<div id="readability-page-1" class="page"><div><p id="9432"><strong>#1) 공유 VPC 설정</strong></p><p id="fbba">공유 VPC 프로비저닝<br><a href="https://cloud.google.com/vpc/docs/provisioning-shared-vpc" rel="noopener nofollow">https://cloud.google.com/vpc/docs/provisioning-shared-vpc</a></p><p id="3cc6">공유 VPC 를 사용하려면 기본적으로 공유할 VPC 를 만들고 관리할 호스트 프로젝트가 하나 필요합니다. 호스트 프로젝트에는 하나 이상의 공유 VPC 네트워크가 포함되며 공유 VPC 관리자가 먼저 프로젝트를 호스트 프로젝트로 사용 설정해야 합니다. 그런 다음 공유 VPC 관리자가 호스트 프로젝트에 하나 이상의 서비스 프로젝트를 연결할 수 있습니다.</p><p id="a2f8">다음으로, 서비스 프로젝트란 공유 VPC 관리자가 호스트 프로젝트에 연결한 프로젝트를 의미합니다. 이 연결을 사용하면 이 프로젝트가 공유 VPC에 참여할 수 있으며 여러 서비스 프로젝트를 조직의 여러 부서 또는 팀에서 운영하고 관리하는 형태로 운영 가능합니다.</p><p id="e200">간단하게 호스트 프로젝트로 사용할 프로젝트를 하나 만들고 다른 프로젝트로 공유할 목적으로 새로운 VPC 를 하나 생성합니다. (테스트 목적이라 간단하게 자동으로 생성했는데 커스텀으로 생성하셔도 됩니다.)</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2164/0*ashewOXBKmEKMKhe" width="1082" height="930" role="presentation"></p></div></figure><p id="013c">새로운 VPC 가 하나 생성되었으면 혼동될 수도 있고 좀 더 안전하게 기존의 Default VPC 는 삭제해 둡니다.</p><p id="e3cf">호스트로 사용할 프로젝트가 준비 되었으면 공유 VPC 작업을 수행할 멤버와 권한이 필요합니다. 여기서는 ilsoo@freejava.shop 이라는 사용자를 공유 VPC 작업을 수행할 멤버로 가정하고 해당 권한을 부여하도록 하겠습니다. 조직에서 IAM 메뉴를 클릭하여 해당 사용자에게 Compute Engine &gt; Compute Shared VPC Admin, Resource Manager &gt; Project IAM Admin 권한을 부여해 줍니다.</p><figure><div><p><img alt="" src="https://miro.medium.com/max/1118/0*A3PXYoMXaCJA6BaF" width="559" height="507" sizes="559px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*A3PXYoMXaCJA6BaF?q=20"></p></div></figure><p id="6127">해당 권한이 정상적으로 부여되면 하단과 같이 IAM 메뉴에서 확인할 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/2162/0*oZ_26QVrhNvBNUxt" width="1081" height="493" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*oZ_26QVrhNvBNUxt?q=20"></p></div></figure><p id="d34d">적절한 권한을 부여했으면 이제 실제 공유 VPC 를 생성하기 위해서 해당 사용자로 로그인 한 뒤에 관리콘솔에서 VPC Network &gt; Shared VPC 메뉴를 클릭합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*SJQK5zoRjG8ouPKU" width="1600" height="322" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*SJQK5zoRjG8ouPKU?q=20"></p></div></figure><p id="4266">그리고 Set up Shared VPC 메뉴를 클릭하여 실제 공유 VPC 생성하는 작업을 수행합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1606/0*7ZLOwpQ0uCfDSKZT" width="803" height="455" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*7ZLOwpQ0uCfDSKZT?q=20"></p></div></figure><p id="f76f">공유 VPC 생성 마법사의 다음 단계에서는 어떤 subnetwork 를 공유할지 선택하게 되어 있는데 이번 가이드에서는 가장 간단한 Share all subnets 을 선택 하도록 하겠습니다. (실제 운영환경에서는 필요한 subnet 만 공유하는 것을 추천드립니다.)</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1746/0*yuNf2kK01j6ZOele" width="873" height="873" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*yuNf2kK01j6ZOele?q=20"></p></div></figure><p id="74eb">마지막으로 실제로 공유 VPC 를 Attach 할 다른 프로젝트들을 선택한 후 저장을 클릭합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1770/0*FlOBGbDtnM4ml93g" width="885" height="879" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*FlOBGbDtnM4ml93g?q=20"></p></div></figure><p id="1123">정상적으로 설정이 완료되었다면 하단과 같이 호스트 프로젝트를 확인할 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1962/0*qDowuKOLYo_HKQPQ" width="981" height="690" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*qDowuKOLYo_HKQPQ?q=20"></p></div></figure><p id="dd05">또한, 연결된 프로젝트의 리스트도 다음 탭에서 확인 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1730/0*27a2UDVpg4xx1kOt" width="865" height="429" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*27a2UDVpg4xx1kOt?q=20"></p></div></figure><p id="c14d">기본적으로 설정이 완료 되면 각 프로젝트 제어를 위해서 서비스 프로젝트 별로 서비스 프로젝트 관리자 (roles/compute.networkUser) 권한이 필요합니다. 