Connessione agli ambienti Google Cloud
Creare e gestire connessioni e risorse descrive le procedure guidate che creano una connessione. Le seguenti informazioni riguardano i dettagli specifici degli ambienti Google Cloud.
Nota:
Prima di creare una connessione agli ambienti Google Cloud, è necessario completare la configurazione dell’account Google Cloud come posizione delle risorse. Vedere Ambienti Google Cloud.
Aggiungere una connessione
Seguire le istruzioni in Creare una connessione e risorse. La seguente descrizione guida l’utente nella configurazione di una connessione di hosting:
-
Da Gestisci > Configurazione, selezionare Hosting nel riquadro sinistro.
-
Selezionare Aggiungi connessione e risorse nella barra delle azioni.
-
Nella pagina Connessione, selezionare Crea una nuova connessione e Strumenti di provisioning Citrix™, quindi selezionare Avanti.
- Tipo di connessione. Selezionare Google Cloud dal menu.
- Nome connessione. Digitare un nome per la connessione.
-
Nella pagina Regione, selezionare un nome di progetto dal menu, selezionare una regione contenente le risorse che si desidera utilizzare, quindi selezionare Avanti.
-
Nella pagina Rete, digitare un nome per le risorse, selezionare una rete virtuale dal menu, selezionare una sottorete, quindi selezionare Avanti. Il nome della risorsa aiuta a identificare la combinazione di regione e rete. Le reti virtuali con il suffisso (Condivisa) aggiunto al loro nome rappresentano VPC condivisi. Se si configura un ruolo IAM a livello di sottorete per un VPC condiviso, solo sottoreti specifiche del VPC condiviso vengono visualizzate nell’elenco delle sottoreti.
Nota:
- Il nome della risorsa può contenere 1-64 caratteri e non può contenere solo spazi vuoti o i caratteri
\ / ; : # . * ? = < > | [ ] { } " ' ( ) ' ).
- Il nome della risorsa può contenere 1-64 caratteri e non può contenere solo spazi vuoti o i caratteri
-
Nella pagina Riepilogo, confermare le informazioni e quindi selezionare Fine per uscire dalla finestra Aggiungi connessione e risorse.
Dopo aver creato la connessione e le risorse, la connessione e le risorse create vengono elencate. Per configurare la connessione, selezionare la connessione e quindi selezionare l’opzione applicabile nella barra delle azioni.
Allo stesso modo, è possibile eliminare, rinominare o testare le risorse create sotto la connessione. Per farlo, selezionare la risorsa sotto la connessione e quindi selezionare l’opzione applicabile nella barra delle azioni.
URL degli endpoint di servizio
È necessario avere accesso ai seguenti URL:
https://oauth2.googleapis.comhttps://cloudresourcemanager.googleapis.comhttps://compute.googleapis.comhttps://storage.googleapis.comhttps://cloudbuild.googleapis.com
Progetti Google Cloud
Esistono fondamentalmente due tipi di progetti Google Cloud:
- Progetto di provisioning: in questo caso, l’account amministratore corrente possiede le macchine sottoposte a provisioning nel progetto. Questo progetto è anche chiamato progetto locale.
- Progetto VPC condiviso: progetto in cui le macchine create nel progetto di provisioning utilizzano il VPC del progetto VPC condiviso. L’account amministratore utilizzato per il progetto di provisioning ha autorizzazioni limitate in questo progetto, in particolare, solo le autorizzazioni per utilizzare il VPC.
Creare un ambiente sicuro per il traffico gestito da GCP
È possibile consentire l’accesso privato di Google ai progetti Google Cloud. Questa implementazione migliora la sicurezza per la gestione dei dati sensibili. Per raggiungere questo obiettivo, è possibile eseguire una delle seguenti operazioni:
-
Includere le seguenti regole di ingresso dei controlli di servizio VPC per l’account di servizio Cloud Build. Se si esegue questo passaggio, non seguire i passaggi seguenti per la creazione di un ambiente sicuro per il traffico gestito da GCP.
