Créez un connecteur dans Google Cloud à partir de BlueXP ou gcloud
Suggérer des modifications
PDF
Un connecteur est un logiciel NetApp exécuté sur votre réseau cloud ou sur site, qui vous permet d'utiliser toutes les fonctionnalités et services BlueXP . Les options d'installation disponibles incluent la création du connecteur dans AWS directement à partir de BlueXP ou à l'aide de gcloud. Pour créer un connecteur dans Google Cloud à partir de BlueXP ou à l'aide de gcloud, vous devez configurer votre réseau, préparer les autorisations Google Cloud, activer les API Google Cloud, puis créer le connecteur.
-
Vous devriez avoir un "Compréhension des connecteurs".
-
Vous devriez passer en revue "Limitations du connecteur".
Étape 1 : configuration du réseau
Configurez votre réseau de manière à ce que Connector puisse gérer les ressources et les processus dans votre environnement de cloud hybride. Par exemple, vous devez vous assurer que les connexions sont disponibles pour les réseaux cibles et que l'accès Internet sortant est disponible.
- VPC et sous-réseau
-
Lorsque vous créez le connecteur, vous devez spécifier le VPC et le sous-réseau sur lesquels le connecteur doit résider.
- Connexions aux réseaux cibles
-
Un connecteur nécessite une connexion réseau à l'emplacement où vous prévoyez de créer et de gérer des environnements de travail. Par exemple, le réseau sur lequel vous prévoyez de créer des systèmes Cloud Volumes ONTAP ou un système de stockage dans votre environnement sur site.
- Accès Internet sortant
-
L'emplacement réseau où vous déployez le connecteur doit disposer d'une connexion Internet sortante pour contacter des points finaux spécifiques.
- Points d'extrémité contactés depuis le connecteur
-
Le connecteur nécessite un accès Internet sortant pour contacter les terminaux suivants afin de gérer les ressources et les processus au sein de votre environnement de cloud public pour les opérations quotidiennes.
Notez que les points finaux répertoriés ci-dessous sont tous des entrées CNAME.
Terminaux Objectif https://www.googleapis.com/compute/v1/
https://compute.googleapis.com/compute/v1
https://cloudresourcemanager.googleapis.com/v1/projects
https://www.googleapis.com/compute/beta
https://storage.googleapis.com/storage/v1
https://www.googleapis.com/storage/v1
https://iam.googleapis.com/v1
https://cloudkms.googleapis.com/v1
https://www.googleapis.com/deploymentmanager/v2/projectsDe gérer des ressources dans Google Cloud.
https://support.netapp.com
https://mysupport.netapp.comPour obtenir des informations sur les licences et envoyer des messages AutoSupport au support NetApp.
https://*.api.BlueXP .NetApp.com https://api.BlueXP .NetApp.com https://*.cloudmanager.cloud.NetApp.com https://cloudmanager.cloud.NetApp.com https://NetApp-cloud-account.auth0.com
Pour fournir des fonctions et des services SaaS dans BlueXP.
Notez que le connecteur est actuellement en contact avec « cloudmanager.cloud.netapp.com", mais il commencera à contacter « api.bluexp.netapp.com" dans une prochaine version.
Choisissez entre deux ensembles de points d'extrémité :
-
Option 1 (recommandée) 1
https://bluexpinfraprod.eastus2.data.azurecr.io https://bluexpinfraprod.azurecr.io
-
Option 2
https://*.blob.core.windows.net https://cloudmanagerinfraprod.azurecr.io
Pour obtenir des images pour les mises à niveau des connecteurs.
1 les noeuds finaux répertoriés dans l'option 1 sont recommandés car ils sont plus sécurisés. Nous vous recommandons de configurer votre pare-feu pour autoriser les points de terminaison répertoriés dans l'option 1, tout en désautorisant les points de terminaison répertoriés dans l'option 2. Notez ce qui suit à propos de ces noeuds finaux :
-
Les points finaux répertoriés dans l'option 1 sont pris en charge à partir de la version 3.9.47 du connecteur. Il n'y a pas de rétrocompatibilité avec les versions précédentes du connecteur.
-
Le connecteur entre d'abord en contact avec les extrémités répertoriées dans l'option 2. Si ces points finaux ne sont pas accessibles, le connecteur entre automatiquement en contact avec les points finaux répertoriés dans l'option 1.
