GSP1068

概要

このラボでは、Google Cloud 上に SAP ランディング ゾーンの大部分を構築するために必要な、さまざまな Google Cloud サービスとリソースのデプロイを含め、ネットワーク関連の主なアクティビティについて学習します。

このラボのタスクは、提供された模擬 SAP 環境をホストするネットワークを計画・デプロイするうえで必要なアクティビティに基づいています。

注: SAP ランディング ゾーンを構築するには、多数の Google Cloud リソースをデプロイする必要があります。このラボの目標は、お客様固有の「SAP ランディング ゾーン」を定義するために必要な設計プロセスや作業を、エンタープライズ対応の「SAP ランディング ゾーン」をエンドツーエンドでデプロイするための規範的な手順へと簡略化することではありません。詳しくは、「ラボの事前資料」をご覧ください。

目標

このラボでは、次の方法について学びます。

• 「VPC ネットワーク」を作成する
• VPC「サブネット」を作成する
• ネットワーク全体のユーザー アクセスを許可する VPC ネットワークの「ファイアウォール ルール」を作成する
• SAP システム間（例: すべての Dev システム間）の環境間アクセスを許可する VPC ネットワークの「ファイアウォール ルール」を作成する
• 単一の SAP システムのコンポーネント間（例: 単一の SAP システムの DB コンポーネントとアプリ コンポーネントの間）でシステム間アクセスを許可する VPC ネットワーク「ファイアウォール ルール」を作成する
• 静的「IP アドレス」を予約する
• 「Cloud NAT サービス」を作成する

設定と要件

[ラボを開始] ボタンをクリックする前に

こちらの説明をお読みください。ラボには時間制限があり、一時停止することはできません。タイマーは、Google Cloud のリソースを利用できる時間を示しており、[ラボを開始] をクリックするとスタートします。

このハンズオンラボでは、シミュレーションやデモ環境ではなく実際のクラウド環境を使って、ラボのアクティビティを行います。そのため、ラボの受講中に Google Cloud にログインおよびアクセスするための、新しい一時的な認証情報が提供されます。

このラボを完了するためには、下記が必要です。

• 標準的なインターネット ブラウザ（Chrome を推奨）

注: このラボの実行には、シークレット モード（推奨）またはシークレット ブラウジング ウィンドウを使用してください。これにより、個人アカウントと受講者アカウント間の競合を防ぎ、個人アカウントに追加料金が発生しないようにすることができます。

• ラボを完了するための時間（開始後は一時停止できません）

注: このラボでは、受講者アカウントのみを使用してください。別の Google Cloud アカウントを使用すると、そのアカウントに料金が発生する可能性があります。

ラボを開始して Google Cloud コンソールにログインする方法

1. [ラボを開始] ボタンをクリックします。ラボの料金をお支払いいただく必要がある場合は、表示されるダイアログでお支払い方法を選択してください。 右側の [ラボの設定とアクセス] パネルには、以下が表示されます。

   • [Google Cloud コンソールを開く] ボタン
   • このラボで使用する一時的な認証情報（ユーザー名とパスワード）
   • このラボを行うために必要なその他の情報（ある場合）

   ラボのタイマーはページの上部に表示され、残り時間が示されます。

2. [Google Cloud コンソールを開く] をクリックします（Chrome ブラウザを使用している場合は、右クリックして [シークレット ウィンドウで開く] を選択します）。

   ラボでリソースがスピンアップし、別のタブで [ログイン] ページが表示されます。

   ヒント: タブをそれぞれ別のウィンドウで開き、並べて表示しておきましょう。

   注: [アカウントの選択] ダイアログが表示された場合は、[別のアカウントを使用] をクリックします。

3. 必要に応じて、下のユーザー名をコピーして、[ログイン] ダイアログに貼り付けます。

   {{{user_0.username | "Username"}}}

   [ラボの設定とアクセス] パネルでもユーザー名を確認できます。

4. [次へ] をクリックします。

5. 以下のパスワードをコピーして、[ようこそ] ダイアログに貼り付けます。

   {{{user_0.password | "Password"}}}

   [ラボの設定とアクセス] パネルでもパスワードを確認できます。

6. [次へ] をクリックします。

   重要: ラボで指定された認証情報を使用する必要があります。ご自身の Google Cloud アカウントの認証情報は使用しないでください。 注: このラボでご自身の Google Cloud アカウントを使用すると、追加料金が発生する場合があります。

7. その後のページはクリックして先に進みます。

   • 利用規約に同意します。
   • 一時的なアカウントなので、復元オプションや 2 要素認証プロセスは設定しないでください。
   • 無料トライアルには登録しないでください。

しばらくすると、このタブで Google Cloud コンソールが開きます。

注: Google Cloud のプロダクトやサービスにアクセスするには、ナビゲーション メニューをクリックするか、[検索] フィールドにサービス名またはプロダクト名を入力します。