Ingress Rule 1 From: Identities: <ProjectID>@cloudbuild.gserviceaccount.com Source > All sources allowed To: Projects = All projects Services = Service name: All services <!--NeedCopy--> -
Se si utilizza un pool di worker privato, aggiungere
UsePrivateWorkerPoolinCustomProperties. Per informazioni sul pool di worker privato, vedere Panoramica dei pool privati.
Requisiti per creare un ambiente sicuro per il traffico gestito da GCP
I requisiti per creare un ambiente sicuro per il traffico gestito da GCP sono:
- Assicurarsi che la connessione di hosting sia in modalità di manutenzione durante l’aggiornamento delle proprietà personalizzate.
- Per utilizzare i pool di worker privati, sono necessarie le seguenti modifiche:
- Per l’account di servizio Citrix Cloud™, aggiungere i seguenti ruoli IAM:
- Account di servizio Cloud Build
- Amministratore istanze Compute
- Utente account di servizio
- Creatore token account di servizio
- Proprietario WorkerPool Cloud Build
- Creare l’account di servizio Citrix Cloud nello stesso progetto utilizzato per la creazione di una connessione di hosting.
-
Configurare le zone DNS per
private.googleapis.comegcr.iocome descritto in Configurazione DNS.
-
Configurare la traduzione degli indirizzi di rete (NAT) privata o utilizzare la connessione di servizio privata. Per ulteriori informazioni, vedere Accedere alle API Google tramite endpoint.
-
Se si utilizza un VPC con peering, creare un peering di zona Cloud DNS al VPC con peering. Per ulteriori informazioni, vedere Creare una zona di peering.
-
Nei controlli di servizio VPC, configurare le regole di uscita in modo che le API e le VM possano comunicare con Internet. Le regole di ingresso sono facoltative. Ad esempio:
Egress Rule 1 From: Identities:ANY_IDENTITY To: Projects = All projects Service = Service name: All services <!--NeedCopy-->
- Per l’account di servizio Citrix Cloud™, aggiungere i seguenti ruoli IAM:
Abilitare il pool di worker privato
Per abilitare il pool di worker privato, impostare le proprietà personalizzate come segue sulla connessione host:
- Aprire una finestra PowerShell dall’host del Delivery Controller o utilizzare l’SDK PowerShell remoto. Per ulteriori informazioni sull’SDK PowerShell remoto, vedere SDK e API.
-
Eseguire i seguenti comandi:
Add-PSSnapin citrix*cd XDHyp:\Connections\dir
- Copiare le
CustomPropertiesdalla connessione a un blocco note. -
Aggiungere l’impostazione della proprietà
<Property xsi:type="StringProperty" Name="UsePrivateWorkerPool" Value="True"/>. Ad esempio:```xml <CustomProperties xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://schemas.citrix.com/2014/xd/machinecreation"> <Property xsi:type="StringProperty" Name="UsePrivateWorkerPool" Value="True"/> </CustomProperties> <!--NeedCopy--> ``` - Nella finestra PowerShell, assegnare una variabile alle proprietà personalizzate modificate. Ad esempio:
$customProperty = '<CustomProperties…</CustomProperties>'. - Eseguire
$gcpServiceAccount = "<INSERIRE QUI L'EMAIL DELL'ACCOUNT DI SERVIZIO>". - Eseguire
$gcpPrivateKey = "<INSERIRE QUI LA CHIAVE PRIVATA DELL'ACCOUNT DI SERVIZIO DOPO AVER RIMOSSO TUTTE LE ISTANZE DI \n >". - Eseguire
$securePassword = ConvertTo-SecureString $gcpPrivateKey -AsPlainText -Force. -
Eseguire quanto segue per aggiornare una connessione host esistente:
Set-Item -PassThru -Path @('XDHyp:\\Connections\\<ENTER YOUR CONNECTION NAME HERE>') -SecurePassword $securePassword -UserName $gcpServiceAccount -CustomProperties $customProperty <!--NeedCopy-->
Specificare la chiave globale e regionale CMEK
Nota:
Il supporto per CMEK in GCP è attualmente in anteprima.
