Praxislabor — CDL Google Cloud Digital Leader

Übersicht

Voraussetzungen

Schritte

1. 1.Provider, Projektdienste, Benennung

   GCP erfordert die explizite Aktivierung von Projektdiensten (APIs), bevor Ressourcen bereitgestellt werden können. Wir aktivieren storage.googleapis.com (für Schritt 2) und billingbudgets.googleapis.com (für Schritt 4). Im Vergleich zu AWS, wo API-Oberflächen immer aktiviert sind, müssen Sie sich bei GCP pro Projekt anmelden.

   Ersetzen Sie your-project-id durch Ihre tatsächliche Projekt-ID.

   Kopieren

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE with your GCP project ID
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-cdl"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "budgets" {
     service            = "billingbudgets.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Bereitstellung eines Cloud Storage-Buckets mit einheitlichem Zugriff + Lebenszyklus

   Ressourcen:

   • Cloud Storage

   Cloud Storage ist GCPs Äquivalent zu S3 – ein Objektspeicher mit regionalen, multiregionalen und Dual-Region-Replikationsoptionen. Die CDL-Prüfung testet wiederholt die Frage welche-Speicherklasse: Standard (hot), Nearline (>30 Tage), Coldline (>90 Tage), Archive (>365 Tage).

   Wir aktivieren den einheitlichen Bucket-Level-Zugriff (die von CDL empfohlene Sicherheitseinstellung – deaktiviert fein granulierte ACLs pro Objekt zugunsten von IAM-only) und einen 30-Tage → Nearline-Lebenszyklusübergang. Namen müssen global eindeutig über alle GCP hinweg sein – wir fügen ein zufälliges Hex-Suffix an.

   Kopieren

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_bucket" "main" {
     name                        = "certlabpro-cdl-${random_id.suffix.hex}"
     location                    = "US"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only — never in production
   
     lifecycle_rule {
       condition {
         age = 30
       }
       action {
         type          = "SetStorageClass"
         storage_class = "NEARLINE"
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.storage]
   }

3. 3.Cloud Logging als universelles Audit-System aktivieren

   Ressourcen:

   • Cloud Logging

   GCPs Cloud Logging ist standardmäßig für die meisten Dienste aktiviert – die CDL-Prüfung testet jedoch die Unterscheidung der Audit-Logs zwischen Erforderlich (Required) vs. Standard (Default) vs. Datenzugriff (Data Access). Erforderliche Audit-Logs (Administratoraktivität) sind immer aktiviert, kostenlos und können nicht deaktiviert werden. Standard-Logs (Datenschreibvorgänge für einige Dienste) sind aktiviert, können aber deaktiviert werden. Datenzugriffs-Logs (Datenlesevorgänge) sind standardmäßig deaktiviert – sie müssen explizit aktiviert werden und werden normal abgerechnet.

   Wir aktivieren die Datenzugriffs-Protokollierung für Cloud Storage, sodass jeder Lesevorgang jedes Objekts im Bucket aus Schritt 2 in Cloud Logging landet. Das Lab ist eine Demonstration des iam-audit-config-Primitivs; Produktionsbereitstellungen verwenden dieses Muster auf Organisationsebene über [[gcp-pcse]]-Muster.

   Kopieren

   resource "google_project_iam_audit_config" "storage_data_access" {
     service = "storage.googleapis.com"
   
     audit_log_config {
       log_type = "DATA_READ"
     }
   
     audit_log_config {
       log_type = "DATA_WRITE"
     }
   }

4. 4.Cloud Billing-Budget einrichten, das bei Schwellenwertüberschreitung per E-Mail benachrichtigt

   Ressourcen:

   • Cloud Billing

   Die CDL-Prüfung liebt dieses Muster – Cloud Billing-Budgets + Warnungen ist die wiederkehrende CDL-Prüfungsfrageform für die Kostenkontrolle. Wir legen ein Budget von 10 $/Monat fest und konfigurieren Warnungen bei 50 % / 90 % / 100 % der prognostizierten Ausgaben. Die Warnung wird per E-Mail an die Billing-Konto-Administratoren gesendet (keine zusätzliche Konfiguration für E-Mails erforderlich; für Slack / PagerDuty würden Sie ein Pub/Sub-Thema + Cloud Function-Fanout hinzufügen).

   Ersetzen Sie your-billing-account-id durch Ihre tatsächliche ID. Das Budget ist über den projects-Filter nur auf das aktuelle Projekt beschränkt – die CDL-Prüfung testet diese Unterscheidung zwischen Budget pro Projekt und organisationsweitem Budget.

   Kopieren

   data "google_project" "current" {}
   
   resource "google_billing_budget" "monthly_10" {
     billing_account = "your-billing-account-id" # REPLACE — find via `gcloud beta billing accounts list`
     display_name    = "certlabpro-cdl-$10-monthly"
   
     budget_filter {
       projects = ["projects/${data.google_project.current.number}"]
     }
   
     amount {
       specified_amount {
         currency_code = "USD"
         units         = "10"
       }
     }
   
     threshold_rules {
       threshold_percent = 0.5
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 0.9
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 1.0
       spend_basis       = "CURRENT_SPEND"
     }
   
     depends_on = [google_project_service.budgets]
   }

Bereinigung