13. Haz clic en Reservar.

gcloud

1. Si aún no lo hiciste, autentícate en la CLI de Google Cloud como administrador del proyecto de servicio. Reemplaza SERVICE_PROJECT_ADMIN por el nombre del administrador del proyecto de servicio:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. Usa el comando compute addresses create.

   • Reserva direcciones IPv4:

     gcloud compute addresses create IP_ADDR_NAME \
         --project SERVICE_PROJECT_ID \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
         --region=REGION
         --ip-version=IPV4
     

   • Reserva direcciones IPv6:

     gcloud compute addresses create IP_ADDR_NAME \
         --project SERVICE_PROJECT_ID \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
         --region=REGION
         --ip-version=IPV6
     

   Reemplaza lo siguiente:

   • IP_ADDR_NAME un nombre para el objeto de dirección IPv4
   • SERVICE_PROJECT_ID: el ID del proyecto de servicio
   • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
   • REGION es la región que contiene la subred compartida.
   • SUBNET: el nombre de la subred compartida

Los detalles adicionales para crear direcciones IP se encuentran en la documentación del SDK.

API

Usa el método addresses.insert.

• Reserva una dirección IPv4 interna estática como administrador del proyecto de servicio:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/addresses
  {
  "name": "ADDRESS_NAME",
  "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
  "addressType": "INTERNAL"
  }
  

Reemplaza lo siguiente:

• ADDRESS_NAME: un nombre para la dirección IP interna reservada.
• HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
• REGION: la región en la que se ubicará la dirección IPv4 reservada y donde se encuentra la subred compartida.
• SERVICE_PROJECT_ID: el ID del proyecto de servicio en el que se reserva la dirección IPv4.
• SUBNET_NAME: el nombre de la subred compartida

Para obtener más información, consulta el método addresses.insert.

Terraform

Puedes usar un bloque de datos de Terraform para especificar la información de la subred del host. Luego, usa un recurso de Terraform para reservar una dirección IPv4 interna estática. Si omites el argumento address opcional, se seleccionará y reservará una dirección IPv4 disponible.

Especifica la subred del host:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

Reserva una dirección IPv4 desde la subred del proyecto host para usarla en el proyecto de servicio:

resource "google_compute_address" "internal" {
  project      = var.service_project
  region       = "us-central1"
  name         = "int-ip"
  address_type = "INTERNAL"
  address      = "10.0.0.8"
  subnetwork   = data.google_compute_subnetwork.subnet.self_link
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Console

Puedes reservar una dirección IPv6 externa independiente en el proyecto de servicio con la consola de Google Cloud:

1. Configura la VPC compartida.
2. En la consola de Google Cloud, ve a la página VPC compartida.
   Ir a la página VPC compartida
3. Accede como un administrador de VPC compartida.
4. Selecciona el proyecto de servicio del selector de proyectos.
5. Para ir a la página Direcciones IP, selecciona Red de VPC > direcciones IP.
6. Haz clic en Reservar dirección IP externa estática.
7. Elige un nombre para la dirección nueva.
8. Especifica si el nivel de servicio de red será Premium o Estándar. La reserva de direcciones estáticas IPv6 solo es compatible con el nivel Premium.
9. En Versión de la IP, selecciona IPv6.
10. Elige si esta dirección IP será regional o global.
    • Si reservas una dirección IP estática para un balanceador de cargas global, elige Global.
    • Si reservas una dirección IP estática para una instancia o un balanceador de cargas de red, elige Regional y, luego, elige la región en la que deseas crear la dirección.
11. Elija las siguientes opciones:
    • Redes en este proyecto: elige esta opción si deseas reservar una dirección IPv6 externa en una subred de la misma red de nube privada virtual (VPC) en la que se reserva la dirección IPv6.
    • Redes compartidas conmigo: Elige esta opción si deseas reservar una dirección IPv6 externa en una subred de una red de VPC compartida.

12. Según tu elección, elige una de las siguientes opciones:

    • Red: la red de VPC
    • Subred: la subred desde la que se asigna la dirección IPv6 regional estática
    • Tipo de extremo: elige Instancia de VM o Balanceador de cargas de red

13. Opcional: Si elegiste Instancia de VM como el tipo de extremo, selecciona una instancia de VM a la que deseas conectar la dirección IPv6.