Esistono due tipi di chiavi di crittografia gestite dal cliente (CMEK) in GCP:
- Regionale: chiavi di crittografia che possono essere utilizzate solo da risorse nella stessa regione.
- Globale: chiavi di crittografia che possono essere utilizzate da risorse di più regioni.
È possibile sfogliare e utilizzare chiavi di crittografia gestite dal cliente (CMEK) globali o regionali da tutti i progetti accessibili all’account di servizio. È quindi possibile utilizzare la chiave per creare un catalogo di macchine MCS abilitato per CMEK e aggiornare un catalogo di macchine MCS abilitato per CMEK esistente utilizzando il comando Set-ProvScheme. Per informazioni sulla creazione di un catalogo abilitato per CMEK tramite PowerShell, vedere Creare un catalogo con CMEK utilizzando proprietà personalizzate.
Per questa funzionalità, sono necessarie autorizzazioni aggiuntive per i seguenti due account di servizio:
- L’account di servizio del progetto corrente con cui viene creata la connessione di hosting.
- L’agente di servizio Compute Engine del progetto corrente (che ha l’email:
service-PROJECT_NUMBER@compute-system.iam.gserviceaccount.com). Per ulteriori informazioni, vedere Agente di servizio Compute Engine.
Negli account di servizio, è necessario assegnare i seguenti ruoli nel progetto che contiene le chiavi crittografiche che si desidera utilizzare (ad esempio, progetto condiviso):
- Visualizzatore Cloud KMS
- Crittografatore/Decrittografatore CryptoKey Cloud KMS
Se non si assegnano i ruoli, assicurarsi di disporre delle seguenti autorizzazioni:
- resourcemanager.projects.get
- cloudkms.keyRings.list
- cloudkms.keyRings.get
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.cryptoKeyVersions.useToDecrypt
- cloudkms.cryptoKeyVersions.useToEncrypt
Elencare le chiavi di crittografia
È possibile elencare le chiavi di crittografia globali e regionali all’interno dello stesso progetto e di tutti gli altri progetti accessibili utilizzando i comandi PowerShell. Per fare ciò:
- Aprire una finestra PowerShell dall’host del Delivery Controller™ o da PowerShell remoto.
- Eseguire il comando
asnp citrix*per caricare i moduli PowerShell specifici di Citrix. -
Eseguire il seguente comando per elencare le chiavi di crittografia. Esempio:
-
Per elencare il contenuto della cartella
encryptionKeys:Get-ChildItem XDHyp:\HostingUnits\my-hostingunit\encryptionKeys.folder <!--NeedCopy--> -
Per ottenere le chiavi di crittografia globali all’interno dello stesso progetto:
Get-Item XDHyp:\HostingUnits\my-hostingunit\encryptionKeys.folder\myglobalkeyring.globalkeyring\myglobalkey.cryptokey <!--NeedCopy--> -
Per ottenere le chiavi di crittografia regionali all’interno dello stesso progetto:
Get-Item XDHyp:\HostingUnits\my-hostingunit\encryptionKeys.folder\regional-ring.keyring\shared-key.cryptokey <!--NeedCopy--> -
Per ottenere le chiavi di crittografia globali da un altro progetto accessibile (ad esempio: myanotherproject):
Get-Item XDHyp:\HostingUnits\my-hostingunit\encryptionKeys.folder\myanotherproject.project\shared-global-ring.globalkeyring\shared-key.cryptokey <!--NeedCopy--> -
Per ottenere le chiavi di crittografia regionali da un altro progetto accessibile (ad esempio: myanotherproject):
Get-Item XDHyp:\HostingUnits\my-hostingunit\encryptionKeys.folder\myanotherproject .project.project\shared-uscentral.keyring\shared-uscentral-key.cryptokey <!--NeedCopy-->
-
Nota:
- L’estensione dell’elemento di inventario del portachiavi per un portachiavi globale è
.globalkeyring.- L’ID dei portachiavi globali contiene la parola
global.
