动手实验室 — CDL Google Cloud Digital Leader

概述

先决条件

步骤

1. 1.提供商、项目服务、命名

   GCP 要求在配置资源之前显式启用项目服务 (API)。我们启用了 storage.googleapis.com（用于第 2 步）和 billingbudgets.googleapis.com（用于第 4 步）。与 AWS 中 API 界面始终开启不同，GCP 要求您按项目选择启用。

   将 your-project-id 替换为您的实际项目 ID。

   复制

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE with your GCP project ID
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-cdl"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "storage" {
     service            = "storage.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "budgets" {
     service            = "billingbudgets.googleapis.com"
     disable_on_destroy = false
   }

2. 2.预置具有统一访问权限和生命周期管理的 Cloud Storage 桶

   配置服务：

   • Cloud Storage

   Cloud Storage 是 GCP 中与 S3 等效的对象存储服务，提供区域级、多区域级和双区域级复制选项。CDL 考试会反复测试“选择哪种存储类别”的问题：标准（热存储）、近线（>30 天）、冷线（>90 天）、归档（>365 天）。

   我们启用了统一桶级访问权限（CDL 推荐的安全默认设置——禁用细粒度的对象级 ACL，转而仅使用 IAM）以及一个 30 天 → 近线的生命周期转换规则。桶名称在所有 GCP 中必须是全局唯一的——我们使用随机十六进制后缀。

   复制

   resource "random_id" "suffix" {
     byte_length = 4
   }
   
   resource "google_storage_bucket" "main" {
     name                        = "certlabpro-cdl-${random_id.suffix.hex}"
     location                    = "US"
     uniform_bucket_level_access = true
     force_destroy               = true # lab-only — never in production
   
     lifecycle_rule {
       condition {
         age = 30
       }
       action {
         type          = "SetStorageClass"
         storage_class = "NEARLINE"
       }
     }
   
     labels = local.labels
   
     depends_on = [google_project_service.storage]
   }

3. 3.启用 Cloud Logging 作为通用审计框架

   配置服务：

   • Cloud Logging

   GCP 的 Cloud Logging 默认对大多数服务启用——但 CDL 考试会测试 必需 与 默认 与 数据访问 审计日志的区别。必需审计日志（管理员活动）始终开启、免费且无法禁用。默认日志（某些服务的数据写入）默认开启但可以禁用。数据访问日志（数据读取）默认关闭——必须显式启用并正常计费。

   我们为 Cloud Storage 启用数据访问日志，以便第 2 步中桶内每个对象的每次读取都会记录到 Cloud Logging 中。本实验是 iam-audit-config 原语的演示；生产部署通过 [[gcp-pcse]] 模式在组织级别使用此模式。

   复制

   resource "google_project_iam_audit_config" "storage_data_access" {
     service = "storage.googleapis.com"
   
     audit_log_config {
       log_type = "DATA_READ"
     }
   
     audit_log_config {
       log_type = "DATA_WRITE"
     }
   }

4. 4.配置 Cloud Billing 预算，在超出阈值时发送电子邮件

   配置服务：

   • Cloud Billing

   CDL 考试非常喜欢这种模式——Cloud Billing 预算 + 警报是 CDL 考试中关于成本控制的常见题型。我们设置每月 10 美元的预算，并配置在预测支出的 50% / 90% / 100% 时发出警报。警报会通过电子邮件发送给计费账户管理员（电子邮件无需额外配置；对于 Slack / PagerDuty，您需要添加 Pub/Sub 主题 + Cloud Function 扇出）。

   将 your-billing-account-id 替换为您的实际 ID。预算通过 projects 筛选器仅限于当前项目——CDL 考试会测试这种按项目预算与组织范围预算的区别。

   复制

   data "google_project" "current" {}
   
   resource "google_billing_budget" "monthly_10" {
     billing_account = "your-billing-account-id" # REPLACE — find via `gcloud beta billing accounts list`
     display_name    = "certlabpro-cdl-$10-monthly"
   
     budget_filter {
       projects = ["projects/${data.google_project.current.number}"]
     }
   
     amount {
       specified_amount {
         currency_code = "USD"
         units         = "10"
       }
     }
   
     threshold_rules {
       threshold_percent = 0.5
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 0.9
       spend_basis       = "FORECASTED_SPEND"
     }
   
     threshold_rules {
       threshold_percent = 1.0
       spend_basis       = "CURRENT_SPEND"
     }
   
     depends_on = [google_project_service.budgets]
   }

清理