Skip to main content
NetApp Console setup and administration
简体中文版经机器翻译而成，仅供参考。如与英语版出现任何冲突，应以英语版为准。

通过NetApp控制台在 Google Cloud 中创建控制台代理

贡献者 netapp-tonias
PDF

您可以从控制台在 Google Cloud 中创建控制台代理。您需要设置网络、准备 Google Cloud 权限、启用 Google Cloud API，然后创建控制台代理。

开始之前

步骤 1：设置网络

设置网络以确保控制台代理可以管理资源，并连接到目标网络和出站互联网访问。

VPC 和子网

创建控制台代理时，您需要指定它所在的 VPC 和子网。

连接到目标网络

控制台代理需要与您计划创建和管理系统的位置建立网络连接。例如，您计划在本地环境中创建Cloud Volumes ONTAP系统或存储系统的网络。

出站互联网访问

部署控制台代理的网络位置必须具有出站互联网连接才能联系特定端点。

从控制台代理联系的端点

控制台代理需要出站互联网访问来联系以下端点，以管理公共云环境中的资源和流程以进行日常操作。

下面列出的端点都是 CNAME 条目。

端点 目的

\ https://www.googleapis.com/compute/v1/ \ https://compute.googleapis.com/compute/v1 \ https://cloudresourcemanager.googleapis.com/v1/projects \ https://www.googleapis.com/compute/beta \ https://storage.googleapis.com/storage/v1 \ https://www.googleapis.com/storage/v1 \ https://iam.googleapis.com/v1 \ https://cloudkms.googleapis.com/v1 \ https://www.googleapis.com/deploymentmanager/v2/projects

管理 Google Cloud 中的资源。

\ https://mysupport.netapp.com

获取许可信息并向NetApp支持发送AutoSupport消息。

\ https://support.netapp.com

获取许可信息并向NetApp支持发送AutoSupport消息。

\ https://signin.b2c.netapp.com

更新NetApp支持站点 (NSS) 凭据或将新的 NSS 凭据添加到NetApp控制台。

\ https://api.bluexp.netapp.com \ https://netapp-cloud-account.auth0.com \ https://netapp-cloud-account.us.auth0.com \ https://console.netapp.com \ https://components.console.bluexp.netapp.com \ https://cdn.auth0.com

在NetApp控制台中提供功能和服务。

\ https://bluexpinfraprod.eastus2.data.azurecr.io \ https://bluexpinfraprod.azurecr.io

获取控制台代理升级的图像。

  • 当您部署新代理时，验证检查会测试与当前端点的连接。如果你使用"先前的端点"，验证检查失败。为了避免此失败，请跳过验证检查。

    尽管以前的端点仍然受支持，但NetApp建议尽快将防火墙规则更新到当前端点。"了解如何更新终端节点列表" 。

  • 当您更新到防火墙中的当前端点时，您现有的代理将继续工作。
从NetApp控制台联系的端点

当您使用通过 SaaS 层提供的基于 Web 的NetApp控制台时，它会联系多个端点来完成数据管理任务。这包括从控制台联系以部署控制台代理的端点。

"查看从NetApp控制台联系的端点列表" 。

代理服务器

NetApp支持显式和透明代理配置。如果您使用透明代理，则只需要提供代理服务器的证书。如果您使用显式代理，您还需要 IP 地址和凭据。

  • IP 地址

  • 凭据

  • HTTPS 证书

端口

除非您启动它或将其用作代理将AutoSupport消息从Cloud Volumes ONTAP发送到NetApp支持，否则控制台代理不会有传入流量。

  • HTTP（80）和 HTTPS（443）提供对本地 UI 的访问，您会在极少数情况下使用它们。

  • 仅当需要连接到主机进行故障排除时才需要 SSH（22）。

  • 如果您在没有出站互联网连接的子网中部署Cloud Volumes ONTAP系统，则需要通过端口 3128 建立入站连接。

    如果Cloud Volumes ONTAP系统没有出站互联网连接来发送AutoSupport消息，控制台会自动配置这些系统以使用控制台代理附带的代理服务器。唯一的要求是确保控制台代理的安全组允许通过端口 3128 进行入站连接。部署控制台代理后，您需要打开此端口。

启用 NTP

如果您计划使用NetApp数据分类来扫描公司数据源，则应在控制台代理和NetApp数据分类系统上启用网络时间协议 (NTP) 服务，以便系统之间的时间同步。 "了解有关NetApp数据分类的更多信息"

