GSP1068

Visão geral

Neste laboratório, você vai aprender sobre as principais atividades de rede envolvidas na implantação dos diversos serviços e recursos necessários para criar a maioria das zonas de destino do SAP no Google Cloud.

As tarefas deste laboratório abrangem as atividades voltadas ao planejamento e à implantação de uma rede destinada à hospedagem de um ambiente SAP simulado.

Observação: a criação de uma zona de destino do SAP requer a implantação de diversos recursos do Google Cloud. O objetivo deste laboratório não é reduzir o processo de design e o esforço envolvidos na definição de uma “zona de destino do SAP” específica para cada cliente a um conjunto de etapas prescritivas para a implantação completa dessa solução em nível empresarial. Para obter mais informações, confira o material de “leitura prévia do laboratório”.

Objetivos

Neste laboratório, você vai aprender a:

• Criar “redes VPC”
• Criar “sub-redes” da VPC
• Criar “regras de firewall” da rede VPC para permitir o acesso de usuários a toda a rede
• Criar “regras de firewall” da rede VPC para permitir o acesso entre ambientes de sistemas SAP, por exemplo, entre todos os sistemas de desenvolvimento
• Criar “regras de firewall” da rede VPC para permitir o acesso entre os componentes de um único sistema SAP, por exemplo, entre o banco de dados e os aplicativos
• Reservar “endereços IP” estáticos
• Criar um “serviço Cloud NAT”

Configuração e requisitos

Antes de clicar no botão Começar o Laboratório

Leia estas instruções. Os laboratórios são cronometrados e não podem ser pausados. O timer é ativado quando você clica em Iniciar laboratório e mostra por quanto tempo os recursos do Google Cloud vão ficar disponíveis.

Este laboratório prático permite que você realize as atividades em um ambiente real de nuvem, e não em uma simulação ou demonstração. Você vai receber novas credenciais temporárias para fazer login e acessar o Google Cloud durante o laboratório.

Confira os requisitos para concluir o laboratório:

• Acesso a um navegador de Internet padrão (recomendamos o Chrome).

Observação: para executar este laboratório, use o modo de navegação anônima (recomendado) ou uma janela anônima do navegador. Isso evita conflitos entre sua conta pessoal e de estudante, o que poderia causar cobranças extras na sua conta pessoal.

• Tempo para concluir o laboratório: não se esqueça que, depois de começar, não será possível pausar o laboratório.

Observação: use apenas a conta de estudante neste laboratório. Se usar outra conta do Google Cloud, você poderá receber cobranças nela.

Como iniciar seu laboratório e fazer login no console do Google Cloud

1. Clique no botão Começar laboratório. Se for preciso pagar por ele, uma caixa de diálogo vai aparecer para você selecionar a forma de pagamento. À direita, você encontra o painel Configuração e acesso ao laboratório com as seguintes informações:

   • O botão Abrir console do Google Cloud
   • As credenciais temporárias (nome de usuário e senha) que você vai usar no laboratório
   • Outros dados, se necessários

   O timer do laboratório fica na parte de cima da página e mostra o tempo restante.

2. Se você estiver usando o navegador Chrome, clique em Abrir console do Google Cloud ou clique com o botão direito do mouse e selecione Abrir link em uma janela anônima.

   O laboratório ativa os recursos e depois abre a página "Login" em outra guia.

   Dica: coloque as guias em janelas separadas lado a lado.

   Observação: se aparecer a caixa de diálogo Escolher uma conta, clique em Usar outra conta.

3. Se necessário, copie o Nome de usuário abaixo e cole na caixa de diálogo Login.

   {{{user_0.username | "Username"}}}

   Você também encontra o nome de usuário no painel Configuração e acesso ao laboratório.

4. Clique em Avançar.

5. Copie a Senha abaixo e cole na caixa de diálogo Olá!.

   {{{user_0.password | "Password"}}}

   Você também encontra a senha no painel Configuração e acesso ao laboratório.

6. Clique em Avançar.

   Importante: você precisa usar as credenciais fornecidas no laboratório, e não as da sua conta do Google Cloud. Observação: se você usar sua própria conta do Google Cloud neste laboratório, talvez receba cobranças adicionais.

7. Acesse as próximas páginas:

   • Aceite os Termos e Condições.
   • Não adicione opções de recuperação nem autenticação de dois fatores (porque essa é uma conta temporária).
   • Não se inscreva em testes sem custo financeiro.

Depois de alguns instantes, o console do Google Cloud será aberto nesta guia.

Observação: para acessar os produtos e serviços do Google Cloud, clique no Menu de navegação ou digite o nome do serviço ou produto no campo Pesquisar.