-
Les terminaux de l'option 1 ne sont pas pris en charge si vous utilisez le connecteur avec la sauvegarde et la restauration BlueXP ou la protection contre les ransomwares BlueXP . Dans ce cas, vous pouvez interdire les noeuds finaux répertoriés dans l'option 1, tout en autorisant les noeuds finaux répertoriés dans l'option 2.
-
- Terminaux contactés depuis la console BlueXP
-
Lorsque vous utilisez la console web BlueXP fournie via la couche SaaS, elle contacte plusieurs terminaux pour effectuer les tâches de gestion des données. Cela inclut les terminaux contactés pour déployer le connecteur à partir de la console BlueXP.
- Serveur proxy
-
Si votre entreprise nécessite le déploiement d'un serveur proxy pour tout le trafic Internet sortant, procurez-vous les informations suivantes sur votre proxy HTTP ou HTTPS. Vous devrez fournir ces informations pendant l'installation. Notez que BlueXP ne prend pas en charge les serveurs proxy transparents.
-
Adresse IP
-
Informations d'identification
-
Certificat HTTPS
-
- Ports
-
Il n'y a pas de trafic entrant vers le connecteur, sauf si vous l'initiez ou si le connecteur est utilisé comme proxy pour envoyer des messages AutoSupport de Cloud Volumes ONTAP au support NetApp.
-
HTTP (80) et HTTPS (443) permettent d'accéder à l'interface utilisateur locale que vous utiliserez dans de rares circonstances.
-
SSH (22) n'est nécessaire que si vous devez vous connecter à l'hôte pour le dépannage.
-
Les connexions entrantes via le port 3128 sont requises si vous déployez des systèmes Cloud Volumes ONTAP dans un sous-réseau où aucune connexion Internet sortante n'est disponible.
Si les systèmes Cloud Volumes ONTAP ne disposent pas d'une connexion Internet sortante pour envoyer des messages AutoSupport, BlueXP les configure automatiquement pour qu'ils utilisent un serveur proxy inclus avec le connecteur. La seule condition est de s'assurer que le groupe de sécurité du connecteur autorise les connexions entrantes sur le port 3128. Vous devrez ouvrir ce port après le déploiement du connecteur.
-
- Activez le protocole NTP
-
Si vous prévoyez d'utiliser la classification BlueXP pour analyser vos sources de données d'entreprise, vous devez activer un service NTP (Network Time Protocol) sur le système de connecteur BlueXP et le système de classification BlueXP afin que l'heure soit synchronisée entre les systèmes. "En savoir plus sur la classification BlueXP"
Vous devrez implémenter cette exigence de mise en réseau après avoir créé le connecteur.
Étape 2 : définissez les autorisations nécessaires pour créer le connecteur
Avant de déployer un connecteur à partir de BlueXP ou à l'aide de gcloud, vous devez définir des autorisations pour l'utilisateur Google Cloud qui va déployer la VM Connector.
-
Créez un rôle personnalisé dans Google Cloud :
-
Créez un fichier YAML qui inclut les autorisations suivantes :
title: Connector deployment policy description: Permissions for the user who deploys the Connector from BlueXP stage: GA includedPermissions: - compute.disks.create - compute.disks.get - compute.disks.list - compute.disks.setLabels - compute.disks.use - compute.firewalls.create - compute.firewalls.delete - compute.firewalls.get - compute.firewalls.list - compute.globalOperations.get - compute.images.get - compute.images.getFromFamily - compute.images.list - compute.images.useReadOnly - compute.instances.attachDisk - compute.instances.create - compute.instances.get - compute.instances.list - compute.instances.setDeletionProtection - compute.instances.setLabels - compute.instances.setMachineType - compute.instances.setMetadata - compute.instances.setTags - compute.instances.start - compute.instances.updateDisplayDevice - compute.machineTypes.get - compute.networks.get - compute.networks.list - compute.networks.updatePolicy - compute.projects.get - compute.regions.get - compute.regions.list - compute.subnetworks.get - compute.subnetworks.list - compute.zoneOperations.get - compute.zones.get - compute.zones.list - deploymentmanager.compositeTypes.get - deploymentmanager.compositeTypes.list - deploymentmanager.deployments.create - deploymentmanager.deployments.delete - deploymentmanager.deployments.get - deploymentmanager.deployments.list - deploymentmanager.manifests.get - deploymentmanager.manifests.list - deploymentmanager.operations.get - deploymentmanager.operations.list - deploymentmanager.resources.get - deploymentmanager.resources.list - deploymentmanager.typeProviders.get - deploymentmanager.typeProviders.list - deploymentmanager.types.get - deploymentmanager.types.list - resourcemanager.projects.get - compute.instances.setServiceAccount - iam.serviceAccounts.list -
Dans Google Cloud, activez le shell cloud.