创建控制台代理后实现此网络需求。

步骤 2：设置权限以创建控制台代理

在从控制台部署控制台代理之前，您需要为部署控制台代理 VM 的 Google 平台用户设置权限。

步骤

  1. 在 Google 平台中创建自定义角色：

    1. 创建包含以下权限的 YAML 文件：

      title: Console agent deployment policy
description: Permissions for the user who deploys the Console agent
stage: GA
includedPermissions:
- compute.disks.create
- compute.disks.get
- compute.disks.list
- compute.disks.setLabels
- compute.disks.use
- compute.firewalls.create
- compute.firewalls.delete
- compute.firewalls.get
- compute.firewalls.list
- compute.globalOperations.get
- compute.images.get
- compute.images.getFromFamily
- compute.images.list
- compute.images.useReadOnly
- compute.instances.attachDisk
- compute.instances.create
- compute.instances.get
- compute.instances.list
- compute.instances.setDeletionProtection
- compute.instances.setLabels
- compute.instances.setMachineType
- compute.instances.setMetadata
- compute.instances.setTags
- compute.instances.start
- compute.instances.updateDisplayDevice
- compute.machineTypes.get
- compute.networks.get
- compute.networks.list
- compute.networks.updatePolicy
- compute.projects.get
- compute.regions.get
- compute.regions.list
- compute.subnetworks.get
- compute.subnetworks.list
- compute.zoneOperations.get
- compute.zones.get
- compute.zones.list
- deploymentmanager.compositeTypes.get
- deploymentmanager.compositeTypes.list
- deploymentmanager.deployments.create
- deploymentmanager.deployments.delete
- deploymentmanager.deployments.get
- deploymentmanager.deployments.list
- deploymentmanager.manifests.get
- deploymentmanager.manifests.list
- deploymentmanager.operations.get
- deploymentmanager.operations.list
- deploymentmanager.resources.get
- deploymentmanager.resources.list
- deploymentmanager.typeProviders.get
- deploymentmanager.typeProviders.list
- deploymentmanager.types.get
- deploymentmanager.types.list
- resourcemanager.projects.get
- compute.instances.setServiceAccount
- iam.serviceAccounts.list

    2. 从 Google Cloud 激活云壳。

    3. 上传包含所需权限的 YAML 文件。

    4. 使用创建自定义角色 `gcloud iam roles create`命令。

      以下示例在项目级别创建一个名为“connectorDeployment”的角色：

      gcloud iam 角色创建 connectorDeployment --project=myproject --file=connector-deployment.yaml

    "Google Cloud 文档：创建和管理自定义角色"

  2. 将此自定义角色分配给将从控制台或使用 gcloud 部署控制台代理的用户。

    "Google Cloud 文档：授予单个角色"

步骤 3：设置控制台代理操作的权限

需要一个 Google Cloud 服务帐号来向控制台代理提供控制台管理 Google Cloud 中的资源所需的权限。创建控制台代理时，您需要将此服务帐户与控制台代理 VM 关联。

在后续版本中添加新权限时，您有责任更新自定义角色。如果需要新的权限，它们将在发行说明中列出。

步骤

  1. 在 Google Cloud 中创建自定义角色：

    1. 创建一个包含以下内容的 YAML 文件"控制台代理的服务帐户权限"。

    2. 从 Google Cloud 激活云壳。

    3. 上传包含所需权限的 YAML 文件。

    4. 使用创建自定义角色 `gcloud iam roles create`命令。

      以下示例在项目级别创建一个名为“connector”的角色：

      gcloud iam roles create connector --project=myproject --file=connector.yaml

    "Google Cloud 文档：创建和管理自定义角色"

  2. 在 Google Cloud 中创建服务帐号并将角色分配给该服务帐号：

    1. 从 IAM 和管理服务中，选择 服务帐户 > 创建服务帐户。

    2. 输入服务帐户详细信息并选择*创建并继续*。

    3. 选择您刚刚创建的角色。

    4. 完成剩余步骤以创建角色。

      "Google Cloud 文档：创建服务帐号"

  3. 如果您计划在与控制台代理所在项目不同的项目中部署Cloud Volumes ONTAP系统，则需要为控制台代理的服务帐户提供对这些项目的访问权限。

    例如，假设控制台代理位于项目 1 中，而您想要在项目 2 中创建Cloud Volumes ONTAP系统。您需要授予项目 2 中的服务帐户访问权限。

    1. 从 IAM 和管理服务中，选择您想要创建Cloud Volumes ONTAP系统的 Google Cloud 项目。

    2. 在 IAM 页面上，选择 授予访问权限 并提供所需的详细信息。

      • 输入控制台代理服务帐户的电子邮件。

      • 选择控制台代理的自定义角色。

      • 选择*保存*。

    有关详细信息，请参阅 "Google Cloud 文档"

步骤 4：设置共享 VPC 权限

如果您使用共享 VPC 将资源部署到服务项目中，则需要准备好您的权限。

此表仅供参考，当 IAM 配置完成时，您的环境应该反映权限表。

查看共享 VPC 权限
身份 创造者 主办地点 服务项目权限 宿主项目权限 目的

Google 帐户部署代理

自定义

服务项目

"代理部署策略"

计算.网络用户

在服务项目中部署代理

代理服务账户

自定义

服务项目

"代理服务帐户策略"

