GSP1068

Présentation

Dans cet atelier, vous allez découvrir les principales activités liées au réseau qui sont impliquées dans le déploiement des différents services et ressources Google Cloud nécessaires pour créer la majorité des zones de destination SAP sur Google Cloud.

Les tâches de cet atelier sont basées sur les activités requises pour planifier et déployer un réseau afin d'héberger une infrastructure SAP fictive fournie.

Remarque : La création d'une zone de destination SAP nécessite le déploiement de diverses ressources Google Cloud. L'objectif de cet atelier n'est pas de réduire le processus/le travail de conception requis pour définir une zone de destination SAP spécifique au client à un ensemble d'étapes directives pouvant être exécutées pour déployer une zone de destination SAP adaptée aux entreprises de bout en bout. Pour en savoir plus, veuillez consulter la documentation de préparation à l'atelier.

Objectifs

Dans cet atelier, vous allez apprendre à effectuer les tâches suivantes :

• Créer des réseaux VPC
• Créer des sous-réseaux VPC
• Créer des règles de pare-feu de réseau VPC pour autoriser l'accès des utilisateurs à l'échelle du réseau
• Créer des règles de pare-feu de réseau VPC afin d'autoriser l'accès interenvironnement pour les systèmes SAP (par exemple, entre tous les systèmes de développement)
• Créer des règles de pare-feu de réseau VPC pour autoriser l'accès intersystème pour les composants d'un même système SAP (par exemple, entre les composants de base de données et d'application d'un même système SAP)
• Réserver des adresses IP statiques
• Créer un service Cloud NAT

Préparation

Avant de cliquer sur le bouton "Démarrer l'atelier"

Lisez ces instructions. Les ateliers sont minutés, et vous ne pouvez pas les mettre en pause. Le minuteur, qui démarre lorsque vous cliquez sur Démarrer l'atelier, indique combien de temps les ressources Google Cloud resteront accessibles.

Cet atelier pratique vous permet de suivre les activités dans un véritable environnement cloud, et non dans un environnement de simulation ou de démonstration. Des identifiants temporaires vous sont fournis pour vous permettre de vous connecter à Google Cloud le temps de l'atelier.

Pour réaliser cet atelier :

• Vous devez avoir accès à un navigateur Internet standard (nous vous recommandons d'utiliser Chrome).

Remarque : Ouvrez une fenêtre de navigateur en mode incognito (recommandé) ou de navigation privée pour effectuer cet atelier. Vous éviterez ainsi les conflits entre votre compte personnel et le compte temporaire de participant, qui pourraient entraîner des frais supplémentaires facturés sur votre compte personnel.

• Vous disposez d'un temps limité. N'oubliez pas qu'une fois l'atelier commencé, vous ne pouvez pas le mettre en pause.

Remarque : Utilisez uniquement le compte de participant pour cet atelier. Si vous utilisez un autre compte Google Cloud, des frais peuvent être facturés à ce compte.

Démarrer l'atelier et se connecter à la console Google Cloud

1. Cliquez sur le bouton Démarrer l'atelier. Si l'atelier est payant, une boîte de dialogue s'affiche pour vous permettre de sélectionner un mode de paiement. Sur la droite, vous trouverez le panneau Préparation et accès à l'atelier, qui contient les éléments suivants :

   • Le bouton Ouvrir la console Google Cloud
   • Les identifiants temporaires (nom d'utilisateur et mot de passe) que vous devez utiliser pour cet atelier
   • Des informations complémentaires vous permettant d'effectuer l'atelier, si nécessaire

   Notez que le minuteur de l'atelier se trouve en haut de la page et indique le temps restant.

2. Cliquez sur Ouvrir la console Google Cloud (ou effectuez un clic droit et sélectionnez Ouvrir le lien dans une fenêtre en navigation privée si vous utilisez Chrome).

   L'atelier lance les ressources, puis ouvre la page "Se connecter" dans un nouvel onglet.

   Conseil : Réorganisez les onglets dans des fenêtres distinctes, placées côte à côte.

   Remarque : Si la boîte de dialogue Sélectionner un compte s'affiche, cliquez sur Utiliser un autre compte.

3. Si nécessaire, copiez le nom d'utilisateur ci-dessous et collez-le dans la boîte de dialogue Se connecter.

   {{{user_0.username | "Username"}}}

   Vous trouverez également le nom d'utilisateur dans le panneau Préparation et accès à l'atelier.

4. Cliquez sur Suivant.

5. Copiez le mot de passe ci-dessous et collez-le dans la boîte de dialogue Bienvenue.

   {{{user_0.password | "Password"}}}

   Vous trouverez également le mot de passe dans le panneau Préparation et accès à l'atelier.

6. Cliquez sur Suivant.

   Important : Vous devez utiliser les identifiants fournis pour l'atelier. N'utilisez pas les identifiants de votre compte Google Cloud. Remarque : Si vous utilisez votre propre compte Google Cloud pour cet atelier, des frais supplémentaires pourront vous être facturés.

