Loading...
No results found.

Create VPC network

Check my progress

/ 10

Create VPC subnet

Check my progress

/ 10

Create VPC firewall rules

Check my progress

/ 20

Create Firewall rule 5 (environment access)

Check my progress

/ 10

Create Firewall rule 6 (system access)

Check my progress

/ 10

Create Static IP address

Check my progress

/ 20

Create Cloud NAT service

Check my progress

/ 20

This lab may incorporate AI tools to support your learning.
This content is not yet optimized for mobile devices.
For the best experience, please visit us on a desktop computer using a link sent by email.

GSP1068

Google Cloud 自學實驗室

總覽

在本實驗室中，您將瞭解部署各種 Google Cloud 服務和資源時，所涉及的主要網路相關活動；這些服務和資源是在 Google Cloud 建構大多數 SAP Landing Zone 的必要條件。

規劃及部署網路時，需進行某些活動，才能託管提供的模擬 SAP 環境。本實驗室的工作便是根據這些活動設計而成。

注意：建構 SAP Landing Zone 時，需要部署多項 Google Cloud 資源。定義客戶專屬的「SAP Landing Zone」，也需涉及一定的設計流程與工作。將此簡化為一組既定步驟，進而以端對端方式部署企業級「SAP Landing Zone」，並不是本實驗室的目標。詳情請參閱「實驗室預習資料」。

目標

本實驗室的學習內容包括：

  • 建立「虛擬私有雲網路」
  • 建立虛擬私有雲「子網路」
  • 建立虛擬私有雲網路「防火牆規則」，允許全網路使用者存取
  • 建立虛擬私有雲網路「防火牆規則」，允許 SAP 系統之間的跨環境存取 (例如在所有開發系統之間)
  • 建立虛擬私有雲網路「防火牆規則」，允許在單一 SAP 系統的元件之間，進行跨系統存取 (例如在單一 SAP 系統的資料庫和應用程式元件之間)
  • 保留靜態「IP 位址」
  • 建立「Cloud NAT 服務」

設定和需求

瞭解以下事項後，再點選「Start Lab」按鈕

請詳閱以下操作說明。實驗室活動會計時，且中途無法暫停。點選「Start Lab」後就會開始計時，顯示可使用 Google Cloud 資源的時間。

您將在真正的雲端環境完成實作實驗室活動，而不是模擬或示範環境。為此，我們會提供新的暫時憑證，供您在實驗室活動期間登入及存取 Google Cloud。

為了順利完成這個實驗室，請先確認：

  • 可以使用標準的網際網路瀏覽器 (Chrome 瀏覽器為佳)。
注意事項：請使用無痕模式 (建議選項) 或私密瀏覽視窗執行此實驗室，這可以防止個人帳戶和學員帳戶之間的衝突，避免個人帳戶產生額外費用。
  • 是時候完成實驗室活動了！別忘了，活動一旦開始將無法暫停。
注意事項：務必使用實驗室專用的學員帳戶。如果使用其他 Google Cloud 帳戶，可能會產生額外費用。

如何開始實驗室及登入 Google Cloud 控制台

  1. 按一下「Start Lab」按鈕。如果實驗室會產生費用，請在開啟的對話方塊中選取付款方式。右側的「Lab setup and access」面板會顯示下列項目：

    • 「Open Google Cloud console」按鈕
    • 此實驗室所需的臨時憑證 (使用者名稱和密碼)
    • 完成此實驗室所需的其他資訊 (如有)

    請注意，實驗室計時器位於頁面頂端附近，會顯示剩餘時間。

  2. 按一下「Open Google Cloud console」。如果使用 Chrome 瀏覽器，也可以按一下滑鼠右鍵，選取「在無痕視窗中開啟連結」。

    接著，實驗室會啟動相關資源，並開啟另一個分頁，顯示「登入」頁面。

    提示：您可以在不同的視窗並排開啟分頁。

    注意：頁面顯示「選擇帳戶」對話方塊時，請點選「使用其他帳戶」。

  3. 如有必要，請將下方的 Username 貼到「登入」對話方塊。

    {{{user_0.username | "Username"}}}

    您也可以在「Lab setup and access」面板找到「Username」。

  4. 點選「下一步」。

  5. 複製下方的 Password，並貼到「歡迎使用」對話方塊。

    {{{user_0.password | "Password"}}}

    您也可以在「Lab setup and access」面板找到「Password」。

  6. 點選「下一步」。

    重要事項：請務必使用實驗室提供的憑證，而非自己的 Google Cloud 帳戶憑證。 注意：如果使用自己的 Google Cloud 帳戶來進行這個實驗室，可能會產生額外費用。

