GSP1068

Übersicht

In diesem Lab lernen Sie die wichtigsten netzwerkbezogenen Aktivitäten kennen, die bei der Bereitstellung der verschiedenen Google Cloud-Dienste und ‑Ressourcen erforderlich sind, um die meisten SAP-Landing-Zones in Google Cloud zu erstellen.

Die Aufgaben in diesem Lab basieren auf Aktivitäten, die zum Planen und Bereitstellen eines Netzwerks zum Hosten einer bereitgestellten SAP-Testumgebung erforderlich sind.

Hinweis: Zum Erstellen einer SAP-Landing-Zone müssen mehrere Google Cloud-Ressourcen bereitgestellt werden. Es ist nicht das Ziel dieses Labs, den Designprozess/Aufwand zu reduzieren, der erforderlich ist, um eine kundenspezifische SAP-Landing-Zone in einer Reihe von präskriptiven Schritten zu definieren, die ausgeführt werden können, um eine unternehmensreife SAP-Landing-Zone durchgängig bereitzustellen. Weitere Informationen finden Sie in „Vor dem Lab lesen“.

Ziele

Aufgaben in diesem Lab:

• VPC-Netzwerk(e) erstellen
• VPC-Subnetz(e) erstellen
• VPC-Netzwerk-Firewallregeln erstellen, um netzwerkweiten Nutzerzugriff zu ermöglichen
• Firewallregeln für das VPC-Netzwerk erstellen, um den Zugriff zwischen SAP-Systemen (z. B. zwischen allen Entwicklungssystemen) zu ermöglichen
• Firewallregeln für das VPC-Netzwerk erstellen, um den systemübergreifenden Zugriff zwischen Komponenten eines einzelnen SAP-Systems zu ermöglichen (z. B. zwischen DB- und Anwendungskomponenten eines einzelnen SAP-Systems)
• Statische IP-Adresse(n) reservieren
• Einen Cloud NAT-Dienst erstellen

Einrichtung und Anforderungen

Vor dem Klick auf „Start Lab“ (Lab starten)

Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange Google Cloud-Ressourcen für das Lab verfügbar sind.

In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.

Für dieses Lab benötigen Sie Folgendes:

• Einen Standardbrowser (empfohlen wird Chrome)

Hinweis: Nutzen Sie den privaten oder Inkognitomodus (empfohlen), um dieses Lab durchzuführen. So wird verhindert, dass es zu Konflikten zwischen Ihrem persönlichen Konto und dem Teilnehmerkonto kommt und zusätzliche Gebühren für Ihr persönliches Konto erhoben werden.

• Zeit für die Durchführung des Labs – denken Sie daran, dass Sie ein begonnenes Lab nicht unterbrechen können.

Hinweis: Verwenden Sie für dieses Lab nur das Teilnehmerkonto. Wenn Sie ein anderes Google Cloud-Konto verwenden, fallen dafür möglicherweise Kosten an.

Lab starten und bei der Google Cloud Console anmelden

1. Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Dialogfeld geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der rechten Seite befindet sich der Bereich Lab-Einrichtung und ‑Zugriff:

   • Button Google Cloud Console öffnen
   • Die temporären Anmeldedaten (Nutzername und Passwort), die Sie für dieses Lab verwenden müssen
   • Gegebenenfalls weitere Informationen für dieses Lab

   Der Lab-Timer befindet sich oben auf der Seite und zeigt die verbleibende Zeit an.

2. Klicken Sie auf Google Cloud Console öffnen. Wenn Sie Chrome verwenden, können Sie auch rechtsklicken und Link in Inkognitofenster öffnen auswählen.

   Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite „Anmelden“ geöffnet.

   Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.

   Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.

3. Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.

   {{{user_0.username | "Username"}}}

   Sie finden den Nutzernamen auch im Bereich Lab-Einrichtung und ‑Zugriff.

4. Klicken Sie auf Weiter.

5. Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.

   {{{user_0.password | "Password"}}}

   Sie finden das Passwort auch im Bereich Lab-Einrichtung und ‑Zugriff.

6. Klicken Sie auf Weiter.

   Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos. Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.

7. Klicken Sie sich durch die nachfolgenden Seiten:

   • Akzeptieren Sie die Nutzungsbedingungen.
   • Fügen Sie keine Wiederherstellungsoptionen oder 2-Faktor-Authentifizierung hinzu, da dies nur ein temporäres Konto ist.
   • Melden Sie sich nicht für kostenlose Testversionen an.

Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.

Hinweis: Wenn Sie auf Google Cloud-Produkte und ‑Dienste zugreifen möchten, klicken Sie auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.

Cloud Shell aktivieren

Cloud Shell ist eine virtuelle Maschine, auf der Entwicklertools installiert sind. Sie bietet ein Basisverzeichnis mit 5 GB nichtflüchtigem Speicher und läuft auf Google Cloud. Mit Cloud Shell erhalten Sie Befehlszeilenzugriff auf Ihre Google Cloud-Ressourcen.

1. Klicken Sie oben in der Google Cloud Console auf Cloud Shell aktivieren .

2. Klicken Sie sich durch die folgenden Fenster:

   • Fahren Sie mit dem Informationsfenster zu Cloud Shell fort.
   • Autorisieren Sie Cloud Shell, Ihre Anmeldedaten für Google Cloud API-Aufrufe zu verwenden.