Ativar o Cloud Shell

O Cloud Shell é uma máquina virtual com várias ferramentas de desenvolvimento. Ele tem um diretório principal permanente de 5 GB e é executado no Google Cloud. O Cloud Shell oferece acesso de linha de comando aos recursos do Google Cloud.

1. Clique em Ativar o Cloud Shell na parte de cima do console do Google Cloud.

2. Clique nas seguintes janelas:

   • Continue na janela de informações do Cloud Shell.
   • Autorize o Cloud Shell a usar suas credenciais para fazer chamadas de APIs do Google Cloud.

Depois de se conectar, você verá que sua conta já está autenticada e que o projeto está configurado com seu Project_ID, . A saída contém uma linha que declara o projeto PROJECT_ID para esta sessão:

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

A gcloud é a ferramenta de linha de comando do Google Cloud. Ela vem pré-instalada no Cloud Shell e aceita preenchimento com tabulação.

3. (Opcional) É possível listar o nome da conta ativa usando este comando:

gcloud auth list

4. Clique em Autorizar.

Saída:

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (Opcional) É possível listar o ID do projeto usando este comando:

gcloud config list project

Saída:

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} Observação: consulte a documentação completa da gcloud no Google Cloud no guia de visão geral da gcloud CLI.

Pré-requisitos

Embora não seja obrigatório, para maximizar seu aprendizado neste laboratório, recomendamos concluir os seguintes laboratórios primeiro:

• Treinamento do Cloud Foundation Toolkit (CFT): primeiros passos

Execução de atividades neste laboratório

Este laboratório vai se concentrar nas seguintes áreas relacionadas à “zona de destino”:

• Serviços e recursos do Google Cloud a serem implantados

Este laboratório vai abordar exemplos das principais atividades envolvidas na implantação dos diversos serviços e recursos do Google Cloud necessários para criar a maioria das “zonas de destino do SAP” na plataforma.

As atividades deste laboratório são cumulativas; portanto, é necessário realizá-las na ordem em que são apresentadas. Isso é intencional, pois representa cenários reais nos quais existem dependências entre os recursos do Google Cloud e destaca a necessidade de trabalhar com precisão, uma vez que ações corretivas podem exigir muito esforço.

O Google Cloud oferece diversas opções para a implantação de recursos. Elas incluem, entre outras:

• Manualmente, pelo console do Google Cloud
• Pela linha de comando, por exemplo, usando o gcloud
• Por meio de chamadas de API
• Usando diversas linguagens de programação, como Go, Java, Node.js e Python
• Usando ferramentas de infraestrutura como código, como o Terraform

As opções adotadas para a “zona de destino do SAP” específica de um cliente seriam definidas durante o processo de design.

Neste laboratório, presume-se que todas as atividades serão executadas pela linha de comando, e as instruções necessárias serão fornecidas. No entanto, é possível optar por usar qualquer opção compatível para realizar as atividades. Sempre que disponível, serão fornecidos links para a documentação on-line de “guia de início rápido” relevante, que incluirá instruções de sintaxe às outras opções.

Neste laboratório, vai ser fornecido um exemplo de convenção de nomenclatura para todos os recursos. Confira a seção e a tabela sobre convenção de nomenclatura no material de leitura prévia para mais informações. A maior parte das atividades vai exigir que os recursos do Google Cloud sejam implantados de acordo com a convenção de nomenclatura e as especificações de configuração fornecidas, pois isso representa o que seria esperado em cenários reais. Várias atividades deste laboratório só serão marcadas como concluídas se estiverem em total conformidade tanto com a nomenclatura esperada quanto com as especificações de configuração estabelecidas.

Legenda de codificação por cores dos valores de parâmetros:

Para ajudar você a entender a que os diferentes valores se referem, foi adotada a seguinte codificação por cores para os parâmetros:

• Verde: refere-se ao ID do recurso que está sendo criado
• Laranja: refere-se à inserção de texto livre, geralmente usada para descrições
• Azul: refere-se ao ID de um recurso criado anteriormente
• Roxo: refere-se a um parâmetro de configuração do recurso que está sendo criado

Controle de tempo

Este laboratório tem um limite de 60 minutos. Ao final desse período, o ambiente do laboratório será encerrado automaticamente e todos os recursos implantados serão excluídos. Para reiniciar o laboratório, será necessário executar todas as tarefas novamente, desde o início.

Para garantir que você tenha tempo suficiente para concluir todas as atividades, antes de clicar em Começar o laboratório, é recomendável:

• Realizar a leitura de todas as tarefas do laboratório
• Decidir qual opção deseja usar para implantar os recursos no Google Cloud
• Preparar o código de implantação e as ferramentas que serão utilizadas

Ambiente SAP simulado

Para ajudar a visualizar e relacionar as atividades deste laboratório com seus próprios ambientes SAP, será fornecido um ambiente SAP simulado no qual todas as atividades serão baseadas.