Cloud Shell をアクティブにする

Cloud Shell は、開発ツールと一緒に読み込まれる仮想マシンです。5 GB の永続ホーム ディレクトリが用意されており、Google Cloud で稼働します。Cloud Shell を使用すると、コマンドラインで Google Cloud リソースにアクセスできます。

1. Google Cloud コンソールの上部にある「Cloud Shell をアクティブにする」アイコン をクリックします。

2. ウィンドウで次の操作を行います。

   • Cloud Shell 情報ウィンドウで操作を進めます。
   • Cloud Shell が認証情報を使用して Google Cloud API を呼び出すことを承認します。

接続した時点で認証が完了しており、プロジェクトに各自の Project_ID、 が設定されます。出力には、このセッションの PROJECT_ID を宣言する次の行が含まれています。

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud は Google Cloud のコマンドライン ツールです。このツールは、Cloud Shell にプリインストールされており、タブ補完がサポートされています。

3. （省略可）次のコマンドを使用すると、有効なアカウント名を一覧表示できます。

gcloud auth list

4. [承認] をクリックします。

出力:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. （省略可）次のコマンドを使用すると、プロジェクト ID を一覧表示できます。

gcloud config list project

出力:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注: Google Cloud における gcloud ドキュメントの全文については、gcloud CLI の概要ガイドをご覧ください。

前提条件

必須ではありませんが、このラボでの学習効果を最大限に高めるために、まず次のラボを完了することをおすすめします。

• Cloud Foundation Toolkit（CFT）トレーニング: 入門

このラボでのアクティビティの実行

このラボでは、以下の「ランディング ゾーン」のトピックを中心に学習します。

• デプロイする Google Cloud サービスとリソース

このラボでは、Google Cloud 上に「SAP ランディング ゾーン」の大部分を構築するために必要な、さまざまな Google Cloud サービスとリソースのデプロイを含めた主なアクティビティの例を取り上げます。

このラボのアクティビティは、それぞれが次のアクティビティの基礎となるため、記載されている順序通りに進める必要があります。これは、Google Cloud リソース間に依存関係がある実際のシナリオを想定したもので、修正が発生した場合にはその作業に多大な労力を要する可能性があるため、各手順を正確に実行することの重要性を示すものです。

Google Cloud は、Google Cloud リソースのデプロイに使用できるさまざまなオプションをサポートしています。その一部を紹介します。

• Google Cloud コンソールを使用した手作業
• コマンドライン（gcloud など）
• API 呼び出し
• さまざまなプログラミング言語（Go、Java、Node.js、Python など）
• Infrastructure as Code ツール（Terraform など）

お客様固有の「SAP ランディング ゾーン」にどのオプションを採用するかは、設計プロセスで決定されます。

このラボでは、すべてのアクティビティをコマンドラインから実行することを前提としており、必要なコマンドラインの手順も提供されます。ただし、受講者はサポートされている任意のオプションを使用してアクティビティを実行することもできます。他のオプションが利用可能な場合は、その構文の説明を含む「クイックスタート」オンライン ドキュメントへの関連リンクが提供されます。

このラボでは、すべてのリソースにサンプルの命名規則が提供されます（詳しくは、事前資料に記載されている命名規則のセクションと表を参照してください）。アクティビティの大部分では、提示された命名規則と構成仕様に従って Google Cloud リソースをデプロイする必要があります。これは、実際のシナリオでの運用が想定されているためです。ラボのアクティビティは、想定される命名と記載されている構成仕様の両方に完全に準拠している場合にのみ、完了とみなされます。

パラメータ値の色分けキー:

各パラメータ値が何に関連しているかをわかりやすくするために、次の色分けを採用しています。

• 緑色 = 作成されるリソースの ID
• オレンジ = 自由形式のテキスト入力。通常は説明に使用
• 青 = 以前に作成されたリソースの ID
• 紫 = 作成するリソースの構成パラメータ

時間管理

このラボの制限時間は 60 分です。制限時間が経過すると、ラボ環境は自動的にシャットダウンされ、デプロイされたリソースはすべて削除されます。ラボを再開する場合は、すべてのタスクを最初から実行する必要があります。

すべてのタスクを完了するのに十分な時間を確保するため、[ラボを開始] をクリックする前に、次のことを行うことを強くおすすめします。

• ラボのすべてのタスクに目を通す
• Google Cloud リソースのデプロイに使用するオプションを決定する
• 実行するデプロイコードとツールを準備する

模擬 SAP 環境

受講者がこのラボのアクティビティを具体的にイメージして、自分の SAP 環境に関連付けられるように、アクティビティのベースとなる模擬の SAP 環境が用意されています。

SAP 環境の概要

次の表は、このラボのベースとなる SAP 環境属性の主な構成を示しています。事前資料に記載されている命名規則の表と併せて参照してください。

黄色で示されているコンポーネントは、このラボのアクティビティを通じてデプロイされるものです。

ラボの事前資料: 「Google Cloud 上の SAP」のオンボーディング

お客様のクラウド「オンボーディング」ジャーニーに関する実際の状況について詳しくは、「ラボの事前資料: 「Google Cloud 上の SAP」オンボーディング」をご覧ください。