Wenn eine Verbindung besteht, sind Sie bereits authentifiziert und das Projekt ist auf Project_ID, eingestellt. Die Ausgabe enthält eine Zeile, in der die Project_ID für diese Sitzung angegeben ist:

Ihr Cloud-Projekt in dieser Sitzung ist festgelegt als {{{project_0.project_id | "PROJECT_ID"}}}

gcloud ist das Befehlszeilentool für Google Cloud. Das Tool ist in Cloud Shell vorinstalliert und unterstützt die Tab-Vervollständigung.

3. (Optional) Sie können den aktiven Kontonamen mit diesem Befehl auflisten:

gcloud auth list

4. Klicken Sie auf Autorisieren.

Ausgabe:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} Um das aktive Konto festzulegen, führen Sie diesen Befehl aus: $ gcloud config set account `ACCOUNT`

5. (Optional) Sie können die Projekt-ID mit diesem Befehl auflisten:

gcloud config list project

Ausgabe:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} Hinweis: Die vollständige Dokumentation für gcloud finden Sie in Google Cloud in der Übersicht zur gcloud CLI.

Vorbereitung

Es ist zwar nicht zwingend erforderlich, aber für einen maximalen Lernerfolg sollten Sie vor diesem Lab die folgenden Labs absolvieren:

• Kurs zum Cloud Foundation Toolkit (CFT): Erste Schritte

Aktivitäten in diesem Lab ausführen

In diesem Lab werden die folgenden Themenbereiche einer Landing Zone behandelt:

• Google Cloud-Dienste und -Ressourcen, die bereitgestellt werden sollen

In diesem Lab werden beispielhafte, zentrale Aktivitäten behandelt, die bei der Bereitstellung der verschiedenen Google Cloud-Dienste und ‑Ressourcen zur Erstellung der meisten SAP-Landing-Zones in Google Cloud erforderlich sind.

Die Aktivitäten in diesem Lab bauen aufeinander auf. Sie müssen sie daher in der angegebenen Reihenfolge durcharbeiten. Dies ist beabsichtigt, da reale Szenarien dargestellt werden, in denen Abhängigkeiten zwischen Google Cloud-Ressourcen bestehen, und betont die Notwendigkeit, genau zu arbeiten, da Korrekturmaßnahmen sehr aufwendig sein können.

Google Cloud unterstützt viele verschiedene Optionen, mit denen Google Cloud-Ressourcen bereitgestellt werden können. Hier die wichtigsten:

• Manuell über die Google Cloud Console
• Befehlszeile (z. B. gcloud)
• API-Aufrufe
• Verschiedene Programmiersprachen (z. B. Go, Java, Node.js, Python)
• Infrastructure as Code-Code-Tools (z. B. Terraform)

Welche Option(en) für eine kundenspezifische SAP-Landing-Zone verwendet wird/werden, wird während des Designprozesses festgelegt.

In diesem Lab wird davon ausgegangen, dass alle Aktivitäten über die Befehlszeile ausgeführt werden. Die erforderlichen Befehlszeilenanweisungen werden bereitgestellt. Die Teilnehmenden können jedoch auch jede andere unterstützte Option für die Aufgaben verwenden. Wo verfügbar, werden Links zur relevanten Online-Dokumentation mit einer Kurzanleitung bereitgestellt, die auch Syntaxanweisungen für die anderen Optionen enthält.

In diesem Lab wird eine Beispiel-Namenskonvention für alle Ressourcen bereitgestellt. Weitere Informationen finden Sie im Abschnitt zur Namenskonvention und in der Tabelle im Vorbereitungsmaterial. Für den Großteil der Aktivitäten müssen die Google Cloud-Ressourcen gemäß der Namenskonvention und den bereitgestellten Konfigurationsspezifikationen bereitgestellt werden, da dies den Erwartungen in realen Szenarien entspricht. Verschiedene Aktivitäten in diesen Labs werden nur dann als abgeschlossen markiert, wenn sie sowohl den erwarteten Namenskonventionen als auch den angegebenen Konfigurationsspezifikationen vollständig entsprechen.

Schlüssel für Farbcodierung der Parameterwerte:

Um Ihnen die Zuordnung der verschiedenen Parameterwerte zu erleichtern, wurde die folgende Farbcodierung der Parameterwerte angewandt:

• Grün = ID der Ressource, die erstellt wird
• Orange = Freitext, der in der Regel für Beschreibungen verwendet wird
• Blau = ID einer zuvor erstellten Ressource
• Lila = Konfigurationsparameter der Ressource, die erstellt wird

Zeitmessung

Dieses Lab ist auf 60 Minuten begrenzt. Nach Ablauf der Zeit wird die Lab-Umgebung automatisch heruntergefahren und alle bereitgestellten Ressourcen werden gelöscht. Wenn Sie das Lab neu starten, müssen Sie alle Aufgaben noch einmal ausführen.

Damit Sie genügend Zeit haben, alle Aufgaben zu erledigen, sollten Sie Folgendes tun, bevor Sie auf Lab starten klicken:

• Lesen Sie sich alle Aufgaben des Labs durch.
• Entscheiden Sie sich für eine Option zur Bereitstellung der Google Cloud-Ressourcen.
• Bereiten Sie den Bereitstellungscode und die Tools für die Ausführung vor.

SAP-Testumgebung

Damit die Teilnehmenden die Aktivitäten in diesem Lab visualisieren und auf ihre eigenen SAP-Umgebungen beziehen können, wurde eine SAP-Testumgebung bereitgestellt, auf der alle Aktivitäten dieses Labs basieren.