Visão geral do ambiente SAP

A tabela abaixo descreve os principais atributos e a configuração do ambiente SAP usado como base para este laboratório. Confira essa tabela em conjunto com a tabela de convenção de nomenclatura fornecida no material de leitura prévia.

Os componentes que serão implantados nas atividades deste laboratório estão destacados em amarelo na tabela.

Material de leitura prévia do laboratório: onboarding de “SAP no Google Cloud”

Para obter informações adicionais sobre as condições reais relacionadas à jornada de “onboarding” do cliente na nuvem, recomendamos a leitura do material Leitura prévia do laboratório: onboarding de “SAP no Cloud”.

Observação: se você deseja obter o selo de habilidade de “zona de destino SAP”, é necessário ler o material de leitura prévia e responder a uma série de perguntas relacionadas a ele.

Tarefa 1: criar “redes VPC”

Dependendo dos padrões de design de rede adotados no ambiente do cliente, pode ser necessário implantar uma ou mais redes VPC, cada uma com pelo menos uma sub-rede, para atender aos requisitos do projeto.

Considerações práticas:

Como mencionado no material de leitura prévia, o design da “configuração de rede” é um dos tópicos de “fundamentos da nuvem”.

Existem muitos padrões de design de rede VPC compatíveis, cada um com seus próprios prós, contras e restrições. Em cenários reais, os clientes devem avaliar cuidadosamente os requisitos de design de rede para atender melhor às suas necessidades específicas em todas as cargas de trabalho atuais e futuras. Esta atividade deve ser realizada com especialistas em rede devidamente qualificados para garantir a adoção do design de rede apropriado.

Alterar o design da rede posteriormente pode causar grandes impactos e exigir um esforço significativo.

Observação: em cenários reais, é extremamente raro que um design de rede VPC seja baseado apenas na hospedagem de um ambiente SAP.

Documentação on-line:

• Guia de início rápido: criar uma rede VPC no modo personalizado apenas com sub-redes IPv4
• Linha de comando: gcloud compute networks create
• Recurso do Terraform para criar uma rede: google_compute_network
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-network/examples/basic_custom_mode/main.tf

Dependências:

Para implantar as “redes VPC” necessárias, as seguintes dependências precisam ser configuradas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01><02>-vpc--<03>-<04>

                             <01>: ID da empresa

                             <02>: ID da entidade empresarial

                             <03>: descrição curta da VPC

                             <04>: identificador de contagem da VPC

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01>-<02> VPC network = <03> - <04>”

                             <01>: empresa

                             <02>: ID da entidade empresarial

                             <03>: descrição da VPC

                             <04>: identificador de contagem da VPC

Recursos a serem criados (quantidade = 1):

Usando qualquer método compatível, implante as “redes VPC” com os seguintes detalhes de configuração:

Item 1 de 1:

Parâmetro	Valor
ID	xall-vpc--vpc-01
Descrição da VPC	XYZ-all VPC network = Standard VPC network - 01
Modo da sub-rede	personalizado
Modo de roteamento	global

Linha de comando:

Comando 1 de 1: criar uma “rede VPC”:

gcloud compute networks create [insert ID here] \ --description="[insert VPC description here]" \ \ --project=[insert your Project ID here] \ \ --subnet-mode=[insert subnet mode here] \ --bgp-routing-mode=[insert routing mode here] \ --mtu=1460

(Exemplo de saída)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/networks/[VPC network ID]]. NAME: [VPC network ID] SUBNET_MODE: [VPC subnet mode] BGP_ROUTING_MODE: [VPC routing mode] IPV4_RANGE: GATEWAY_IPV4: Instances on this network will not be reachable until firewall rules are created. As an example, you can allow all internal traffic between instances as well as SSH, RDP, and ICMP by running: $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp,udp,icmp --source-ranges $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp:22,tcp:3389,icmp

Analise e valide no console do Cloud:

Confirme se as “redes VPC” foram implantadas no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Redes VPC”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar redes “VPC”

Tarefa 2: criar “sub-redes” da VPC

À medida que novos ambientes SAP, como ambientes de recuperação de desastres (DR, na sigla em inglês), ou ambientes operacionais SAP, como ambientes de projeto, são implantados, pode ser necessário adicionar sub-redes a uma rede VPC atual.

Considerações práticas:

Existem muitos fatores que podem influenciar o layout das sub-redes em uma rede VPC.

A criação e a manutenção de sub-redes normalmente são gerenciadas por equipes centrais de administração de rede, que garantem a aplicação dos padrões adequados de segurança e de design. Em geral, a equipe de SAP precisa colaborar com essas equipes de administração para definir a configuração específica das sub-redes para a carga de trabalho em condições reais.