  7. 繼續點按後續頁面：

    • 接受條款及細則。
    • 由於這是臨時帳戶，請勿新增救援選項或雙重驗證機制。
    • 請勿申請免費試用。

Google Cloud 控制台稍後會在這個分頁開啟。

注意：如要使用 Google Cloud 產品和服務，請按一下「導覽選單」，或在「搜尋」欄位輸入服務或產品名稱。「導覽選單」圖示和搜尋欄位

啟動 Cloud Shell

Cloud Shell 是搭載多項開發工具的虛擬機器，提供永久的 5 GB 主目錄，而且在 Google Cloud 中運作。Cloud Shell 提供指令列存取權，方便您使用 Google Cloud 資源。

  1. 點按 Google Cloud 控制台頂端的「啟用 Cloud Shell」圖示 「啟動 Cloud Shell」圖示。

  2. 系統顯示視窗時，請按照下列步驟操作：

    • 繼續操作 Cloud Shell 視窗。
    • 授權 Cloud Shell 使用您的憑證發出 Google Cloud API 呼叫。

連線建立完成即代表已通過驗證，而且專案已設為您的 Project_ID：。輸出內容中有一行文字，宣告本工作階段的 Project_ID：

Your Cloud Platform project in this session is set to {{{project_0.project_id | "PROJECT_ID"}}}

gcloud 是 Google Cloud 的指令列工具，已預先安裝於 Cloud Shell，並支援 Tab 鍵自動完成功能。

  1. (選用) 您可以執行下列指令來列出使用中的帳戶：
gcloud auth list
  1. 點按「授權」。

輸出內容：

ACTIVE: * ACCOUNT: {{{user_0.username | "ACCOUNT"}}} To set the active account, run: $ gcloud config set account `ACCOUNT`
  1. (選用) 您可以使用下列指令來列出專案 ID：
gcloud config list project

輸出內容：

[core] project = {{{project_0.project_id | "PROJECT_ID"}}} 注意：如需 gcloud 的完整說明，請前往 Google Cloud 參閱 gcloud CLI 總覽指南。

必要條件

雖然並非強制要求，但為了獲得最佳學習效益，建議您先完成下列實驗室課程：

  • Cloud Foundation Toolkit (CFT) 訓練：入門

執行本實驗室的活動

本實驗室將著重於下列「Landing Zone」主題：

  • 要部署的 Google Cloud 服務和資源

本實驗室將介紹部署各種 Google Cloud 服務和資源時，會涉及的主要活動範例。在 Google Cloud 建立「SAP Landing Zone」時，大多會用到這些服務和資源。

本實驗室的活動環環相扣，因此請務必依序完成。這樣的安排是刻意設計的，因為在實際情境中，不同 Google Cloud 資源之間可能存在相依性；這同時也凸顯了準確執行每個步驟的重要性，因為後續修正可能需要投入大量心力。

Google Cloud 支援多種部署 Google Cloud 資源的方式，包括但不限於：

  • 透過 Google Cloud 控制台手動作業
  • 使用指令列 (例如 gcloud)
  • 使用 API 呼叫
  • 使用各種程式設計語言 (例如 Go、Java、Node.js、Python)
  • 使用基礎架構即程式碼工具 (例如 Terraform)

在設計過程中，我們會定義要採用哪些方式，打造客戶專屬的「SAP Landing Zone」。

本實驗室假設所有活動都會透過指令列執行，並提供所需的指令列操作說明。不過，學員也可以選用任何支援的方式來完成這些活動。我們會視情況提供相關「快速入門」線上文件的連結，包括其餘方式的語法說明。

本實驗室還會舉例說明所有資源的命名慣例 (詳情請參閱預習資料中的命名慣例一節和表格)。大部分活動都會要求您按照指定的命名慣例和設定規格部署 Google Cloud 資源，這是為了模擬實際情境中的要求。本實驗室中的各項活動，只有在完全符合預期的命名和設定規格時，才會標示為完成。

參數值顏色標示說明：

為方便您瞭解各參數值代表的內容，我們採用以下顏色標示參數值：

  • 綠色 = 建立中資源的 ID
  • 橘色 = 可自由輸入的文字，通常用於填寫說明
  • 藍色 = 先前建立資源的 ID
  • 紫色 = 建立中資源的設定參數