Autorizzazioni GCP richieste
Questa sezione contiene l’elenco completo delle autorizzazioni GCP. Utilizzare il set completo di autorizzazioni come indicato nella sezione affinché la funzionalità funzioni correttamente.
Nota:
GCP sta introducendo modifiche al comportamento predefinito e all’uso degli account di servizio di Cloud Build Services dopo il 29 aprile 2024. Per ulteriori informazioni, vedere Modifica dell’account di servizio Cloud Build. I progetti Google esistenti con l’API Cloud Build abilitata prima del 29 aprile 2024 non sono interessati da questa modifica. Tuttavia, se si desidera mantenere il comportamento esistente del servizio Cloud Build dopo il 29 aprile, è possibile creare o applicare la policy dell’organizzazione per disabilitare l’applicazione dei vincoli prima di abilitare l’API. Se si imposta la nuova policy dell’organizzazione, è comunque possibile seguire le autorizzazioni esistenti in questa sezione e gli elementi contrassegnati come Prima della modifica dell’account di servizio Cloud Build. In caso contrario, seguire le autorizzazioni esistenti e gli elementi contrassegnati come Dopo la modifica dell’account di servizio Cloud Build.
Creazione di una connessione host
-
Autorizzazioni minime richieste per l’account di servizio Citrix Cloud nel progetto di provisioning:
compute.instanceTemplates.list compute.instances.list compute.networks.list compute.projects.get compute.regions.list compute.subnetworks.list compute.zones.list resourcemanager.projects.get <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Amministratore Compute
- Utente Cloud Datastore
-
Autorizzazioni aggiuntive richieste per VPC condiviso per l’account di servizio Citrix Cloud nel progetto VPC condiviso:
compute.networks.list compute.subnetworks.list resourcemanager.projects.get <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Utente rete Compute
-
Negli account di servizio, è necessario assegnare i seguenti ruoli nel progetto che contiene le chiavi crittografiche che si desidera utilizzare (ad esempio, progetto condiviso):
- Visualizzatore Cloud KMS
- Crittografatore/Decrittografatore CryptoKey Cloud KMS
Se non si assegnano i ruoli, assicurarsi di disporre delle seguenti autorizzazioni:
- resourcemanager.projects.get
- cloudkms.keyRings.list
- cloudkms.keyRings.get
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.cryptoKeyVersions.useToDecrypt
- cloudkms.cryptoKeyVersions.useToEncrypt
Gestione dell’alimentazione delle VM
Autorizzazioni minime richieste per l’account di servizio Citrix Cloud nel progetto di provisioning in caso di cataloghi gestiti solo per l’alimentazione:
compute.instanceTemplates.list
compute.instances.list
compute.instances.get
compute.instances.reset
compute.instances.resume
compute.instances.start
compute.instances.stop
compute.instances.suspend
compute.networks.list
compute.projects.get
compute.regions.list
compute.subnetworks.list
compute.zones.list
resourcemanager.projects.get
compute.zoneOperations.get
<!--NeedCopy-->
I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Amministratore Compute
- Utente Cloud Datastore
Creazione, aggiornamento o eliminazione di VM
-
Autorizzazioni minime richieste per l’account di servizio Citrix Cloud nel progetto di provisioning:
cloudbuild.builds.create cloudbuild.builds.get cloudbuild.builds.list compute.acceleratorTypes.list compute.diskTypes.get compute.diskTypes.list compute.disks.create compute.disks.createSnapshot compute.disks.delete compute.disks.get compute.disks.list compute.disks.setLabels compute.disks.use compute.disks.useReadOnly compute.firewalls.create compute.firewalls.delete compute.firewalls.list compute.globalOperations.get compute.images.create compute.images.delete compute.images.get compute.images.list compute.images.setLabels compute.images.useReadOnly compute.instanceTemplates.create compute.instanceTemplates.delete compute.instanceTemplates.get compute.instanceTemplates.list compute.instanceTemplates.useReadOnly compute.instances.attachDisk compute.instances.create compute.instances.delete compute.instances.detachDisk compute.instances.get