O layout de sub-rede fornecido neste laboratório baseia-se em cenários comuns do mundo real, mas cada cliente deve avaliar seu próprio ambiente antes de implantar sub-redes e recursos nelas.

Observação: alterar o layout da sub-rede posteriormente pode causar grandes impactos, além de exigir um esforço significativo.

Documentação on-line:

• Guia de início rápido: adicionar apenas uma sub-rede IPv4
• Linha de comando: gcloud compute networks subnets create
• Recurso do Terraform para criar uma rede: google_compute_network
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-network/examples/simple_project/main.tf

Dependências:

Para implantar as “sub-redes” da VPC necessárias, as seguintes dependências precisam ser configuradas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes VPC implantadas

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01><02>-subnet--<03>-<04>-<05>--<06>-<07>

                             <01>: ID da empresa

                             <02>: ID da entidade empresarial

                             <03>: ID da carga de trabalho

                             <04>: ID da área operacional

                             <05>: ID do ambiente

                             <06>: ID da região de hospedagem

                             <07>: identificador de contagem de sub-redes

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01>-<02> subnet = <03>-<04>-<05> - <06> - <07>”

                             <01>: empresa

                             <02>: ID da entidade empresarial

                             <03>: ID da carga de trabalho

                             <04>: ID da área operacional

                             <05>: ID do ambiente

                             <06>: ID da região de hospedagem

                             <07>: identificador de contagem de sub-redes

Recursos a serem criados (quantidade = 1):

Usando qualquer método compatível, implante as “sub-redes” da VPC com os seguintes detalhes de configuração:

Item 1 de 1:

Parâmetro	Valor
ID	xgl-subnet--cerps-bau-nonprd--be1-01
Descrição	XYZ-Global subnet = CERPS-BaU-NonProd - Belgium 1 (GCP) - 01
Rede VPC	xall-vpc--vpc-01
Região
Intervalo de IP	10.1.1.0/24

Linha de comando:

Comando 1 de 1: criar uma “sub-rede” da VPC:

gcloud compute networks subnets create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ --region=[insert region here] \ \ --range=[insert IP range here] \ --enable-private-ip-google-access \ --enable-flow-logs

(Exemplo de saída)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/[region ID]/subnetworks/[VPC subnet ID]]. NAME: [VPC subnet ID] REGION: [region ID] NETWORK: [VPC network ID] RANGE: [IP range] STACK_TYPE: IPV4_ONLY IPV6_ACCESS_TYPE: INTERNAL_IPV6_PREFIX: EXTERNAL_IPV6_PREFIX:

Analise e valide no console do Cloud:

Confirme se as “sub-redes” da VPC foram implantadas no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Redes VPC”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar “sub-redes” da VPC

Tarefa 3: criar “regras de firewall destinadas ao acesso do usuário” da VPC

Todos os recursos hospedados no SAP exigem acesso à rede. As regras de firewall da VPC precisam ser definidas para garantir que somente o acesso de rede permitido seja possível. Serão necessárias regras de firewall em toda a rede para permitir o acesso de diferentes usuários.

Considerações práticas:

As regras de firewall da VPC normalmente são gerenciadas por equipes centrais de administração de rede, que garantem a aplicação dos padrões adequados de segurança. Em geral, a equipe de SAP precisa colaborar com essas equipes de administração para definir, em um ambiente real, as regras de firewall da VPC específicas da carga de trabalho para “acesso do usuário”, “acesso em todo o ambiente” e “acesso entre sistemas”.

O Google Cloud oferece diferentes opções para definir regras de firewall da VPC, cada uma com seus próprios prós, contras e restrições. Os recursos do Google Cloud podem ser protegidos por várias regras de firewall da VPC, definidas com diferentes opções.

Observação: neste laboratório, serão usadas “tags de firewall”, pois essa costuma ser a solução mais escalonável e gerenciável para o controle de acesso à rede em ambientes SAP.

Documentação on-line:

• Guia de início rápido: criar regras de firewall
• Linha de comando: gcloud compute firewall-rules create
• Recurso do Terraform para criar uma regra de firewall: google_compute_firewall
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Ajuda do SAP: portas TCP/IP de todos os produtos SAP

Dependências:

Para implantar as “regras de firewall” da VPC necessárias, as seguintes dependências precisam ser configuradas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes VPC implantadas

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01>--<02><03>-fw--user--<04>--<05>--v<06>

                             <01>: ID da VPC

                             <02>: ID da empresa

                             <03>: ID da entidade empresarial

                             <04>: ID da ação de firewall

                             <05>: descrição curta do acesso do usuário

                             <06>: nº da versão do firewall

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01> - <02>-<03> firewall rule = User access - <04> <05> - version <06>”

