共有 VPC でグローバル外部アプリケーション ロードバランサを設定する

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [VPC ネットワークを作成] をクリックします。
3. [名前] に「lb-network」と入力します。

4. [サブネット] セクションで次の設定を行います。

   1. [サブネット作成モード] を [カスタム] に設定します。

   2. [新しいサブネット] セクションに、次の情報を入力します。

      • 名前: lb-backend-subnet

      • リージョン: us-west1

      • IP アドレス範囲: 10.1.2.0/24

   3. [完了] をクリックします。

5. [作成] をクリックします。

gcloud

1. gcloud compute networks create コマンドを使用して、VPC ネットワークを作成します。

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. サブネットを us-west1 リージョン内の lb-network ネットワークに作成します。

   gcloud compute networks subnets create lb-frontend-and-backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] に移動

2. [ファイアウォール ルールを作成] をクリックして、Google Cloud ヘルスチェックを許可するルールを作成します。
• 名前: fw-allow-health-check
• ネットワーク: lb-network
• トラフィックの方向: 上り（内向き）
• 一致したときのアクション: 許可
• ターゲット: 指定されたターゲットタグ
• ターゲットタグ: load-balanced-backend
• ソースフィルタ: IPv4 の範囲
• 送信元 IPv4 範囲: 130.211.0.0/22 と 35.191.0.0/16
• プロトコルとポート:
  • 指定されたプロトコルとポートを選択します。
  • [TCP] をオンにして、ポート番号に「80」と入力します。

  このルールは、ヘルスチェックに使用されているプロトコルとポートのみに制限することをおすすめします。プロトコルとポートに tcp:80 を使用すると、Google Cloud は、ポート 80 で HTTP を使用して VM に接続できますが、ポート 443 で HTTPS を使用して VM に接続することはできません。

3. [作成] をクリックします。

gcloud

1. Google Cloud ヘルスチェックを許可する fw-allow-health-check ファイアウォール ルールを作成します。この例では、ヘルスチェック プローバーからのすべての TCP トラフィックを許可します。ただし、必要に応じてポートの範囲を狭く構成することもできます。

   gcloud compute firewall-rules create fw-allow-health-check \
      --network=lb-network \
      --action=allow \
      --direction=ingress \
      --source-ranges=130.211.0.0/22,35.191.0.0/16 \
      --target-tags=load-balanced-backend \
      --rules=tcp
   

コンソール

インスタンス テンプレートを作成する

1. Google Cloud コンソールで、Compute Engine の [インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

2. [インスタンス テンプレートを作成] をクリックします。

3. [名前] に「backend-template」と入力します。

4. [ブートディスク] セクションで、ブートディスクが Debian GNU/Linux 10 (buster) などの Debian イメージに設定されていることを確認します。必要に応じてイメージを変更するには、[変更] をクリックします。

5. [詳細オプション] セクションを開きます。

6. [ネットワーキング] セクションを開き、[ネットワーク タグ] フィールドに「load-balanced-backend」と入力します。

7. [ネットワーク インターフェース] で、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID）] を選択します。

8. [共有サブネットワーク] リストで、lb-network ネットワークから lb-backend-subnet サブネットを選択します。

9. [管理] セクションを開き、[自動化] フィールドに次の起動スクリプトを指定します。

    #! /bin/bash
    apt-get update
    apt-get install apache2 -y
    a2ensite default-ssl
    a2enmod ssl
    vm_hostname="$(curl -H "Metadata-Flavor:Google" \
    http://metadata.google.internal/computeMetadata/v1/instance/name)"
    echo "Page served from: $vm_hostname" | \
    tee /var/www/html/index.html
    systemctl restart apache2
   