7. Accédez aux pages suivantes :

   • Acceptez les conditions d'utilisation.
   • N'ajoutez pas d'options de récupération ni d'authentification à deux facteurs (ce compte est temporaire).
   • Ne vous inscrivez pas à des essais sans frais.

Après quelques instants, la console Cloud s'ouvre dans cet onglet.

Remarque : Pour accéder aux produits et services Google Cloud, cliquez sur le menu de navigation ou saisissez le nom du service ou du produit dans le champ Recherche.

Activer Cloud Shell

Cloud Shell est une machine virtuelle qui contient de nombreux outils pour les développeurs. Elle comprend un répertoire d'accueil persistant de 5 Go et s'exécute sur Google Cloud. Cloud Shell vous permet d'accéder via une ligne de commande à vos ressources Google Cloud.

1. Cliquez sur Activer Cloud Shell  en haut de la console Google Cloud.

2. Passez les fenêtres suivantes :

   • Accédez à la fenêtre d'informations de Cloud Shell.
   • Autorisez Cloud Shell à utiliser vos identifiants pour effectuer des appels d'API Google Cloud.

Une fois connecté, vous êtes en principe authentifié et le projet est défini sur votre ID_PROJET : . Le résultat contient une ligne qui déclare l'ID_PROJET pour cette session :

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud est l'outil de ligne de commande pour Google Cloud. Il est préinstallé sur Cloud Shell et permet la complétion par tabulation.

3. (Facultatif) Vous pouvez lister les noms des comptes actifs à l'aide de cette commande :

gcloud auth list

4. Cliquez sur Autoriser.

Résultat :

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (Facultatif) Vous pouvez lister les ID de projet à l'aide de cette commande :

gcloud config list project

Résultat :

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} Remarque : Pour consulter la documentation complète sur gcloud, dans Google Cloud, accédez au guide de présentation de la gcloud CLI.

Prérequis

Pour que vous puissiez profiter pleinement de cette formation, nous vous conseillons de commencer par l'atelier facultatif suivant :

• Formation "Kit Cloud Foundation" : Premiers pas

Réaliser les activités de cet atelier

Cet atelier se concentre sur les thèmes suivants liés aux zones de destination :

• Services et ressources Google Cloud à déployer

Cet atelier aborde les principales activités nécessaires au déploiement des différents services et ressources Google Cloud impliqués dans la création de la majorité des zones de destination SAP sur Google Cloud.

Les activités de cet atelier sont progressives et complémentaires. Vous devez donc les effectuer dans l'ordre indiqué. Ce fonctionnement est intentionnel, car il représente des scénarios réels dans lesquels il existe des dépendances entre les ressources Google Cloud. Un travail précis est de rigueur, car les actions correctives peuvent être très laborieuses.

Google Cloud prend en charge de nombreuses options différentes pour déployer des ressources Google Cloud. Voici quelques exemples :

• Manuellement dans la console Google Cloud
• Ligne de commande (par exemple, gcloud)
• Appels d'API
• Différents langages de programmation (par exemple, Go, Java, Node.js, Python)
• Outils de type Infrastructure as Code (par exemple, Terraform)

Les options adoptées pour une zone de destination SAP spécifique au client seront définies lors du processus de conception.

Dans cet atelier, toutes les activités seront exécutées à partir de la ligne de commande et les instructions requises associées seront fournies. Toutefois, les participants peuvent choisir d'utiliser n'importe quelle option compatible pour réaliser les activités. Le cas échéant, des liens vers la documentation de démarrage rapide en ligne correspondante seront fournis. Celle-ci inclura des instructions de syntaxe pour les autres options.

Dans cet atelier, une convention d'attribution de noms sera fournie pour toutes les ressources (veuillez vous reporter à la section sur la convention d'attribution de noms et au tableau fournis dans la documentation de préparation pour plus d'informations). La plupart des activités nécessiteront que les ressources Google Cloud soient déployées conformément à la convention d'attribution de noms et aux spécifications de configuration fournies, en adéquation avec ce qui serait attendu dans des scénarios réels. Les différentes activités de cet atelier ne seront marquées comme terminées que si elles sont entièrement conformes à l'attribution attendue des noms et aux spécifications de configuration indiquées.

Code couleur des valeurs des paramètres :

Pour vous aider à comprendre à quoi correspondent les différentes valeurs des paramètres, le code couleur suivant a été adopté :

• Vert = ID de la ressource en cours de création
• Orange = saisie de texte libre, généralement utilisée pour les descriptions
• Bleu = ID d'une ressource créée précédemment
• Violet = paramètre de configuration de la ressource en cours de création

Suivi du temps de travail

Cet atelier est limité à 60 minutes. Au terme du temps imparti, l'environnement de l'atelier s'arrêtera automatiquement et toutes les ressources déployées seront effacées. Si vous recommencez l'atelier, vous devrez reprendre toutes les tâches.