14. Haz clic en Reservar.

gcloud

1. Si aún no lo hiciste, autentícate en gcloud como administrador de proyectos de servicio. Reemplaza SERVICE_PROJECT_ADMIN por el nombre del administrador del proyecto de servicio:

   gcloud auth login SERVICE_PROJECT_ADMIN
   

2. Usa el comando gcloud compute addresses create:

   gcloud compute addresses create IP_ADDR_NAME \
       --project SERVICE_PROJECT_ID \
       --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
       --region=REGION \
       --ip-version=IPV6 \
       --endpoint-type=[VM | NETLB]
   

   Reemplaza lo siguiente:

   • IP_ADDR_NAME un nombre para el objeto de dirección IPv6
   • SERVICE_PROJECT_ID: el ID del proyecto de servicio
   • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
   • SUBNET: el nombre de la subred compartida
   • REGION es la región que contiene la subred compartida.

API

Para reservar una dirección IPv6 interna estática como administrador del proyecto de servicio, usa el método addresses.insert:

POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/addresses
{
  "name": "ADDRESS_NAME",
  "ipVersion": "IPV6",
  "ipv6EndpointType": "VM|LB",
  "networkTier": "PREMIUM",
  "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
  "addressType": "EXTERNAL"
}

Reemplaza lo siguiente:

• SERVICE_PROJECT_ID: el ID del proyecto de servicio en el que se reserva la dirección IPv6.
• REGION: la región en la que se encuentran la dirección IPv6 reservada y la subred compartida.
• ADDRESS_NAME: Es un nombre para la dirección IPv6 externa estática reservada.
• HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
• SUBNET_NAME: el nombre de la subred compartida

Console

1. Configura la VPC compartida.

2. En la consola de Google Cloud, ve a la página VPC compartida.

   Ir a VPC compartida

3. Accede como un administrador de VPC compartida.

4. Selecciona el proyecto de servicio del selector de proyectos.

5. Para ir a la página Crear una instancia, selecciona Compute Engine > Instancias de VM > Crear instancia.

6. Especifica un Nombre para la instancia.

7. En Región, selecciona una región que contenga una subred compartida.

8. Haz clic en Herramientas de redes en Opciones avanzadas.

9. En Interfaces de redes, haz clic en el botón de selección Redes compartidas conmigo.

10. En la lista Subred compartida, selecciona la subred necesaria en la que deseas crear la instancia:

    • Para las direcciones IPv4, selecciona cualquier subred de pila única.
    • Para las direcciones IPv6, selecciona una subred de pila doble con el tipo de acceso IPv6 requerido.

11. Selecciona el tipo de pila de IP:

    • Para direcciones IPv4, selecciona IPv4 (pila única).
    • Para direcciones IPv6, selecciona IPv4 e IPv6 (pila doble).

12. Especifica cualquier otro parámetro necesario para la instancia.

13. Haz clic en Crear.

gcloud

• Crea una instancia con una dirección IPv4 interna efímera en una subred compartida de una red de VPC compartida, usa este comando:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --zone ZONE
  

  Reemplaza lo siguiente:

  • INSTANCE_NAME: el nombre de la instancia.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SUBNET: el nombre de la subred compartida
  • ZONE una zona de la región especificada. .

• Crea una instancia con una dirección IPv4 interna estática reservada en una red de VPC compartida, haz lo siguiente:

  1. Reserva una dirección IPv4 interna estática en el proyecto de servicio del rango de direcciones disponibles del proyecto host.

  2. Crea la instancia:

     gcloud compute instances create INSTANCE_NAME \
         --project SERVICE_PROJECT_ID \
         --private-network-ip IP_ADDR_NAME \
         --zone ZONE \
         --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
     

     Reemplaza lo siguiente:

     • INSTANCE_NAME: el nombre de la instancia.
     • SERVICE_PROJECT_ID: el ID del proyecto de servicio
     • IP_ADDR_NAME: el nombre de la dirección IP estática.
     • ZONE: una zona en la misma región que IP_ADDR_NAME
     • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
     • REGION: es la región que contiene la subred compartida.
     • SUBNET: el nombre de la subred compartida que está asociada con la dirección IPv4 interna estática

• Crea una instancia con una dirección IPv4 interna efímera y una dirección IPv6 efímera, haz lo siguiente:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV4_IPV6 \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --zone ZONE
  

  Reemplaza lo siguiente:

  • INSTANCE_NAME: el nombre de la instancia.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SUBNET: el nombre de la subred compartida
  • ZONE una zona de la región especificada.