時間記錄

本實驗室限時 60 分鐘。時間結束後，實驗室環境會自動關閉，所有部署的資源也會一併清除。重新開始實驗室後，您必須從頭執行所有工作。

為確保您有足夠的時間完成所有工作，強烈建議您在點選「Start Lab」之前：

  • 詳閱研究室的所有工作
  • 決定要使用哪個方式來部署 Google Cloud 資源
  • 準備要執行的部署程式碼和工具

模擬 SAP 環境

為協助學員理解本實驗中的各項活動，並將所學套用到自身的 SAP 環境，我們提供了一個模擬 SAP 環境，本實驗室的所有活動都將以此環境為基礎。

SAP 環境總覽

下表列出本實驗室 SAP 環境屬性的主要設定。請搭配預習教材中的命名慣例表格參考本表。

表格中黃色標示的部分，是本實驗室活動將部署的元件。

deploy_activities.png

實驗室預習資料：「SAP on Google Cloud」新手指引

如要進一步瞭解客戶「導入」雲端的實際情況，建議您閱讀「實驗室預習資料：『SAP on Cloud』新手指引」教材。

注意：如要取得「SAP 登陸區」技能徽章，您必須閱讀這份預習資料，並回答一系列相關問題。

工作 1：建立「虛擬私有雲網路」

根據客戶環境採用的網路設計模式，可能需要部署一或多個虛擬私有雲網路，且每個都至少要有 1 個子網路，才能符合網路設計需求。

實際環境考量：

如預習資料所述，「網路設定」設計是「雲端基礎」的主題之一。

我們支援多種虛擬私有雲網路設計模式，各有優缺點和限制。在實際環境中，客戶應仔細評估自身的網路設計需求，以最有效的方式滿足目前和日後所有工作負載的特定需求。為確保採用合適的網路設計，這項活動應由具備適當技能的網路專家執行。

如果在後續階段才變更網路設計，可能會造成嚴重干擾，且需耗費大量人力。

注意：在實際情況中，虛擬私有雲網路設計幾乎不會只用於託管 SAP 環境。

線上說明文件：

依附元件：

為了能夠順利部署所需的「虛擬私有雲網路」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01><02>-vpc--<03>-<04>

                             <01> - 公司 ID

                             <02> - 業務實體 ID

                             <03> - 虛擬私有雲簡短說明

                             <04> - 虛擬私有雲數量 ID

  • 說明：
    • 字元限制：無
    • 結構：「<01>-<02> VPC network = <03> - <04>」

                             <01> - 公司

                             <02> - 業務實體 ID

                             <03> - 虛擬私有雲說明

                             <04> - 虛擬私有雲數量 ID

要建立的資源 (數量 = 1)：

使用任何支援的方法部署「虛擬私有雲網路」，並採用下列詳細設定：

第 1 項，共 1 項：

參數 值
ID xall-vpc--vpc-01
VPC 說明 XYZ-all VPC network = Standard VPC network - 01
子網路模式 custom
轉送模式 global

指令列：

指令 1 (共 1 個) - 建立「虛擬私有雲網路」：

gcloud compute networks create [insert ID here] \ --description="[insert VPC description here]" \ \ --project=[insert your Project ID here] \ \ --subnet-mode=[insert subnet mode here] \ --bgp-routing-mode=[insert routing mode here] \ --mtu=1460

(輸出內容範例)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/networks/[VPC network ID]]. NAME: [VPC network ID] SUBNET_MODE: [VPC subnet mode] BGP_ROUTING_MODE: [VPC routing mode] IPV4_RANGE: GATEWAY_IPV4: Instances on this network will not be reachable until firewall rules are created. As an example, you can allow all internal traffic between instances as well as SSH, RDP, and ICMP by running: $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp,udp,icmp --source-ranges $ gcloud compute firewall-rules create --network xall-vpc--vpc-01 --allowtcp:22,tcp:3389,icmp

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「虛擬私有雲網路」->「虛擬私有雲網路」，確認「虛擬私有雲網路」已完成部署。

vpc_summary

點選「Check my progress」確認目標已達成。

建立「虛擬私有雲」網路

工作 2：建立虛擬私有雲「子網路」

隨著新的 SAP 環境 (例如：DR) 或 SAP 作業環境 (例如專案環境) 陸續完成部署，可能需要在現有的虛擬私有雲網路中新增子網路。

實際環境考量：

有許多因素會影響虛擬私有雲網路中的子網路配置。

子網路的建立和維護作業通常由中央網路管理團隊負責，確保符合適當的安全和設計標準。一般來說，SAP 團隊需要與網路管理團隊聯絡，根據實際情況定義工作負載專屬的子網路配置。

本實驗室提供的子網路配置是根據常見的實際情況設計，每位客戶在部署子網路及資源之前，都應先評估自身的環境需求。

注意：如果在後續階段才變更子網路配置，可能會造成嚴重干擾，且需耗費大量人力。

線上說明文件：

依附元件：

為了能夠順利部署所需的虛擬私有雲「子網路」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的虛擬私有雲網路