compute.instances.getSerialPortOutput compute.instances.list compute.instances.reset compute.instances.resume compute.instances.setDeletionProtection compute.instances.setLabels compute.instances.setMetadata compute.instances.setServiceAccount compute.instances.setTags compute.instances.start compute.instances.stop compute.instances.suspend compute.machineTypes.get compute.machineTypes.list compute.networks.list compute.networks.updatePolicy compute.nodeGroups.list compute.nodeTemplates.get compute.projects.get compute.regions.list compute.snapshots.create compute.snapshots.delete compute.snapshots.list compute.snapshots.get compute.snapshots.setLabels compute.snapshots.useReadOnly compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.zoneOperations.get compute.zoneOperations.list compute.zones.get compute.zones.list iam.serviceAccounts.actAs resourcemanager.projects.get storage.buckets.create storage.buckets.delete storage.buckets.get storage.buckets.list storage.buckets.update storage.objects.create storage.objects.delete storage.objects.get storage.objects.list compute.networks.get compute.resourcePolicies.use <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Amministratore Compute
- Amministratore Storage
- Editor Cloud Build
- Utente account di servizio
- Utente Cloud Datastore
-
Autorizzazioni aggiuntive richieste per VPC condiviso per l’account di servizio Citrix Cloud nel progetto VPC condiviso per creare un’unità di hosting utilizzando VPC e sottorete dal progetto VPC condiviso:
compute.firewalls.list compute.networks.list compute.projects.get compute.regions.list compute.subnetworks.get compute.subnetworks.list compute.subnetworks.use compute.zones.list resourcemanager.projects.get <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Utente rete Compute
- Utente Cloud Datastore
- (Prima della modifica dell’account di servizio Cloud Build): autorizzazioni minime richieste per l’account di servizio Cloud Build nel progetto di provisioning richieste dal servizio Google Cloud Build durante il download del disco di istruzioni di preparazione su MCS:
-
(Dopo la modifica dell’account di servizio Cloud Build): autorizzazioni minime richieste per l’account di servizio Cloud Compute nel progetto di provisioning richieste dal servizio Google Cloud Compute durante il download del disco di istruzioni di preparazione su MCS:
compute.disks.create compute.disks.delete compute.disks.get compute.disks.list compute.disks.setLabels compute.disks.use compute.disks.useReadOnly compute.images.get compute.images.list compute.images.useReadOnly compute.instances.create compute.instances.delete compute.instances.get compute.instances.getSerialPortOutput compute.instances.list compute.instances.setLabels compute.instances.setMetadata compute.instances.setServiceAccount compute.machineTypes.list compute.networks.get compute.networks.list compute.projects.get compute.subnetworks.list compute.subnetworks.use compute.subnetworks.useExternalIp compute.zoneOperations.get compute.zones.list iam.serviceAccounts.actAs logging.logEntries.create pubsub.topics.publish resourcemanager.projects.get source.repos.get source.repos.list storage.buckets.create storage.buckets.get storage.buckets.list storage.objects.create storage.objects.delete storage.objects.get storage.objects.list <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Account di servizio Cloud Build (dopo la modifica dell’account di servizio Cloud Build, è Account di servizio Cloud Compute)
- Amministratore istanze Compute
- Utente account di servizio
-
Autorizzazioni minime richieste per l’account di servizio Cloud Compute nel progetto di provisioning richieste dal servizio Google Cloud Build durante il download del disco di istruzioni di preparazione su MCS:
resourcemanager.projects.get storage.objects.create storage.objects.get storage.objects.list <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Utente rete Compute
- Utente account Storage
- Utente Cloud Datastore