• Crea una instancia con una dirección IPv6 externa estática reservada:

  gcloud compute instances create INSTANCE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV4_IPV6 \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
      --ipv6-address IPV6_ADDRESS \
      --ipv6-prefix-length=96 \
      --ipv6-network-tier PREMIUM \
      --zone ZONE
  

  Reemplaza lo siguiente:

  • INSTANCE_NAME: el nombre de la instancia.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SUBNET: el nombre de la subred compartida
  • IPV6_ADDRESS: La dirección IPv6 que se asignará a la VM.
  • ZONE una zona de la región especificada.

API

• Para crear una instancia con una dirección IPv4 interna efímera, especifica solo la subred:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  Reemplaza lo siguiente:

  • INSTANCE_NAME: un nombre para la instancia.
  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • MACHINE_TYPE: un tipo de máquina para la instancia.
  • REGION es la región que contiene la subred compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • SOURCE_IMAGE: una imagen de la instancia.
  • SUBNET: el nombre de la subred compartida
  • ZONE una zona de la región especificada.

  Para obtener más información, consulta el método instances.insert.

• Para crear una instancia con una dirección IPv4 interna reservada, especifica la subred y el nombre de la dirección IPv4 reservada:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "networkIP": "projects/SERVICE_PROJECT_ID/regions/REGION/addresses/ADDRESS_NAME"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  Reemplaza lo siguiente:

  • ADDRESS_NAME: el nombre de la dirección IPv4 interna reservada.
  • INSTANCE_NAME: un nombre para la instancia.
  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • MACHINE_TYPE: un tipo de máquina para la instancia.
  • REGION es la región que contiene la subred compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • SOURCE_IMAGE: una imagen de la instancia.
  • SUBNET: el nombre de la subred compartida
  • ZONE una zona de la región especificada.

  Para obtener más información, consulta el método instances.insert.

• Para crear una instancia con una dirección IPv4 interna efímera y una dirección IPv6 efímera, especifica la subred y el tipo de pila:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/zones/ZONE/instances
  {
    "machineType": "MACHINE_TYPE",
    "name": "INSTANCE_NAME",
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPv4_IPv6"
      }
    ],
    "disks": [
      {
        "boot": true,
        "initializeParams": {
          "sourceImage": "SOURCE_IMAGE"
        }
      }
    ]
  }
  

  Reemplaza lo siguiente:

  • INSTANCE_NAME: un nombre para la instancia.
  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • MACHINE_TYPE: un tipo de máquina para la instancia.
  • REGION es la región que contiene la subred compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • SOURCE_IMAGE: una imagen de la instancia.
  • SUBNET: el nombre de la subred compartida
  • ZONE una zona de la región especificada.

  Para obtener más información, consulta el método instances.insert.

Terraform

Puedes usar un bloque de datos de Terraform para especificar la información de la subred del host. Luego, usa un recurso de Terraform para crear una instancia de VM en un proyecto de servicio.

Especifica la subred del host:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

Crea una instancia de VM en un proyecto de servicio con una dirección IPv4 efímera desde la subred compartida del proyecto host:

resource "google_compute_instance" "ephemeral_ip" {
  project      = var.service_project
  zone         = "us-central1-a"
  name         = "my-vm"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
  }
}

Crea una instancia de VM en un proyecto de servicio con una dirección IPv4 estática reservada desde la subred compartida del proyecto host:

resource "google_compute_instance" "reserved_ip" {
  project      = var.service_project
  zone         = "us-central1-a"
  name         = "reserved-ip-instance"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
    network_ip = google_compute_address.internal.address
  }
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Console