注: 「SAP ランディング ゾーン」スキルバッジの取得を希望される場合は、この事前資料を読んで一連の質問に回答していただく必要があります。

タスク 1. 「VPC ネットワーク」を作成する

お客様の環境で採用されているネットワーク設計パターンによっては、設計要件を満たすために、少なくとも 1 つのサブネットを持つ 1 つ以上の VPC ネットワークをデプロイする必要がある場合があります。

実世界での考慮事項:

事前資料で説明したように、「ネットワーク構成」の設計は「クラウドの基盤」に関するトピックの一つです。

サポートされている VPC ネットワーク設計パターンは多数あり、それぞれメリットとデメリット、制約を伴うものがあります。実際のシナリオでは、お客様は現在および将来のあらゆるワークロードにわたる特定のニーズに最適に対応できるよう、ネットワークの設計要件を慎重検討する必要があります。適切なネットワーク設計を採用するためには、十分なスキルを持つネットワーク スペシャリストの協力が必要です。

後からネットワーク設計を変更すると、大きな混乱が生じ、多大な労力がかかる可能性があります。

注: 実際のシナリオでは、VPC ネットワーク設計が SAP 環境のホスティングのみに基づいて行われることは非常にまれです。

オンライン ドキュメント:

• クイックスタート - IPv4 サブネットのみを持つカスタムモードの VPC ネットワークを作成する
• コマンドライン - gcloud compute networks create
• ネットワークを作成するための Terraform リソース（google_compute_network）
• GitHub で Terraform を表示 - terraform-google-modules/terraform-google-network/examples/basic_custom_mode/main.tf

依存関係:

必要な「VPC ネットワーク」を正常にデプロイできるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構造: <01><02>-vpc--<03>-<04>

                             <01> - 会社 ID

                             <02> - ビジネス エンティティ ID

                             <03> - VPC の短い説明

                             <04> - VPC カウント識別子

• 説明:
  • 文字数制限: なし
  • 構造: “<01>-<02> VPC ネットワーク = <03> - <04>”

                             <01> - 会社

                             <02> - ビジネス エンティティ ID

                             <03> - VPC の説明

                             <04> - VPC カウント識別子

作成されるリソース（数 = 1）:

サポートされている方法を使用して、「VPC ネットワーク」を次の構成でデプロイします。

#01 / 01:

パラメータ	値
ID	xall-vpc--vpc-01
VPC の説明	XYZ-all VPC ネットワーク = 標準 VPC ネットワーク - 01
サブネット モード	カスタム
ルーティング モード	グローバル

コマンドライン:

コマンド 01/01 - 「VPC ネットワーク」を作成する:

gcloud compute networks create [insert ID here] \ --description="[insert VPC description here]" \ \ --project=[insert your Project ID here] \ \ --subnet-mode=[insert subnet mode here] \ --bgp-routing-mode=[insert routing mode here] \ --mtu=1460

（出力例）

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/networks/[VPC network ID]]. NAME: [VPC network ID] SUBNET_MODE: [VPC subnet mode] BGP_ROUTING_MODE: [VPC routing mode] IPV4_RANGE: GATEWAY_IPV4: Instances on this network will not be reachable until firewall rules are created. As an example, you can allow all internal traffic between instances as well as SSH, RDP, and ICMP by running: $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp,udp,icmp --source-ranges $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp:22,tcp:3389,icmp

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [VPC ネットワーク] の順に選択し、「VPC ネットワーク」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

「VPC ネットワーク」を作成する

タスク 2. VPC「サブネット」を作成する

新しい SAP 環境（例: DR）や SAP 運用環境（プロジェクト環境など）がデプロイされると、既存の VPC ネットワークにサブネットを追加する必要が生じる場合があります。

実世界での考慮事項:

VPC ネットワーク内のサブネット レイアウトに影響を及ぼす要因は多数あります。

サブネットの作成とメンテナンスは通常、中央のネットワーク管理チームによって、適切なセキュリティと設計基準を適用しながら管理されます。通常、SAP チームはネットワーク管理チームと連携して、実際の状況下でワークロード固有のサブネット レイアウトを定義する必要があります。

このラボで提供されるサブネット レイアウトは、一般的に見られる実際のシナリオに基づいています。ただし、サブネットとリソースをデプロイする前に、お客様自身が独自の環境を評価してください。

注: 後からサブネットのレイアウトを変更すると、大きな混乱が生じ、多大な労力がかかる可能性があります。

オンライン ドキュメント:

• クイックスタート - IPv4 専用サブネットを追加する
• コマンドライン - gcloud compute networks subnets create
• ネットワークを作成するための Terraform リソース（google_compute_network）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-google-network/examples/simple_project/main.tf

依存関係:

必要な VPC「サブネット」を正常にデプロイできるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• VPC ネットワークのデプロイ

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構造: <01><02>-サブネット--<03>-<04>-<05>--<06>-<07>

                             <01> - 会社 ID

                             <02> - ビジネス エンティティ ID

                             <03> - ワークロード ID

                             <04> - 運用エリア ID

                             <05> - 環境 ID

                             <06> - ホスティング リージョン ID

                             <07> - サブネット カウント識別子

• 説明:
  • 文字数制限: なし
  • 構造: ”<01>-<02> サブネット = <03>-<04>-<05> - <06> - <07>”

                             <01> - 会社

                             <02> - ビジネス エンティティ ID

                             <03> - ワークロード ID

                             <04> - 運用エリア ID

                             <05> - 環境 ID

                             <06> - ホスティング リージョン ID

                             <07> - サブネット カウント識別子

作成されるリソース（数 = 1）:

サポートされている方法を使用して、VPC「サブネット」を次の構成でデプロイします。

#01 / 01:

パラメータ	値
ID	xgl-subnet--cerps-bau-nonprd--be1-01
説明	XYZ-Global サブネット = CERPS-BaU-NonProd - ベルギー 1（GCP）- 01
VPC ネットワーク	xall-vpc--vpc-01
リージョン
IP 範囲	10.1.1.0/24

コマンドライン:

コマンド 01/01 - VPC「サブネット」を作成する:

gcloud compute networks subnets create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ --region=[insert region here] \ \ --range=[insert IP range here] \ --enable-private-ip-google-access \ --enable-flow-logs

（出力例）

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/[region ID]/subnetworks/[VPC subnet ID]]. NAME: [VPC subnet ID] REGION: [region ID] NETWORK: [VPC network ID] RANGE: [IP range] STACK_TYPE: IPV4_ONLY IPV6_ACCESS_TYPE: INTERNAL_IPV6_PREFIX: EXTERNAL_IPV6_PREFIX:

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [VPC ネットワーク] の順に選択し、VPC「サブネット」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

VPC「サブネット」を作成する

タスク 3. VPC「ファイアウォール ルール - ユーザー アクセス」を作成する

SAPがホストするすべてのリソースにはネットワークアクセスが必要です。どのようなネットワーク アクセスを許可するかを制御するには、VPC ファイアウォール ルールを定義する必要があります。さまざまなユーザー アクセスを有効にするには、ネットワーク全体に適用されるファイアウォール ルールが必要になります。

実世界での考慮事項:

VPC ファイアウォール ルールは通常、中央のネットワーク管理チームによって、適切なセキュリティ基準を適用しながら管理されます。通常、SAP チームはネットワーク管理チームと連携して、実際の状況下で「ユーザー アクセス」、「環境全体のアクセス」、「システム間のアクセス」といったワークロード固有の VPC ファイアウォール ルールを定義する必要があります。

Google Cloud は、VPC ファイアウォール ルールを定義するためのさまざまなオプションをサポートしており、それぞれメリットとデメリット、制約を伴うものがあります。Google Cloud リソースは、複数の異なるオプションを使用して定義された複数の VPC ファイアウォール ルールによって保護できます。

注: このラボでは「ファイアウォール タグ」を使用します。これは、SAP 環境内のネットワーク アクセスを管理するうえで、多くの場合、最もスケーラブルで管理しやすいソリューションになるからです。

オンライン ドキュメント:

• クイックスタート - ファイアウォール ルールを作成する
• コマンドライン - gcloud compute firewall-rules create
• ファイアウォール ルールを作成するための Terraform リソース（google_compute_firewall）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP ヘルプ - すべての SAP プロダクトの TCP/IP ポート

依存関係:

必要な VPC「ファイアウォール ルール」を正常にデプロイできるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• VPC ネットワークのデプロイ

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構造: <01>--<02><03>-fw--user--<04>--<05>--v<06>

                             <01> - vpc id

                             <02> - 会社 ID

                             <03> - ビジネス エンティティ ID

                             <04> - ファイアウォール アクション ID

                             <05> - ユーザー アクセスの簡単な説明

                             <06> - ファイアウォールのバージョン番号

• 説明:
  • 文字数制限: なし
  • 構造: ”<01> - <02>-<03> ファイアウォール ルール = ユーザー アクセス - <04> <05> - バージョン <06>”

                             <01> - VPC ID

                             <02> - 会社

                             <03> - ビジネス エンティティ ID

                             <04> - ファイアウォールのアクション

                             <05> - ユーザー アクセスの説明

                             <06> - ファイアウォールのバージョン番号

作成されるリソース（数 = 4）:

サポートされている方法を使用して、VPC「ファイアウォール ルール」を次の構成でデプロイします。

#01 / 04:

パラメータ	値
ID	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
説明	xall-vpc--vpc-01 - XYZ-all ファイアウォール ルール = ユーザー アクセス - 標準 Linux アクセスを許可 - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
ソースフィルタ	source-ranges
ソース	0.0.0.0/0
ネットワーク ポート	tcp:22,icmp