- (Prima della modifica dell’account di servizio Cloud Build): autorizzazioni aggiuntive richieste per VPC condiviso per l’account di servizio Cloud Build nel progetto di provisioning richieste dal servizio Google Cloud Build durante il download del disco di istruzioni di preparazione su MCS:
-
(Dopo la modifica dell’account di servizio Cloud Build): autorizzazioni aggiuntive richieste per VPC condiviso per l’account di servizio Cloud Compute nel progetto di provisioning richieste dal servizio Google Cloud Compute durante il download del disco di istruzioni di preparazione su MCS:
compute.firewalls.list compute.networks.list compute.subnetworks.list compute.subnetworks.use resourcemanager.projects.get <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Utente rete Compute
- Utente account Storage
- Utente Cloud Datastore
-
Autorizzazioni aggiuntive richieste per Cloud Key Management Service (KMS) per l’account di servizio Citrix Cloud nel progetto di provisioning:
cloudkms.cryptoKeys.get cloudkms.cryptoKeys.list cloudkms.keyRings.get cloudkms.keyRings.list <!--NeedCopy-->I seguenti ruoli definiti da Google hanno le autorizzazioni elencate sopra:
- Visualizzatore Compute KMS
Autorizzazioni generali
Di seguito sono riportate le autorizzazioni per l’account di servizio Citrix Cloud nel progetto di provisioning per tutte le funzionalità supportate in MCS. Queste autorizzazioni offrono la migliore compatibilità per il futuro:
resourcemanager.projects.get
cloudbuild.builds.create
cloudbuild.builds.get
cloudbuild.builds.list
compute.acceleratorTypes.list
compute.diskTypes.get
compute.diskTypes.list
compute.disks.create
compute.disks.createSnapshot
compute.disks.delete
compute.disks.get
compute.disks.setLabels
compute.disks.use
compute.disks.useReadOnly
compute.firewalls.create
compute.firewalls.delete
compute.firewalls.list
compute.globalOperations.get
compute.images.create
compute.images.delete
compute.images.get
compute.images.list
compute.images.setLabels
compute.images.useReadOnly
compute.instanceTemplates.create
compute.instanceTemplates.delete
compute.instanceTemplates.get
compute.instanceTemplates.list
compute.instanceTemplates.useReadOnly
compute.instances.attachDisk
compute.instances.create
compute.instances.delete
compute.instances.detachDisk
compute.instances.get
compute.instances.getSerialPortOutput
compute.instances.list
compute.instances.reset
compute.instances.resume
compute.instances.setDeletionProtection
compute.instances.setLabels
compute.instances.setMetadata
compute.instances.setServiceAccount
compute.instances.setTags
compute.instances.start
compute.instances.stop
compute.instances.suspend
compute.instances.update
compute.instances.updateAccessConfig
compute.instances.updateDisplayDevice
compute.instances.updateSecurity
compute.instances.updateShieldedInstanceConfig
compute.instances.updateShieldedVmConfig
compute.machineTypes.get
compute.machineTypes.list
compute.networks.list
compute.networks.updatePolicy
compute.nodeGroups.list
compute.nodeTemplates.get
compute.projects.get
compute.regions.list
compute.snapshots.create
compute.snapshots.delete
compute.snapshots.list
compute.snapshots.get
compute.snapshots.setLabels
compute.snapshots.useReadOnly
compute.subnetworks.get
compute.subnetworks.list
compute.subnetworks.use
compute.subnetworks.useExternalIp
compute.zoneOperations.get
compute.zoneOperations.list
compute.zones.get
compute.zones.list
resourcemanager.projects.get
storage.buckets.create
storage.buckets.delete
storage.buckets.get
storage.buckets.list
storage.buckets.update
storage.objects.create
storage.objects.delete
storage.objects.get
storage.objects.list
cloudkms.cryptoKeys.get
cloudkms.cryptoKeys.list
cloudkms.keyRings.get
cloudkms.keyRings.list
compute.disks.list
compute.instances.setServiceAccount
compute.networks.get
compute.networks.use
compute.networks.useExternalIp
iam.serviceAccounts.actAs
compute.resourcePolicies.use
cloudkms.cryptoKeyVersions.useToDecrypt
cloudkms.cryptoKeyVersions.useToEncrypt
<!--NeedCopy-->
Dove andare dopo
- Se si è nella fase iniziale del processo di distribuzione, vedere Creare cataloghi di macchine
- Per informazioni specifiche su Google Cloud Platform (GCP), vedere Creare un catalogo Google Cloud Platform