GSP016

概要

このラボでは、Google Cloud（Compute Engine インスタンスを含む）で基本的なネットワーク構築作業を実行する方法と、Google Cloud 環境とオンプレミス環境との違いについて学びます。1 つのネットワークと 3 つのサブネットワークを作成し、最終的に次のような環境にします。

最後に、ファイアウォール ルールを作成し、インスタンス タグを使用して各ファイアウォール ルールを適用する方法について説明します。

学習内容

• Google Cloud ネットワークの基本コンセプトと構造
• デフォルト ネットワークとユーザー作成ネットワークの構成方法
• ファイアウォール ルールを作成し、インスタンス タグを使用してファイアウォール ルールを適用する方法

設定と要件

[ラボを開始] ボタンをクリックする前に

こちらの説明をお読みください。ラボには時間制限があり、一時停止することはできません。タイマーは、Google Cloud のリソースを利用できる時間を示しており、[ラボを開始] をクリックするとスタートします。

このハンズオンラボでは、シミュレーションやデモ環境ではなく実際のクラウド環境を使って、ラボのアクティビティを行います。そのため、ラボの受講中に Google Cloud にログインおよびアクセスするための、新しい一時的な認証情報が提供されます。

このラボを完了するためには、下記が必要です。

• 標準的なインターネット ブラウザ（Chrome を推奨）

注: このラボの実行には、シークレット モード（推奨）またはシークレット ブラウジング ウィンドウを使用してください。これにより、個人アカウントと受講者アカウント間の競合を防ぎ、個人アカウントに追加料金が発生しないようにすることができます。

• ラボを完了するための時間（開始後は一時停止できません）

注: このラボでは、受講者アカウントのみを使用してください。別の Google Cloud アカウントを使用すると、そのアカウントに料金が発生する可能性があります。

ラボを開始して Google Cloud コンソールにログインする方法

1. [ラボを開始] ボタンをクリックします。ラボの料金をお支払いいただく必要がある場合は、表示されるダイアログでお支払い方法を選択してください。 右側の [ラボの設定とアクセス] パネルには、以下が表示されます。

   • [Google Cloud コンソールを開く] ボタン
   • このラボで使用する一時的な認証情報（ユーザー名とパスワード）
   • このラボを行うために必要なその他の情報（ある場合）

   ラボのタイマーはページの上部に表示され、残り時間が示されます。

2. [Google Cloud コンソールを開く] をクリックします（Chrome ブラウザを使用している場合は、右クリックして [シークレット ウィンドウで開く] を選択します）。

   ラボでリソースがスピンアップし、別のタブで [ログイン] ページが表示されます。

   ヒント: タブをそれぞれ別のウィンドウで開き、並べて表示しておきましょう。

   注: [アカウントの選択] ダイアログが表示された場合は、[別のアカウントを使用] をクリックします。

3. 必要に応じて、下のユーザー名をコピーして、[ログイン] ダイアログに貼り付けます。

   {{{user_0.username | "Username"}}}

   [ラボの設定とアクセス] パネルでもユーザー名を確認できます。

4. [次へ] をクリックします。

5. 以下のパスワードをコピーして、[ようこそ] ダイアログに貼り付けます。

   {{{user_0.password | "Password"}}}

   [ラボの設定とアクセス] パネルでもパスワードを確認できます。

6. [次へ] をクリックします。

   重要: ラボで指定された認証情報を使用する必要があります。ご自身の Google Cloud アカウントの認証情報は使用しないでください。 注: このラボでご自身の Google Cloud アカウントを使用すると、追加料金が発生する場合があります。

7. その後のページはクリックして先に進みます。

   • 利用規約に同意します。
   • 一時的なアカウントなので、復元オプションや 2 要素認証プロセスは設定しないでください。
   • 無料トライアルには登録しないでください。

しばらくすると、このタブで Google Cloud コンソールが開きます。

注: Google Cloud のプロダクトやサービスにアクセスするには、ナビゲーション メニューをクリックするか、[検索] フィールドにサービス名またはプロダクト名を入力します。