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01><02>-subnet--<03>-<04>-<05>--<06>-<07>

                             <01> - 公司 ID

                             <02> - 業務實體 ID

                             <03> - 工作負載 ID

                             <04> - 營運區域 ID

                             <05> - 環境 ID

                             <06> - 託管區域 ID

                             <07> - 子網路數量 ID

  • 說明：
    • 字元限制：無
    • 結構：「<01>-<02> subnet = <03>-<04>-<05> - <06> - <07>」

                             <01> - 公司

                             <02> - 業務實體 ID

                             <03> - 工作負載 ID

                             <04> - 營運區域 ID

                             <05> - 環境 ID

                             <06> - 託管區域 ID

                             <07> - 子網路數量 ID

要建立的資源 (數量 = 1)：

使用任何支援的方法部署虛擬私有雲「子網路」，並採用下列詳細設定：

第 1 項，共 1 項：

參數 值
ID xgl-subnet--cerps-bau-nonprd--be1-01
說明 XYZ-Global subnet = CERPS-BaU-NonProd - Belgium 1 (GCP) - 01
虛擬私有雲網路 xall-vpc--vpc-01
區域
IP 範圍 10.1.1.0/24

指令列：

指令 1 (共 1 個) - 建立虛擬私有雲「子網路」：

gcloud compute networks subnets create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ --region=[insert region here] \ \ --range=[insert IP range here] \ --enable-private-ip-google-access \ --enable-flow-logs

(輸出內容範例)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/[region ID]/subnetworks/[VPC subnet ID]]. NAME: [VPC subnet ID] REGION: [region ID] NETWORK: [VPC network ID] RANGE: [IP range] STACK_TYPE: IPV4_ONLY IPV6_ACCESS_TYPE: INTERNAL_IPV6_PREFIX: EXTERNAL_IPV6_PREFIX:

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「虛擬私有雲網路」->「虛擬私有雲網路」，確認虛擬私有雲「子網路」已完成部署。

subnet_summary

點選「Check my progress」確認目標已達成。

建立虛擬私有雲「子網路」

工作 3：建立虛擬私有雲「防火牆規則 - 使用者存取權」

所有 SAP 託管資源都需要網路存取權。為了控制及保護允許的網路存取範圍，必須定義虛擬私有雲防火牆規則。此外，也需要設定全網路的防火牆規則，允許各種使用者存取行為。

實際環境考量：

虛擬私有雲防火牆規則通常由中央網路管理團隊管理，確保符合適當的安全標準。一般來說，SAP 團隊需要與網路管理團隊聯絡，根據實際情況定義工作負載專屬的虛擬私有雲防火牆規則。這些規則可分為「使用者存取」、「整個環境的存取」和「系統間存取」幾類。

Google Cloud 支援多種定義虛擬私有雲防火牆規則的方式，各有優缺點和限制。Google Cloud 資源可同時受到多個虛擬私有雲防火牆規則保護，而這些規則可以使用不同的方式定義。

注意：本實驗室會使用「防火牆標記」，因為這通常是管理 SAP 環境中的網路存取權時，最具擴充性且最易於管理的解決方案。

線上說明文件：

依附元件：

為了能夠順利部署所需的虛擬私有雲「防火牆規則」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的虛擬私有雲網路

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01>--<02><03>-fw--user--<04>--<05>--v<06>

                             <01> - 虛擬私有雲 ID

                             <02> - 公司 ID

                             <03> - 業務實體 ID

                             <04> - 防火牆動作 ID

                             <05> - 使用者存取權的簡短說明

                             <06> - 防火牆版本編號

  • 說明：
    • 字元限制：無
    • 結構：「<01> - <02>-<03> firewall rule = User access - <04> <05> - version <06>」

                             <01> - 虛擬私有雲 ID

                             <02> - 公司

                             <03> - 業務實體 ID

                             <04> - 防火牆動作

                             <05> - 使用者存取權說明

                             <06> - 防火牆版本編號

要建立的資源 (數量 = 4)：

使用任何支援的方法部署虛擬私有雲「防火牆規則」，並採用下列詳細設定：

第 1 項，共 4 項

參數 值
ID xall-vpc--vpc-01--xall-fw--user--a--linux--v01
說明 xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard linux access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xall-fw--user--a--linux--v01
來源篩選器 source-ranges
來源 0.0.0.0/0
網路通訊埠 tcp:22,icmp