Pour vous assurer que vous disposez de suffisamment de temps pour effectuer toutes les tâches, voici ce que nous vous recommandons vivement de faire avant de cliquer sur Démarrer l'atelier :

• Consultez toutes les tâches de l'atelier.
• Choisissez l'option que vous souhaitez utiliser pour déployer les ressources Google Cloud.
• Préparez le code et les outils de déploiement à exécuter.

Simuler une infrastructure SAP

Pour vous aider à visualiser les activités de cet atelier et à les associer à vos propres infrastructures SAP, une infrastructure SAP fictive est fournie, sur laquelle toutes les activités de l'atelier seront basées.

Présentation de l'infrastructure SAP

Le tableau ci-dessous présente la configuration clé des attributs de l'infrastructure SAP sur laquelle repose cet atelier. Il doit être consulté en même temps que le tableau de convention d'attribution de noms fourni dans la documentation de préparation.

Le tableau met en évidence en jaune les composants qui seront déployés lors des activités de cet atelier.

Documentation de préparation à l'atelier : Intégration "SAP sur Google Cloud"

Pour obtenir des informations supplémentaires sur les conditions réelles du parcours d'intégration au cloud du client, nous vous conseillons de lire la documentation de préparation à l'atelier : Intégration "SAP sur Google Cloud".

Remarque : Si vous souhaitez obtenir le badge de compétence "Zone de destination SAP", vous devrez lire et répondre à une série de questions liées à cette documentation de préparation.

Tâche 1 : Créer des réseaux VPC

Selon les schémas de conception de réseau adoptés dans l'environnement du client, il peut être nécessaire de déployer un ou plusieurs réseaux VPC avec au moins un sous-réseau pour répondre aux exigences de conception du réseau.

Considérations concrètes :

Comme indiqué dans la documentation de préparation, la conception de configuration de réseau est l'un des sujets des principes de base du cloud.

De nombreux schémas de conception de réseau VPC sont acceptables, chacun avec ses avantages, ses inconvénients et ses contraintes. Dans des scénarios réels, les clients doivent évaluer soigneusement leurs exigences en matière de conception de réseau afin de répondre au mieux à leurs besoins spécifiques pour toutes les charges de travail actuelles et futures. Cette activité doit être effectuée avec des spécialistes réseau qualifiés afin de s'assurer que la conception de réseau appropriée est adoptée.

Modifier la conception de réseau à un stade ultérieur peut être très perturbateur et demander beaucoup de travail.

Remarque : Dans des scénarios réels, il est extrêmement rare qu'un réseau VPC soit conçu uniquement pour héberger une infrastructure SAP.

Documentation en ligne :

• Guide de démarrage rapide : Créer un réseau VPC en mode personnalisé avec des sous-réseaux IPv4 uniquement
• Ligne de commande : gcloud compute networks create
• Ressource Terraform pour créer un réseau (google_compute_network)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-network/examples/basic_custom_mode/main.tf

Dépendances :

Pour pouvoir déployer correctement les réseaux VPC requis, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01><02>-vpc--<03>-<04>

                             <01> : ID d'entreprise

                             <02> : ID d'entité commerciale

                             <03> : brève description du VPC

                             <04> : identifiant de comptage de VPC

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01>-<02> VPC network = <03> - <04>"

                             <01> : entreprise

                             <02> : ID d'entité commerciale

                             <03> : description du VPC

                             <04> : identifiant de comptage de VPC

Ressources à créer (nombre = 1) :

Déployez les réseaux VPC à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 01 :

Paramètre	Valeur
ID	xall-vpc--vpc-01
Description du VPC	Réseau VPC XYZ-all = réseau VPC standard - 01
Mode de sous-réseau	personnalisé
Mode de routage	mondial

Ligne de commande :

Commande 01 sur 01 - Créer un réseau VPC :

gcloud compute networks create [insert ID here] \ --description="[insert VPC description here]" \ \ --project=[insert your Project ID here] \ \ --subnet-mode=[insert subnet mode here] \ --bgp-routing-mode=[insert routing mode here] \ --mtu=1460

(Exemple de résultat)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/networks/[VPC network ID]]. NAME: [VPC network ID] SUBNET_MODE: [VPC subnet mode] BGP_ROUTING_MODE: [VPC routing mode] IPV4_RANGE: GATEWAY_IPV4: Instances on this network will not be reachable until firewall rules are created. As an example, you can allow all internal traffic between instances as well as SSH, RDP, and ICMP by running: $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp,udp,icmp --source-ranges $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp:22,tcp:3389,icmp

Examiner et valider dans la console Cloud :

Vérifiez que les réseaux VPC ont été déployés dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Réseaux VPC.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des réseaux VPC

Tâche 2 : Créer des sous-réseaux VPC

À mesure que de nouveaux environnements SAP (par exemple, reprise après sinistre) ou environnements opérationnels SAP (par exemple, environnement de projet) sont déployés, il peut être nécessaire d'ajouter des sous-réseaux à un réseau VPC existant.

