Freigegebene VPC konfigurieren

Führen Sie vor dem Hinzufügen der freigegebenen VPC als Hostverbindung in der Oberfläche “Vollständige Konfiguration” von Citrix DaaS die folgenden Schritte aus, um die Dienstkonten aus dem betreffenden Projekt hinzuzufügen:

1. IAM-Rolle erstellen.
2. Ein Dienstkonto zur IAM-Rolle des Hostprojekts hinzufügen
3. Fügen Sie das Cloud-Build-Dienstkonto zur gemeinsamen VPC hinzu.
4. Firewallregeln erstellen.

IAM-Rolle erstellen

Ermitteln Sie die Zugriffsebene der Rolle:

• Zugriff auf Projektebene oder
• Ein eingeschränkteres Modell, das Zugriff auf Subnetzebene verwendet.

Zugriff auf Projektebene für die IAM-Rolle. Weisen Sie einer IAM-Rolle auf Projektebene die folgenden Berechtigungen zu:

• compute.firewalls.list
• compute.networks.list
• compute.subnetworks.list
• compute.subnetworks.use

Führen Sie zum Erstellen einer IAM-Rolle auf Projektebene folgende Schritte aus:

1. Navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > Roles.
2. Wählen Sie CREATE ROLE auf der Seite Roles.
3. Geben Sie auf der Seite Create Role einen Rollennamen ein. Wählen Sie ADD PERMISSIONS.
   1. Fügen Sie auf der Seite Add permissions der Rolle Berechtigungen hinzu. Um eine Berechtigung hinzuzufügen, geben Sie deren Namen in das Feld Filter table ein. Wählen Sie die Berechtigung aus und wählen Sie ADD.
   2. Wählen Sie CREATE.

IAM-Rolle auf Subnetzebene. Bei dieser Rolle werden die Berechtigungen compute.subnetworks.list und compute.subnetworks.use nicht hinzugefügt, nachdem CREATE ROLE ausgewählt wurde. Für diese IAM-Zugriffsebene müssen die Berechtigungen compute.firewalls.list und compute.networks.list auf die neue Rolle angewendet werden.

Führen Sie zum Erstellen einer IAM-Rolle auf Subnetzebene folgende Schritte aus:

1. Navigieren Sie in der Google Cloud-Konsole zu VPC network > Shared VPC. Auf der Seite Shared VPC werden die Subnetze der freigegebenen VPC-Netzwerke des Hostprojekts angezeigt.
2. Wählen Sie auf der Seite Shared VPC das Subnetz aus, auf das Sie zugreifen möchten.
3. Wählen Sie oben rechts ADD MEMBER, um ein Dienstkonto hinzuzufügen.
4. Führen Sie auf der Seite Add members die folgenden Schritte aus:
   1. Geben Sie im Feld New members den Namen des Dienstkontos ein und wählen Sie dann im Menü das Dienstkonto aus.
   2. Wählen Sie das Feld Select a Roll und dann Compute Network User.
   3. Wählen Sie SAVE.
5. Navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > Roles.
6. Wählen Sie CREATE ROLE auf der Seite Roles.
7. Geben Sie auf der Seite Create Role einen Rollennamen ein. Wählen Sie ADD PERMISSIONS.
   1. Fügen Sie auf der Seite Add permissions der Rolle Berechtigungen hinzu. Um eine Berechtigung hinzuzufügen, geben Sie deren Namen in das Feld Filter table ein. Wählen Sie die Berechtigung aus und wählen Sie ADD.
   2. Wählen Sie CREATE.

Hinzufügen eines Dienstkontos zur IAM-Rolle des Hostprojekts

Führen Sie nach dem Erstellen einer IAM-Rolle die folgenden Schritte aus, um ein Dienstkonto für das Hostprojekt hinzuzufügen:

1. Navigieren Sie in der Google Cloud-Konsole zum Hostprojekt und dann zu IAM & Admin > IAM.
2. Wählen Sie auf der Seite IAM die Option ADD, um ein Dienstkonto hinzuzufügen.
3. Führen Sie auf der Seite Add members folgende Schritte aus:
   1. Geben Sie im Feld New members den Namen des Dienstkontos ein und wählen Sie dann im Menü das Dienstkonto aus.
   2. Wählen Sie ein Rollenfeld, geben Sie die erstellte IAM-Rolle ein und wählen Sie dann im Menü die Rolle.
   3. Wählen Sie SAVE.