-
Téléchargez le fichier YAML qui inclut les autorisations requises.
-
Créez un rôle personnalisé à l'aide de
gcloud iam roles createcommande.L'exemple suivant crée un rôle nommé « connectorDeployment » au niveau du projet :
Les rôles iam gcloud créent connectDeployment --project=myproject --file=Connector-deployment.yaml
-
-
Attribuez ce rôle personnalisé à l'utilisateur qui va déployer le connecteur à partir de BlueXP ou à l'aide de gcloud.
L'utilisateur Google Cloud dispose désormais des autorisations nécessaires pour créer le connecteur.
Étape 3 : définissez les autorisations pour le connecteur
Un compte de service Google Cloud est requis pour fournir le connecteur avec les autorisations dont BlueXP a besoin pour gérer les ressources dans Google Cloud. Lorsque vous créez le connecteur, vous devez associer ce compte de service à la machine virtuelle Connector.
Il est de votre responsabilité de mettre à jour le rôle personnalisé lorsque de nouvelles autorisations sont ajoutées dans les versions ultérieures. Si de nouvelles autorisations sont requises, elles seront répertoriées dans les notes de version.
-
Créez un rôle personnalisé dans Google Cloud :
-
Créez un fichier YAML qui inclut le contenu du "Autorisations de compte de service pour le connecteur".
-
Dans Google Cloud, activez le shell cloud.
-
Téléchargez le fichier YAML qui inclut les autorisations requises.
-
Créez un rôle personnalisé à l'aide de
gcloud iam roles createcommande.L'exemple suivant crée un rôle nommé « connecteur » au niveau du projet :
gcloud iam roles create connector --project=myproject --file=connector.yaml
-
-
Créer un compte de service dans Google Cloud et attribuer le rôle au compte de service :
-
Dans le service IAM & Admin, sélectionnez comptes de service > Créer un compte de service.
-
Entrez les détails du compte de service et sélectionnez Créer et continuer.
-
Sélectionnez le rôle que vous venez de créer.
-
Terminez les étapes restantes pour créer le rôle.
-
-
Si vous prévoyez de déployer des systèmes Cloud Volumes ONTAP dans différents projets que le projet sur lequel réside le connecteur, vous devrez fournir au compte de service du connecteur l'accès à ces projets.
Disons, par exemple, que le connecteur est dans le projet 1 et que vous voulez créer des systèmes Cloud Volumes ONTAP dans le projet 2. Vous devrez accorder l'accès au compte de service dans le projet 2.
-
Dans le service IAM & Admin, sélectionnez le projet Google Cloud où vous souhaitez créer les systèmes Cloud Volumes ONTAP.
-
Sur la page IAM, sélectionnez accorder accès et fournissez les détails nécessaires.
-
Saisissez l'e-mail du compte de service du connecteur.
-
Sélectionnez le rôle personnalisé du connecteur.
-
Sélectionnez Enregistrer.
-
Pour plus de détails, reportez-vous à "Documentation Google Cloud"
-
Le compte de service de la machine virtuelle Connector est configuré.
Étape 4 : configuration des autorisations VPC partagées
Si vous utilisez un VPC partagé pour déployer des ressources dans un projet de service, vous devrez préparer vos autorisations.
Ce tableau est fourni à titre de référence et votre environnement doit refléter la table des autorisations lorsque la configuration IAM est terminée.
Afficher les autorisations VPC partagées
| Identité | Créateur | Hébergé dans | Autorisations de projet de service | Autorisations de projet hôte | Objectif |
|---|---|---|---|---|---|
Compte Google pour déployer le connecteur |
Personnalisées |
Projet de service |
compute.networkUser |
Déploiement du connecteur dans le projet de service |
|
Connecteur de compte de service |
Personnalisées |
Projet de service |
compute.networkUser |
Déploiement et maintenance de Cloud Volumes ONTAP et des services dans le projet de service |
|
Compte de service Cloud Volumes ONTAP |
Personnalisées |
Projet de service |
storage.admin |
S/O |
(Facultatif) pour le Tiering des données et la sauvegarde et la restauration BlueXP |
Agent de service Google API |
Google Cloud |
Projet de service |
Editeur (par défaut) |
compute.networkUser |
Interagit avec les API Google Cloud pour le compte du déploiement. Permet à BlueXP d'utiliser le réseau partagé. |
Compte de service par défaut Google Compute Engine |
Google Cloud |
Projet de service |
Editeur (par défaut) |
compute.networkUser |
Déploie les instances Google Cloud et l'infrastructure de calcul pour le compte du déploiement. Permet à BlueXP d'utiliser le réseau partagé. |
Remarques :
-
deploymentmanager.Editor est uniquement requis au niveau du projet hôte si vous ne passez pas de règles de pare-feu au déploiement et que vous choisissez de laisser BlueXP les créer pour vous. BlueXP créera un déploiement dans le projet hôte qui contient la règle de pare-feu VPC0 si aucune règle n'est spécifiée.
