ユニットをテナントに関連付ける

このクイックスタートでは、デプロイされた VM ユニットをテナント リソースに関連付け、テナントが所有する専用のテナント プロジェクトに VM をプロビジョニングするように、アプリの提供を変更します。

このアプローチにより、リソースの分離が強化され、テナントごとにリソースを個別に管理し、アプリの提供のセキュリティとコンプライアンスを向上させることができます。

App Lifecycle Manager を使用して MySQL インスタンスをデプロイするクイックスタートのシナリオに基づいて、 デプロイされた VM ユニットをテナント リソースに関連付け、 テナントが所有する専用プロジェクトに VM をプロビジョニングするように変更します。

  1. App Lifecycle Manager でテナント リソースを作成します。
  2. VM をテナント リソースに関連付けます。
  3. リソースを別のテナント プロジェクトにデプロイするように、App Lifecycle Manager と Terraform 構成を構成します。
  4. プロジェクト間のデプロイ時に発生する一般的な権限と API の有効化の問題に対処します。

このクイックスタートを完了すると、複数のテナントを持つアプリの提供の基盤が作成されます。これにより、テナントを作成してユニットに関連付けることで、テナント レベルの構成とポリシーを設定できます。

始める前に

テナントを作成したり、テナントをユニットに関連付けたりする前に、 App Lifecycle Manager エコシステムの基本を理解し、アプリの提供を作成する必要があります。

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

    Verify that billing is enabled for your Google Cloud project.

  2. App Lifecycle Manager を使用して MySQL インスタンスをデプロイします。 これには、Terraform 構成、Artifact Registry リポジトリ、 アプリの提供、ユニットの種類、ユニット、コンポーネント（ terraform-files.zip を含む）の作成が含まれます。

    • クイックスタートの始める前に セクションに記載されている API がプロデューサー プロジェクトで有効になっていることを確認します。
    • 必要なサービス アカウントと IAM ロールがプロデューサー プロジェクト内で付与されていることを確認します。 これには、ユーザーが作成したサービス アカウントと、プロデューサー プロジェクトの service-PROJECT-NUMBER@gcp-sa-saasservicemgmt. アカウントに付与された権限が含まれます。

  3. テナント リソースを作成して関連付ける前に、プロデューサー プロジェクトとテナント プロジェクトを作成する必要があります。 詳細については、 テナント プロジェクトを設定するをご覧ください。

テナント リソースを作成して関連付ける

テナントを使用してユニット リソースをグループ化できます。プロデューサー プロジェクトのアプリの提供でテナント リソースを作成して、顧客を表します。

  1. Google Cloud コンソールで、[App Lifecycle Manager] > [テナント] に移動します。

    [テナント] に移動

  2. [作成] をクリックします。

  3. [テナントの作成] ページの [テナント名] ボックスに「vm-quickstart-tenant」と入力します。

  4. [アプリの提供] ボックスで、vm-quickstart-saas-offering を選択します。

  5. [リージョン] プルダウンで、us-central1 を選択します。

  6. [ユニットを追加] をクリックします。[新しいユニット] セクションが表示されます。

  7. [ユニット] プルダウンで、projects/YOUR-PROJECT-NAME/locations/us-central1/units/vm-quickstart-unit ユニットを選択します。

  8. [完了] をクリックして、vm-quickstart-unit リソースを vm-quickstart-tenant リソースに関連付けます。

  9. [作成] をクリックして、テナント リソースを作成します。 vm-quickstart-tenant リソースが作成され、vm-quickstart-unit リソースに関連付けられました。この 関連付けは、主に Google Cloud コンソール内の組織タグとして機能し、どのユニットがどの テナントに属しているかを識別するのに役立ちます。

テナント リリースを作成する

  1. コンソール Google Cloud で、[App Lifecycle Manager] > [リリース] に移動します。

    [リリース] に移動

  2. [リリース] ページで、[作成] をクリックします。

  3. [リリースの作成] ページの [リリース名] ボックスに「vm-quickstart-tenant-release」と入力します。

  4. [ユニットの種類] ボックスで、vm-quickstart-unit-kind を選択します。[次へ] をクリックします。

  5. [ブループリントを選択] ステップで、[Artifact Registry から既存のイメージを選択する] 切り替えをクリックします。

  6. [ブループリントを保存] ステップで、[参照] をクリックし、vm-quickstart-tenant-blueprint に関連付けられたアーティファクトを選択します。[次へ] をクリックします。