#02 / 04:

パラメータ	値
ID	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
説明	xall-vpc--vpc-01 - XYZ-all ファイアウォール ルール = ユーザー アクセス - 標準の Windows アクセスを許可 - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
ソースフィルタ	source-ranges
ソース	0.0.0.0/0
ネットワーク ポート	tcp:3389,icmp

#03 / 04:

パラメータ	値
ID	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
説明	xall-vpc--vpc-01 - XYZ-all ファイアウォール ルール = ユーザー アクセス - SAPGUI アクセスを許可 - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
ソースフィルタ	source-ranges
ソース	0.0.0.0/0
ネットワーク ポート	tcp:3200-3299,tcp:3600-3699

#04/04:

パラメータ	値
ID	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
説明	xall-vpc--vpc-01 - XYZ-all ファイアウォール ルール = ユーザー アクセス - SAP Fiori アクセスを許可 - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
ソースフィルタ	source-ranges
ソース	0.0.0.0/0
ネットワーク ポート	tcp:80,tcp:8000-8099,tcp:443,tcp:4300-44300

コマンドライン:

コマンド 01/01 - VPC「ファイアウォール ルール」を作成する:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

（出力例）

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [ファイアウォール] の順に移動して、VPC「ファイアウォール ルール」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

VPC の「ファイアウォール ルール - ユーザー アクセス」を作成する

タスク 4. VPC「ファイアウォール ルール - 環境アクセス」を作成する

SAPがホストするすべてのリソースにはネットワークアクセスが必要です。どのようなネットワーク アクセスを許可するかを制御するには、VPC ファイアウォール ルールを定義する必要があります。同じ環境内の SAP システム間の通信を可能にするには、環境全体のファイアウォール ルールが必要になります。このアクセスは、標準の SAP ポートに制限する必要があります。

実世界での考慮事項:

VPC ファイアウォール ルールは通常、中央のネットワーク管理チームによって、適切なセキュリティ基準を適用しながら管理されます。通常、SAP チームはネットワーク管理チームと連携して、実際の状況下で「ユーザー アクセス」、「環境全体のアクセス」、「システム間のアクセス」といったワークロード固有の VPC ファイアウォール ルールを定義する必要があります。

Google Cloud は、VPC ファイアウォール ルールを定義するためのさまざまなオプションをサポートしており、それぞれメリットとデメリット、制約を伴うものがあります。Google Cloud リソースは、複数の異なるオプションを使用して定義された複数の VPC ファイアウォール ルールによって保護できます。

注: このラボでは「ファイアウォール タグ」を使用します。これは、SAP 環境内のネットワーク アクセスを管理するうえで、多くの場合、最もスケーラブルで管理しやすいソリューションになるからです。

オンライン ドキュメント:

• クイックスタート - ファイアウォール ルールを作成する
• コマンドライン - gcloud compute firewall-rules create
• ファイアウォール ルールを作成するための Terraform リソース（google_compute_firewall）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP ヘルプ - すべての SAP プロダクトの TCP/IP ポート

依存関係:

必要な VPC「ファイアウォール ルール」を正常にデプロイできるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• VPC ネットワークのデプロイ

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構成: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-env--v<08>

                             <01> - vpc id

                             <02> - 会社 ID

                             <03> - ビジネス エンティティ ID

                             <04> - ワークロード ID

                             <05> - 運用エリア ID

                             <06> - 環境 ID

                             <07> - ファイアウォール アクション ID

                             <08> - ファイアウォール バージョン番号

• 説明:
  • 文字数制限: なし
  • 構造: 「<01> - <02>-<03> ファイアウォール ルール = <04>-<05>-<06> - <07> 環境全体のアクセス - バージョン <08>」

                             <01> - VPC ID

                             <02> - 会社

                             <03> - ビジネス エンティティ ID

                             <04> - ワークロード ID

                             <05> - 運用エリア ID

                             <06> - 環境 ID

                             <07> - ファイアウォールのアクション

                             <08> - ファイアウォール バージョン番号

作成されるリソース（数 = 1）:

サポートされている方法を使用して、VPC「ファイアウォール ルール」を次の構成でデプロイします。

#01 / 01:

パラメータ	値
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
説明	xall-vpc--vpc-01 - XYZ-Global ファイアウォール ルール = CERPS-BaU-Dev - 環境全体へのアクセスを許可 - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
ソースフィルタ	source-tags
ソース	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
ネットワーク ポート	tcp:3200-3299,tcp:3300-3399,tcp:4800-4899,tcp:80,tcp:8000-8099,tcp:443,tcp:44300-44399,tcp:3600-3699,tcp:8100-8199,tcp:44400-44499,tcp:50000-59999,tcp:30000-39999,tcp:4300-4399,tcp:40000-49999,tcp:1128-1129,tcp:5050,tcp:8000-8499,tcp:515,icmp

