Configurer un VPC partagé

Avant d’ajouter le VPC partagé en tant que connexion hôte dans l’interface Configuration complète de Citrix DaaS, procédez comme suit pour ajouter des comptes de service à partir du projet dans lequel vous avez l’intention de provisionner :

1. Créez un rôle IAM.
2. Ajoutez un compte de service au rôle IAM du projet hôte.
3. Ajoutez le compte de service Cloud Build au VPC partagé.
4. Créez des règles de pare-feu.

Créer un rôle IAM

Déterminez le niveau d’accès du rôle :

• Accès au niveau du projet, ou
• Un modèle plus restreint utilisant un accès au niveau du sous-réseau.

Accès au niveau du projet pour le rôle IAM. Pour le rôle IAM au niveau du projet, vous devez inclure les autorisations suivantes :

• compute.firewalls.list
• compute.networks.list
• compute.subnetworks.list
• compute.subnetworks.use

Pour créer un rôle IAM au niveau du projet :

1. Dans la console Google Cloud, accédez à IAM & Admin > Rôles.
2. Sur la page Rôles, sélectionnez CRÉER UN RÔLE.
3. Sur la page Créer un rôle, spécifiez le nom du rôle. Sélectionnez AJOUTER DES AUTORISATIONS.
   1. Sur la page Ajouter des autorisations, ajoutez des autorisations au rôle, individuellement. Pour ajouter une autorisation, tapez le nom de l’autorisation dans le champ Filtrer le tableau. Sélectionnez l’autorisation, puis sélectionnez AJOUTER.
   2. Sélectionnez Créer.

Rôle IAM au niveau du sous-réseau. Ce rôle omet l’ajout des autorisations compute.subnetworks.list et compute.subnetworks.use après avoir sélectionné CRÉER UN RÔLE. Pour ce niveau d’accès IAM, les autorisations compute.firewalls.list et compute.networks.list doivent être appliquées au nouveau rôle.

Pour créer un rôle IAM au niveau du sous-réseau :

1. Dans la console Google Cloud, accédez à Réseau VPC > VPC partagé. La page VPC partagé apparaît et affiche les sous-réseaux des réseaux VPC partagés contenus dans le projet hôte.
2. Sur la page VPC partagé, sélectionnez le sous-réseau auquel vous souhaitez accéder.
3. Dans l’angle supérieur droit, sélectionnez AJOUTER UN MEMBRE pour ajouter un compte de service.
4. Sur la page Add members, procédez comme suit :
   1. Dans le champ New members, tapez le nom de votre compte de service, puis sélectionnez votre compte de service dans le menu.
   2. Sélectionnez le champ Sélectionner un rôle, puis Utilisateur de réseau Compute.
   3. Sélectionnez Enregistrer.
5. Dans la console Google Cloud, accédez à IAM & Admin > Rôles.
6. Sur la page Rôles, sélectionnez CRÉER UN RÔLE.
7. Sur la page Créer un rôle, spécifiez le nom du rôle. Sélectionnez AJOUTER DES AUTORISATIONS.
   1. Sur la page Ajouter des autorisations, ajoutez des autorisations au rôle, individuellement. Pour ajouter une autorisation, tapez le nom de l’autorisation dans le champ Filtrer le tableau. Sélectionnez l’autorisation, puis sélectionnez AJOUTER.
   2. Sélectionnez Créer.

Ajouter un compte de service au rôle IAM du projet hôte

Après avoir créé un rôle IAM, effectuez les étapes suivantes pour ajouter un compte de service pour le projet hôte :

1. Dans la console Google Cloud, accédez au projet hôte, puis à IAM & Admin > IAM.
2. Sur la page IAM, sélectionnez AJOUTER pour ajouter un compte de service.
3. Sur la page Ajouter des membres :
   1. Dans le champ New members, tapez le nom de votre compte de service, puis sélectionnez votre compte de service dans le menu.
   2. Sélectionnez un rôle, tapez le rôle IAM que vous avez créé, puis cliquez sur le rôle dans le menu.
   3. Sélectionnez Enregistrer.

Le compte de service est maintenant configuré pour le projet hôte.

Ajouter le compte de service Cloud Build au VPC partagé

Chaque abonnement Google Cloud comporte un compte de service nommé d’après le numéro d’ID du projet, suivi de cloudbuild.gserviceaccount. Par exemple : 705794712345@cloudbuild.gserviceaccount.

Vous pouvez déterminer le numéro d’identification de votre projet en accédant à Aperçu du Cloud > Tableau de bord dans la console Google Cloud. L’identifiant et le numéro du projet sont affichés sur la carte d’information du projet du tableau de bord du projet :

Procédez comme suit pour ajouter le compte de service Cloud Build au VPC partagé :

1. Dans la console Google Cloud, accédez au projet hôte, puis à IAM & Admin > IAM.
2. Sur la page Autorisations, sélectionnez AJOUTER pour ajouter un compte.
3. Sur la page Add members, procédez comme suit :
   1. Dans le champ Nouveaux membres, tapez le nom du compte de service Cloud Build, puis sélectionnez votre compte de service dans le menu.
   2. Sélectionnez le champ Sélectionner un rôle, entrez Computer Network User, puis sélectionnez le rôle dans le menu.
   3. Sélectionnez Enregistrer.

Créer des règles de pare-feu

Dans le cadre du processus de création d’image principale, MCS copie l’image machine sélectionnée et l’utilise pour préparer le disque système d’image principale pour le catalogue. Pendant la création d’image principale, MCS attache le disque à une machine virtuelle temporaire, qui exécute ensuite des scripts de préparation. Cette machine virtuelle doit s’exécuter dans un environnement isolé qui interdit tout trafic réseau entrant et sortant.

Pour créer un environnement isolé, MCS nécessite deux règles de pare-feu deny all (une règle d’entrée et une règle de sortie). Par conséquent, créez deux règles de pare-feu (une pour l’entrée, une pour la sortie) dans le projet hôte comme suit :

1. Dans la console Google Cloud, accédez au projet hôte, puis à Réseau VPC > Pare-feu.
2. Sur la page Pare-feu, sélectionnez Créer une règle de pare-feu.
3. Sur la page Créer une règle de pare-feu, procédez comme suit :
   • Nom. Tapez un nom pour la règle.
   • Réseau. Sélectionnez le réseau VPC partagé auquel la règle de pare-feu d’entrée s’applique.
   • Priorité. Plus la valeur est petite, plus la priorité de la règle est élevée. Nous recommandons une valeur peu élevée (par exemple, 10).
   • Sens du trafic. Sélectionnez Entrée.
   • Action en cas de correspondance. Sélectionnez Refuser.
   • Cibles. Utilisez Tags cibles spécifiés par défaut.
   • Tags cibles. Entrez citrix-provisioning-quarantine-firewall.
   • Filtre source. Utilisez Plages d’adresses IP par défaut.
   • Plages d’adresses IP sources. Tapez une plage qui correspond à tout le trafic. Entrez 0.0.0.0/0.
   • Protocoles et ports. Sélectionnez Tout refuser.
4. Sélectionnez CRÉER pour créer la règle.
5. Répétez ces étapes pour créer une autre règle. Pour Sens du trafic, sélectionnez Sortie.