10. [作成] をクリックします。

マネージド インスタンス グループを作成する

1. Google Cloud コンソールで、Compute Engine の [インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

2. [インスタンス グループを作成] をクリックします。

3. オプションから、[新しいマネージド インスタンス グループ（ステートレス）] を選択します。

4. インスタンス グループの名前として「lb-backend」と入力します。

5. [インスタンス テンプレート] リストで、前の手順で作成したインスタンス テンプレート backend-template を選択します。

6. [ロケーション] セクションで、[シングルゾーン] を選択し、次の値を入力します。

   • [リージョン] で us-west1 を選択します。

   • [ゾーン] で us-west1-a を選択します。

7. [自動スケーリング] セクションに次の値を入力します。

   • [自動スケーリング モード] で [オン: グループに対してインスタンスを追加および削除します] を選択します。

   • [インスタンスの最小数] に 2 を選択します。

   • [インスタンスの最大数] に 3 を選択します。

8. [ポート マッピング] セクションで、[ポートを追加] をクリックして、次の値を入力します。

   • [ポート名] に「http」と入力します。

   • [ポート番号] に「80」と入力します。

9. [作成] をクリックします。

gcloud

1. インスタンス テンプレートを作成します。

   gcloud compute instance-templates create backend-template \
       --region=us-west1 \
       --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
       --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \
       --tags=load-balanced-backend \
       --image-family=debian-10 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2' \
       --project=SERVICE_PROJECT_ID
   

2. マネージド インスタンス グループを作成し、前の手順で作成したインスタンス テンプレートを選択します。

   gcloud compute instance-groups managed create lb-backend \
       --zone=us-west1-a \
       --size=2 \
       --template=backend-template \
       --project=SERVICE_PROJECT_ID
   

3. インスタンス グループに名前付きポートを追加します。

   gcloud compute instance-groups set-named-ports lb-backend \
       --named-ports=http:80 \
       --zone=us-west1-a \
       --project=SERVICE_PROJECT_ID
   

コンソール

1. Google Cloud コンソールで、Compute Engine の [ヘルスチェック] ページに移動します。

   [ヘルスチェック] に移動

2. ヘルスチェックの名前に「lb-health-check」と入力します。

3. [プロトコル] を HTTP に設定します。

4. [作成] をクリックします。

gcloud

HTTP ヘルスチェックを作成します。

gcloud compute health-checks create http lb-health-check \
  --use-serving-port \
  --project=SERVICE_PROJECT_ID

コンソール

1. Google Cloud コンソールで、[VPC ネットワーク] の [IP アドレス] ページに移動します。

   [IP アドレス] に移動

2. [静的外部 IP アドレスを予約] をクリックします。

3. [名前] に「lb-ipv4-1」と入力します。

4. [ネットワーク サービス階層] に [プレミアム] を設定します。

5. [IP バージョン] を IPv4 に設定します。

6. [タイプ] を [グローバル] に設定します。

7. [予約] をクリックします。

gcloud

グローバル静的外部 IP アドレスを作成します。

gcloud compute addresses create lb-ipv4-1 \
  --ip-version=IPV4 \
  --network-tier=PREMIUM \
  --global
  --project=SERVICE_PROJECT_ID

コンソール

構成を開始する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [ロードバランサを作成] をクリックします。
3. [ロードバランサの種類] で [アプリケーション ロードバランサ（HTTP / HTTPS）] を選択し、[次へ] をクリックします。
4. [インターネット接続または内部] で [インターネット接続（外部）] を選択し、[次へ] をクリックします。
5. [グローバルまたはシングル リージョンのデプロイ] で [グローバル ワークロードに最適] を選択し、[次へ] をクリックします。
6. [ロードバランサの世代] で [グローバル外部アプリケーション ロードバランサ] を選択し、[次へ] をクリックします。
7. [構成] をクリックします。

基本構成

1. ロードバランサの名前に「l7-xlb-shared-vpc」を入力します。

ロードバランサのフロントエンドを構成する

HTTP トラフィックの場合:

1. [フロントエンドの構成] をクリックします。

2. ロードバランサのフロントエンドの名前に「http-fw-rule」と入力します。

3. [プロトコル] で [HTTP] を選択します。

4. [IP バージョン] を IPv4 に設定します。

5. [IP アドレス] で、以前に予約した IP アドレス lb-ipv4-1 を選択します。

6. [ポート] を 80 に設定して、HTTP トラフィックを許可します。

7. フロントエンドの構成を完了するには、[完了] をクリックします。

8. 続行する前に、[フロントエンドの構成] の隣に青いチェックマークがあることを確認します。

HTTPS トラフィックの場合:

1. [フロントエンドの構成] をクリックします。

2. ロードバランサのフロントエンドの名前に「https-fw-rule」と入力します。

3. [プロトコル] で [HTTPS] を選択します。

4. [IP バージョン] を IPv4 に設定します。

5. [IP アドレス] で、以前に予約した IP アドレス lb-ipv4-1 を選択します。

6. [ポート] を 443 に設定して HTTPS トラフィックを許可します。

7. [証明書] リストで、作成した SSL 証明書を選択します。

8. フロントエンドの構成を完了するには、[完了] をクリックします。

9. 続行する前に、[フロントエンドの構成] の隣に青いチェックマークがあることを確認します。

バックエンドを構成する

1. [バックエンドの構成] をクリックします。

2. [バックエンド サービスとバックエンド バケット] メニューで、[バックエンド サービスを作成] をクリックします。

3. バックエンド サービスの名前として「lb-backend-service」と入力します。

4. [バックエンド タイプ] で [インスタンス グループ] を選択します。

5. [プロトコル] を HTTP に設定します。

6. [名前付きポート] フィールドに「http」と入力します。これは、マネージド インスタンス グループの作成時に入力したものと同じポート名です。

7. バックエンド サービスにバックエンドを追加する手順は次のとおりです。

   1. [バックエンド] セクションで、[インスタンス グループ] を lb-backend に設定します。これは、前の手順で作成したマネージド インスタンス グループです。

   2. [ポート番号] に「80」と入力します。

   3. バックエンドを追加するには、[完了] をクリックします。

8. ヘルスチェックを追加するには、[ヘルスチェック] リストで、先ほど作成したヘルスチェック lb-health-check を選択します。

9. バックエンド サービスを作成するには、[作成] をクリックします。

10. 続行する前に、[バックエンドの構成] の隣に青いチェックマークがあることを確認します。

ルーティング ルールを構成する

• [ルーティング ルール] をクリックします。lb-backend-service が、一致しないホストおよび一致しないパスのデフォルトのバックエンド サービスであることを確認します。

トラフィック管理の詳細については、トラフィック管理を設定するをご覧ください。

構成を確認して完了する

1. [確認と完了] をクリックします。

2. ロードバランサのフロントエンドとバックエンドの設定が意図したとおりに構成されていることを確認します。

3. [作成] をクリックし、ロードバランサが作成されるのを待ちます。

gcloud

1. バックエンド全体にトラフィックを分散するバックエンド サービスを作成します。

   gcloud compute backend-services create lb-backend-service \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --protocol=HTTP \
       --port-name=http \
       --health-checks=lb-health-check \
       --global \
       --project=SERVICE_PROJECT_ID
   

2. インスタンス グループをバックエンドとしてバックエンド サービスに追加します。

   gcloud compute backend-services add-backend lb-backend-service \
       --instance-group=lb-backend \
       --instance-group-zone=us-west1-a \
       --global \
       --project=SERVICE_PROJECT_ID
   

3. 受信リクエストをバックエンド サービスに転送するための URL マップを作成します。

   gcloud compute url-maps create lb-map \
       --default-service=lb-backend-service \
       --global \
       --project=SERVICE_PROJECT_ID
   

4. ターゲット プロキシを作成します。

   HTTP トラフィックの場合、リクエストを URL マップに転送するターゲット HTTP プロキシを作成します。

   gcloud compute target-http-proxies create http-proxy \
       --url-map=lb-map \
       --global \
       --project=SERVICE_PROJECT_ID
   