コマンドライン:

コマンド 01/01 - VPC「ファイアウォール ルール」を作成する:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

（出力例）

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [ファイアウォール] の順に移動して、VPC「ファイアウォール ルール」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

VPC「ファイアウォール ルール - 環境アクセス」を作成する

タスク 5. VPC「ファイアウォール ルール - システム アクセス」を作成する

SAPがホストするすべてのリソースにはネットワークアクセスが必要です。どのようなネットワーク アクセスを許可するかを制御するには、VPC ファイアウォール ルールを定義する必要があります。1 つの SAP システムのコンポーネントは通常、複数の VM に分散されるため、これらのコンポーネントが相互に通信できるようにするには、システム全体のファイアウォール ルールが必要になります。同じ SAP システムのコンポーネントは密接に結合されており、互いに頻繁に通信するため、これらのコンポーネント間ではネットワーク アクセスを制限しない構成をとることが一般的です。

実世界での考慮事項:

VPC ファイアウォール ルールは通常、中央のネットワーク管理チームによって、適切なセキュリティ基準を適用しながら管理されます。通常、SAP チームはネットワーク管理チームと連携して、実際の状況下で「ユーザー アクセス」、「環境全体のアクセス」、「システム間のアクセス」といったワークロード固有の VPC ファイアウォール ルールを定義する必要があります。

Google Cloud は、VPC ファイアウォール ルールを定義するためのさまざまなオプションをサポートしており、それぞれメリットとデメリット、制約を伴うものがあります。Google Cloud リソースは、複数の異なるオプションを使用して定義された複数の VPC ファイアウォール ルールによって保護できます。

注: このラボでは「ファイアウォール タグ」を使用します。これは、SAP 環境内のネットワーク アクセスを管理するうえで、多くの場合、最もスケーラブルで管理しやすいソリューションになるからです。

オンライン ドキュメント:

• クイックスタート - ファイアウォール ルールを作成する
• コマンドライン - gcloud compute firewall-rules create
• ファイアウォール ルールを作成するための Terraform リソース（google_compute_firewall）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-google-network/ examples/basic_firewall_rule/main.tf
• SAP ヘルプ - すべての SAP プロダクトの TCP/IP ポート

依存関係:

必要な VPC「ファイアウォール ルール」を正常にデプロイできるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• VPC ネットワークのデプロイ

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構成: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-<08>--v<09>

                             <01> - vpc id

                             <02> - 会社 ID

                             <03> - ビジネス エンティティ ID

                             <04> - ワークロード ID

                             <05> - 運用エリア ID

                             <06> - 環境 ID

                             <07> - ファイアウォール アクション ID

                             <08> - システム ID

                             <09> - ファイアウォールのバージョン番号

• 説明:
  • 文字数制限: なし
  • 構造: “<01> - <02>-<03> ファイアウォール ルール = <04>-<05>-<06> - <07> <08>（<09>）システム全体のアクセス - バージョン <10>”

                             <01> - VPC ID

                             <02> - 会社

                             <03> - ビジネス エンティティ ID

                             <04> - ワークロード ID

                             <05> - 運用エリア ID

                             <06> - 環境 ID

                             <07> - ファイアウォールのアクション

                             <08> - アプリケーション ID

                             <09> - システム ID

                             <10> - ファイアウォールのバージョン番号

作成されるリソース（数 = 1）:

サポートされている方法を使用して、VPC「ファイアウォール ルール」を次の構成でデプロイします。

#01 / 01:

パラメータ	値
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
説明	xall-vpc--vpc-01 - XYZ-Global ファイアウォール ルール = CERPS-BaU-Dev - システム全体での SAP S4（DS4）アクセスを - バージョン 01
VPC ネットワーク	xall-vpc--vpc-01
優先度	1000
方向	ingress
アクション	allow
ターゲットタグ	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
ソースフィルタ	source-tags
ソース	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
ルール	tcp,udp,icmp

コマンドライン:

コマンド 01/01 - VPC「ファイアウォール ルール」を作成する:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

（出力例）

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [ファイアウォール] の順に移動して、VPC「ファイアウォール ルール」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

VPC 「ファイアウォール ルール - システム アクセス」を作成する

タスク 6. 静的内部「IP アドレス」を予約する

一部の SAP のお客様は、「SAP Adaptive Design の基本方針」のメリットを活かすために、「仮想ホスト名」を使用して SAP コンポーネントをデプロイし、アクセスすることを選択しています。「仮想ホスト名」の IP アドレスが、新しく作成された VM によって誤って使用されないようにするには、「仮想ホスト名」の IP アドレスに使用する内部 IP アドレスを予約しておく必要があります。

実世界での考慮事項:

通常、中央のネットワーク管理チームが VPC ネットワーク内のすべてのネットワーク関連リソースを管理するため、SAP チームは実際の環境でこれらの静的「IP アドレス」を予約するうえでネットワーク管理チームと連携する必要があります。