SAP-Umgebung – Übersicht

In der folgenden Tabelle sind die wichtigsten Konfigurationsattribute der SAP-Umgebung aufgeführt, auf der dieses Lab basiert. Die Tabelle sollte in Kombination mit der Tabelle der Namenskonventionen verwendet werden, die im Vorbereitungsmaterial enthalten ist.

In der Tabelle sind die Komponenten, die durch die Aktivitäten dieses Labs bereitgestellt werden, gelb umrandet.

Lab-Vorbereitungsmaterial: SAP in Google Cloud – Onboarding

Weiteres zum Onboarding von Kundenunternehmen in die Cloud in der Praxis finden Sie im Vorbereitungsmaterial zum Lab: SAP in der Cloud – Onboarding.

Hinweis: Wenn Sie das Skill-Logo „SAP-Landing-Zone“ erhalten möchten, müssen Sie eine Reihe von Fragen zu diesem Vorbereitungsmaterial beantworten.

Aufgabe 1: VPC-Netzwerk(e) erstellen

Je nach den in der Kundenumgebung verwendeten Netzwerkdesignmustern kann es erforderlich sein, ein oder mehrere VPC-Netzwerke mit mindestens einem Subnetz bereitzustellen, um die Anforderungen an das Netzwerkdesign zu erfüllen.

Überlegungen zur Praxis:

Wie im Vorbereitungsmaterial erwähnt, ist die Gestaltung der „Netzwerkkonfiguration“ eines der Themen der „Cloud-Grundlagen“.

Es gibt viele unterstützte VPC-Netzwerkdesignmuster, die jeweils eigene Vor- und Nachteile sowie Einschränkungen haben. In realen Szenarien sollten Kundenunternehmen ihre Anforderungen an das Netzwerkdesign sorgfältig prüfen, um ihre spezifischen Anforderungen für alle aktuellen und zukünftigen Arbeitslasten bestmöglich zu erfüllen. Diese Aktivität sollte mit entsprechend qualifizierten Netzwerkfachkräften durchgeführt werden, um sicherzustellen, dass das geeignete Netzwerkdesign verwendet wird.

Eine spätere Änderung des Netzwerkdesigns kann sowohl sehr störend als auch arbeitsintensiv sein.

Hinweis: In der Praxis ist es äußerst selten, dass ein VPC-Netzwerk nur für das Hosting einer SAP-Umgebung konzipiert wird.

Online-Dokumentation:

• Kurzanleitung: VPC-Netzwerk im benutzerdefinierten Modus nur mit IPv4-Subnetzen erstellen
• Befehlszeile – gcloud compute networks create
• Terraform-Ressource zum Erstellen eines Netzwerks (google_compute_network)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-network/examples/basic_custom_mode/main.tf

Abhängigkeiten:

Damit Sie die erforderlichen VPC-Netzwerke erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01><02>-vpc--<03>-<04>

                             <01> – Unternehmens-ID

                             <02> – ID der Geschäftseinheit

                             <03> – VPC-Kurzbeschreibung

                             <04> – VPC-Zähl-ID

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: “<01>-<02> VPC-Netzwerk = <03> – <04>”

                             <01> – Unternehmen

                             <02> – ID der Geschäftseinheit

                             <03> – VPC-Beschreibung

                             <04> – VPC-Zähl-ID

Zu erstellende Ressourcen (Anzahl = 1):

Stellen Sie mit einer der unterstützten Methoden das VPC-Netzwerk mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 01:

Parameter	Wert
ID	xall-vpc--vpc-01
VPC-Beschreibung	XYZ-alle VPC-Netzwerk = Standard-VPC-Netzwerk – 01
Subnetzmodus	benutzerdefiniert
Routingmodus	weltweit

Befehlszeile:

Befehl 01 von 01 – VPC-Netzwerk erstellen:

gcloud compute networks create [insert ID here] \ --description="[insert VPC description here]" \ \ --project=[insert your Project ID here] \ \ --subnet-mode=[insert subnet mode here] \ --bgp-routing-mode=[insert routing mode here] \ --mtu=1460

(Beispielausgabe)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/networks/[VPC network ID]]. NAME: [VPC network ID] SUBNET_MODE: [VPC subnet mode] BGP_ROUTING_MODE: [VPC routing mode] IPV4_RANGE: GATEWAY_IPV4: Instances on this network will not be reachable until firewall rules are created. As an example, you can allow all internal traffic between instances as well as SSH, RDP, and ICMP by running: $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp,udp,icmp --source-ranges $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp:22,tcp:3389,icmp

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob das/die VPC-Netzwerk(e) bereitgestellt wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü > NETZWERK > VPC-Netzwerk > VPC-Netzwerke.

Klicken Sie auf Fortschritt prüfen.

VPC-Netzwerk(e) erstellen

Aufgabe 2: VPC-Subnetz(e) erstellen

Da neue SAP-Umgebungen (z. B. DR) oder SAP-Betriebsumgebungen (z. B. Projektumgebung) bereitgestellt werden, kann es erforderlich sein, einem vorhandenen VPC-Netzwerk zusätzliche Subnetze hinzuzufügen.

Überlegungen zur Praxis:

Es gibt viele Faktoren, die das Subnetzlayout in einem VPC-Netzwerk beeinflussen können.

Die Erstellung und Wartung von Subnetzen wird in der Regel von einem zentralen Netzwerkverwaltungsteam verwaltet, das dafür sorgt, dass die entsprechenden Sicherheits- und Designstandards eingehalten werden. In der Praxis muss sich das SAP-Team mit den Netzwerkverwaltungsteams in Verbindung setzen, um das arbeitslastspezifische Subnetzlayout zu definieren.