第 2 項，共 4 項：

參數 值
ID xall-vpc--vpc-01--xall-fw--user--a--windows--v01
說明 xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW standard windows access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xall-fw--user--a--windows--v01
來源篩選器 source-ranges
來源 0.0.0.0/0
網路通訊埠 tcp:3389,icmp

第 3 項，共 4 項

參數 值
ID xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
說明 xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAPGUI access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xall-fw--user--a--sapgui--v01
來源篩選器 source-ranges
來源 0.0.0.0/0
網路通訊埠 tcp:3200-3299,tcp:3600-3699

第 4 項，共 4 項

參數 值
ID xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
說明 xall-vpc--vpc-01 - XYZ-all firewall rule = User access - ALLOW SAP Fiori access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xall-fw--user--a--sap-fiori--v01
來源篩選器 source-ranges
來源 0.0.0.0/0
網路通訊埠 tcp:80,tcp:8000-8099,tcp:443,tcp:4300-44300

指令列：

指令 1 (共 1 個) - 建立虛擬私有雲「防火牆規則」：

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(輸出內容範例)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「虛擬私有雲網路」->「防火牆」，確認虛擬私有雲「防火牆規則」已完成部署。

fw_user_summary

點選「Check my progress」確認目標已達成。

建立虛擬私有雲「防火牆規則 - 使用者存取權」

工作 4：建立虛擬私有雲「防火牆規則 - 環境存取權」

所有 SAP 託管資源都需要網路存取權。為了控制及保護允許的網路存取範圍，必須定義虛擬私有雲防火牆規則。此外，也需要設定環境層級的防火牆規則，才能讓相同環境中的 SAP 系統互相通訊。這類存取行為應限制只允許使用標準 SAP 通訊埠。

實際環境考量：

虛擬私有雲防火牆規則通常由中央網路管理團隊管理，確保符合適當的安全標準。一般來說，SAP 團隊需要與網路管理團隊聯絡，根據實際情況定義工作負載專屬的虛擬私有雲防火牆規則。這些規則可分為「使用者存取」、「整個環境的存取」和「系統間存取」幾類。

Google Cloud 支援多種定義虛擬私有雲防火牆規則的方式，各有優缺點和限制。Google Cloud 資源可同時受到多個虛擬私有雲防火牆規則保護，而這些規則可以使用不同的方式定義。

注意：本實驗室會使用「防火牆標記」，因為這通常是管理 SAP 環境中的網路存取權時，最具擴充性且最易於管理的解決方案。

線上說明文件：

依附元件：

為了能夠順利部署所需的虛擬私有雲「防火牆規則」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的虛擬私有雲網路

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01>--<02><03>-fw--<04>-<05>-<06>--<07>-env--v<08>

                             <01> - 虛擬私有雲 ID

                             <02> - 公司 ID

                             <03> - 業務實體 ID

                             <04> - 工作負載 ID

                             <05> - 營運區域 ID

                             <06> - 環境 ID

                             <07> - 防火牆動作 ID

                             <08> - 防火牆版本編號

  • 說明：
    • 字元限制：無
    • 結構：「<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> environment wide access - version <08>」

                             <01> - 虛擬私有雲 ID

                             <02> - 公司

                             <03> - 業務實體 ID

                             <04> - 工作負載 ID

                             <05> - 營運區域 ID

                             <06> - 環境 ID

                             <07> - 防火牆動作

                             <08> - 防火牆版本編號

要建立的資源 (數量 = 1)：

使用任何支援的方法部署虛擬私有雲「防火牆規則」，並採用下列詳細設定：

第 1 項，共 1 項：

參數 值
ID xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
說明 xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW environment wide access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
來源篩選器 source-tags
來源 xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-env--v01
網路通訊埠 tcp:3200-3299,tcp:3300-3399,tcp:4800-4899,tcp:80,tcp:8000-8099,tcp:443,tcp:44300-44399,tcp:3600-3699,tcp:8100-8199,tcp:44400-44499,tcp:50000-59999,tcp:30000-39999,tcp:4300-4399,tcp:40000-49999,tcp:1128-1129,tcp:5050,tcp:8000-8499,tcp:515,icmp

指令列：

指令 1 (共 1 個) - 建立虛擬私有雲「防火牆規則」：

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(輸出內容範例)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「虛擬私有雲網路」->「防火牆」，確認虛擬私有雲「防火牆規則」已完成部署。

fw_env_summary

點選「Check my progress」確認目標已達成。

建立虛擬私有雲「防火牆規則 - 環境存取權」

工作 5：建立虛擬私有雲「防火牆規則 - 系統存取權」

所有 SAP 託管資源都需要網路存取權。為了控制及保護允許的網路存取範圍，必須定義虛擬私有雲防火牆規則。由於單一 SAP 系統的元件通常會分散部署在多台 VM 上，需要設定系統層級的防火牆規則，才能讓這些元件彼此通訊。同一個 SAP 系統中的元件往往緊密相連，且彼此間的通訊量相當大，因此同一個 SAP 系統的元件之間的網路存取通常會不受限制。