                             <01>: ID da VPC

                             <02>: empresa

                             <03>: ID da entidade empresarial

                             <04>: ação de firewall

                             <05>: descrição do acesso do usuário

                             <06>: nº da versão do firewall

Recursos a serem criados (quantidade = 4):

Usando qualquer método compatível, implante as “regras de firewall” da VPC com os seguintes detalhes de configuração:

Item 1 de 4:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Descrição	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard linux access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xall-fw--user--a--linux--v01
Filtro de origem	source-ranges
Origem	0.0.0.0/0
Portas de rede	tcp:22,icmp

Item 2 de 4:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Descrição	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard windows access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xall-fw--user--a--windows--v01
Filtro de origem	source-ranges
Origem	0.0.0.0/0
Portas de rede	tcp:3389,icmp

Item 3 de 4:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Descrição	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAPGUI access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
Filtro de origem	source-ranges
Origem	0.0.0.0/0
Portas de rede	tcp:3200-3299,tcp:3600-3699

Item 4 de 4:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Descrição	xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAP Fiori access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
Filtro de origem	source-ranges
Origem	0.0.0.0/0
Portas de rede	tcp:80,tcp:8000-8099,tcp:443,tcp:4300-44300

Linha de comando:

Comando 1 de 1: criar uma “regra de firewall” da VPC:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemplo de saída)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Analise e valide no console do Cloud:

Confirme se as “regras de firewall” da VPC foram implantadas no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Firewall”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar “regras de firewall destinadas ao acesso do usuário” da VPC

Tarefa 4: criar “regras de firewall destinadas ao acesso ao ambiente” da VPC

Todos os recursos hospedados no SAP exigem acesso à rede. As regras de firewall da VPC precisam ser definidas para garantir que somente o acesso de rede permitido seja possível. Regras de firewall para todo o ambiente serão necessárias para ativar a comunicação entre sistemas SAP dentro do mesmo ambiente. Esse acesso deve ser limitado às portas padrão do SAP.

Considerações práticas:

As regras de firewall da VPC normalmente são gerenciadas por equipes centrais de administração de rede, que garantem a aplicação dos padrões adequados de segurança. Em geral, a equipe de SAP precisa colaborar com essas equipes de administração para definir, em um ambiente real, as regras de firewall da VPC específicas da carga de trabalho para “acesso do usuário”, “acesso em todo o ambiente” e “acesso entre sistemas”.

O Google Cloud oferece diferentes opções para definir regras de firewall da VPC, cada uma com seus próprios prós, contras e restrições. Os recursos do Google Cloud podem ser protegidos por várias regras de firewall da VPC, definidas com diferentes opções.

Observação: neste laboratório, serão usadas “tags de firewall”, pois essa costuma ser a solução mais escalonável e gerenciável para o controle de acesso à rede em ambientes SAP.

Documentação on-line:

• Guia de início rápido: criar regras de firewall
• Linha de comando: gcloud compute firewall-rules create
• Recurso do Terraform para criar uma regra de firewall: google_compute_firewall
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Ajuda do SAP: portas TCP/IP de todos os produtos SAP

Dependências:

Para implantar as “regras de firewall” da VPC necessárias, as seguintes dependências precisam ser configuradas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes VPC implantadas

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-env--v<08>

                             <01>: ID da VPC

                             <02>: ID da empresa

                             <03>: ID da entidade empresarial

                             <04>: ID da carga de trabalho

                             <05>: ID da área operacional

                             <06>: ID do ambiente

                             <07>: ID da ação de firewall

                             <08>: nº da versão do firewall

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> environment wide access - version <08>”

                             <01>: ID da VPC

                             <02>: empresa

                             <03>: ID da entidade empresarial

                             <04>: ID da carga de trabalho

                             <05>: ID da área operacional

                             <06>: ID do ambiente

                             <07>: ação de firewall

                             <08>: nº da versão do firewall

Recursos a serem criados (quantidade = 1):

Usando qualquer método compatível, implante as “regras de firewall” da VPC com os seguintes detalhes de configuração:

Item 1 de 1:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Descrição	xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW environment wide access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Filtro de origem	source-tags
Origem	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
Portas de rede	tcp:3200-3299,tcp:3300-3399,tcp:4800-4899,tcp:80,tcp:8000-8099,tcp:443,tcp:44300-44399,tcp:3600-3699,tcp:8100-8199,tcp:44400-44499,tcp:50000-59999,tcp:30000-39999,tcp:4300-4399,tcp:40000-49999,tcp:1128-1129,tcp:5050,tcp:8000-8499,tcp:515,icmp

Linha de comando:

Comando 1 de 1: criar uma “regra de firewall” da VPC:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemplo de saída)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Analise e valide no console do Cloud:

Confirme se as “regras de firewall” da VPC foram implantadas no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Firewall”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar “regras de firewall destinadas ao acesso ao ambiente” da VPC

Tarefa 5: criar “regras de firewall destinadas ao acesso ao sistema” da VPC

Todos os recursos hospedados no SAP exigem acesso à rede. As regras de firewall da VPC precisam ser definidas para garantir que somente o acesso de rede permitido seja possível. Como os componentes de um único sistema SAP costumam ser distribuídos em várias VMs, são necessárias regras de firewall em todo o sistema para permitir a comunicação entre eles. Como esses componentes são fortemente acoplados e se comunicam intensamente, é muito comum que exista acesso de rede irrestrito entre os componentes de um mesmo sistema SAP.

Considerações práticas:

As regras de firewall da VPC normalmente são gerenciadas por equipes centrais de administração de rede, que garantem a aplicação dos padrões adequados de segurança. Em geral, a equipe de SAP precisa colaborar com essas equipes de administração para definir, em um ambiente real, as regras de firewall da VPC específicas da carga de trabalho para “acesso do usuário”, “acesso em todo o ambiente” e “acesso entre sistemas”.

O Google Cloud oferece diferentes opções para definir regras de firewall da VPC, cada uma com seus próprios prós, contras e restrições. Os recursos do Google Cloud podem ser protegidos por várias regras de firewall da VPC, definidas com diferentes opções.

Observação: neste laboratório, serão usadas “tags de firewall”, pois essa costuma ser a solução mais escalonável e gerenciável para o controle de acesso à rede em ambientes SAP.

Documentação on-line:

• Guia de início rápido: criar regras de firewall
• Linha de comando: gcloud compute firewall-rules create
• Recurso do Terraform para criar uma regra de firewall: google_compute_firewall
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-network/examples/basic_firewall_rule/main.tf
• Ajuda do SAP: portas TCP/IP de todos os produtos SAP

Dependências:

Para implantar as “regras de firewall” da VPC necessárias, as seguintes dependências precisam ser configuradas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes VPC implantadas

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01>--<02><03>-fw--<04>-<05>-<06>--<07>-<08>--v<09>

                             <01>: ID da VPC

                             <02>: ID da empresa

                             <03>: ID da entidade empresarial

                             <04>: ID da carga de trabalho

                             <05>: ID da área operacional

                             <06>: ID do ambiente

                             <07>: ID da ação de firewall

                             <08>: ID do sistema

                             <09>: nº da versão do firewall

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> <08> (<09>) system wide access - version <10>”

                             <01>: ID da VPC

                             <02>: empresa

                             <03>: ID da entidade empresarial

                             <04>: ID da carga de trabalho

                             <05>: ID da área operacional

                             <06>: ID do ambiente

                             <07>: ação de firewall

                             <08>: ID do aplicativo

                             <09>: ID do sistema

                             <10>: nº da versão do firewall

Recursos a serem criados (quantidade = 1):

Usando qualquer método compatível, implante as “regras de firewall” da VPC com os seguintes detalhes de configuração:

Item 1 de 1:

Parâmetro	Valor
ID	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Descrição	xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW SAP S4 (DS4) system wide access - version 01
Rede VPC	xall-vpc--vpc-01
Prioridade	1000
Direção	entrada
Ação	permitir
Tags de destino	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Filtro de origem	source-tags
Origem	xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
Regras	tcp,udp,icmp

Linha de comando:

Comando 1 de 1: criar uma “regra de firewall” da VPC:

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(Exemplo de saída)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

Analise e valide no console do Cloud:

Confirme se as “regras de firewall” da VPC foram implantadas no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Firewall”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar “regras de firewall destinadas ao acesso ao sistema” da VPC

Tarefa 6: reservar “endereços IP” internos estáticos

Alguns clientes do SAP optam por usar “nomes de host virtuais” para implantar e acessar componentes SAP, a fim de aproveitar os benefícios dos “Princípios de design adaptativo do SAP”. Para garantir que os endereços IP dos “nomes de host virtuais” não sejam consumidos acidentalmente por VMs recém-criadas, é necessário reservar os endereços IP internos que serão usados pelos endereços IP dos “nomes de host virtuais”.

Considerações práticas:

Normalmente, as equipes centrais de administração de rede gerenciam todos os recursos relacionados à rede na rede VPC, e a equipe do SAP precisa entrar em contato com essas equipes para criar as reservas de “endereços IP” estáticos em condições reais.