-
Firewall.create et firewall.delete ne sont nécessaires que si vous ne passez pas de règles de pare-feu au déploiement et que vous choisissez de laisser BlueXP les créer pour vous. Ces autorisations résident dans le fichier .yaml du compte BlueXP. Si vous déployez une paire HA à l'aide d'un VPC partagé, ces autorisations seront utilisées pour créer les règles de pare-feu pour VPC1, 2 et 3. Pour tous les autres déploiements, ces autorisations seront également utilisées pour créer des règles pour VPC0.
-
Pour le Tiering des données, le compte de service de Tiering doit avoir le rôle serviceAccount.user sur le compte de service, et pas seulement au niveau du projet. Actuellement, si vous attribuez serviceAccount.user au niveau du projet, les autorisations ne s'affichent pas lorsque vous interrogez le compte de service avec getIAMPolicy.
Étape 5 : activez les API Google Cloud
Vous devez activer plusieurs API Google Cloud avant de pouvoir déployer le connecteur et Cloud Volumes ONTAP dans Google Cloud.
-
Activez les API Google Cloud suivantes dans votre projet :
-
API Cloud Deployment Manager V2
-
API de journalisation cloud
-
API Cloud Resource Manager
-
API du moteur de calcul
-
API de gestion des identités et des accès
-
API KMS (Cloud Key Management Service
(Requis uniquement si vous prévoyez d'utiliser la sauvegarde et la restauration BlueXP avec des clés de chiffrement gérées par le client (CMEK))
-
Étape 6 : créer le connecteur
Créez un connecteur directement à partir de la console web BlueXP ou à l'aide de gcloud.
La création du connecteur déploie une instance de machine virtuelle dans Google Cloud à l'aide d'une configuration par défaut. Après avoir créé le connecteur, vous ne devez pas passer à une instance de machine virtuelle plus petite qui a moins de CPU ou de RAM. "En savoir plus sur la configuration par défaut du connecteur".
Vous devez disposer des éléments suivants :
-
Les autorisations Google Cloud requises pour créer le connecteur et un compte de service pour la VM Connector.
-
VPC et sous-réseau qui répondent aux exigences réseau.
-
Détails sur un serveur proxy, si un proxy est requis pour accéder à Internet à partir du connecteur.
-
Sélectionnez la liste déroulante Connector et sélectionnez Ajouter un connecteur.
-
Choisissez Google Cloud Platform comme fournisseur de cloud.
-
Sur la page déploiement d'un connecteur, consultez les détails de ce dont vous aurez besoin. Vous avez deux options :
-
Sélectionnez Continuer pour préparer le déploiement à l'aide du guide produit. Chaque étape du guide du produit inclut les informations contenues sur cette page de la documentation.
-
Sélectionnez passer au déploiement si vous êtes déjà préparé en suivant les étapes de cette page.
-
-
Suivez les étapes de l'assistant pour créer le connecteur :
-
Si vous y êtes invité, connectez-vous à votre compte Google, qui devrait disposer des autorisations requises pour créer l'instance de machine virtuelle.
Le formulaire est détenu et hébergé par Google. Vos identifiants ne sont pas fournis à NetApp.
-
Détails : saisissez un nom pour l'instance de machine virtuelle, spécifiez des balises, sélectionnez un projet, puis sélectionnez le compte de service qui dispose des autorisations requises (reportez-vous à la section ci-dessus pour plus de détails).
-
Location : spécifiez une région, une zone, un VPC et un sous-réseau pour l'instance.
-
Réseau : permet d'activer ou non une adresse IP publique et de spécifier éventuellement une configuration proxy.
-
Stratégie de pare-feu : choisissez de créer une nouvelle politique de pare-feu ou de sélectionner une politique de pare-feu existante qui autorise les règles entrantes et sortantes requises.
-
Review : consultez vos sélections pour vérifier que votre configuration est correcte.