Considérations concrètes :

De nombreux facteurs peuvent influencer la disposition des sous-réseaux dans un réseau VPC.

La création et la maintenance des sous-réseaux sont généralement gérées par des équipes d'administration centrale des réseaux qui s'assurent que les normes de sécurité et de conception appropriées sont appliquées. En temps normal, l'équipe SAP doit se coordonner avec ces équipes d'administration des réseaux pour définir la disposition des sous-réseaux spécifique à la charge de travail dans des conditions réelles.

La disposition des sous-réseaux fournie dans cet atelier est basée sur des scénarios réels couramment observés, mais chaque client doit évaluer son propre environnement avant d'y déployer des sous-réseaux et des ressources.

Remarque : Modifier la disposition des sous-réseaux à un stade ultérieur peut être très perturbateur et demander beaucoup de travail.

Documentation en ligne :

• Guide de démarrage rapide : Ajouter un sous-réseau IPv4 uniquement
• Ligne de commande : gcloud compute networks subnets create
• Ressource Terraform pour créer un réseau (google_compute_network)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-network/examples/simple_project/main.tf

Dépendances :

Pour pouvoir déployer correctement les sous-réseaux VPC requis, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01><02>-subnet--<03>-<04>-<05>--<06>-<07>

                             <01> : ID d'entreprise

                             <02> : ID d'entité commerciale

                             <03> : ID de charge de travail

                             <04> : ID de domaine opérationnel

                             <05> : ID d'environnement

                             <06> : ID de région d'hébergement

                             <07> : identifiant de comptage de sous-réseaux

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01>-<02> sous-réseau = <03>-<04>-<05> - <06> - <07>"

                             <01> : entreprise

                             <02> : ID d'entité commerciale

                             <03> : ID de charge de travail

                             <04> : ID de domaine opérationnel

                             <05> : ID d'environnement

                             <06> : ID de région d'hébergement

                             <07> : identifiant de comptage de sous-réseaux

Ressources à créer (nombre = 1) :

Déployez les sous-réseaux VPC à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 01 :

Paramètre	Valeur
ID	xgl-subnet--cerps-bau-nonprd--be1-01
Description	Sous-réseau XYZ-Global = CERPS-BaU-NonProd - Belgique 1 (GCP) - 01
Réseau VPC	xall-vpc--vpc-01
Région
Plage d'adresses IP	10.1.1.0/24

Ligne de commande :

Commande 01 sur 01 - Créer un sous-réseau VPC :

gcloud compute networks subnets create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ --region=[insert region here] \ \ --range=[insert IP range here] \ --enable-private-ip-google-access \ --enable-flow-logs

(Exemple de résultat)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/[region ID]/subnetworks/[VPC subnet ID]]. NAME: [VPC subnet ID] REGION: [region ID] NETWORK: [VPC network ID] RANGE: [IP range] STACK_TYPE: IPV4_ONLY IPV6_ACCESS_TYPE: INTERNAL_IPV6_PREFIX: EXTERNAL_IPV6_PREFIX:

Examiner et valider dans la console Cloud :

Vérifiez que les sous-réseaux VPC ont été déployés dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Réseaux VPC.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des sous-réseaux VPC

Tâche 3 : Créer des règles de pare-feu VPC pour l'accès utilisateur

Toutes les ressources hébergées par SAP nécessitent un accès au réseau. Des règles de pare-feu VPC doivent être définies pour sécuriser les accès autorisés au réseau. Des règles de pare-feu à l'échelle du réseau seront requises pour autoriser l'accès à différents utilisateurs.

Considérations concrètes :

Les règles de pare-feu VPC sont généralement gérées par des équipes d'administration centrale des réseaux qui s'assurent que les normes de sécurité appropriées sont appliquées. En temps normal, l'équipe SAP doit se coordonner avec ces équipes d'administration des réseaux pour définir les règles de pare-feu VPC spécifiques à la charge de travail pour les accès utilisateur, les accès à l'échelle de l'environnement et les accès intersystème dans des conditions réelles.

Google Cloud propose différentes options pour définir des règles de pare-feu VPC, chacune avec ses avantages, ses inconvénients et ses contraintes. Les ressources Google Cloud peuvent être protégées par plusieurs règles de pare-feu VPC définies à l'aide de diverses options.

Remarque : Dans cet atelier, nous utiliserons des tags de pare-feu, car il s'agit souvent de la solution la plus évolutive et la plus facile à gérer pour contrôler l'accès au réseau dans les infrastructures SAP.

