GOOGLE CLOUD 基礎

VPCとFirewallの
考え方

グローバルなVPC、リージョナルなサブネット、表門の通信制御を分けて把握する。

TL;DR
  1. VPCはグローバル、Subnetはリージョナル。
  2. Firewallはネットワーク通信、IAMはGoogle API操作。
  3. 必要なIngressを明示的に許可する。

01 VPCは広く、Subnetは地域ごと

Google Cloudでは一つのVPCが複数リージョンにまたがり、その中でサブネットがリージョンごとに存在する。AWSのVPCとSubnetの範囲感をそのまま移さない。

グローバルVPCとリージョナルSubnet
ネットワークのスコープを逆に覚えない。

02 Firewallは通信の門番

方向（Ingress/Egress）、allow/deny、優先度、ターゲット、送信元または宛先、ポートを組み合わせる。ターゲットにはサービスアカウントを使うと、ワークロードとの対応が読みやすい。

Google Cloud Firewallルール
暗黙のIngress denyを起点に必要な通信を開ける。

03 表門と裏門を混ぜない

対象主な制御
TCP/UDPなどのネットワーク通信Firewall
gcloud・SDKによるGoogle API操作IAM
表門と裏門の違い
FirewallはGoogle APIへの権限を決めない。

結論

  1. VPCとSubnetの範囲を正しく覚える。
  2. 通信とAPI操作を分離する。
  3. 方向、ターゲット、ポートで説明できるルールを書く。