Cloud Shell をアクティブにする

Cloud Shell は、開発ツールと一緒に読み込まれる仮想マシンです。5 GB の永続ホーム ディレクトリが用意されており、Google Cloud で稼働します。Cloud Shell を使用すると、コマンドラインで Google Cloud リソースにアクセスできます。

1. Google Cloud コンソールの上部にある「Cloud Shell をアクティブにする」アイコン をクリックします。

2. ウィンドウで次の操作を行います。

   • Cloud Shell 情報ウィンドウで操作を進めます。
   • Cloud Shell が認証情報を使用して Google Cloud API を呼び出すことを承認します。

接続した時点で認証が完了しており、プロジェクトに各自の Project_ID、 が設定されます。出力には、このセッションの PROJECT_ID を宣言する次の行が含まれています。

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud は Google Cloud のコマンドライン ツールです。このツールは、Cloud Shell にプリインストールされており、タブ補完がサポートされています。

3. （省略可）次のコマンドを使用すると、有効なアカウント名を一覧表示できます。

gcloud auth list

4. [承認] をクリックします。

出力:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. （省略可）次のコマンドを使用すると、プロジェクト ID を一覧表示できます。

gcloud config list project

出力:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注: Google Cloud における gcloud ドキュメントの全文については、gcloud CLI の概要ガイドをご覧ください。

リージョンとゾーンについて

一部の Compute Engine リソースは、リージョンまたはゾーンに属します。リージョンとは、リソースを実行できる特定の地理的位置です。各リージョンには、1 つまたは複数のゾーンがあります。たとえば、リージョン us-central1 は米国中部のリージョンを指し、ゾーン us-central1-a、us-central1-b、us-central1-c、us-central1-f が含まれています。

リージョン	ゾーン
米国西部	us-west1-a、us-west1-b
米国中部	us-central1-a、us-central1-b、us-central1-d、us-central1-f
米国東部	us-east1-b、us-east1-c、us-east1-d
西ヨーロッパ	europe-west1-b、europe-west1-c、europe-west1-d
東アジア	asia-east1-a、asia-east1-b、asia-east1-c

ゾーン内にあるリソースをゾーンリソースと呼びます。仮想マシン インスタンスと永続ディスクはゾーンに属します。永続ディスクを仮想マシン インスタンスにアタッチするには、両方のリソースを同じゾーン内に配置する必要があります。同様に、インスタンスに静的 IP アドレスを割り当てるには、インスタンスが静的 IP と同じリージョンに存在している必要があります。

Compute Engine ページのリージョンとゾーンのドキュメントで、リージョンとゾーンの詳細と一覧をご確認ください。

Google Cloud ネットワークのコンセプト

Google Cloud では、相互に関連のないリソースが、プロジェクト、ネットワーク、サブネットワークによって柔軟かつ論理的に分離されます。

Google Cloud では、ネットワークがクラウド リソース（主に Compute Engine インスタンス）とのデータ接続を提供します。データの安全を確保し、リソースへのアクセスを制御するためには、ネットワークの保護が不可欠です。

プロジェクトとは、構築する対象をまとめて管理する 1 つの単位です。たとえば、アプリケーションに関する設定、権限、その他のメタデータなどです。Google Cloud のリソースを割り当てて使用するには、リソースがプロジェクトに含まれている必要があります。

プロジェクトごとに個別のアクセス ポリシー（IAM）とメンバーリストが割り当てられるため、デベロッパーの多くはプロジェクトをチームにマッピングします。プロジェクトでは、リソース消費が反映された課金情報と割り当ての詳細も収集されます。

同じプロジェクト内のリソースは連携できます。これは、リージョンとゾーンのルールに沿った内部ネットワーク通信などによって行われます。共有 VPC や VPC ネットワーク ピアリングなどの接続方法を構成しない限り、あるプロジェクトが別のプロジェクトのリソースにアクセスすることはできません。