Documentation en ligne :

• Guide de démarrage rapide : Créer des règles de pare-feu
• Ligne de commande : gcloud compute firewall-rules create
• Ressource Terraform pour créer une règle de pare-feu (google_compute_firewall)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Aide SAP : Ports TCP/IP de tous les produits SAP

Dépendances :

Pour pouvoir déployer correctement les règles de pare-feu VPC requises, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01>--<02><03>-fw--user--<04>--<05>--v<06>

                             <01> : ID de VPC

                             <02> : ID d'entreprise

                             <03> : ID d'entité commerciale

                             <04> : ID d'action de pare-feu

                             <05> : brève description de l'accès utilisateur

                             <06> : numéro de version de pare-feu

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01> - <02>-<03> firewall rule = User access - <04> <05> - version <06>"

                             <01> : ID de VPC

                             <02> : entreprise

                             <03> : ID d'entité commerciale

                             <04> : ACTION de pare-feu

                             <05> : description de l'accès utilisateur

                             <06> : numéro de version de pare-feu

Ressources à créer (nombre = 4) :

Déployez les règles de pare-feu VPC à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 04 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Description	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard linux access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Filtre source	source-ranges
Source	0.0.0.0/0
Ports réseau	tcp:22,icmp

Numéro 02 sur 04 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Description	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard windows access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Filtre source	source-ranges
Source	0.0.0.0/0
Ports réseau	tcp:3389,icmp

Numéro 03 sur 04 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Description	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAPGUI access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Filtre source	source-ranges
Source	0.0.0.0/0
Ports réseau	tcp:3200-3299,tcp:3600-3699

Numéro 04 sur 04 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Description	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAP Fiori access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Filtre source	source-ranges
Source	0.0.0.0/0
Ports réseau	tcp:80,tcp:8000-8099,tcp:443,tcp:4300-44300

Ligne de commande :

Commande 01 sur 01 - Créer une règle de pare-feu VPC :

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemple de résultat)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Examiner et valider dans la console Cloud :

Vérifiez que les règles de pare-feu VPC ont été déployées dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Pare-feu.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des règles de pare-feu VPC pour l'accès utilisateur

Tâche 4 : Créer des règles de pare-feu VPC pour l'accès à l'environnement

Toutes les ressources hébergées par SAP nécessitent un accès au réseau. Des règles de pare-feu VPC doivent être définies pour sécuriser les accès autorisés au réseau. Des règles de pare-feu à l'échelle de l'environnement seront requises pour permettre la communication entre les systèmes SAP du même environnement. Cet accès doit être limité aux ports SAP standards.

Considérations concrètes :

Les règles de pare-feu VPC sont généralement gérées par des équipes d'administration centrale des réseaux qui s'assurent que les normes de sécurité appropriées sont appliquées. En temps normal, l'équipe SAP doit se coordonner avec ces équipes d'administration des réseaux pour définir les règles de pare-feu VPC spécifiques à la charge de travail pour les accès utilisateur, les accès à l'échelle de l'environnement et les accès intersystème dans des conditions réelles.

Google Cloud propose différentes options pour définir des règles de pare-feu VPC, chacune avec ses avantages, ses inconvénients et ses contraintes. Les ressources Google Cloud peuvent être protégées par plusieurs règles de pare-feu VPC définies à l'aide de diverses options.

Remarque : Dans cet atelier, nous utiliserons des tags de pare-feu, car il s'agit souvent de la solution la plus évolutive et la plus facile à gérer pour contrôler l'accès au réseau dans les infrastructures SAP.

Documentation en ligne :

• Guide de démarrage rapide : Créer des règles de pare-feu
• Ligne de commande : gcloud compute firewall-rules create
• Ressource Terraform pour créer une règle de pare-feu (google_compute_firewall)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Aide SAP : Ports TCP/IP de tous les produits SAP

Dépendances :

Pour pouvoir déployer correctement les règles de pare-feu VPC requises, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01>--<02><03>-fw--<04>-<05>-<06>--<07>-env--v<08>

                             <01> : ID de VPC

                             <02> : ID d'entreprise

                             <03> : ID d'entité commerciale

                             <04> : ID de charge de travail

                             <05> : ID de domaine opérationnel

                             <06> : ID d'environnement

                             <07> : ID d'action de pare-feu

                             <08> : numéro de version de pare-feu

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> environment wide access - version <08>"

                             <01> : ID de VPC

                             <02> : entreprise

                             <03> : ID d'entité commerciale

                             <04> : ID de charge de travail

                             <05> : ID de domaine opérationnel

                             <06> : ID d'environnement

                             <07> : ACTION de pare-feu

                             <08> : numéro de version de pare-feu

Ressources à créer (nombre = 1) :

