クイックスタート: Google Cloud のベスト プラクティスとカスタムルールに照らしてワークロードを評価する

ワークロード マネージャーは、ワークロードをスキャンして、標準やベスト プラクティスからの構成の逸脱を検出することで、システムの品質、信頼性、パフォーマンスを向上させます。このクイックスタートでは、 Google Cloud コンソールでワークロード評価を作成して実行し、Google Cloud のベスト プラクティスとカスタムルールに照らしてワークロードを確認します。

始める前に

  1. 評価する Google Cloud リソースがターゲット プロジェクトにすでに作成されていることを確認します。サポートされているリソースとルールのリストについては、Google Cloud のベスト プラクティス リファレンスをご覧ください。
  2. 評価を作成して実行する Google Cloud コンシューマ プロジェクトで、次の API を有効にします。
  3. 省略可: 組み込みの Google Cloud ベスト プラクティスに加えてカスタムルールを含める場合は、GoogleCloudPlatform/workload-manager GitHub リポジトリから、最上位に /lib フォルダと /rules フォルダを含む Cloud Storage バケットにサンプルルールをアップロードします。カスタムルールのアップロードの詳細については、Rego を使用してカスタムルールを作成するをご覧ください。

必要なロール

ワークロード評価を作成して実行するために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

  • 評価を作成して実行する: コンシューマー プロジェクトに対する ワークロード マネージャー評価管理者（roles/workloadmanager.evaluationAdmin）
  • サービス エージェントを作成する（最初の評価のみ）: コンシューマー プロジェクトとターゲット プロジェクトに対するプロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
  • Cloud Asset Inventory データの読み取り: コンシューマ プロジェクトに対する Cloud Asset オーナー（roles/cloudasset.owner）
  • Cloud Storage バケットからカスタムルールを読み取る（省略可）: コンシューマー プロジェクトに対する Storage オブジェクト閲覧者（roles/storage.objectViewer）

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

これらの事前定義ロールには、ワークロード評価の作成と実行に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

ワークロード評価を作成して実行するには、次の権限が必要です。

  • 評価を作成して実行します。
    • コンシューマー プロジェクトに対する workloadmanager.evaluations.create
    • コンシューマー プロジェクトに対する workloadmanager.evaluations.run
  • サービス エージェントを作成する（最初の評価のみ）: コンシューマ プロジェクトとターゲット プロジェクトに対する resourcemanager.projects.setIamPolicy
  • Cloud Asset Inventory データを読み取る: コンシューマ プロジェクトに対する cloudasset.assets.searchAllResources
  • Cloud Storage バケットからカスタムルールを読み取る（省略可）:
    • コンシューマー プロジェクトに対する storage.objects.get
    • コンシューマー プロジェクトに対する storage.objects.list

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

コンシューマー プロジェクトとターゲット プロジェクトで必要なロールの詳細については、評価用のコンシューマー プロジェクトとターゲット プロジェクトの IAM ロールと ワークロード マネージャーの IAM ロールと権限をご覧ください。

ワークロード評価を作成する

Google Cloud コンソールでワークロード評価を作成する手順は次のとおりです。

  1. Google Cloud コンソールで、[ワークロード マネージャー] ページに移動します。

    ワークロード マネージャーに移動
    残りの手順は、 Google Cloud コンソールに表示されます。

  2. 評価を保存して実行する Google Cloud コンシューマ プロジェクトを選択します。
  3. Workload Manager に必要な API を有効にするように求められたら、[有効にする] をクリックします。
  4. [新しい評価] をクリックします。
  5. [名前とルール] ペインで、評価の詳細を構成し、評価するルールを選択します。
    1. [評価名] に「my-custom-evaluation」と入力します。
    2. 省略可: [説明] に、ワークロード評価の説明を入力します。
    3. [ワークロード タイプ] フィールドで、[カスタム] を選択します。
    4. 省略可: 組み込みの Google Cloud ベスト プラクティスに加えてカスタムルールを含めるには、カスタムルールを含む Cloud Storage バケットを選択します。
    5. [ルールの表] で、リソースの検証に使用するベスト プラクティス ルールを選択します。サポートされているルールの詳細については、Google Cloud ベスト プラクティス リファレンスをご覧ください。
  6. [続行] をクリックします。
  7. [スコープとフィルタ] ペインで、ターゲット スコープ、リソース フィルタ、評価リージョンを指定します。
    1. [評価の範囲] セクションで、評価を実行する組織、フォルダ、またはプロジェクトを選択するには、[スコープを参照] をクリックします。
    2. 省略可: ターゲット スコープ間でルールの検出結果を共有するには、[検出結果を共有する] チェックボックスをオンにします。
    3. 省略可: [リソースにフィルタを適用する] セクションで特定のリソースを選択するには、[フィルタを追加] をクリックし、次のいずれかのフィルタタイプを使用します。
      • サービス アカウント: 接続されているサービス アカウントで Compute Engine インスタンスをフィルタします。
      • ラベル: Key-Value ラベルペアでリソースをフィルタします。
      • 名前: リソース ID パターンでリソースをフィルタします。

      同じフィルタタイプ内の複数のフィルタは、OR ロジックを使用します。異なるフィルタタイプをまたぐフィルタでは、AND ロジックを使用します。

    4. [評価データのロケーション] セクションで、ワークロード マネージャーが評価データを保存するリージョンを選択します。
  8. [続行] をクリックします。
  9. [頻度と通知] ペインで、評価スケジュールとアラート通知を構成します。
    1. [スケジュール] セクションで、評価の実行頻度を選択します。
    2. 省略可: [通知] セクションで、アラート通知を受信するイベントを選択し、通知チャンネルを選択します。
  10. [続行] をクリックします。
  11. [確認] ペインで、ワークロード評価の設定を確認します。設定を変更するには、左側のナビゲーションでペイン名をクリックします。
  12. [作成] をクリックします。

ワークロード評価を実行する

Google Cloud コンソールでワークロードの評価をオンデマンドで実行する手順は次のとおりです。

  1. Google Cloud コンソールで、[ワークロード マネージャー] ページに移動します。

    ワークロード マネージャーに移動
    残りの手順は、 Google Cloud コンソールに表示されます。

  2. [my-custom-evaluation] をクリックします。
  3. [評価情報] ページで、[実行] をクリックします。

    ワークロード評価が完了するまで数分ほどかかります。結果を表示する前に、評価の実行が完了するまで待ちます。

クリーンアップ

このクイックスタートで作成した my-custom-evaluation ワークロード評価またはオプションの Cloud Storage バケットが不要になった場合は、削除できます。評価を削除しても、ワークロードには影響しません。評価の削除の詳細については、評価を削除するをご覧ください。

次のステップ