Das in diesem Lab bereitgestellte Subnetz-Layout basiert auf häufig beobachteten realen Szenarien. Jedes Kundenunternehmen sollte jedoch seine eigene Umgebung bewerten, bevor es Subnetze und Ressourcen bereitstellt.

Hinweis: Eine spätere Änderung des Subnetzlayouts kann sowohl sehr störend als auch arbeitsintensiv sein.

Online-Dokumentation:

• Kurzanleitung: Nur-IPv4-Subnetz hinzufügen
• Befehlszeile – gcloud compute networks subnets create
• Terraform-Ressource zum Erstellen eines Netzwerks (google_compute_network)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-network/examples/simple_project/main.tf

Abhängigkeiten:

Damit Sie die erforderlichen VPC-Subnetze erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01><02>-subnet--<03>-<04>-<05>--<06>-<07>

                             <01> – Unternehmens-ID

                             <02> – ID der Geschäftseinheit

                             <03> – Arbeitslast-ID

                             <04> – ID des Betriebsbereichs

                             <05> – Umgebungs-ID

                             <06> – ID der Hosting-Region

                             <07> – Subnetz-Zähl-ID

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01>-<02> subnet = <03>-<04>-<05> – <06> – <07>“

                             <01> – Unternehmen

                             <02> – ID der Geschäftseinheit

                             <03> – Arbeitslast-ID

                             <04> – ID des Betriebsbereichs

                             <05> – Umgebungs-ID

                             <06> – ID der Hosting-Region

                             <07> – Subnetz-Zähl-ID

Zu erstellende Ressourcen (Anzahl = 1):

Stellen Sie mit einer beliebigen unterstützten Methode das/die VPC-Subnetz(e) mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 01:

Parameter	Wert
ID	xgl-subnet--cerps-bau-nonprd--be1-01
Beschreibung	XYZ-global Subnetz = CERPS-BaU-NonProd – Belgien 1 (GCP) – 01
VPC-Netzwerk	xall-vpc--vpc-01
Region
IP-Bereich	10.1.1.0/24

Befehlszeile:

Befehl 01 von 01 – VPC-Subnetz erstellen:

gcloud compute networks subnets create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ --region=[insert region here] \ \ --range=[insert IP range here] \ --enable-private-ip-google-access \ --enable-flow-logs

(Beispielausgabe)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/[region ID]/subnetworks/[VPC subnet ID]]. NAME: [VPC subnet ID] REGION: [region ID] NETWORK: [VPC network ID] RANGE: [IP range] STACK_TYPE: IPV4_ONLY IPV6_ACCESS_TYPE: INTERNAL_IPV6_PREFIX: EXTERNAL_IPV6_PREFIX:

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob das/die VPC-Subnetz(e) bereitgestellt wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü > NETZWERK > VPC-Netzwerk > VPC-Netzwerke.

Klicken Sie auf Fortschritt prüfen.

VPC-Subnetz(e) erstellen

Aufgabe 3: VPC-Firewallregel(n) für Nutzerzugriff erstellen

Alle von SAP gehosteten Ressourcen benötigen Netzwerkzugriff. VPC-Firewallregeln müssen definiert werden, um den zulässigen Netzwerkzugriff zu sichern. Netzwerkweite Firewallregeln sind erforderlich, um verschiedenen Nutzerinnen und Nutzern Zugriff zu gewähren.

Überlegungen zur Praxis:

VPC-Firewallregeln werden in der Regel von einem oder mehreren zentralen Netzwerkverwaltungsteams verwaltet, die dafür sorgen, dass die entsprechenden Sicherheitsstandards eingehalten werden. In der Praxis muss sich das SAP-Team mit den Netzwerkverwaltungsteams in Verbindung setzen, um die arbeitslastspezifischen VPC-Firewallregeln für „Nutzerzugriff“, „umgebungsweiten Zugriff“ und „systemübergreifenden Zugriff“ zu definieren.

Google Cloud unterstützt verschiedene Optionen zum Definieren von VPC-Firewallregeln, die jeweils eigene Vor- und Nachteile sowie Einschränkungen haben. Google Cloud-Ressourcen können durch mehrere VPC-Firewallregeln geschützt werden, die mit verschiedenen Optionen definiert wurden.

Hinweis: In diesem Lab werden Firewall-Tags verwendet, da dies oft die am besten skalierbare und verwaltbare Lösung für die Verwaltung des Netzwerkzugriffs innerhalb von SAP-Umgebungen ist.

Online-Dokumentation:

• Schnellstart: Firewallregeln erstellen
• Befehlszeile – gcloud compute firewall-rules create
• Terraform-Ressource zum Erstellen einer Firewallregel (google_compute_firewall)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP-Hilfe – TCP/IP-Ports aller SAP-Produkte

Abhängigkeiten:

Damit Sie die erforderliche(n) VPC-Firewallregel(n) erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01>--<02><03>-fw--user--<04>--<05>--v<06>

                             <01> – VPC-ID

                             <02> – Unternehmens-ID

                             <03> – ID der Geschäftseinheit

                             <04> – ID der Firewall-Aktion

                             <05> – Kurzbeschreibung Nutzerzugriff

                             <06> – Firewall-Versionsnummer

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01> – <02>-<03> Firewallregel = Nutzerzugriff – <04> <05> – Version <06>“