Déployez les règles de pare-feu VPC à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 01 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Description	xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW environment wide access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Filtre source	source-tags
Source	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Ports réseau	tcp:3200-3299,tcp:3300-3399,tcp:4800-4899,tcp:80,tcp:8000-8099,tcp:443,tcp:44300-44399,tcp:3600-3699,tcp:8100-8199,tcp:44400-44499,tcp:50000-59999,tcp:30000-39999,tcp:4300-4399,tcp:40000-49999,tcp:1128-1129,tcp:5050,tcp:8000-8499,tcp:515,icmp

Ligne de commande :

Commande 01 sur 01 - Créer une règle de pare-feu VPC :

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemple de résultat)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Examiner et valider dans la console Cloud :

Vérifiez que les règles de pare-feu VPC ont été déployées dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Pare-feu.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des règles de pare-feu VPC pour l'accès à l'environnement

Tâche 5 : Créer des règles de pare-feu VPC pour l'accès au système

Toutes les ressources hébergées par SAP nécessitent un accès au réseau. Des règles de pare-feu VPC doivent être définies pour sécuriser les accès autorisés au réseau. Étant donné que les composants d'un même système SAP sont généralement répartis sur plusieurs VM, des règles de pare-feu à l'échelle du système seront requises pour permettre à ces composants de communiquer. Puisque les composants d'un système SAP sont étroitement liés et communiquent énormément, il est assez courant que l'accès au réseau entre ces composants ne soit pas restreint.

Considérations concrètes :

Les règles de pare-feu VPC sont généralement gérées par des équipes d'administration centrale des réseaux qui s'assurent que les normes de sécurité appropriées sont appliquées. En temps normal, l'équipe SAP doit se coordonner avec ces équipes d'administration des réseaux pour définir les règles de pare-feu VPC spécifiques à la charge de travail pour les accès utilisateur, les accès à l'échelle de l'environnement et les accès intersystème dans des conditions réelles.

Google Cloud propose différentes options pour définir des règles de pare-feu VPC, chacune avec ses avantages, ses inconvénients et ses contraintes. Les ressources Google Cloud peuvent être protégées par plusieurs règles de pare-feu VPC définies à l'aide de diverses options.

Remarque : Dans cet atelier, nous utiliserons des tags de pare-feu, car il s'agit souvent de la solution la plus évolutive et la plus facile à gérer pour contrôler l'accès au réseau dans les infrastructures SAP.

Documentation en ligne :

• Guide de démarrage rapide : Créer des règles de pare-feu
• Ligne de commande : gcloud compute firewall-rules create
• Ressource Terraform pour créer une règle de pare-feu (google_compute_firewall)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Aide SAP : Ports TCP/IP de tous les produits SAP

Dépendances :

Pour pouvoir déployer correctement les règles de pare-feu VPC requises, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01>--<02><03>-fw--<04>-<05>-<06>--<07>-<08>--v<09>

                             <01> : ID de VPC

                             <02> : ID d'entreprise

                             <03> : ID d'entité commerciale

                             <04> : ID de charge de travail

                             <05> : ID de domaine opérationnel

                             <06> : ID d'environnement

                             <07> : ID d'action de pare-feu

                             <08> : ID de système

                             <09> : numéro de version de pare-feu

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> <08> (<09>) system wide access - version <10>"

                             <01> : ID de VPC

                             <02> : entreprise

                             <03> : ID d'entité commerciale

                             <04> : ID de charge de travail

                             <05> : ID de domaine opérationnel

                             <06> : ID d'environnement

                             <07> : ACTION de pare-feu

                             <08> : ID d'application

                             <09> : ID de système

                             <10> : numéro de version de pare-feu

Ressources à créer (nombre = 1) :

Déployez les règles de pare-feu VPC à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 01 :

Paramètre	Valeur
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Description	xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW SAP S4 (DS4) system wide access - version 01
Réseau VPC	xall-vpc--vpc-01
Priorité	1000
Direction	ingress
Action	allow
Tags cibles	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Filtre source	source-tags
Source	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Règles	tcp,udp,icmp

Ligne de commande :

Commande 01 sur 01 - Créer une règle de pare-feu VPC :

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemple de résultat)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Examiner et valider dans la console Cloud :

Vérifiez que les règles de pare-feu VPC ont été déployées dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Pare-feu.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des règles de pare-feu VPC pour l'accès au système

Tâche 6 : Réserver des adresses IP internes statiques

Certains clients SAP choisissent d'utiliser des noms d'hôtes virtuels pour déployer des composants SAP et y accéder afin de profiter des avantages des principes de conception adaptative SAP. Pour s'assurer que les adresses IP des noms d'hôtes virtuels ne sont pas utilisées accidentellement par des VM nouvellement créées, les adresses IP internes à utiliser comme adresses IP des noms d'hôtes virtuels doivent être réservées.