-
-
Sélectionnez Ajouter.
L'instance doit être prête dans environ 7 minutes. Vous devez rester sur la page jusqu'à ce que le processus soit terminé.
Une fois le processus terminé, le connecteur est disponible pour être utilisé depuis BlueXP.
Si vous avez des compartiments Google Cloud Storage dans le même compte Google Cloud où vous avez créé le connecteur, un environnement de travail Google Cloud Storage s'affiche automatiquement sur le canevas BlueXP. "Découvrez comment gérer le stockage Google Cloud à partir de BlueXP"
Vous devez disposer des éléments suivants :
-
Les autorisations Google Cloud requises pour créer le connecteur et un compte de service pour la VM Connector.
-
VPC et sous-réseau qui répondent aux exigences réseau.
-
Compréhension des exigences des instances VM.
-
CPU : 8 cœurs ou 8 vCPU
-
RAM: 32 GO
-
Type de machine: Nous recommandons n2-standard-8.
Le connecteur est pris en charge dans Google Cloud sur une instance de machine virtuelle avec un système d'exploitation qui prend en charge les fonctionnalités de machine virtuelle blindée.
-
-
Connectez-vous au SDK gcloud à l'aide de la méthodologie que vous préférez.
Dans nos exemples, nous allons utiliser un shell local avec le SDK gcloud installé, mais vous pouvez utiliser le Google Cloud Shell natif dans la console Google Cloud.
Pour plus d'informations sur le kit de développement logiciel Google Cloud, rendez-vous sur le "Page de documentation du SDK Google Cloud".
-
Vérifiez que vous êtes connecté en tant qu'utilisateur disposant des autorisations requises définies dans la section ci-dessus :
gcloud auth listLe résultat doit indiquer les éléments suivants où le compte d'utilisateur * est le compte d'utilisateur souhaité pour être connecté en tant que :
Credentialed Accounts ACTIVE ACCOUNT some_user_account@domain.com * desired_user_account@domain.com To set the active account, run: $ gcloud config set account `ACCOUNT` Updates are available for some Cloud SDK components. To install them, please run: $ gcloud components update -
Exécutez le
gcloud compute instances createcommande :gcloud compute instances create <instance-name> --machine-type=n2-standard-8 --image-project=netapp-cloudmanager --image-family=cloudmanager --scopes=cloud-platform --project=<project> --service-account=<service-account> --zone=<zone> --no-address --tags <network-tag> --network <network-path> --subnet <subnet-path> --boot-disk-kms-key <kms-key-path>- nom de l'instance
-
Nom d'instance souhaité pour l'instance de VM.
- projet
-
(Facultatif) le projet où vous souhaitez déployer la machine virtuelle.
- compte de service
-
Compte de service spécifié dans la sortie de l'étape 2.
- zone
-
La zone où vous souhaitez déployer la machine virtuelle
- pas d'adresse
-
(Facultatif) aucune adresse IP externe n'est utilisée (vous avez besoin d'un NAT ou d'un proxy cloud pour acheminer le trafic vers l'Internet public)
- balise réseau
-
(Facultatif) Ajouter un marquage réseau pour lier une règle de pare-feu à l'aide de balises à l'instance de connecteur
- chemin du réseau
-
(Facultatif) Ajoutez le nom du réseau dans lequel déployer le connecteur (pour un VPC partagé, vous avez besoin du chemin complet)
- chemin-sous-réseau
-
(Facultatif) Ajouter le nom du sous-réseau dans lequel déployer le connecteur (pour un VPC partagé, vous devez disposer du chemin complet)
- km-key-path
-
(Facultatif) Ajouter une clé KMS pour chiffrer les disques du connecteur (les autorisations IAM doivent également être appliquées)
Pour plus d'informations sur ces indicateurs, visitez le "Documentation du kit de développement logiciel de calcul Google Cloud".
+
L'exécution de la commande déploie le connecteur à l'aide de l'image de référence NetApp. L'instance de connecteur et le logiciel doivent s'exécuter dans environ cinq minutes.
-
Ouvrez un navigateur Web à partir d'un hôte connecté à l'instance Connector et saisissez l'URL suivante :
-
Une fois connecté, configurez le connecteur :
-
Spécifiez l'organisation BlueXP à associer au connecteur.
-
Entrez un nom pour le système.
-
Le connecteur est maintenant installé et configuré avec votre organisation BlueXP .
Ouvrez un navigateur Web et accédez au "Console BlueXP" Pour commencer à utiliser le connecteur avec BlueXP.