   HTTPS トラフィックの場合、リクエストを URL マップに転送するターゲット HTTPS プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS ロードバランサ用の SSL 証明書を保持するため、この手順で SSL 証明書も読み込みます。

   gcloud compute target-https-proxies create https-proxy \
       --url-map=lb-map \
       --ssl-certificates=lb-ssl-cert
       --global \
       --project=SERVICE_PROJECT_ID
   

5. 転送ルールを作成します。

   HTTP トラフィックの場合、受信リクエストをターゲット プロキシに転送するグローバル転送ルールを作成します。

   gcloud compute forwarding-rules create http-fw-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --address=lb-ipv4-1 \
       --global \
       --target-http-proxy=http-proxy \
       --ports=80 \
       --project=SERVICE_PROJECT_ID
   

   HTTPS トラフィックの場合、受信リクエストをターゲット プロキシに転送するグローバル転送ルールを作成します。

   gcloud compute forwarding-rules create https-fw-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --address=lb-ipv4-1 \
       --global \
       --target-https-proxy=https-proxy \
       --ports=443 \
       --project=SERVICE_PROJECT_ID
   

Console

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. 作成したロードバランサをクリックします。

3. ロードバランサの IP アドレスをメモします。この IP アドレスは、次の手順で LB_IP_ADDRESS として参照されます。

4. [バックエンド] セクションで、VM が正常であることを確認します。

   [正常] 列には、VM が正常であることを示す値が入ります。たとえば、2 つのインスタンスが作成されると、その横に緑色のチェックマークが付いた「2 of 2」を含むメッセージが表示されます。それ以外の場合は、最初にページを再読み込みしてみてください。VM が正常な状態であることが Google Cloud コンソールに表示されるまでに時間がかかる場合があります。数分経ってもバックエンドが正常に動作しない場合は、ファイアウォールの構成と、バックエンド VM に割り当てられているネットワーク タグを確認します。

5. Google Cloud コンソールでバックエンド インスタンスが正常であることを確認したら、ウェブブラウザで https://LB_IP_ADDRESS（または http://LB_IP_ADDRESS）にアクセスしてロードバランサをテストできます。LB_IP_ADDRESS は、ロードバランサの IP アドレスに置き換えてください。

6. HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

7. ページを提供したインスタンスの名前（Page served from: lb-backend-example-xxxx など）を示すコンテンツを含むページがブラウザで表示されます。お使いのブラウザでこのページがレンダリングされない場合は、このガイドの構成設定を確認してください。

gcloud

予約されている IP アドレスをメモします。

gcloud compute addresses describe IP_ADDRESS_NAME \
    --format="get(address)" \
    --global

ウェブブラウザで https://LB_IP_ADDRESS（または http://LB_IP_ADDRESS）を設定すると、ロードバランサをテストできます。LB_IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。

HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

バックエンド インスタンスに関する最小限の情報を含むページがブラウザで表示されます。お使いのブラウザでこのページが表示されない場合は、このガイドの構成設定を確認してください。

コンソール

インスタンス テンプレートを作成する

1. Google Cloud コンソールで、Compute Engine の [インスタンス テンプレート] ページに移動します。

   [インスタンス テンプレート] に移動

2. [インスタンス テンプレートを作成] をクリックします。

3. [名前] に「backend-template」と入力します。

4. [ブートディスク] セクションで、ブートディスクが Debian GNU/Linux 10 (buster) などの Debian イメージに設定されていることを確認します。必要に応じてイメージを変更するには、[変更] をクリックします。