  7. [作成] をクリックします。vm-quickstart-tenant-release リソースが作成されました。

テナント プロジェクトを作成してユニットをデプロイする

App Lifecycle Manager を使用して MySQL インスタンスをデプロイするクイックスタートでは、 App Lifecycle Manager リソースを、アプリの提供構成を含む同じプロジェクトにプロビジョニングします。

このクイックスタートでは、リソースのプロビジョニングをproducer projectではなくtenant projectに転送します。

ユニットのプロビジョニング時に、変更された変数 tenant_project_id と tenant_project_number を渡す必要があります。

  1. terraform-vm.zip ファイルをデプロイするテナント プロジェクトを作成します。

    gcloud projects create quickstart-tenant-project --name="SaaS Tenant A Project"

  2. テナント プロジェクトで API を有効にして IAM ロールを付与します。ユニットをテナント プロジェクトにデプロイするには、Compute Engine API を有効にして、テナント プロジェクトに IAM ロールを付与する必要があります。

テナント プロジェクトで API を有効にする

コンソール Google Cloud を使用して、テナント プロジェクトで Compute Engine API を有効にします。

  1. プロジェクト セレクタに移動します。

    プロジェクト セレクタに移動

  2. [プロジェクトを選択] をクリックします。

  3. quickstart-tenant-project を選択します。

  4. Compute Engine API がまだ有効になっていない場合は、有効にします。

    API を有効にするために必要なロール

    API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を介してこの権限が付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を介してこの権限を取得できます。ロールを付与する方法をご覧ください。

    API の有効化

  5. プロジェクトに次のロールが付与されていることを確認します。 roles/compute.admin

    ロールを確認する

    1. コンソール Google Cloud で、[IAM] ページに移動します。

      IAM に移動
    2. プロジェクトを選択します。

    3. [Principal] 列で、自分または自分が所属するグループを識別する行をすべて見つけます。自分が所属しているグループを確認するには、管理者にお問い合わせください。

    4. 自分を指定または含んでいるすべての行について、[ロール] 列で、 ロールのリストに必要なロールが含まれているかどうかを確認します。

    ロールを付与する

    1. コンソール Google Cloud で、[IAM] ページに移動します。

      IAM に移動
    2. プロジェクトを選択します。
    3. [**アクセス権を付与**] をクリックします。

    4. [新しいプリンシパル] フィールドに、ユーザー ID を入力します。 これは通常、Workforce Identity プール内のユーザーの ID です。詳細については、 IAM ポリシーで Workforce プールユーザーを表すをご覧いただくか、管理者にお問い合わせください。

    5. [**ロールを選択**] をクリックして、ロールを検索します。
    6. 追加のロールを付与するには、 [Add another role] をクリックして各ロールを追加します。
    7. [保存] をクリックします。

テナント プロジェクト変数を使用してユニットをプロビジョニングする

プロデューサー プロジェクトから、テナント プロジェクトの入力変数を使用して新しいユニットをプロビジョニングします。

  1. プロジェクト セレクタに移動します。

    プロジェクト セレクタに移動

  2. [プロジェクトを選択] をクリックします。

  3. プロデューサー プロジェクトを選択します。

  4. コンソール Google Cloud で、[App Lifecycle Manager] > [ユニット] に移動します。

    [ユニット] に移動

  5. vm-quickstart-unit リソースを選択します。

  6. [PROVISION] をクリックします。

  7. vm-quickstart-tenant-release リソースを選択します。

  8. テナント プロジェクトで権限を付与した動作用のサービス アカウント を選択します。

  9. [入力変数] セクションで、次の操作を行います。

    • tenant_project_id 変数は、variables.tf で定義したとおりに表示されます。
    • [テナント プロジェクト ID] ボックスに「quickstart-tenant-project」と入力します。

  10. [PROVISION] をクリックします。

App Lifecycle Manager は、指定された動作用のサービス アカウントを使用して Infrastructure Manager をトリガーします。Infrastructure Manager は tenant_project_id 変数を読み取り、そのテナント プロジェクト内に VM を作成します。

クリーンアップ

このページで使用したリソースについて、 Google Cloud アカウントに課金されないようにするには、 次の手順を実施します。

  1. コンソール Google Cloud で、[**リソースの管理**] ページに移動します。

    [リソースの管理] に移動

  2. プロジェクト リストで、削除するプロジェクトを選択し、[削除] をクリックします。
  3. プロンプトでプロジェクト ID を入力し、[シャットダウン] をクリックします。

次のステップ

  • テナント プロジェクトとリソースを設定する方法について学習する。
  • 変数と変数マッピングを使用して、 高度なアプリの提供のオーケストレーション（リソースの自動 プロビジョニングなど）を行う。