Das Dienstkonto ist damit für das Hostprojekt konfiguriert.

Cloud Build-Dienstkonto zur freigegebenen VPC hinzufügen

Jedes Google Cloud-Abonnement hat über ein Dienstkonto, dessen Name die Projekt-ID gefolgt von cloudbuild.gserviceaccount ist. Beispiel: 705794712345@cloudbuild.gserviceaccount.

Sie können die Projekt-ID-Nummer für Ihr Projekt ermitteln, indem Sie in der Google Cloud-Konsole zu Cloud Overview > Dashboard navigieren. Die Projekt-ID und die Projektnummer werden auf der Projektinfokarte des Projekt-Dashboards angezeigt:

Zum Hinzufügen des Cloud Build-Dienstkontos zur freigegebenen VPC führen Sie folgende Schritte aus:

1. Navigieren Sie in der Google Cloud-Konsole zum Hostprojekt und dann zu IAM & Admin > IAM.
2. Wählen Sie ADD auf der Seite Permissions, um ein Konto hinzuzufügen.
3. Führen Sie auf der Seite Add members die folgenden Schritte aus:
   1. Geben Sie im Feld New members den Namen des Cloud Build-Kontos ein und wählen Sie dann im Menü das Dienstkonto aus.
   2. Wählen Sie das Feld Select a role aus, geben Sie Computer network user ein und wählen Sie dann die Rolle im Menü aus.
   3. Wählen Sie SAVE.

Erstellen von Firewallregeln

Beim Mastering kopiert MCS das ausgewählte Maschinenabbild und bereitet damit den Masterimage-Systemdatenträger für den Katalog vor. Beim Masterings fügt MCS den Datenträger an eine temporäre virtuelle Maschine an und führt dann Vorbereitungsskripts aus. Die VM muss in einer isolierten Umgebung ausgeführt werden, die jeglichen eingehenden und ausgehenden Netzwerkdatenverkehr verhindert.

Um eine isolierte Umgebung zu erstellen, erfordert MCS zwei Alles-abweisen-Firewallregeln (eine Eingangsregel und eine Ausgangregel). Erstellen Sie daher zwei Firewallregeln (eingehend und ausgehend) im Hostprojekt:

1. Navigieren Sie in der Google Cloud-Konsole zum Hostprojekt und dann zu VPC-Netzwerk > Firewall.
2. Wählen Sie auf der Seite Firewall die Option CREATE FIREWALL RULE.
3. Führen Sie auf der Seite Create a firewall rule die folgenden Schritte aus:
   • Name. Geben Sie einen Namen für die Regel ein.
   • Network. Wählen Sie das freigegebene VPC-Netzwerk aus, für das die Firewallregel für eingehenden Datenverkehr gilt.
   • Priority. Je kleiner der Wert ist, desto höher ist die Priorität der Regel. Citrix empfiehlt einen kleinen Wert (z. B. 10).
   • Direction of traffic. Wählen Sie Ingress.
   • Action on match. Wählen Sie Deny.
   • Targets. Verwenden Sie die Standardeinstellung Specified target tags.
   • Target tags. Geben Sie citrix-provisioning-quarantine-firewall ein.
   • Source filter. Verwenden Sie die Standardeinstellung IP ranges.
   • Source IP ranges. Geben Sie einen Bereich ein, der den gesamten Datenverkehr abdeckt. Geben Sie 0.0.0.0/0 ein.
   • Protocols and ports. Wählen Sie Deny all.
4. Wählen Sie CREATE, um die Regel zu erstellen.
5. Wiederholen Sie die Schritte, um eine weitere Regel zu erstellen. Wählen Sie für Direction of traffic die Option Egress.