ネットワークは、リソースを他のリソースや外部と直接接続し、ファイアウォールを使用して、着信接続と発信接続に関するアクセス ポリシーを実装します。ネットワークは、グローバル（複数のリージョンにまたがる水平方向のスケーラビリティを提供する）、リージョン別（単一のリージョン内で低レイテンシを提供する）のいずれの実装も可能です。

VPC ネットワークは、Google Cloud 内部の仮想ネットワークです。VPC ネットワークは、データセンター内のリージョン仮想サブネットワーク（サブネット）のリストで構成されるグローバル リソースであり、すべてグローバルな広域ネットワークで接続されています。VPC ネットワークは、Google Cloud 内で互いに論理的に分離されています。

サブネットワークを使用すれば、関連するリソース（Compute Engine インスタンス）を RFC1918 プライベート アドレス空間にグルーピングできます。サブネットワークはリージョン単位でのみ利用でき、自動モードまたはカスタムモードに設定可能です。

• 自動モードのネットワークはリージョンごとに 1 つのサブネットを持ち、それぞれにあらかじめ決められた IP 範囲とゲートウェイが割り当てられます。自動モードのネットワークを作成するとこのようなサブネットが自動的に作成され、各サブネットの名前はネットワーク全体と同じ名前になります。
• カスタムモードのネットワークでは、ネットワークの作成時にサブネットが作成されません。カスタムモードのネットワーク内にインスタンスを作成するには、まずそのリージョンでサブネットワークを作成し、IP 範囲を指定する必要があります。カスタムモードのネットワークでは、リージョンごとに 0 から複数個のサブネットを作成できます。

リージョンとゾーンを設定する

一部の Compute Engine リソースは、リージョン内やゾーン内に存在します。リージョンとは、リソースを実行できる特定の地理的なロケーションです。1 つのリージョンには 1 つ以上のゾーンがあります。

Cloud Shell で次の gcloud コマンドを実行して、ラボのデフォルトのリージョンとゾーンを設定します。

gcloud config set compute/zone "{{{project_0.default_zone | Zone}}}" export ZONE=$(gcloud config get compute/zone) gcloud config set compute/region "{{{project_0.default_region | Region}}}" export REGION=$(gcloud config get compute/region)

タスク 1. デフォルト ネットワークを確認する

新しいプロジェクトを作成すると、デフォルトのネットワーク構成として、リージョンごとに自動サブネット ネットワークが 1 つ作成されます。1 つのプロジェクトに、最大 4 つのネットワークを追加で作成できます。追加するネットワークは、自動サブネット ネットワーク、カスタム サブネット ネットワーク、レガシー ネットワークから選択できます。

サブネットワーク内に作成した各インスタンスには、そのサブネットワークの範囲の IPv4 アドレスが割り当てられます。

• ネットワークを確認します。ナビゲーション メニュー（）> [VPC ネットワーク] をクリックします。

ファイアウォール

ファイアウォール ルールを使用してサブネットワークを分離する方法の詳細については、サブネットワークとファイアウォール ルールをご確認ください。

各ネットワークのデフォルトのファイアウォールは、インスタンスに向かうすべての受信トラフィックをブロックします。インスタンスに向かう受信トラフィックを許可するには、ファイアウォールで「許可」ルールを作成する必要があります。また、デフォルトのファイアウォールは、インスタンスから外へ向かうトラフィックを許可します。これをブロックするには、「外向き」ファイアウォール構成を、送信接続をブロックするように構成する必要があります。つまり、デフォルトでは、内向きのアクセスを許可するトラフィックに対して「許可」ルールを作成し、外向きのアクセスを制限するトラフィックに対して「拒否」ルールを作成することになります。外向きをデフォルトで拒否するポリシーを作成して、外部への接続を完全に禁止することもできます。