                             <01> – VPC-ID

                             <02> – Unternehmen

                             <03> – ID der Geschäftseinheit

                             <04> – Firewall-AKTION

                             <05> – Beschreibung Nutzerzugriff

                             <06> – Firewall-Versionsnummer

Zu erstellende Ressourcen (Anzahl = 4):

Stellen Sie mit einer beliebigen unterstützten Methode die VPC-Firewallregel(n) mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 04:

Parameter	Wert
ID	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-alle Firewallregel = Nutzerzugriff – Standard-Linuxzugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Quellfilter	Quellbereiche
Quelle	0.0.0.0/0
Netzwerkports	tcp:22,icmp

Nr. 02 von 04:

Parameter	Wert
ID	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-alle Firewallregel = Nutzerzugriff – Standard-Windowszugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Quellfilter	Quellbereiche
Quelle	0.0.0.0/0
Netzwerkports	tcp:3389,icmp

Nr. 03 von 04:

Parameter	Wert
ID	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-alle Firewallregel = Nutzerzugriff – SAPGUI-Zugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Quellfilter	Quellbereiche
Quelle	0.0.0.0/0
Netzwerkports	tcp:3200-3299,tcp:3600-3699

Nr. 04 von 04:

Parameter	Wert
ID	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-alle Firewallregel = Nutzerzugriff – SAP-Fiori-Zugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Quellfilter	Quellbereiche
Quelle	0.0.0.0/0
Netzwerkports	tcp:80,tcp:8000-8099,tcp:443,tcp:4300-44300

Befehlszeile:

Befehl 01 von 01 – VPC-Firewallregel erstellen:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Beispielausgabe)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob die VPC-Firewallregel(n) bereitgestellt wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü > NETZWERK > VPC-Netzwerk > Firewall.

Klicken Sie auf Fortschritt prüfen.

VPC-Firewallregel(n) für Nutzerzugriff erstellen

Aufgabe 4: VPC-Firewallregel(n) für den Umgebungszugriff erstellen

Alle von SAP gehosteten Ressourcen benötigen Netzwerkzugriff. VPC-Firewallregeln müssen definiert werden, um den zulässigen Netzwerkzugriff zu sichern. Umgebungsweite Firewallregeln sind erforderlich, um die Kommunikation zwischen SAP-Systemen innerhalb derselben Umgebung zu ermöglichen. Dieser Zugriff sollte auf die Standard-SAP-Ports beschränkt sein.

Überlegungen zur Praxis:

VPC-Firewallregeln werden in der Regel von einem oder mehreren zentralen Netzwerkverwaltungsteams verwaltet, die dafür sorgen, dass die entsprechenden Sicherheitsstandards eingehalten werden. In der Praxis muss sich das SAP-Team mit den Netzwerkverwaltungsteams in Verbindung setzen, um die arbeitslastspezifischen VPC-Firewallregeln für „Nutzerzugriff“, „umgebungsweiten Zugriff“ und „systemübergreifenden Zugriff“ zu definieren.

Google Cloud unterstützt verschiedene Optionen zum Definieren von VPC-Firewallregeln, die jeweils eigene Vor- und Nachteile sowie Einschränkungen haben. Google Cloud-Ressourcen können durch mehrere VPC-Firewallregeln geschützt werden, die mit verschiedenen Optionen definiert wurden.

Hinweis: In diesem Lab werden Firewall-Tags verwendet, da dies oft die am besten skalierbare und verwaltbare Lösung für die Verwaltung des Netzwerkzugriffs innerhalb von SAP-Umgebungen ist.

Online-Dokumentation:

• Schnellstart: Firewallregeln erstellen
• Befehlszeile – gcloud compute firewall-rules create
• Terraform-Ressource zum Erstellen einer Firewallregel (google_compute_firewall)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP-Hilfe – TCP/IP-Ports aller SAP-Produkte

Abhängigkeiten:

Damit Sie die erforderliche(n) VPC-Firewallregel(n) erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-env--v<08>

                             <01> – VPC-ID

                             <02> – Unternehmens-ID

                             <03> – ID der Geschäftseinheit

                             <04> – Arbeitslast-ID

                             <05> – ID des Betriebsbereichs

                             <06> – Umgebungs-ID

                             <07> – ID der Firewall-Aktion

                             <08> – Firewall-Versionsnummer

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01> – <02>-<03> Firewallregel = <04>-<05>-<06> – <07> Umgebungsweiter Zugriff – Version <08>“

                             <01> – VPC-ID

                             <02> – Unternehmen

                             <03> – ID der Geschäftseinheit

                             <04> – Arbeitslast-ID

                             <05> – ID des Betriebsbereichs

                             <06> – Umgebungs-ID

                             <07> – Firewall-Aktion

                             <08> – Firewall-Versionsnummer

Zu erstellende Ressourcen (Anzahl = 1):

Stellen Sie mit einer beliebigen unterstützten Methode die VPC-Firewallregel(n) mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 01:

Parameter	Wert
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-global Firewallregel = CERPS-BaU-Dev – umgebungsweiten Zugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Quellfilter	Quelltags
Quelle	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Netzwerkports	tcp:3200-3299,tcp:3300-3399,tcp:4800-4899,tcp:80,tcp:8000-8099,tcp:443,tcp:44300-44399,tcp:3600-3699,tcp:8100-8199,tcp:44400-44499,tcp:50000-59999,tcp:30000-39999,tcp:4300-4399,tcp:40000-49999,tcp:1128-1129,tcp:5050,tcp:8000-8499,tcp:515,icmp

Befehlszeile:

Befehl 01 von 01 – VPC-Firewallregel erstellen:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Beispielausgabe)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob die VPC-Firewallregel(n) bereitgestellt wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü > NETZWERK > VPC-Netzwerk > Firewall.

