Лабораторная работа — PCA Google Cloud Professional Cloud Architect

Обзор

Предварительные требования

Шаги

1. 1.Провайдер, сервисы проекта, именование

   Включите API Compute, GKE, Cloud SQL, Service Networking (для приватного IP Cloud SQL) и Cloud Storage.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-pca"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "compute" {
     service            = "compute.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "container" {
     service            = "container.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "sqladmin" {
     service            = "sqladmin.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "servicenetworking" {
     service            = "servicenetworking.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Построение VPC + Cloud NAT для только исходящего трафика

   Создаваемые ресурсы:

   • VPC
   • Cloud NAT

   Рекомендуемая PCA схема: приватные ВМ / поды не имеют внешних IP-адресов, но все равно нуждаются в доступе к внешним зависимостям (pip / docker / вызовы API). Решением является Cloud NAT — управляемый региональный сервис NAT, который обеспечивает частным ресурсам только исходящий трафик.

   Мы выделяем подсеть /20 с двумя дополнительными диапазонами для GKE (поды + сервисы), развертываем Cloud Router и прикрепляем к нему Cloud NAT.

   Копировать

   resource "google_compute_network" "main" {
     name                    = "certlabpro-pca-vpc"
     auto_create_subnetworks = false
   
     depends_on = [google_project_service.compute]
   }
   
   resource "google_compute_subnetwork" "main" {
     name                     = "certlabpro-pca-subnet"
     ip_cidr_range            = "10.10.0.0/20"
     region                   = "us-central1"
     network                  = google_compute_network.main.id
     private_ip_google_access = true
   
     secondary_ip_range {
       range_name    = "pods"
       ip_cidr_range = "10.20.0.0/14"
     }
   
     secondary_ip_range {
       range_name    = "services"
       ip_cidr_range = "10.24.0.0/20"
     }
   }
   
   resource "google_compute_router" "nat_router" {
     name    = "certlabpro-pca-router"
     region  = "us-central1"
     network = google_compute_network.main.id
   }
   
   resource "google_compute_router_nat" "nat" {
     name                               = "certlabpro-pca-nat"
     router                             = google_compute_router.nat_router.name
     region                             = "us-central1"
     nat_ip_allocate_option             = "AUTO_ONLY"
     source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
   
     log_config {
       enable = true
       filter = "ERRORS_ONLY"
     }
   }

3. 3.Развертывание кластера GKE Autopilot в VPC

   Создаваемые ресурсы:

   • Google Kubernetes Engine

   GKE Autopilot — это рекомендуемый PCA режим GKE — Google управляет пулом узлов, вы платите за потребляемые vCPU/память пода. Сравните с GKE Standard, где вы сами определяете размер и оплачиваете пул узлов. Экзамен PCA проверяет этот компромисс между Autopilot и Standard как повторяющуюся модель управляемого vs. контролируемого.

   Мы включаем VPC-нативный (псевдонимы IP — поды получают IP-адреса из вторичного диапазона на Шаге 2, а не от NAT), частный кластер (IP-адреса узлов частные; панель управления также получает частную конечную точку) и Workload Identity (рекомендуемая PCA схема для аутентификации под → GCP-API — без учетных данных сервисной учетной записи на уровне узла).

   Копировать

   resource "google_container_cluster" "main" {
     name     = "certlabpro-pca-cluster"
     location = "us-central1" # regional Autopilot
   
     enable_autopilot = true
   
     network    = google_compute_network.main.id
     subnetwork = google_compute_subnetwork.main.id
   
     ip_allocation_policy {
       cluster_secondary_range_name  = "pods"
       services_secondary_range_name = "services"
     }
   
     private_cluster_config {
       enable_private_nodes    = true
       enable_private_endpoint = false # public control plane for kubectl access
       master_ipv4_cidr_block  = "172.16.0.0/28"
     }
   
     deletion_protection = false # lab-only
   
     depends_on = [google_project_service.container]
   }

4. 4.Развертывание Cloud SQL Postgres только с приватным IP

   Создаваемые ресурсы:

   • Cloud SQL

   Рекомендуемое PCA подключение к базе данных: приватный IP через пиринг VPC — Cloud SQL развертывается внутри управляемого Google VPC, который устанавливает пиринг с вашим, экземпляр получает приватный IP, и поды достигают его по приватной сети. Cloud SQL с публичным IP — это антишаблон, который проверяется на экзамене PCA.

   Схема: (1) выделите /16 из вашего VPC для использования Service Networking, (2) установите пиринг VPC с servicenetworking.googleapis.com, (3) разверните экземпляр Cloud SQL с ipv4_enabled = false + ссылкой на пиринговую сеть.

   Копировать

   resource "google_compute_global_address" "private_ip_alloc" {
     name          = "certlabpro-pca-sql-peer"
     purpose       = "VPC_PEERING"
     address_type  = "INTERNAL"
     prefix_length = 16
     network       = google_compute_network.main.id
   }
   
   resource "google_service_networking_connection" "sql_peering" {
     network                 = google_compute_network.main.id
     service                 = "servicenetworking.googleapis.com"
     reserved_peering_ranges = [google_compute_global_address.private_ip_alloc.name]
   
     depends_on = [google_project_service.servicenetworking]
   }
   
   resource "google_sql_database_instance" "main" {
     name             = "certlabpro-pca-pg"
     database_version = "POSTGRES_15"
     region           = "us-central1"
   
     settings {
       tier              = "db-perf-optimized-N-2"
       availability_type = "ZONAL" # lab-only; production = REGIONAL
   
       ip_configuration {
         ipv4_enabled    = false
         private_network = google_compute_network.main.id
       }
   
       backup_configuration {
         enabled                        = true
         point_in_time_recovery_enabled = true
       }
     }
   
     deletion_protection = false # lab-only
   
     depends_on = [
       google_service_networking_connection.sql_peering,
       google_project_service.sqladmin,
     ]
   }

5. 5.Размещение корзины Cloud Storage для ресурсов приложения

   Создаваемые ресурсы:

   • Cloud Storage

   Эталонные архитектуры PCA всегда включают корзину Cloud Storage для чего-либо — загрузок, экспорта, данных функций ML, статических веб-ресурсов. Мы добавляем ее сюда: с унифицированным доступом на уровне корзины, с правилом жизненного цикла, перемещающим данные в Nearline через 30 дней.

   С пятью блоками на месте (VPC + NAT, Autopilot GKE, Cloud SQL с приватным IP, корзина GCS) эталонная схема PCA завершена: рабочие нагрузки запускаются в GKE, обмениваются данными с Postgres через приватную сеть, записывают артефакты в GCS, выходят наружу через Cloud NAT.

   Копировать

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_bucket" "app" {
     name                        = "certlabpro-pca-app-${random_id.suffix.hex}"
     location                    = "US"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only
   
     lifecycle_rule {
       condition {
         age = 30
       }
       action {
         type          = "SetStorageClass"
         storage_class = "NEARLINE"
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.storage]
   }

Очистка ресурсов