计算.网络用户部署管理器.编辑器

部署和维护服务项目中的Cloud Volumes ONTAP和服务

Cloud Volumes ONTAP服务帐户

自定义

服务项目

storage.admin 成员： NetApp Console 服务帐户作为 serviceAccount.user

不适用

（可选）适用于NetApp Cloud Tiering 和NetApp Backup and Recovery

Google API 服务代理

Google Cloud

服务项目

（默认）编辑器

计算.网络用户

代表部署与 Google Cloud API 进行交互。允许控制台使用共享网络。

Google Compute Engine 默认服务帐户

Google Cloud

服务项目

（默认）编辑器

计算.网络用户

代表部署部署 Google Cloud 实例和计算基础架构。允许控制台使用共享网络。

注：

  1. 如果您没有将防火墙规则传递给部署并选择让控制台为您创建规则，则仅主机项目才需要 deploymentmanager.editor。如果未指定规则， NetApp控制台将在主机项目中创建一个包含 VPC0 防火墙规则的部署。

  2. 仅当您未将防火墙规则传递给部署并选择让控制台为您创建它们时，才需要firewall.create 和firewall.delete。这些权限位于控制台帐户 .yaml 文件中。如果您使用共享 VPC 部署 HA 对，这些权限将用于为 VPC1、2 和 3 创建防火墙规则。对于所有其他部署，这些权限也将用于为 VPC0 创建规则。

  3. 对于 Cloud Tiering，分层服务帐户必须在服务帐户上具有 serviceAccount.user 角色，而不仅仅是在项目级别。目前，如果您在项目级别分配 serviceAccount.user，则使用 getIAMPolicy 查询服务帐户时不会显示权限。

步骤 5：启用 Google Cloud API

在部署控制台代理和Cloud Volumes ONTAP之前，您必须启用多个 Google Cloud API。

步骤

  1. 在您的项目中启用以下 Google Cloud API：

    • 云部署管理器 V2 API

    • 云日志 API

    • 云资源管理器 API

    • 计算引擎 API

    • 身份和访问管理 (IAM) API

    • 云密钥管理服务 (KMS) API

      （仅当您计划将NetApp Backup and Recovery 与客户管理加密密钥 (CMEK) 结合使用时才需要）

"Google Cloud 文档：启用 API"

步骤 6：创建控制台代理

直接从控制台创建控制台代理。

关于此任务

创建控制台代理会使用默认配置在 Google Cloud 中部署虚拟机实例。创建控制台代理后，请勿切换到具有较少 CPU 或较少 RAM 的较小 VM 实例。"了解控制台代理的默认配置" 。

开始之前

您应该具有以下内容：

  • 创建控制台代理所需的 Google Cloud 权限以及控制台代理虚拟机的服务帐号。

  • 满足组网需求的VPC及子网。

  • 如果控制台代理需要代理才能访问互联网，则提供有关代理服务器的详细信息。

步骤

  1. 选择“管理 > 代理”。

  2. 在“概览”页面上，选择“部署代理”>“Google Cloud”

  3. 在*部署代理*页面上，查看您需要的详细信息。您有两个选择：

    1. 选择“继续”以使用产品内指南准备部署。产品内指南中的每个步骤都包含文档此页面上的信息。

    2. 如果您已按照此页面上的步骤做好准备，请选择“跳至部署”。

  4. 按照向导中的步骤创建控制台代理：

    • 如果出现提示，请登录您的 Google 帐户，该帐户应该具有创建虚拟机实例所需的权限。

      该表单由 Google 拥有并托管。您的凭据未提供给NetApp。

    • 详细信息：输入虚拟机实例的名称，指定标签，选择项目，然后选择具有所需权限的服务帐户（有关详细信息，请参阅上面的部分）。

    • 位置：指定实例的区域、区域、VPC 和子网。

    • 网络：选择是否启用公共 IP 地址并选择性地指定代理配置。

    • 网络标签：如果使用透明代理，则向控制台代理实例添加网络标签。网络标签必须以小写字母开头，并且可以包含小写字母、数字和连字符。标签必须以小写字母或数字结尾。例如，您可以使用标签“console-agent-proxy”。

    • 防火墙策略：选择是否创建新的防火墙策略，或者是否选择允许所需入站和出站规则的现有防火墙策略。

      "Google Cloud 中的防火墙规则"

  5. 检查您的选择以验证您的设置是否正确。

    1. 默认情况下，*验证代理配置*复选框处于选中状态，以便控制台在您部署时验证网络连接要求。如果控制台无法部署代理，它会提供一份报告来帮助您排除故障。如果部署成功，则不会提供报告。

    如果您仍在使用"先前的端点"用于代理升级，验证失败并出现错误。为了避免这种情况，请取消选中复选框以跳过验证检查。

  6. 选择“添加”。

    实例大约需要 10 分钟才能准备就绪；请停留在页面上直到该过程完成。

结果

该过程完成后，控制台代理即可使用。

备注 如果部署失败，您可以从控制台下载报告和日志来帮助您解决问题。"了解如何解决安装问题。"

如果您在创建控制台代理的同一 Google Cloud 帐户中拥有 Google Cloud Storage 存储桶，您将看到 Google Cloud Storage 系统自动出现在 Systems 页面上。 "了解如何通过控制台管理 Google 云端存储"