1. Configura la VPC compartida.
2. En la consola de Google Cloud, ve a la página VPC compartida.
   Ir a la página VPC compartida
3. Accede como un administrador de VPC compartida.
4. Selecciona el proyecto de servicio del selector de proyectos.
5. Para ir a la página Crear una plantilla de instancias, selecciona Compute Engine > Plantillas de instancias > Crear plantillas de instancias.
6. Especifica un Nombre para la plantilla de instancias.
7. En la sección Opciones avanzadas, haz clic en Herramientas de redes.
8. En la sección Interfaces de red, haz clic en el botón de selección Redes compartidas conmigo.
9. En la lista Subred compartida, selecciona la subred necesaria en la que deseas crear la plantilla de instancia:
   • Para las direcciones IPv4, selecciona cualquier subred de pila única.
   • Para las direcciones IPv6, selecciona una subred de pila doble con el tipo de acceso IPv6 requerido.
10. Selecciona el tipo de pila de IP:
    • Para direcciones IPv4, selecciona IPv4 (pila única).
    • Para direcciones IPv6, selecciona IPv4 e IPv6 (pila doble).
11. Especifica cualquier otro parámetro necesario para la plantilla de instancias.
12. Haz clic en Crear.

gcloud

• Crea una plantilla de instancias de solo IPv4 para usarla en cualquier subred creada de forma automática de una red de VPC compartida de modo automático, usa este comando:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --network projects/HOST_PROJECT_ID/global/networks/NETWORK
  

  Reemplaza lo siguiente:

  • TEMPLATE_NAME: el nombre de la plantilla.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • NETWORK: es el nombre de la red de VPC compartida.

• Si deseas crear una plantilla de instancias de solo IPv4 para una subred creada manualmente en una red de VPC compartida (ya sea de modo automático o personalizado), usa este comando:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --region REGION \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
  

  Reemplaza lo siguiente:

  • TEMPLATE_NAME: el nombre de la plantilla.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SUBNET: el nombre de la subred compartida

• Crea una plantilla de instancias de pila doble que use una subred en una red de VPC compartida de modo personalizado, haz lo siguiente:

  gcloud compute instance-templates create TEMPLATE_NAME \
      --project SERVICE_PROJECT_ID \
      --stack-type IPV4_IPV6 \
      --region REGION \
      --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET
  

  Reemplaza lo siguiente:

  • TEMPLATE_NAME: el nombre de la plantilla.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SUBNET: el nombre de la subred compartida

API

• Crea una plantilla de instancias de solo IPv4 que use cualquier subred creada de forma automática de una red de VPC compartida de modo automático, especifica la red de VPC:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "network": "projects/HOST_PROJECT_ID/global/networks/NETWORK"
      }
    ]
  ...
  }
  

  Reemplaza lo siguiente:

  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • NETWORK: es el nombre de la red de VPC compartida.

  Para obtener más información, consulta el método instanceTemplates.insert.

• Crea una plantilla de instancias de solo IPv4 que use una subred creada manualmente en una red de VPC compartida (de modo automático o personalizado), especifica la subred:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME"
      }
    ]
  ...
  }
  

  Reemplaza lo siguiente:

  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • SUBNET_NAME: el nombre de la subred compartida

  Para obtener más información, consulta el método instanceTemplates.insert.

• Para crear una plantilla de instancias de pila doble que use una subred en una red de VPC compartida de modo personalizado, especifica la subred y el tipo de pila:

  POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/global/instanceTemplates
  {
  "properties": {
    "networkInterfaces": [
      {
        "subnetwork": "projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME",
        "stackType": "IPV4_IPV6"
      }
    ]
  ...
  }
  

  Reemplaza lo siguiente:

  • HOST_PROJECT_ID: el ID del proyecto que contiene la red de VPC compartida.
  • REGION es la región que contiene la subred compartida.
  • SERVICE_PROJECT_ID: el ID del proyecto de servicio
  • SUBNET_NAME: el nombre de la subred compartida

  Para obtener más información, consulta el método instanceTemplates.insert.

Terraform

Puedes usar un bloque de datos de Terraform para especificar la información de la subred del host. Luego, usa un recurso de Terraform para crear una plantilla de instancias de VM. Las direcciones IPv4 de las VM provienen de la subred compartida del proyecto host.

La subred debe existir en la misma región donde se crearán las instancias de VM.

Especifica la subred del host:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

Crea una plantilla de instancias de VM en el proyecto de servicio:

resource "google_compute_instance_template" "default" {
  project      = var.service_project
  name         = "appserver-template"
  description  = "This template is used to create app server instances."
  machine_type = "n1-standard-1"
  disk {
    source_image = "debian-cloud/debian-9"
  }
  network_interface {
    subnetwork = data.google_compute_subnetwork.subnet.self_link
  }
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Console

1. Ve a la página Balanceo de cargas en la consola de Google Cloud.
   Ir a la página Balanceo de cargas

2. Crea un balanceador de cargas interno de TCP/UDP y realiza el siguiente ajuste: en la sección Configurar servicios de frontend, selecciona la subred de VPC compartida que necesitas de la sección Redes que comparten otros proyectos del menú Subred.