5. [詳細オプション] セクションを開きます。

6. [ネットワーキング] セクションを開き、[ネットワーク タグ] フィールドに「load-balanced-backend」と入力します。

7. [ネットワーク インターフェース] で、[共有ネットワーク（共有元のホスト プロジェクト: HOST_PROJECT_ID)] を選択します。

8. [共有サブネットワーク] リストで、lb-network ネットワークから lb-backend-subnet サブネットを選択します。

9. [管理] セクションを開き、[自動化] フィールドに次の起動スクリプトを指定します。

     #! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2
   

10. [作成] をクリックします。

マネージド インスタンス グループを作成する

1. Google Cloud コンソールで、Compute Engine の [インスタンス グループ] ページに移動します。

   [インスタンス グループ] に移動

2. [インスタンス グループを作成] をクリックします。

3. オプションから、[新しいマネージド インスタンス グループ（ステートレス）] を選択します。

4. インスタンス グループの名前として「lb-backend」と入力します。

5. [インスタンス テンプレート] リストで、前の手順で作成したインスタンス テンプレート backend-template を選択します。

6. [ロケーション] セクションで、[シングルゾーン] を選択し、次の値を入力します。

   • [リージョン] で us-west1 を選択します。

   • [ゾーン] で us-west1-a を選択します。

7. [自動スケーリング] セクションに次の値を入力します。

   • [自動スケーリング モード] で [オン: グループに対してインスタンスを追加および削除します] を選択します。

   • [インスタンスの最小数] に 2 を選択します。

   • [インスタンスの最大数] に 3 を選択します。

8. [ポート マッピング] セクションで、[ポートを追加] をクリックして、次の値を入力します。

   • [ポート名] に「http」と入力します。

   • [ポート番号] に「80」と入力します。

9. [作成] をクリックします。

gcloud

1. インスタンス テンプレートを作成します。

   gcloud compute instance-templates create backend-template \
       --region=us-west1 \
       --network=projects/HOST_PROJECT_ID/global/networks/lb-network \
       --subnet=projects/HOST_PROJECT_ID/regions/us-west1/subnetworks/lb-backend-subnet \
       --tags=load-balanced-backend \
       --image-family=debian-10 \
       --image-project=debian-cloud \
       --metadata=startup-script='#! /bin/bash
       apt-get update
       apt-get install apache2 -y
       a2ensite default-ssl
       a2enmod ssl
       vm_hostname="$(curl -H "Metadata-Flavor:Google" \
       http://metadata.google.internal/computeMetadata/v1/instance/name)"
       echo "Page served from: $vm_hostname" | \
       tee /var/www/html/index.html
       systemctl restart apache2' \
       --project=SERVICE_PROJECT_B_ID
   

2. マネージド インスタンス グループを作成し、前の手順で作成したインスタンス テンプレートを選択します。

   gcloud compute instance-groups managed create lb-backend \
       --zone=us-west1-a \
       --size=2 \
       --template=backend-template \
       --project=SERVICE_PROJECT_B_ID
   

3. インスタンス グループに名前付きポートを追加します。

   gcloud compute instance-groups set-named-ports lb-backend \
       --named-ports=http:80 \
       --zone=us-west1-a \
       --project=SERVICE_PROJECT_B_ID
   

コンソール

1. Google Cloud コンソールで、Compute Engine の [ヘルスチェック] ページに移動します。

   [ヘルスチェック] に移動

2. ヘルスチェックの名前に「lb-health-check」と入力します。

3. [プロトコル] を HTTP に設定します。

4. [作成] をクリックします。

gcloud

HTTP ヘルスチェックを作成します。

gcloud beta compute health-checks create http lb-health-check \
  --use-serving-port \
  --project=SERVICE_PROJECT_B_ID

コンソール

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. [バックエンド] セクションに移動します。

3. [バックエンド サービスを作成] をクリックします。

4. [Global backend service] で、[作成] ボタンをクリックします。

5. バックエンド サービスの名前として「cross-ref-backend-service」と入力します。

6. [バックエンド タイプ] で [インスタンス グループ] を選択します。

7. [プロトコル] を HTTP に設定します。

8. [名前付きポート] フィールドに「http」と入力します。これは、マネージド インスタンス グループの作成時に入力したものと同じポート名です。

9. バックエンド サービスにバックエンドを追加する手順は次のとおりです。

   1. [バックエンド] セクションで、[インスタンス グループ] を lb-backend に設定します。これは、前の手順で作成したマネージド インスタンス グループです。