一般的には、できる限り制限の厳しいファイアウォール ルールを構成し、通過させたいトラフィックの種類のみを許可するようにすることをおすすめします。たとえば、一部のインスタンスはトラフィックを受信し、他のインスタンスはトラフィックを受信できないようにする必要がある場合は、対象のインスタンスへのトラフィックのみを許可するルールを作成します。すべてのインスタンスへのトラフィックを許可する範囲の広いファイアウォール ルールを作成するよりも、制限の厳しい構成にするほうが、挙動を予測しやすくなります。特定の「許可」ルールをオーバーライドする「拒否」ルールが必要な場合は、ルールごとに優先度レベルを設定できます。優先度の番号が最も小さいルールが最初に考慮されます。ただし、オーバーライド ルールがいくつもある長くて複雑なルールセットを作成すると、意図しないトラフィックが許可されたり、ブロックされたりすることがあります。

デフォルト ネットワークには、以下に示すようなファイアウォール ルールが自動的に作成されます。手動で作成したネットワークには、どのような種類であろうと、ファイアウォール ルールが自動的に作成されることはありません。デフォルト ネットワーク以外のネットワークには、ユーザー自身がファイアウォール ルールを作成する必要があります。

デフォルト ネットワーク用に自動的に作成される内向きファイアウォール ルールを次に示します。

default-allow-internal	ネットワーク上のインスタンス間のネットワーク接続を、すべてのプロトコルとポートで許可します。
default-allow-ssh	任意の送信元からネットワーク上の任意のインスタンスへの、TCP ポート 22 を介した SSH 接続を許可します。
default-allow-rdp	任意の送信元からネットワーク上の任意のインスタンスへの、TCP ポート 3389 を介した RDP 接続を許可します。
default-allow-icmp	任意の送信元からネットワーク上の任意のインスタンスへの ICMP トラフィックを許可します。

• デフォルトのファイアウォール ルールを確認するには、Cloud コンソールでナビゲーション メニュー（）> [VPC ネットワーク] > [ファイアウォール] をクリックします。

ネットワーク ルート

どのネットワークにも、インターネットへ向かうルート（デフォルト ルート）とネットワーク内の IP 範囲へ向かうルートが自動作成されています。ルート名は自動的に生成され、プロジェクトごとに違う名前になります。

• デフォルト ルートを確認するには、ナビゲーション メニュー（）> [VPC ネットワーク] > [ルート] をクリックし、[ネットワーク] と [リージョン] を選択して [ルート] を表示します。

タスク 2. カスタム ネットワークを作成する

サブネットワークの範囲を手動で割り当てる場合は、まずカスタム ネットワークを作成してから、リージョンに配置するサブネットを作成します。サブネットワークは、すべてのリージョンに対して直ちに指定する必要はなく、また、まったく指定しなくてもかまいません。ただし、サブネットワークが定義されていないリージョンにインスタンスを作成することはできません。

新しいサブネットワークを作成するときは、対象プロジェクトの対象リージョンで一意のサブネット名にする必要があります。そのリージョンに複数のネットワークがある場合は、それらの全ネットワーク間で一意でなければなりません。同じプロジェクトでも、それぞれ別のリージョンにあるサブネットには、同じサブネット名を使用できます。サブネットワークにはネットワーク レベルの IPv4 範囲やゲートウェイ IP がないため、ネットワーク レベルの情報は表示されません。

カスタム ネットワークは、コンソールでも Cloud Shell でも作成できます。両方の方法を説明しますが、皆さんはこのラボでどちらを使用するかを選ぶ必要があります。たとえば、コンソールの手順に沿ってセクションを進める場合、gcloud コマンドラインは使用できません。

カスタム ネットワークを作成するには:

1. ナビゲーション メニュー（）> [VPC ネットワーク] をクリックします。

2. [VPC ネットワークを作成] をクリックし、「taw-custom-network」という名前を付けます。

3. [カスタム] タブで次のように入力します。

   • サブネット名: subnet-
   • リージョン:
   • IP アドレス範囲: 10.0.0.0/16

4. [完了] をクリックします。

   