實際環境考量：

虛擬私有雲防火牆規則通常由中央網路管理團隊管理，確保符合適當的安全標準。一般來說，SAP 團隊需要與網路管理團隊聯絡，根據實際情況定義工作負載專屬的虛擬私有雲防火牆規則。這些規則可分為「使用者存取」、「整個環境的存取」和「系統間存取」幾類。

Google Cloud 支援多種定義虛擬私有雲防火牆規則的方式，各有優缺點和限制。Google Cloud 資源可同時受到多個虛擬私有雲防火牆規則保護，而這些規則可以使用不同的方式定義。

注意：本實驗室會使用「防火牆標記」，因為這通常是管理 SAP 環境中的網路存取權時，最具擴充性且最易於管理的解決方案。

線上說明文件：

依附元件：

為了能夠順利部署所需的虛擬私有雲「防火牆規則」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的虛擬私有雲網路

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01>--<02><03>-fw--<04>-<05>-<06>--<07>-<08>--v<09>

                             <01> - 虛擬私有雲 ID

                             <02> - 公司 ID

                             <03> - 業務實體 ID

                             <04> - 工作負載 ID

                             <05> - 營運區域 ID

                             <06> - 環境 ID

                             <07> - 防火牆動作 ID

                             <08> - 系統 ID

                             <09> - 防火牆版本編號

  • 說明：
    • 字元限制：無
    • 結構：「<01> - <02>-<03> firewall rule = <04>-<05>-<06> - <07> <08> (<09>) system wide access - version <10>」

                             <01> - 虛擬私有雲 ID

                             <02> - 公司

                             <03> - 業務實體 ID

                             <04> - 工作負載 ID

                             <05> - 營運區域 ID

                             <06> - 環境 ID

                             <07> - 防火牆動作

                             <08> - 應用程式 ID

                             <09> - 系統 ID

                             <10> - 防火牆版本編號

要建立的資源 (數量 = 1)：

使用任何支援的方法部署虛擬私有雲「防火牆規則」，並採用下列詳細設定：

第 1 項，共 1 項：

參數 值
ID xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
說明 xall-vpc--vpc-01 - XYZ-Global firewall rule = CERPS-BaU-Dev - ALLOW SAP S4 (DS4) system wide access - version 01
虛擬私有雲網路 xall-vpc--vpc-01
優先順序 1000
方向 ingress
動作 allow
目標標記 xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
來源篩選器 source-tags
來源 xall-vpc--vpc-01--xgl-fw--cerps-bau-dev--a-ds4--v01
規則 tcp,udp,icmp

指令列：

指令 1 (共 1 個) - 建立虛擬私有雲「防火牆規則」：

gcloud compute firewall-rules create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --network=[insert VPC network here] \ \ --priority=[insert priority here] \ --direction=[insert direction here] \ --action=[insert action here] \ --target-tags=[insert target tags here] \ --[insert source filter here]=[insert source here] \ --rules=[insert network ports here]

(輸出內容範例)

Creating firewall...working..Created [https://www.googleapis.com/compute/v1/projects/[project ID]/global/firewalls/[firewall rule ID]]. Creating firewall...done. NAME: [firewall rule ID] NETWORK: [VPC network ID] DIRECTION: [INGRESS PRIORITY: [priority] ALLOW: [network ports] DENY: DISABLED: False

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「虛擬私有雲網路」->「防火牆」，確認虛擬私有雲「防火牆規則」已完成部署。

fw_sys_summary

點選「Check my progress」確認目標已達成。

建立虛擬私有雲「防火牆規則 - 系統存取權」

工作 6：保留靜態內部「IP 位址」

部分 SAP 客戶會選擇使用「虛擬主機名稱」來部署及存取 SAP 元件，以便充分運用「SAP 適應性設計原則」的優勢。為確保「虛擬主機名稱」的 IP 位址不會意外遭到新建 VM 耗用，您必須預留要用於「虛擬主機名稱」IP 位址的內部 IP 位址。