Klicken Sie auf Fortschritt prüfen.

VPC-Firewallregel(n) für den Umgebungszugriff erstellen

Aufgabe 5: VPC-Firewallregel(n) für den Systemzugriff erstellen

Alle von SAP gehosteten Ressourcen benötigen Netzwerkzugriff. VPC-Firewallregeln müssen definiert werden, um den zulässigen Netzwerkzugriff zu sichern. Da Komponenten eines einzelnen SAP-Systems in der Regel auf mehrere VMs verteilt sind, sind systemweite Firewallregeln erforderlich, damit diese Komponenten miteinander kommunizieren können. Aufgrund dessen, dass Komponenten desselben SAP-Systems so eng gekoppelt sind und stark miteinander kommunizieren, ist es üblich, dass zwischen Komponenten desselben SAP-Systems uneingeschränkter Netzwerkzugriff besteht.

Überlegungen zur Praxis:

VPC-Firewallregeln werden in der Regel von einem oder mehreren zentralen Netzwerkverwaltungsteams verwaltet, die dafür sorgen, dass die entsprechenden Sicherheitsstandards eingehalten werden. In der Praxis muss sich das SAP-Team mit den Netzwerkverwaltungsteams in Verbindung setzen, um die arbeitslastspezifischen VPC-Firewallregeln für „Nutzerzugriff“, „umgebungsweiten Zugriff“ und „systemübergreifenden Zugriff“ zu definieren.

Google Cloud unterstützt verschiedene Optionen zum Definieren von VPC-Firewallregeln, die jeweils eigene Vor- und Nachteile sowie Einschränkungen haben. Google Cloud-Ressourcen können durch mehrere VPC-Firewallregeln geschützt werden, die mit verschiedenen Optionen definiert wurden.

Hinweis: In diesem Lab werden Firewall-Tags verwendet, da dies oft die am besten skalierbare und verwaltbare Lösung für die Verwaltung des Netzwerkzugriffs innerhalb von SAP-Umgebungen ist.

Online-Dokumentation:

• Schnellstart: Firewallregeln erstellen
• Befehlszeile – gcloud compute firewall-rules create
• Terraform-Ressource zum Erstellen einer Firewallregel (google_compute_firewall)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP-Hilfe – TCP/IP-Ports aller SAP-Produkte

Abhängigkeiten:

Damit Sie die erforderliche(n) VPC-Firewallregel(n) erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-<08>--v<09>

                             <01> – VPC-ID

                             <02> – Unternehmens-ID

                             <03> – ID der Geschäftseinheit

                             <04> – Arbeitslast-ID

                             <05> – ID des Betriebsbereichs

                             <06> – Umgebungs-ID

                             <07> – ID der Firewall-Aktion

                             <08> – System-ID

                             <09> – Firewall-Versionsnummer

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01> – <02> – <03> Firewallregel = <04>-<05>-<06> – <07> <08> (<09>) systemweiter Zugriff – Version <10>“

                             <01> – VPC-ID

                             <02> – Unternehmen

                             <03> – ID der Geschäftseinheit

                             <04> – Arbeitslast-ID

                             <05> – ID des Betriebsbereichs

                             <06> – Umgebungs-ID

                             <07> – Firewall-Aktion

                             <08> – Anwendungs-ID

                             <09> – System-ID

                             <10> – Firewall-Versionsnummer

Zu erstellende Ressourcen (Anzahl = 1):

Stellen Sie mit einer beliebigen unterstützten Methode die VPC-Firewallregel(n) mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 01:

Parameter	Wert
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Beschreibung	xall-vpc--vpc-01 – XYZ-global Firewallregel = CERPS-BaU-Dev – SAP S4 (DS4) systemweiten Zugriff ERLAUBEN – Version 01
VPC-Netzwerk	xall-vpc--vpc-01
Priorität	1.000
Richtung	Eingehend
Aktion	Zulassen
Ziel-Tags	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Quellfilter	Quelltags
Quelle	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Regeln	tcp,udp,icmp

Befehlszeile:

Befehl 01 von 01 – VPC-Firewallregel erstellen:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Beispielausgabe)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob die VPC-Firewallregel(n) bereitgestellt wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü > NETZWERK > VPC-Netzwerk > Firewall.

Klicken Sie auf Fortschritt prüfen.

VPC-Firewallregel(n) für Systemzugriff erstellen

Aufgabe 6: Statische interne IP-Adresse(n) reservieren

Einige SAP-Kunden verwenden virtuelle Hostnamen für die Bereitstellung von und den Zugriff auf SAP-Komponenten, um die Vorteile der SAP Adaptive Design Principles zu nutzen. Um sicherzustellen, dass IP-Adressen für virtuelle Hostnamen nicht versehentlich von neu erstellten VMs verwendet werden, müssen die für die IP-Adressen der virtuellen Hostnamen verwendeten internen IP-Adressen reserviert werden.

Überlegungen zur Praxis:

In der Regel verwaltet ein zentrales Netzwerkverwaltungsteam alle netzwerkbezogenen Ressourcen innerhalb des VPC-Netzwerks. Das SAP-Team muss sich in der Praxis mit dem Netzwerkverwaltungsteam in Verbindung setzen, um diese statischen IP-Adressreservierungen zu erstellen.