Considérations concrètes :

En général, des équipes d'administration centrale des réseaux gèrent toutes les ressources liées au réseau VPC. L'équipe SAP doit donc se coordonner avec ces équipes pour créer ces réservations d'adresses IP statiques dans des conditions réelles.

Remarque : Lorsque vous utilisez des noms d'hôtes virtuels, vous devez planifier soigneusement la taille des sous-réseaux pour vous assurer que suffisamment d'adresses IP sont disponibles afin de contenir à la fois les adresses IP des VM et les noms d'hôtes virtuels. Pour simplifier la gestion, il est fortement recommandé que les noms d'hôtes virtuels utilisent des adresses IP du même sous-réseau que les VM auxquelles ils sont associés.

Documentation en ligne :

• Guide de démarrage rapide : Réserver une nouvelle adresse IP statique interne
• Ligne de commande : gcloud compute addresses create
• Ressource Terraform pour créer une règle de pare-feu (google_compute_address)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-google-address/examples/internal_with_specific_ip/main.tf
• Note SAP 962955 : Utilisation de noms d'hôtes TCP/IP virtuels ou logiques

Dépendances :

Pour pouvoir réserver les adresses IP statiques requises, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés
• Sous-réseaux VPC déployés

Convention d'attribution de noms :

• ID :
  • Nombre maximal de caractères : 62
  • Structure : <01><02>-ip-address--<03>-<04>-<05>--<06>--<07>

                             <01> : ID d'entreprise

                             <02> : ID d'entité commerciale

                             <03> : ID de charge de travail

                             <04> : ID de domaine opérationnel

                             <05> : ID d'environnement

                             <06> : ID de système

                             <07> : nom d'hôte virtuel court

• Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01>-<02> reserved IP address = <03>-<04>-<05> - <06> (<07>) - <08>"                              <01> : entreprise

                             <02> : ID d'entité commerciale

                             <03> : ID de charge de travail

                             <04> : ID de domaine opérationnel

                             <05> : ID d'environnement

                             <06> : ID d'application

                             <07> : ID de système

                             <08> : nom d'hôte virtuel court

Ressources à créer (nombre = 4) :

Réservez des adresses IP statiques à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 04 :

Paramètre	Valeur
ID	xgl-ip-address--cerps-bau-dev--dh1--d-cerpshana1
Description	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP HANA 1 (DH1) - d-cerpshana1
Région
Sous-réseau	xgl-subnet--cerps-bau-nonprd--be1-01
Adresses	10.1.1.100

Numéro 02 sur 04 :

Paramètre	Valeur
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4db
Description	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4db
Région
Sous-réseau	xgl-subnet--cerps-bau-nonprd--be1-01
Adresses	10.1.1.101

Numéro 03 sur 04 :

Paramètre	Valeur
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4scs
Description	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4scs
Région
Sous-réseau	xgl-subnet--cerps-bau-nonprd--be1-01
Adresses	10.1.1.102

Numéro 04 sur 04 :

Paramètre	Valeur
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4app1
Description	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4app1
Région
Sous-réseau	xgl-subnet--cerps-bau-nonprd--be1-01
Adresses	10.1.1.103

Ligne de commande :

Commande 01 sur 01 : Créer une réservation pour une adresse IP statique :

gcloud compute addresses create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --subnet=[insert subnet here] \ \ --addresses=[insert addresses here]

(Exemple de résultat)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/europe-west1/addresses/[reserved IP ID]]

Examiner et valider dans la console Cloud :

Vérifiez que les adresses IP internes statiques ont bien été réservées dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Réseau VPC -> Adresses IP.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Réserver des adresses IP internes statiques

Tâche 7 : Créer des services Cloud NAT

Il est assez courant que les VM hébergeant des composants SAP ne se voient pas attribuer d'adresses IP publiques pour des raisons de sécurité. Cependant, ces VM ont souvent besoin d'un accès à Internet pour effectuer des activités critiques, comme la mise à jour des packages du système d'exploitation. Le service Cloud NAT permet à ces VM associées à SAP d'accéder à Internet de manière sécurisée.

Considérations concrètes :

En général, des équipes d'administration centrale des réseaux gèrent toutes les ressources liées au réseau VPC.

De nombreux modèles permettent de fournir un accès à Internet aux VM auxquelles aucune adresse IP publique n'est attribuée. L'équipe SAP doit donc se coordonner avec ces équipes d'administration pour déterminer comment accorder l'accès à Internet conformément à la conception réseau adoptée.

Remarque : Dans cet atelier, un seul service Cloud NAT sera déployé. Cependant, en conditions réelles, pour éviter la latence et les coûts de réseau inter-région, chaque région Google Cloud hébergeant des VM doit généralement disposer d'au moins un service Cloud NAT. Il peut néanmoins exister des raisons valables d'en déployer davantage.