5. 次に [サブネットを追加] をクリックし、次の 2 つのサブネットをそれぞれのリージョンに追加します。

   • subnet-、、10.1.0.0/16
   • subnet-、、10.2.0.0/16

6. [作成] をクリックして完了します。

この時点でネットワークには、インターネットへのルートと、今後作成するインスタンスへのルートが用意されています。ただし、インスタンスへのアクセスを許可するファイアウォール ルールも、他のインスタンスからのアクセスを許可するファイアウォール ルールもありません。アクセスを許可するには、ファイアウォール ルールを作成する必要があります。

「ファイアウォール ルールを追加する」セクションに進みます。

タスク 3. ファイアウォール ルールを追加する

VM インスタンスへのアクセスを許可するには、ファイアウォール ルールを適用する必要があります。このラボでは、インスタンス タグを使用して VM インスタンスにファイアウォール ルールを適用します。ファイアウォール ルールは同じインスタンス タグを持つすべての VM に適用されます。

注: インスタンス タグとは、ネットワークとファイアウォールで、特定のタグを持つ VM インスタンスに特定のファイアウォール ルールを適用するために使用するものです。たとえば、同じタスク（大規模なウェブサイトへのサービス提供など）を実行する複数のインスタンスが存在する場合は、共通の語句を使ってそれらのインスタンスにタグを付け、そのタグとファイアウォール ルールを使用して、それらのインスタンスに対する HTTP アクセスを許可できます。

タグはメタデータ サーバーにも反映されるため、インスタンス上で実行中のアプリケーションにも使用できます。

• まず、HTTP インターネット リクエストを許可するためにファイアウォールを開いてから、さらに別のファイアウォール ルールを追加します。

コンソールを使用してファイアウォール ルールを追加する

1. Cloud コンソールで [VPC ネットワーク] に移動し、taw-custom-network をクリックします。

2. [ファイアウォール] タブをクリックし、[VPC ファイアウォール ルールを作成] をクリックします。

3. 次の情報を入力します。

フィールド	値	備考
名前	nw101-allow-http	新しいルールの名前
ターゲット	指定されたターゲットタグ	ファイアウォール ルールの適用先のインスタンス
ターゲットタグ	http	作成したタグ
ソースフィルタ	IPv4 範囲	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
送信元 IPv4 範囲	0.0.0.0/0	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
プロトコルとポート	[指定したプロトコルとポート]、[tcp] の順にチェックボックスをオンにし、「80」と入力します	HTTP のみ

画面は次のようになります。

4. [作成] をクリックし、コマンドが成功するまで待ちます。次に、必要に応じて追加のファイアウォール ルールを作成します。

追加のファイアウォール ルールを作成する

追加で作成するこれらのファイアウォール ルールによって、ICMP、内部通信、SSH、RDP が許可されます。これらのファイアウォール ルールはコンソールを使用して作成できます。

• ICMP

フィールド	値	備考
名前	nw101-allow-icmp	新しいルールの名前
ターゲット	指定されたターゲットタグ	[ターゲット] プルダウンから選択します
ターゲットタグ	ルール	タグ
ソースフィルタ	IPv4 範囲	このリストのすべての IP アドレスに対してファイアウォールを開きます
送信元 IPv4 範囲	0.0.0.0/0	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
プロトコルとポート	[指定したプロトコルとポート]、[その他のプロトコル] の順にチェックボックスをオンにし、「icmp」と入力します	ファイアウォールが適用されるプロトコルとポート

• 内部通信

フィールド	値	備考
名前	nw101-allow-internal	新しいルールの名前
ターゲット	ネットワーク上のすべてのインスタンス	[ターゲット] プルダウンから選択します
ソースフィルタ	IPv4 範囲	ルールを特定のトラフィック ソースに適用するために使用するフィルタ
送信元 IPv4 範囲	10.0.0.0/16、 10.1.0.0/16、 10.2.0.0/16	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
プロトコルとポート	[指定したプロトコルとポート]、[tcp] の順にチェックボックスをオンにし、「0-65535」と入力します。[udp] をオンにし、「0-65535」と入力します。[その他のプロトコル] をオンにし、「icmp」と入力します	Tcp:0-65535、udp:0-65535、icmp を許可します