Hinweis: Wenn Sie virtuelle Hostnamen verwenden, müssen Sie die Subnetzgrößen sorgfältig planen, damit genügend IP-Adressen für die IP-Adressen der VMs und die virtuellen Hostnamen verfügbar sind. Zur besseren Verwaltbarkeit wird dringend empfohlen, dass virtuelle Hostnamen IP-Adressen aus demselben Subnetz wie die VMs verwenden, mit denen sie verknüpft sind.

Online-Dokumentation:

• Kurzanleitung – Eine neue statische interne IP-Adresse reservieren
• Befehlszeile – gcloud compute addresses create
• Terraform-Ressource zum Erstellen einer Firewallregel (google_compute_address)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-google-address/examples/internal_with_specific_ip/main.tf
• SAP-Hinweis 962955 – Verwendung virtueller oder logischer TCP/IP-Hostnamen

Abhängigkeiten:

Damit Sie die erforderlichen statischen IP-Adressen erfolgreich reservieren können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt
• VPC-Subnetz(e) bereitgestellt

Namenskonvention:

• ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01><02>-IP-Adresse--<03>-<04>-<05>--<06>--<07>

                             <01> – Unternehmens-ID

                             <02> – ID der Geschäftseinheit

                             <03> – Arbeitslast-ID

                             <04> – ID des Betriebsbereichs

                             <05> – Umgebungs-ID

                             <06> – System-ID

                             <07> – Kurzname virtueller Host

• Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01>-<02> reservierte IP-Adresse = <03>-<04>-<05> – <06> (<07>) – <08>“                              <01> – Unternehmen

                             <02> – ID der Geschäftseinheit

                             <03> – Arbeitslast-ID

                             <04> – ID des Betriebsbereichs

                             <05> – Umgebungs-ID

                             <06> – Anwendungs-ID

                             <07> – System-ID

                             <08> – Kurzname virtueller Host

Zu erstellende Ressourcen (Anzahl = 4):

Reservieren Sie mit einer beliebigen unterstützten Methode die statische(n) IP-Adresse(n) mit den folgenden Konfigurationsdetails:

Nr. 01 von 04:

Parameter	Wert
ID	xgl-ip-address--cerps-bau-dev--dh1--d-cerpshana1
Beschreibung	XYZ-global reservierte IP-Adresse = CERPS-BaU-Dev – SAP HANA 1 (DH1) – d-cerpshana1
Region
Subnetz	xgl-subnet--cerps-bau-nonprd--be1-01
Adressen	10.1.1.100

Nr. 02 von 04:

Parameter	Wert
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4db
Beschreibung	XYZ-global reservierte IP-Adresse = CERPS-BaU-Dev – SAP S4 (DS4) – d-cerpss4db
Region
Subnetz	xgl-subnet--cerps-bau-nonprd--be1-01
Adressen	10.1.1.101

Nr. 03 von 04:

Parameter	Wert
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4scs
Beschreibung	XYZ-global reservierte IP-Adresse = CERPS-BaU-Dev – SAP S4 (DS4) – d-cerpss4scs
Region
Subnetz	xgl-subnet--cerps-bau-nonprd--be1-01
Adressen	10.1.1.102

Nr. 04 von 04:

Parameter	Wert
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4app1
Beschreibung	XYZ-global reservierte IP-Adresse = CERPS-BaU-Dev – SAP S4 (DS4) – d-cerpss4app1
Region
Subnetz	xgl-subnet--cerps-bau-nonprd--be1-01
Adressen	10.1.1.103

Befehlszeile:

Befehl 01 von 01 – Reservierung einer statischen IP-Adresse erstellen:

gcloud compute addresses create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --subnet=[insert subnet here] \ \ --addresses=[insert addresses here]

(Beispielausgabe)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/europe-west1/addresses/[reserved IP ID]]

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob die statische(n) interne(n) IP-Adresse(n) reserviert wurde(n). Folgen Sie dazu dem Pfad Navigationsmenü -> NETZWERK -> VPC-Netzwerk -> IP-Adressen.

Klicken Sie auf Fortschritt prüfen.

Statische interne IP-Adresse(n) reservieren

Aufgabe 7: Cloud NAT-Dienst(e) erstellen

Aus Sicherheitsgründen ist es üblich, dass VMs, die SAP-Komponenten hosten, keine öffentlichen IP-Adressen zugewiesen werden. Diese VMs benötigen jedoch häufig noch Internetzugang, um wichtige Aktivitäten wie das Aktualisieren von Betriebssystempaketen ausführen zu können. Der Dienst Cloud NAT bietet eine sichere Möglichkeit für diese SAP-bezogenen VMs, auf das Internet zuzugreifen.

Überlegungen zur Praxis:

In der Regel verwaltet ein zentrales Netzwerkadministrationsteam alle netzwerkbezogenen Ressourcen innerhalb des VPC-Netzwerks.

Es gibt viele Muster, die den Internetzugriff auf VMs unterstützen, denen keine öffentliche IP-Adresse zugewiesen ist. Daher muss sich das SAP-Team mit den Netzwerkverwaltungsteams in Verbindung setzen, um zu erfahren, wie der Internetzugriff inline mit dem übernommenen Netzwerkdesign gewährt werden kann.

Hinweis: In diesem Lab wird ein einzelner Cloud NAT-Dienst bereitgestellt. In der Praxis wird jedoch in der Regel in jeder Google Cloud-Region, in der VMs gehostet werden, mindestens ein Cloud NAT-Dienst bereitgestellt, um Latenz und netzwerkübergreifende Kosten zu vermeiden. Es kann jedoch auch gute Gründe geben, mehr als einen Dienst bereitzustellen.