Documentation en ligne :

• Guide de démarrage rapide : Définir une configuration simple
• Ligne de commande : gcloud compute routers create
• Ressource Terraform pour créer un routeur (google_compute_router)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-cloud-router/ examples/simple/main.tf
• Ligne de commande : gcloud compute routers nats create
• Ressource Terraform pour créer un routeur NAT (google_compute_router_nat)
• Vue Terraform sur GitHub : terraform-google-modules/terraform-cloud-router/examples/nat/main.tf

Dépendances :

Pour pouvoir déployer les services Cloud NAT requis, vous devez déployer correctement les dépendances suivantes avant de poursuivre cette activité :

• Configuration de compte Google Cloud
• Configuration IAM
• Configuration de hiérarchie des ressources
• Projet Google Cloud pour héberger la configuration de VPC
• Réseaux VPC déployés
• Sous-réseaux VPC déployés

Convention d'attribution de noms :

• Cloud NAT – ID :
  • Nombre maximal de caractères : 62
  • Structure : <01>--<02><03>-nat-gw--<04>--<05>-<06>

                             <01> : ID de VPC

                             <02> : ID d'entreprise

                             <03> : ID d'entité commerciale

                             <04> : brève description du service NAT

                             <05> : ID de région d'hébergement

                             <06> : identifiant de comptage de sous-réseaux

• Routeur – ID :
  • Nombre maximal de caractères : 62
  • Structure : <01>--<02><03>-router--<04>--<05>-<06>

                             <01> : ID de VPC

                             <02> : ID d'entreprise

                             <03> : ID d'entité commerciale

                             <04> : brève description du routeur

                             <05> : ID de région d'hébergement

                             <06> : identifiant de comptage de routeurs

• Routeur – Description :
  • Nombre maximal de caractères : illimité
  • Structure : "<01> - <02>-<03> router = <04> - <05> - <06>"

                             <01> : ID de VPC

                             <02> : entreprise

                             <03> : ID d'entité commerciale

                             <04> : description du routeur

                             <05> : ID de région d'hébergement

                             <07> : identifiant de comptage de routeurs

Ressources à créer (nombre = 2) :

Déployez les services Cloud NAT à l'aide de l'une des méthodes compatibles en utilisant les détails de configuration suivants :

Numéro 01 sur 01 :

Paramètre	Valeur
Cloud NAT – ID	xall-vpc--vpc-01--xall-nat-gw--shared-nat--de1-01
Routeur – ID	xall-vpc--vpc-01--xall-router--shared-nat--de1-01
Routeur – Description	xall-vpc--vpc-01 - XYZ-Global router = Shared NAT - Germany 1 (GCP) - 01
Région
Réseau VPC	xall-vpc--vpc-01

Ligne de commande :

Commande 01 sur 02 : Créer un routeur :

gcloud compute routers create [insert router ID here] \ --description="[insert router description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --network=[insert VPC network here]

(Exemple de résultat)

Creating router [[router ID]]...done. NAME: [router ID] REGION: [region ID] NETWORK: [VPC network ID]

Commande 02 sur 02 : Créer un service Cloud NAT :

gcloud compute routers nats create [inset nat ID here] \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --router=[insert router ID here] \ \ --auto-allocate-nat-external-ips \ --nat-all-subnet-ip-ranges \ --enable-logging

(Exemple de résultat)

Creating NAT [[nat ID]] in router [[insert router ID here]]...done.

Examiner et valider dans la console Cloud :

Vérifiez que les routeurs ont été déployés dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Connectivité réseau -> Routeurs cloud.

Vérifiez que les services Cloud NAT ont été déployés dans la console Cloud en suivant le chemin d'accès Menu de navigation -> MISE EN RÉSEAU -> Services réseau -> Cloud NAT.

Cliquez sur Vérifier ma progression pour valider l'objectif.

Créer des services Cloud NAT

Félicitations !

Résumé des activités :

Le tableau ci-dessous met en évidence en jaune les composants qui ont été déployés lors des activités de cet atelier.

Étapes suivantes et informations supplémentaires

Pour vous familiariser davantage avec SAP, consultez la documentation suivante :

• SAP sur Google Cloud

Formations et certifications Google Cloud

Les formations et certifications Google Cloud vous aident à tirer pleinement parti des technologies Google Cloud. Nos cours portent sur les compétences techniques et les bonnes pratiques à suivre pour être rapidement opérationnel et poursuivre votre apprentissage. Nous proposons des formations pour tous les niveaux, à la demande, en salle et à distance, pour nous adapter aux emplois du temps de chacun. Les certifications vous permettent de valider et de démontrer vos compétences et votre expérience en matière de technologies Google Cloud.

Dernière mise à jour du manuel : 20 mai 2026

Dernier test de l'atelier : 18 juillet 2024

Copyright 2026 Google LLC. Tous droits réservés. Google et le logo Google sont des marques de Google LLC. Tous les autres noms d'entreprises et de produits peuvent être des marques des entreprises auxquelles ils sont associés.