• SSH

フィールド	値	備考
名前	nw101-allow-ssh	新しいルールの名前
ターゲット	指定されたターゲットタグ	ssh
ターゲットタグ	ssh	ファイアウォール ルールを適用するインスタンス
ソースフィルタ	IPv4 範囲	ルールを特定のトラフィック ソースに適用するために使用するフィルタ
送信元 IPv4 範囲	0.0.0.0/0	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
プロトコルとポート	[指定したプロトコルとポート]、[tcp] の順にチェックボックスをオンにし、「22」と入力します	tcp:22 を許可します

• RDP

フィールド	値	備考
名前	nw101-allow-rdp	新しいルールの名前
ターゲット	ネットワーク上のすべてのインスタンス	[ターゲット] プルダウンから選択します
ソースフィルタ	IPv4 範囲	IP アドレスをフィルタリングします
送信元 IPv4 範囲	0.0.0.0/0	インターネット上の任意の IP アドレスに対してファイアウォールを解放します。
プロトコルとポート	[指定したプロトコルとポート]、[tcp] の順にチェックボックスをオンにし、「3389」と入力します	tcp:3389 を許可します

• コンソールを使用してネットワーク内のファイアウォール ルールを確認します。次のように表示されます。

注: ネットワーク コンソールに表示されるルートについて

Google Cloud ネットワーキングでは、サブネットワーク間で、またはインターネットにパケットを振り向けるためにルートを使用します。ネットワーク内にサブネットワークが新規に作成（または事前に作成）されると、サブネットワーク間でのパケットのルーティングを可能にするために、リージョンごとに自動的にルートが作成されます。これらのルートは変更できません。

ただし、インスタンス、VPN ゲートウェイ、デフォルトのインターネット ゲートウェイにトラフィックを送信するために、追加ルートを作成することができます。こうしたルートは、目的のネットワーク アーキテクチャに合わせて変更できます。ルートとファイアウォールは連携してトラフィックを送信先に届けます。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認してください。

カスタム ネットワーク、サブネットワーク、ファイアウォール ルールを作成する

ラボを終了する

ラボが完了したら、[ラボを終了] をクリックします。ラボのプラットフォームから、アカウントと使用したリソースが削除されます。

ラボの評価を求めるダイアログが表示されたら、星の数を選択してコメントを入力し、[送信] をクリックします。

星の数は、それぞれ次の評価を表します。

• 星 1 つ = 非常に不満
• 星 2 つ = 不満
• 星 3 つ = どちらともいえない
• 星 4 つ = 満足
• 星 5 つ = 非常に満足

フィードバックを送信しない場合は、ダイアログ ボックスを閉じてください。

フィードバックやご提案の送信、修正が必要な箇所をご報告いただく際は、[サポート] タブをご利用ください。

お疲れさまでした

デフォルト ネットワークとユーザー作成ネットワークの構成方法、サブネットの追加方法、ファイアウォール ルールを適用してアクセスを制御する方法について学びました。

Google Cloud トレーニングと認定資格

Google Cloud トレーニングと認定資格を通して、Google Cloud 技術を最大限に活用できるようになります。必要な技術スキルとベスト プラクティスについて取り扱うクラスでは、学習を継続的に進めることができます。トレーニングは基礎レベルから上級レベルまであり、オンデマンド、ライブ、バーチャル参加など、多忙なスケジュールにも対応できるオプションが用意されています。認定資格を取得することで、Google Cloud テクノロジーに関するスキルと知識を証明できます。

マニュアルの最終更新日: 2026 年 1 月 19 日

ラボの最終テスト日: 2026 年 1 月 19 日

Copyright 2026 Google LLC. All rights reserved. Google および Google のロゴは Google LLC の商標です。その他すべての企業名および商品名はそれぞれ各社の商標または登録商標です。