3. Termina de crear el balanceador de cargas.

gcloud

Cuando crees la regla de reenvío interno, especifica una subred en el proyecto host con la marca --subnet:

gcloud compute forwarding-rules create FR_NAME \
    --project SERVICE_PROJECT_ID \
    --load-balancing-scheme internal \
    --region REGION \
    --ip-protocol IP_PROTOCOL \
    --ports PORT,PORT,... \
    --backend-service BACKEND_SERVICE_NAME \
    --subnet projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET \
    --address INTERNAL_IP

Reemplaza lo siguiente:

• FR_NAME: el nombre de la regla de reenvío.
• SERVICE_PROJECT_ID: el ID del proyecto de servicio.
• REGION es la región que contiene la subred compartida.
• IP_PROTOCOL: TCP o UDP, que coincide con el protocolo del servicio de backend del balanceador de cargas.
• PORT: el puerto numérico o la lista de puertos para el balanceador de cargas.
• BACKEND_SERVICE_NAME: el nombre del servicio de backend (ya creado como parte del procedimiento general de creación de un balanceador de cargas de red de transferencia interno).
• HOST_PROJECT_ID: es el ID del proyecto host de la VPC compartida.
• SUBNET: el nombre de la subred compartida
• INTERNAL_IP: una dirección IP interna en la subred compartida (si no se especifica, se seleccionará una disponible)

Para obtener más opciones, consulta el comando gcloud compute forwarding-rules create.

API

Crea la regla de reenvío interno y especifica una subred en el proyecto host.

POST https://compute.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/regions/REGION/forwardingRules
{
  "name": "FR_NAME",
  "IPAddress": "IP_ADDRESS",
  "IPProtocol": "PROTOCOL",
  "ports": [ "PORT", ... ],
  "loadBalancingScheme": "INTERNAL",
  "subnetwork": "https://www.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/regions/REGION/subnetworks/SUBNET",
  "network": "https://www.googleapis.com/compute/v1/projects/HOST_PROJECT_ID/global/networks/NETWORK_NAME",
  "backendService": "https://www.googleapis.com/compute/v1/projects/SERVICE_PROJECT_ID/regions/us-west1/backendServices/BE_NAME",
  "networkTier": "PREMIUM"
}

Reemplaza lo siguiente:

• BE_NAME: el nombre del servicio de backend (ya creado como parte del procedimiento general de creación de un balanceador de cargas de red de transferencia interno).
• FR_NAME: un nombre para la regla de reenvío.
• HOST_PROJECT_ID: el ID del proyecto host de la VPC compartida.
• IP_ADDRESS: una dirección IP interna en la subred compartida.
• IP_PROTOCOL: TCP o UDP, que coincide con el protocolo del servicio de backend del balanceador de cargas.
• PORT: el puerto numérico o la lista de puertos para el balanceador de cargas.
• REGION es la región que contiene la subred compartida.
• SERVICE_PROJECT_ID: el ID del proyecto de servicio
• SUBNET: el nombre de la subred compartida

Para obtener más información, consulta el método forwardingRules.insert.

Terraform

Puedes usar un bloque de datos de Terraform para especificar la subred y la red del host. Luego, usa un recurso de Terraform para crear la regla de reenvío.

Especifica la red host:

data "google_compute_network" "network" {
  name    = "my-network-123"
  project = var.project
}

Especifica la subred del host:

data "google_compute_subnetwork" "subnet" {
  name    = "my-subnet-123"
  project = var.project
  region  = "us-central1"
}

En el proyecto de servicio, crea una regla de reenvío en la red y la subred del proyecto host de la siguiente forma:

resource "google_compute_forwarding_rule" "default" {
  project               = var.service_project
  name                  = "l4-ilb-forwarding-rule"
  backend_service       = google_compute_region_backend_service.default.id
  region                = "europe-west1"
  ip_protocol           = "TCP"
  load_balancing_scheme = "INTERNAL"
  all_ports             = true
  allow_global_access   = true
  network               = data.google_compute_network.network.self_link
  subnetwork            = data.google_compute_subnetwork.subnet.self_link
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.