   2. [ポート番号] に「80」と入力します。

   3. バックエンドを追加するには、[完了] をクリックします。

10. ヘルスチェックを追加するには、[ヘルスチェック] リストで、先ほど作成したヘルスチェック lb-health-check を選択します。

11. バックエンド サービスを作成するには、[作成] をクリックします。

gcloud

1. バックエンド全体にトラフィックを分散するグローバル バックエンド サービスを作成します。

   gcloud beta compute backend-services create cross-ref-backend-service \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --protocol=HTTP \
       --port-name=http \
       --health-checks=lb-health-check \
       --global \
       --project=SERVICE_PROJECT_B_ID
   

2. インスタンス グループをバックエンドとしてバックエンド サービスに追加します。

   gcloud beta compute backend-services add-backend cross-ref-backend-service \
       --instance-group=lb-backend \
       --instance-group-zone=us-west1-a \
       --global \
       --project=SERVICE_PROJECT_B_ID
   

コンソール

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.backendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

1. Google Cloud コンソールで [共有ロード バランシング サービス] ページに移動します。

   [共有ロード バランシング サービス] に移動

2. [バックエンド サービスのすべての権限（プロジェクト レベルの権限）] セクションで、プロジェクトを選択します。

3. 権限パネルが表示されていない場合は、[権限パネルを表示] をクリックします。右側に [プロジェクト レベルの権限] パネルが開きます。

4. [person_add プリンシパルを追加] をクリックします。

5. [新しいプリンシパル] に、プリンシパルのメールアドレスまたはその他の識別子を入力します。

6. [ロール] で、プルダウン リストから [Compute ロードバランサ サービス ユーザー] ロールを選択します。

7. （省略可）ロールに条件を追加します。

8. [保存] をクリックします。

個々のバックエンド サービスのリソースレベルの権限

プロジェクト内の個々のバックエンド サービスに権限を付与するには、次の操作を行います。

gcloud

プロジェクト レベルの権限

プロジェクト内のすべてのバックエンド サービスに権限を付与するには、次の操作を行います。

この手順を完了するには、compute.backendServices.setIamPolicy 権限と resourcemanager.projects.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser"

個々のバックエンド サービスのリソースレベルの権限

バックエンド サービス レベルでは、サービス プロジェクト管理者が次のいずれかのコマンドを使用して Compute ロードバランサ サービス ユーザー ロール（roles/compute.loadBalancerServiceUser）を付与します。

この手順を完了するには、compute.backendServices.setIamPolicy 権限が必要です。

gcloud projects add-iam-policy-binding SERVICE_PROJECT_B_ID \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --condition='expression=resource.name=="projects/SERVICE_PROJECT_B_ID/regions/us-west1/backend-services/BACKEND_SERVICE_NAME",title=Shared VPC condition'

または

gcloud compute backend-services add-iam-policy-binding BACKEND_SERVICE_NAME \
    --member="user:LOAD_BALANCER_ADMIN" \
    --role="roles/compute.loadBalancerServiceUser" \
    --project=SERVICE_PROJECT_B_ID \
    --region=us-west1

これらのコマンドを使用するには、LOAD_BALANCER_ADMIN をユーザーのプリンシパルに置き換えます（例: test-user@gmail.com）。

条件を使用して条件属性を指定することで、リージョン バックエンド サービスのサブセットにのみ適用されるように IAM 権限を構成することもできます。

コンソール

1. Google Cloud コンソールで、[VPC ネットワーク] の [IP アドレス] ページに移動します。

   [IP アドレス] に移動

2. [静的外部 IP アドレスを予約] をクリックします。

3. [名前] に「cross-ref-ip-address」と入力します。

4. [ネットワーク サービス階層] に [プレミアム] を設定します。

5. [IP バージョン] を IPv4 に設定します。

6. [タイプ] を [グローバル] に設定します。

7. [予約] をクリックします。

gcloud

グローバル静的外部 IP アドレスを作成します。

gcloud compute addresses create cross-ref-ip-address \
    --ip-version=IPV4 \
    --network-tier=PREMIUM \
    --global \
    --project=SERVICE_PROJECT_A_ID