Online-Dokumentation:

• Kurzanleitung: Einfache Konfiguration einrichten
• Befehlszeile – gcloud compute routers create
• Terraform-Ressource zum Erstellen eines Routers (google_compute_router)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-cloud-router/ examples/simple/main.tf
• Befehlszeile – gcloud compute routers nats create
• Terraform-Ressource zum Erstellen eines NAT-Routers (google_compute_router_nat)
• Terraform-Ansicht auf GitHub – terraform-google-modules/terraform-cloud-router/examples/nat/main.tf

Abhängigkeiten:

Damit Sie die erforderlichen Cloud NAT-Dienste erfolgreich bereitstellen können, müssen die folgenden Abhängigkeiten korrekt bereitgestellt werden, bevor Sie mit dieser Aktivität fortfahren:

• Google Cloud-Kontoeinrichtung
• IAM-Einrichtung
• Einrichtung der Ressourcenhierarchie
• Google Cloud-Projekt zum Hosten der VPC-Einrichtung
• VPC-Netzwerk(e) bereitgestellt
• VPC-Subnetz(e) bereitgestellt

Namenskonvention:

• Cloud NAT – ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01>--<02><03>-nat-gw--<04>--<05>-<06>

                             <01> – VPC-ID

                             <02> – Unternehmens-ID

                             <03> – ID der Geschäftseinheit

                             <04> – NAT-Kurzbeschreibung

                             <05> – ID der Hosting-Region

                             <06> – Subnetz-Zähl-ID

• Router – ID:
  • Zeichenbeschränkung: 62
  • Struktur: <01>--<02><03>-Router--<04>--<05>-<06>

                             <01> – VPC-ID

                             <02> – Unternehmens-ID

                             <03> – ID der Geschäftseinheit

                             <04> – Router-Kurzbeschreibung

                             <05> – ID der Hosting-Region

                             <06> – Router-Zähl-ID

• Router – Beschreibung:
  • Zeichenbeschränkung: keine
  • Struktur: „<01> – <02>-<03> Router = <04> – <05> – <06>“

                             <01> – VPC-ID

                             <02> – Unternehmen

                             <03> – ID der Geschäftseinheit

                             <04> – Router-Beschreibung

                             <05> – ID der Hosting-Region

                             <07> – Router-Zähl-ID

Zu erstellende Ressourcen (Anzahl = 2):

Stellen Sie mit einer beliebigen unterstützten Methode den Cloud NAT-Dienst mit den folgenden Konfigurationsdetails bereit:

Nr. 01 von 01:

Parameter	Wert
Cloud NAT – ID	xall-vpc--vpc-01--xall-nat-gw--shared-nat--de1-01
Router – ID	xall-vpc--vpc-01--xall-router--shared-nat--de1-01
Router – Beschreibung	xall-vpc--vpc-01 – XYZ-global Router = Shared NAT – Deutschland 1 (GCP) – 01
Region
VPC-Netzwerk	xall-vpc--vpc-01

Befehlszeile:

Befehl 01 von 02 – Router erstellen:

gcloud compute routers create [insert router ID here] \ --description="[insert router description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --network=[insert VPC network here]

(Beispielausgabe)

Creating router [[router ID]]...done. NAME: [router ID] REGION: [region ID] NETWORK: [VPC network ID]

Befehl 2 von 2 – Cloud NAT erstellen:

gcloud compute routers nats create [inset nat ID here] \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --router=[insert router ID here] \ \ --auto-allocate-nat-external-ips \ --nat-all-subnet-ip-ranges \ --enable-logging

(Beispielausgabe)

Creating NAT [[nat ID]] in router [[insert router ID here]]...done.

In der Cloud Console prüfen und validieren:

Prüfen Sie in der Cloud Console, ob der/die Router bereitgestellt wurde(n). Folgen Sie dazu diesem Pfad: Navigationsmenü -> NETZWERK -> Netzwerkkonnektivität -> Cloud Router.

Prüfen Sie in der Cloud Console, ob die Cloud NAT(s) bereitgestellt wurde(n). Folgen Sie dazu diesem Pfad: Navigationsmenü -> NETZWERK -> Netzwerkdienste -> Cloud NAT.

Klicken Sie auf Fortschritt prüfen.

Cloud NAT-Dienste erstellen

Das war's!

Zusammenfassung der Aktivitäten:

In der folgenden Tabelle sind die Komponenten, die durch die Aktivitäten in diesem Lab bereitgestellt werden, gelb hervorgehoben.

Weitere Informationen

In der folgenden Dokumentation finden Sie weitere praktische Übungen zu SAP:

• SAP in Google Cloud

Google Cloud-Schulungen und -Zertifizierungen

In unseren Schulungen erfahren Sie alles zum optimalen Einsatz unserer Google Cloud-Technologien und können sich entsprechend zertifizieren lassen. Unsere Kurse vermitteln technische Fähigkeiten und Best Practices, damit Sie möglichst schnell mit Google Cloud loslegen und Ihr Wissen fortlaufend erweitern können. Wir bieten On-Demand-, Präsenz- und virtuelle Schulungen für Anfänger wie Fortgeschrittene an, die Sie individuell in Ihrem eigenen Zeitplan absolvieren können. Mit unseren Zertifizierungen weisen Sie nach, dass Sie Experte im Bereich Google Cloud-Technologien sind.

Anleitung zuletzt am 20. Mai 2026 aktualisiert

Lab zuletzt am 18. Juli 2024 getestet

© 2026 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.