Observação: ao usar “nomes de host virtuais”, será necessário realizar um planejamento cuidadoso dos tamanhos das sub-redes para garantir que haja endereços IP suficientes para acomodar tanto os endereços IP das VMs quanto os dos “nomes de host virtuais”. Para fins de gerenciamento, é recomendável que os nomes de host virtuais consumam endereços IP da mesma sub-rede das VMs às quais estão associados.

Documentação on-line:

• Guia de início rápido: reservar um novo endereço IP interno estático
• Linha de comando: gcloud compute addresses create
• Recurso do Terraform para criar uma regra de firewall: google_compute_address
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-google-address/examples/internal_with_specific_ip/main.tf
• Nota SAP 962955: uso de nomes de host TCP/IP virtuais ou lógicos

Dependências:

Para reservar os “endereços IP” estáticos necessários, as seguintes dependências precisam ser implantadas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes VPC implantadas
• Sub-redes da VPC implantadas

Convenção de nomenclatura:

• ID:
  • Limite de caracteres: 62
  • Estrutura: <01><02>-ip-address--<03>-<04>-<05>--<06>--<07>

                             <01>: ID da empresa

                             <02>: ID da entidade empresarial

                             <03>: ID da carga de trabalho

                             <04>: ID da área operacional

                             <05>: ID do ambiente

                             <06>: ID do sistema

                             <07>: nome de host virtual curto

• Descrição:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01>-<02> reserved IP address = <03>-<04>-<05> - <06> (<07>) - <08>”                              <01>: empresa

                             <02>: ID da entidade empresarial

                             <03>: ID da carga de trabalho

                             <04>: ID da área operacional

                             <05>: ID do ambiente

                             <06>: ID do aplicativo

                             <07>: ID do sistema

                             <08>: nome de host virtual curto

Recursos a serem criados (quantidade = 4):

Usando qualquer método compatível, reserve “endereços IP” estáticos com os seguintes detalhes de configuração:

Item 1 de 4:

Parâmetro	Valor
ID	xgl-ip-address--cerps-bau-dev--dh1--d-cerpshana1
Descrição	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP HANA 1 (DH1) - d-cerpshana1
Região
Sub-rede	xgl-subnet--cerps-bau-nonprd--be1-01
Endereços	10.1.1.100

Item 2 de 4:

Parâmetro	Valor
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4db
Descrição	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4db
Região
Sub-rede	xgl-subnet--cerps-bau-nonprd--be1-01
Endereços	10.1.1.101

Item 3 de 4:

Parâmetro	Valor
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4scs
Descrição	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4scs
Região
Sub-rede	xgl-subnet--cerps-bau-nonprd--be1-01
Endereços	10.1.1.102

Item 4 de 4:

Parâmetro	Valor
ID	xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4app1
Descrição	XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4app1
Região
Sub-rede	xgl-subnet--cerps-bau-nonprd--be1-01
Endereços	10.1.1.103

Linha de comando:

Comando 1 de 1: criar uma reserva de “endereço IP” estático:

gcloud compute addresses create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --subnet=[insert subnet here] \ \ --addresses=[insert addresses here]

(Exemplo de saída)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/europe-west1/addresses/[reserved IP ID]]

Analise e valide no console do Cloud:

Confirme a reserva de “endereços IP” internos estáticos no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Rede VPC -> Endereços IP”.

Clique em Verificar meu progresso para conferir o objetivo.

Reservar “endereços IP internos estáticos”

Tarefa 7: criar “serviços Cloud NAT”

É bastante comum que as VMs que hospedam componentes SAP não tenham endereços IP públicos atribuídos por motivos de segurança. No entanto, essas VMs geralmente ainda precisam de acesso à internet para realizar tarefas essenciais, como a atualização de pacotes do SO. O serviço “Cloud NAT” oferece uma maneira segura para que essas VMs relacionadas ao SAP acessem a internet.

Considerações práticas:

Normalmente, as equipes centrais de administração de rede gerenciam todos os recursos relacionados à rede na rede VPC.

Existem muitos padrões compatíveis para fornecer acesso à internet a VMs que não têm um endereço IP público atribuído. Portanto, a equipe de SAP precisará entrar em contato com as equipes de administração de rede para saber como esse acesso pode ser concedido de acordo com o design de rede adotado.

Observação: neste laboratório, vamos implantar um único “serviço Cloud NAT”. No entanto, em condições reais, para evitar latência e custos de rede entre regiões, geralmente cada região do Google Cloud que hospeda VMs teria pelo menos um “serviço Cloud NAT” implantado, embora também possa haver uma justificativa válida para ter mais.