注: 「仮想ホスト名」を使用する場合は、VM の IP アドレスと「仮想ホスト名」の IP アドレスの両方に十分な IP アドレスを確保できるよう、サブネット サイズを慎重に計画する必要があります。管理のしやすさの観点から、仮想ホスト名には、関連付けられている VM と同じサブネットの IP アドレスを使用することを強くおすすめします。

オンライン ドキュメント:

• クイックスタート - 新しい静的内部 IP アドレスを予約する
• コマンドライン - gcloud compute addresses create
• ファイアウォール ルールを作成するための Terraform リソース（google_compute_address）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-google-address/examples/internal_with_specific_ip/main.tf
• SAP Note 962955 - Use of virtual or logical TCP/IP host names

依存関係:

必要な静的「IP アドレス」を正常に予約できるようにするには、このアクティビティに進む前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• VPC ネットワークのデプロイ
• デプロイされた VPC サブネット

命名規則:

• ID:
  • 文字数制限: 62 文字
  • 構造: <01><02>-ip-address--<03>-<04>-<05>--<06>--<07>

                             <01> - 会社 ID

                             <02> - ビジネス エンティティ ID

                             <03> - ワークロード ID

                             <04> - 運用エリア ID

                             <05> - 環境 ID

                             <06> - システム ID

                             <07> - 短い仮想ホスト名

• 説明:
  • 文字数制限: なし
  • 構造: 「<01>-<02> 予約済み IP アドレス = <03>-<04>-<05> - <06>（<07>） - <08>」                              <01> - 会社

                             <02> - ビジネス エンティティ ID

                             <03> - ワークロード ID

                             <04> - 運用エリア ID

                             <05> - 環境 ID

                             <06> - アプリケーション ID

                             <07> - システム ID

                             <08> - 短い仮想ホスト名

作成されるリソース（数 = 4）:

サポートされている方法を使用して、静的「IP アドレス」を次の構成で予約します。

#01 / 04:

パラメータ	値
ID	xgl-ip-address--cerps-bau-dev--dh1--d-cerpshana1
説明	XYZ-Global 予約済み IP アドレス = CERPS-BaU-Dev - SAP HANA 1（DH1）- d-cerpshana1
リージョン
サブネット	xgl-subnet--cerps-bau-nonprd--be1-01
アドレス	10.1.1.100

#02 / 04:

パラメータ	値
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4db
説明	XYZ-Global 予約済み IP アドレス = CERPS-BaU-Dev - SAP S4（DS4）- d-cerpss4db
リージョン
サブネット	xgl-subnet--cerps-bau-nonprd--be1-01
アドレス	10.1.1.101

#03 / 04:

パラメータ	値
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4scs
説明	XYZ-Global 予約済み IP アドレス = CERPS-BaU-Dev - SAP S4（DS4）- d-cerpss4scs
リージョン
サブネット	xgl-subnet--cerps-bau-nonprd--be1-01
アドレス	10.1.1.102

#04/04:

パラメータ	値
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4app1
説明	XYZ-Global 予約済み IP アドレス = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4app1
リージョン
サブネット	xgl-subnet--cerps-bau-nonprd--be1-01
アドレス	10.1.1.103

コマンドライン:

コマンド 01/01 - 静的「IP アドレス」の予約を作成する:

gcloud compute addresses create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --subnet=[insert subnet here] \ \ --addresses=[insert addresses here]

（出力例）

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/europe-west1/addresses/[reserved IP ID]]

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [VPC ネットワーク] -> [IP アドレス] の順に移動し、静的内部「IP アドレス」の予約を確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

「静的内部 IP アドレス」を予約する

タスク 7. 「Cloud NAT サービス」を作成する

セキュリティ上の理由から、SAP コンポーネントをホストする VM にパブリック IP アドレスが割り当てられないことはよくあります。しかし、これらの VM であっても、OS パッケージの更新などの重要なアクティビティを実行するために、インターネット アクセスを必要とすることがよくあります。「Cloud NAT」サービスは、これらの SAP 関連 VM がインターネットにアクセスするための安全な方法を提供します。

実世界での考慮事項:

通常、中央のネットワーク管理チームが VPC ネットワーク内のすべてのネットワーク関連リソースを管理します。

パブリック IP アドレスが割り当てられていない VM にインターネット アクセスを提供する方法は多数あります。そのため、SAP チームは、採用されたネットワーク設計に沿って、どのような方法でインターネット アクセスを許可するかについて、ネットワーク管理チームと連携する必要があります。

注: このラボでは、1 つの「Cloud NAT サービス」をデプロイしますが、実際の環境では、レイテンシやリージョン間のネットワーク費用を回避するために、通常、VM をホストする Google Cloud リージョンごとに少なくとも 1 つの「Cloud NAT サービス」をデプロイします。ただし、それ以上の数をデプロイする正当な理由がある場合もあります。