コンソール

Google Cloud コンソールでは、プロジェクト間のバックエンド サービス参照がサポートされていません。ただし、Google Cloud CLI を使用して、サービス プロジェクト A の URL マップからサービス プロジェクト B のバックエンド サービスを参照できます。

gcloud

1. 受信リクエストをバックエンド サービスに転送するための URL マップを作成します。

   gcloud beta compute url-maps create cross-ref-url-map \
       --default-service=projects/SERVICE_PROJECT_B_ID/global/backendServices/cross-ref-backend-service \
       --global \
       --project=SERVICE_PROJECT_A_ID
   

2. ターゲット プロキシを作成します。

   HTTP トラフィックの場合、リクエストを URL マップに転送するターゲット HTTP プロキシを作成します。

   gcloud beta compute target-http-proxies create cross-ref-http-proxy \
       --url-map=cross-ref-url-map \
       --global \
       --project=SERVICE_PROJECT_A_ID
   

   HTTPS トラフィックの場合、リクエストを URL マップに転送するターゲット HTTPS プロキシを作成します。プロキシはロードバランサの一部であり、HTTPS ロードバランサ用の SSL 証明書を保持するため、この手順で SSL 証明書も読み込みます。

   gcloud beta compute target-https-proxies create cross-ref-https-proxy \
       --url-map=cross-ref-url-map \
       --ssl-certificates=lb-ssl-cert
       --global \
       --project=SERVICE_PROJECT_A_ID
   

3. 転送ルールを作成します。

   HTTP トラフィックの場合、受信リクエストをターゲット プロキシに転送するグローバル転送ルールを作成します。

   gcloud beta compute forwarding-rules create cross-ref-http-forwarding-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --address=cross-ref-ip-address \
       --global \
       --target-http-proxy=cross-ref-http-proxy \
       --ports=80 \
       --project=SERVICE_PROJECT_A_ID
   

   HTTPS トラフィックの場合、受信リクエストをターゲット プロキシに転送するグローバル転送ルールを作成します。

   gcloud beta compute forwarding-rules create cross-ref-https-forwarding-rule \
       --load-balancing-scheme=EXTERNAL_MANAGED \
       --address=cross-ref-ip-address \
       --global \
       --target-https-proxy=cross-ref-https-proxy \
       --ports=443 \
       --project=SERVICE_PROJECT_A_ID
   

コンソール

1. Google Cloud コンソールで、サービス プロジェクト A の [ロード バランシング] ページに移動します。

   [ロード バランシング] に移動

2. 作成したロードバランサをクリックします。

3. ロードバランサの IP アドレスをメモします。この IP アドレスは、次の手順で LB_IP_ADDRESS として参照されます。

4. ウェブブラウザで https://LB_IP_ADDRESS（または http://LB_IP_ADDRESS）を設定すると、ロードバランサをテストできます。LB_IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。

5. HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

6. ページを提供したインスタンスの名前（Page served from: lb-backend-example-xxxx など）を示すコンテンツを含むページがブラウザで表示されます。お使いのブラウザでこのページがレンダリングされない場合は、このガイドの構成設定を確認してください。

gcloud

予約されている IP アドレスをメモします。

gcloud compute addresses describe IP_ADDRESS_NAME \
    --format="get(address)" \
    --global
    --project=SERVICE_PROJECT_A_ID

ウェブブラウザで https://LB_IP_ADDRESS（または http://LB_IP_ADDRESS）を設定すると、ロードバランサをテストできます。LB_IP_ADDRESS は、ロードバランサの IP アドレスに置き換えます。

HTTPS のテストに自己署名証明書を使用した場合は、ブラウザに警告が表示されます。自己署名証明書を受け付けるためには、ブラウザで明示的に設定する必要があります。

バックエンド インスタンスに関する最小限の情報を含むページがブラウザで表示されます。お使いのブラウザでこのページが表示されない場合は、このガイドの構成設定を確認してください。