實際環境考量：

通常，中央網路管理團隊會管理虛擬私有雲網路中的所有網路相關資源，而 SAP 團隊則需要與網路管理團隊聯絡，根據實際情況建立這些靜態「IP 位址」保留項目。

注意：使用「虛擬主機名稱」時，必須仔細規劃子網路大小，確保有足夠的 IP 位址，可同時容納 VM 的 IP 位址和「虛擬主機名稱」。為方便管理，強烈建議虛擬主機名稱使用與相關 VM 相同的子網路 IP 位址。

線上說明文件：

依附元件：

為了能夠順利保留所需的靜態「IP 位址」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的虛擬私有雲網路
  • 已部署的虛擬私有雲子網路

命名慣例：

  • ID：
    • 字元限制：62
    • 結構：<01><02>-ip-address--<03>-<04>-<05>--<06>--<07>

                             <01> - 公司 ID

                             <02> - 業務實體 ID

                             <03> - 工作負載 ID

                             <04> - 營運區域 ID

                             <05> - 環境 ID

                             <06> - 系統 ID

                             <07> - 簡短虛擬主機名稱

  • 說明：
    • 字元限制：無
    • 結構：「<01>-<02> reserved IP address = <03>-<04>-<05> - <06> (<07>) - <08>」                              <01> - 公司

                             <02> - 業務實體 ID

                             <03> - 工作負載 ID

                             <04> - 營運區域 ID

                             <05> - 環境 ID

                             <06> - 應用程式 ID

                             <07> - 系統 ID

                             <08> - 簡短虛擬主機名稱

要建立的資源 (數量 = 4)：

使用任何支援的方法，保留靜態「IP 位址」，並採用下列詳細設定：

第 1 項，共 4 項

參數 值
ID xgl-ip-address--cerps-bau-dev--dh1--d-cerpshana1
說明 XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP HANA 1 (DH1) - d-cerpshana1
區域
子網路 xgl-subnet--cerps-bau-nonprd--be1-01
位址 10.1.1.100

第 2 項，共 4 項：

參數 值
ID xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4db
說明 XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4db
區域
子網路 xgl-subnet--cerps-bau-nonprd--be1-01
位址 10.1.1.101

第 3 項，共 4 項

參數 值
ID xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4scs
說明 XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4scs
區域
子網路 xgl-subnet--cerps-bau-nonprd--be1-01
位址 10.1.1.102

第 4 項，共 4 項

參數 值
ID xgl-ip-address--cerps-bau-dev--ds4--d-cerpss4app1
說明 XYZ-Global reserved IP address = CERPS-BaU-Dev - SAP S4 (DS4) - d-cerpss4app1
區域
子網路 xgl-subnet--cerps-bau-nonprd--be1-01
位址 10.1.1.103

指令列：

指令 1 (共 1 個) - 建立靜態「IP 位址」預留項目：

gcloud compute addresses create [insert ID here] \ --description="[insert description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --subnet=[insert subnet here] \ \ --addresses=[insert addresses here]

(輸出內容範例)

Created [https://www.googleapis.com/compute/v1/projects/[project ID]/regions/europe-west1/addresses/[reserved IP ID]]

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」>「網路」>「虛擬私有雲網路」>「IP 位址」，確認已預留靜態內部「IP 位址」。

ip_add_summary

點選「Check my progress」確認目標已達成。

保留「靜態內部 IP 位址」

工作 7：建立「Cloud NAT 服務」

基於安全考量，託管 SAP 元件的 VM 通常不會獲派公開 IP 位址。不過，這些 VM 往往仍需連上網際網路，才能執行更新 OS 套件等重要活動，「Cloud NAT」服務正可提供安全的方式，讓這些與 SAP 相關的 VM 存取網際網路。

實際環境考量：

通常，中央網路管理團隊會管理虛擬私有雲網路中的所有網路相關資源。

有許多模式可讓未獲派公開 IP 位址的 VM 存取網際網路，因此 SAP 團隊需要與網路管理團隊合作，確認如何根據採用的網路設計，授予網際網路存取權。

注意：本實驗室只會部署一項「Cloud NAT 服務」，但在實際情況中，為避免延遲和跨區域的網路成本，通常每個託管 VM 的 Google Cloud 區域，都至少會部署一項「Cloud NAT 服務」，有時甚至還需部署更多。

線上說明文件：

依附元件：

為了能夠順利保留所需的「Cloud NAT 服務」，請先正確部署下列依附元件，再繼續進行這項活動：

  • Google Cloud 帳戶設定
  • IAM 設定
  • 資源階層結構設定
  • 用於託管虛擬私有雲的 Google Cloud 專案設定
  • 已部署的「虛擬私有雲」網路
  • 已部署的虛擬私有雲「子網路」