オンライン ドキュメント:

• クイックスタート - 簡単な構成を設定する
• コマンドライン - gcloud compute routers create
• ルーターを作成するための Terraform リソース（google_compute_router）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-cloud-router/ examples/simple/main.tf
• コマンドライン - gcloud compute routers nats create
• NAT ルーターを作成するための Terraform リソース（google_compute_router_nat）
• GitHub で Terraform を表示する - terraform-google-modules/terraform-cloud-router/examples/nat/main.tf

依存関係:

必要な「Cloud NAT サービス」を正常にデプロイできるようにするには、このアクティビティを進める前に、次の依存関係を正しくデプロイしておく必要があります。

• Google Cloud アカウントの設定
• IAM の設定
• リソース階層の設定
• VPC 設定をホストする Google Cloud プロジェクト
• デプロイされた「VPC」ネットワーク
• デプロイされた「サブネット」

命名規則:

• Cloud NAT - ID:
  • 文字数制限: 62 文字
  • 構造: <01>--<02><03>-nat-gw--<04>--<05>-<06>

                             <01> - vpc id

                             <02> - 会社 ID

                             <03> - ビジネス エンティティ ID

                             <04> - NAT の簡単な説明

                             <05> - ホスティング リージョン ID

                             <06> - サブネット カウント識別子

• ルーター - ID:
  • 文字数制限: 62 文字
  • 構造: <01>--<02><03>-ルーター--<04>--<05>-<06>

                             <01> - vpc id

                             <02> - 会社 ID

                             <03> - ビジネス エンティティ ID

                             <04> - ルーターの簡単な説明

                             <05> - ホスティング リージョン ID

                             <06> - ルーター カウント識別子

• ルーター - 説明:
  • 文字数制限: なし
  • 構成: 「<01> - <02>-<03> ルーター = <04> - <05> - <06>」

                             <01> - vpc id

                             <02> - 会社

                             <03> - ビジネス エンティティ ID

                             <04> - ルーターの説明

                             <05> - ホスティング リージョン ID

                             <07> - ルーター カウント識別子

作成されるリソース（数 = 2）:

サポートされている方法を使用して、「Cloud NAT サービス」を次の構成でデプロイします。

#01 / 01:

パラメータ	値
Cloud NAT - ID	xall-vpc--vpc-01--xall-nat-gw--shared-nat--de1-01
ルーター - ID	xall-vpc--vpc-01--xall-router--shared-nat--de1-01
ルーター - 説明	xall-vpc--vpc-01 - XYZ-Global router = Shared NAT - Germany 1 (GCP) - 01
リージョン
VPC ネットワーク	xall-vpc--vpc-01

コマンドライン:

コマンド 01/02 - 「ルーター」を作成する:

gcloud compute routers create [insert router ID here] \ --description="[insert router description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --network=[insert VPC network here]

（出力例）

Creating router [[router ID]]...done. NAME: [router ID] REGION: [region ID] NETWORK: [VPC network ID]

コマンド 02/02 - 「Cloud NAT」を作成する:

gcloud compute routers nats create [inset nat ID here] \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --router=[insert router ID here] \ \ --auto-allocate-nat-external-ips \ --nat-all-subnet-ip-ranges \ --enable-logging

（出力例）

Creating NAT [[nat ID]] in router [[insert router ID here]]...done.

Cloud コンソールで確認して検証する:

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [Network Connectivity] -> [Cloud Router] の順に移動して、「ルーター」がデプロイされていることを確認します。

Cloud コンソールで、ナビゲーション メニュー -> [ネットワーキング] -> [ネットワーク サービス] -> [Cloud NAT] の順に移動して、「Cloud NAT」がデプロイされていることを確認します。

[進行状況を確認] をクリックして、目標に沿って進んでいることを確認します。

「Cloud NAT サービス」を作成する

お疲れさまでした

アクティビティのまとめ:

下の表では、このラボのアクティビティを通じてデプロイされたコンポーネントを黄色で示しています。

次のステップと詳細情報

SAP への理解をさらに深めるために、以下のドキュメントをぜひご覧ください。

• Google Cloud での SAP

Google Cloud トレーニングと認定資格

Google Cloud トレーニングと認定資格を通して、Google Cloud 技術を最大限に活用できるようになります。必要な技術スキルとベスト プラクティスについて取り扱うクラスでは、学習を継続的に進めることができます。トレーニングは基礎レベルから上級レベルまであり、オンデマンド、ライブ、バーチャル参加など、多忙なスケジュールにも対応できるオプションが用意されています。認定資格を取得することで、Google Cloud テクノロジーに関するスキルと知識を証明できます。

マニュアルの最終更新日: 2026 年 5 月 20 日

ラボの最終テスト日: 2024 年 7 月 18 日

Copyright 2026 Google LLC. All rights reserved. Google および Google のロゴは Google LLC の商標です。その他すべての企業名および商品名はそれぞれ各社の商標または登録商標です。