Documentação on-line:

• Guia de início rápido: definir uma configuração simples
• Linha de comando: gcloud compute routers create
• Recurso do Terraform para criar um roteador: google_compute_router
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-cloud-router/ examples/simple/main.tf
• Linha de comando: gcloud compute routers nats create
• Recurso do Terraform para criar um roteador NAT: google_compute_router_nat
• Exemplo do Terraform no GitHub: terraform-google-modules/terraform-cloud-router/examples/nat/main.tf

Dependências:

Para implantar os “serviços Cloud NAT” necessários, as seguintes dependências precisam ser implantadas corretamente antes de prosseguir com esta atividade:

• Configuração da conta do Google Cloud
• Configuração do IAM
• Configuração da hierarquia de recursos
• Configuração do projeto do Google Cloud para hospedar a VPC
• Redes “VPC” implantadas
• “Sub-redes” VPC implantadas

Convenção de nomenclatura:

• ID do Cloud NAT:
  • Limite de caracteres: 62
  • Estrutura: <01>--<02><03>-nat-gw--<04>--<05>-<06>

                             <01>: ID da VPC

                             <02>: ID da empresa

                             <03>: ID da entidade empresarial

                             <04>: descrição curta do NAT

                             <05>: ID da região de hospedagem

                             <06>: identificador de contagem de sub-redes

• ID do roteador:
  • Limite de caracteres: 62
  • Estrutura: <01>--<02><03>-router--<04>--<05>-<06>

                             <01>: ID da VPC

                             <02>: ID da empresa

                             <03>: ID da entidade empresarial

                             <04>: descrição curta do roteador

                             <05>: ID da região de hospedagem

                             <06>: identificador de contagem de roteadores

• Descrição do roteador:
  • Limite de caracteres: ilimitado
  • Estrutura: “<01> - <02>-<03> router = <04> - <05> - <06>”

                             <01>: ID da VPC

                             <02>: empresa

                             <03>: ID da entidade empresarial

                             <04>: descrição do roteador

                             <05>: ID da região de hospedagem

                             <07>: identificador de contagem de roteadores

Recursos a serem criados (quantidade = 2):

Usando qualquer método compatível, implante os “serviços Cloud NAT” com os seguintes detalhes de configuração:

Item 1 de 1:

Parâmetro	Valor
ID do Cloud NAT	xall-vpc--vpc-01--xall-nat-gw--shared-nat--de1-01
ID do roteador	xall-vpc--vpc-01--xall-router--shared-nat--de1-01
Descrição do roteador	xall-vpc--vpc-01 - XYZ-Global router = Shared NAT - Germany 1 (GCP) - 01
Região
Rede VPC	xall-vpc--vpc-01

Linha de comando:

Comando 1 de 2: criar um “roteador”:

gcloud compute routers create [insert router ID here] \ --description="[insert router description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --network=[insert VPC network here]

(Exemplo de saída)

Creating router [[router ID]]...done. NAME: [router ID] REGION: [region ID] NETWORK: [VPC network ID]

Comando 2 de 2: criar um “Cloud NAT”:

gcloud compute routers nats create [inset nat ID here] \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --router=[insert router ID here] \ \ --auto-allocate-nat-external-ips \ --nat-all-subnet-ip-ranges \ --enable-logging

(Exemplo de saída)

Creating NAT [[nat ID]] in router [[insert router ID here]]...done.

Analise e valide no console do Cloud:

Confirme se os “roteadores” foram implantados no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Conectividade de rede -> Cloud Routers”.

Confirme se os “Cloud NATs” foram implantados no console do Cloud usando o seguinte caminho: “Menu de navegação -> REDE -> Serviços de rede -> Cloud NAT”.

Clique em Verificar meu progresso para conferir o objetivo.

Criar “serviços Cloud NAT”

Parabéns!

Resumo das atividades:

A tabela abaixo destaca em amarelo os componentes que foram implantados pelas atividades deste laboratório.

Próximas etapas / Saiba mais

Não deixe de conferir a documentação a seguir para praticar mais com o SAP:

• SAP no Google Cloud

Treinamento e certificação do Google Cloud

Esses treinamentos ajudam você a aproveitar as tecnologias do Google Cloud ao máximo. Nossas aulas incluem habilidades técnicas e práticas recomendadas para ajudar você a alcançar rapidamente o nível esperado e continuar sua jornada de aprendizado. Oferecemos treinamentos que vão do nível básico ao avançado, com opções de aulas virtuais, sob demanda e por meio de transmissões ao vivo para que você possa encaixá-las na correria do seu dia a dia. As certificações validam sua experiência e comprovam suas habilidades com as tecnologias do Google Cloud.

Manual atualizado em 20 de maio de 2026

Laboratório testado em 18 de julho de 2024

Copyright 2026 Google LLC. Todos os direitos reservados. Google e o logotipo do Google são marcas registradas da Google LLC. Todos os outros nomes de produtos e empresas podem ser marcas registradas das respectivas empresas a que estão associados.