命名慣例：

  • Cloud NAT - ID：
    • 字元限制：62
    • 結構：<01>--<02><03>-nat-gw--<04>--<05>-<06>

                             <01> - 虛擬私有雲 ID

                             <02> - 公司 ID

                             <03> - 業務實體 ID

                             <04> - 簡短 NAT 說明

                             <05> - 託管區域 ID

                             <06> - 子網路數量 ID

  • 路由器 - ID：
    • 字元限制：62
    • 結構：<01>--<02><03>-router--<04>--<05>-<06>

                             <01> - 虛擬私有雲 ID

                             <02> - 公司 ID

                             <03> - 業務實體 ID

                             <04> - 簡短路由器說明

                             <05> - 託管區域 ID

                             <06> - 路由器數量 ID

  • 路由器 - 說明：
    • 字元限制：無
    • 結構：「<01> - <02>-<03> router = <04> - <05> - <06>」

                             <01> - 虛擬私有雲 ID

                             <02> - 公司

                             <03> - 業務實體 ID

                             <04> - 路由器說明

                             <05> - 託管區域 ID

                             <07> - 路由器數量 ID

要建立的資源 (數量 = 2)：

使用任何支援的方法部署「Cloud NAT 服務」，並採用下列詳細設定：

第 1 項，共 1 項：

參數 值
Cloud NAT - ID xall-vpc--vpc-01--xall-nat-gw--shared-nat--de1-01
路由器 - ID xall-vpc--vpc-01--xall-router--shared-nat--de1-01
路由器 - 說明 xall-vpc--vpc-01 - XYZ-Global router = Shared NAT - Germany 1 (GCP) - 01
區域
虛擬私有雲網路 xall-vpc--vpc-01

指令列：

指令 1 (共 2 個) - 建立「路由器」：

gcloud compute routers create [insert router ID here] \ --description="[insert router description here]" \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --network=[insert VPC network here]

(輸出內容範例)

Creating router [[router ID]]...done. NAME: [router ID] REGION: [region ID] NETWORK: [VPC network ID]

指令 2 (共 2 個) - 建立「Cloud NAT」：

gcloud compute routers nats create [inset nat ID here] \ \ --project=[insert your Google Cloud project ID here] \ --region=[insert region here] \ --router=[insert router ID here] \ \ --auto-allocate-nat-external-ips \ --nat-all-subnet-ip-ranges \ --enable-logging

(輸出內容範例)

Creating NAT [[nat ID]] in router [[insert router ID here]]...done.

在 Cloud 控制台檢查並驗證：

在 Cloud 控制台中，依序點選「導覽選單」>「網路」>「網路連線」>「Cloud 路由器」，確認已「路由器」已完成部署。

router_summary

在 Cloud 控制台中，依序點選「導覽選單」->「網路」->「網路服務」->「Cloud NAT」，確認「Cloud NAT」已完成部署。

nat_summary

點選「Check my progress」確認目標已達成。

建立「Cloud NAT 服務」

恭喜！

活動摘要：

下表以黃色標示本實驗室活動已部署的元件。

activity_summary

後續行動/瞭解詳情

請務必查看下列說明文件，獲得更多 SAP 練習機會：

Google Cloud 教育訓練與認證

協助您瞭解如何充分運用 Google Cloud 的技術。我們的課程會介紹專業技能和最佳做法，讓您可以快速掌握要領並持續進修。我們提供從基本到進階等級的訓練課程，並有隨選、線上和虛擬課程等選項，方便您抽空參加。認證可協助您驗證及證明自己在 Google Cloud 技術方面的技能和專業知識。

使用手冊上次更新日期：2026 年 5 月 20 日

實驗室上次測試日期：2024 年 7 月 18 日

Copyright 2026 Google LLC 保留所有權利。Google 和 Google 標誌是 Google LLC 的商標，其他公司和產品名稱則有可能是其關聯公司的商標。

Before you begin

  1. Labs create a Google Cloud project and resources for a fixed time
  2. Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
  3. On the top left of your screen, click Start lab to begin

Use private browsing

  1. Copy the provided Username and Password for the lab
  2. Click Open console in private mode

Sign in to the Console

  1. Sign in using your lab credentials. Using other credentials might cause errors or incur charges.
  2. Accept the terms, and skip the recovery resource page
  3. Don't click End lab unless you've finished the lab or want to restart it, as it will clear your work and remove the project

This content is not currently available

We can notify you via email when it becomes available

Great!

We can contact you via email if it becomes available

One lab at a time

Confirm to end all existing labs and start this one

Use private browsing to run the lab

Using an Incognito or private browser window is the best way to run this lab. This prevents any conflicts between your personal account and the Student account, which may cause extra charges incurred to your personal account.