이를 위해서 각 서비스 프로젝트에 해당 권한을 추가합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*rQZ0DJ9sunNdTfbv" width="1600" height="397" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*rQZ0DJ9sunNdTfbv?q=20"></p></div></figure><p id="0ebb">공유 VPC 사용을 위한 필수 권한에 대한 자세한 내용은 하단의 링크를 참고하시기 바라겠습니다.</p><p id="1d1e">필수 관리 역할<br><a href="https://cloud.google.com/vpc/docs/shared-vpc#iam_roles_required_for_shared_vpc" rel="noopener nofollow">https://cloud.google.com/vpc/docs/shared-vpc#iam_roles_required_for_shared_vpc</a></p><p id="d8ba">이렇게 권한이 부여되면 권한이 있는 사용자를 통해서 하단과 같이 사용 가능한 subnet 을 확인해 볼때 호스트 프로젝트의 subnet 을 확인 가능하게 됩니다.</p><pre><span id="744c">gcloud auth login ilsoo@freejava.shop</span></pre><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*j8eF2040Dfb4JULL" width="1600" height="323" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*j8eF2040Dfb4JULL?q=20"></p></div></figure><pre><span id="f823">gcloud compute networks subnets list-usable — project hostporject-01</span></pre><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*Zif5bb1jsZK4-nJq" width="1600" height="776" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*Zif5bb1jsZK4-nJq?q=20"></p></div></figure><p id="d29b">당연히 gcloud 명령 말고도 실제 서비스 프로젝트의 관리콘솔의 VPC Network 메뉴를 확인하면 ‘Networks shared to my project’ 탭이 추가된 것을 확인 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/3200/0*xZQYZiel_U3bW3Y0" width="1600" height="701" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*xZQYZiel_U3bW3Y0?q=20"></p></div></figure><p id="5ddf">이렇게 하면 간단하게 테스트 해보기 위한 공유 VPC 설정이 완료되었습니다.</p><p id="1666">이제 간단한 테스트를 해보기 위하여 각 서비스 프로젝트인 org-test-gmail01 과 org-test-gmail02 프로젝트에서 각각 테스트용 GCE(VM) 를 생성해보도록 하겠습니다. 이때, 하단의 네트워크 탭에서 기존 default subnet 을 사용하지 않고 나에게 공유된 공유 VPC 를 선택하면 됩니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1838/0*ilF_LxETKjFlhcNj" width="919" height="1600" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/34/0*ilF_LxETKjFlhcNj?q=20"></p></div></figure><p id="ce62">이렇게 분리된 서비스 프로젝트의 각 GCE 에 네트워크를 공유 VPC 의 subnet 을 사용하도록 하게 되면 첫번째 서비스 프로젝트의 GCE 안에서 다른 프로젝트의 GCE 의 private ip 로 별도 설정없이 ping 테스트가 가능한 것을 확인 가능합니다. 즉, 마치 하나의 프로젝트 처럼 네트워크가 연결되어 분리된 프로젝트라고 해도 다양한 형태의 구성을 수행할 수 있습니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1988/0*JU_CPZyoFEJdnR0w" width="994" height="450" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*JU_CPZyoFEJdnR0w?q=20"></p></div></figure><p id="2ddd"><strong>추가 #1)</strong> 공유 VPC 를 사용하게 되면 전체 네트워크가 호스트 프로젝트 차원에서 제어되므로 조직 관점에서 호스트 프로젝트의 유지는 굉장히 중요한 항목이 됩니다. GCP 에서는 이를 위해서 조직 정책을 통해서 공유 VPC 의 호스트 프로젝트를 조직레벨에서 권한을 가진 사용자만 삭제할 수 있도록 정책을 조정 가능합니다.</p><figure><div role="button" tabindex="0"><p><img alt="" src="https://miro.medium.com/max/1596/0*WrsNRVzibdGe4PZg" width="798" height="535" sizes="700px" role="presentation" data-old-src="https://miro.medium.com/max/60/0*WrsNRVzibdGe4PZg?q=20"></p></div></figure><p id="d624"><strong>추가 #2)</strong> 이번 아티클에서는 아주 간단한 형태로 테스트를 해봤지만 Google cloud 의 공식 메뉴얼을 참고하시면 ‘여러 호스트 프로젝트’ 나 ‘하이브리드 클라우드 시나리오’ 등 좀 더 다양한 예시 및 사용 사례를 참고하실 수 있습니다.</p><p id="c5fd">예시 및 사용 사례<br><a href="https://cloud.google.com/vpc/docs/shared-vpc#use_cases" rel="noopener nofollow">https://cloud.google.com/vpc/docs/shared-vpc#use_cases</a></p></div></div>

Stories by 이정운 (Jungwoon Lee) on Medium

[GCP]GCP 에서 조직(Organization) 활용하기 8부 — 공유 VPC(Shared VPC)
안녕하세요 이정운 입니다.
지금까지 GCP 에서 조직(Organization) 활용하기 주제로 총 7부의 시리즈가 포스팅 되었습니다.
GCP 에서 조직(Organization) 활용하기 1부 — Cloud Identity
GCP 에서 조직(Organization) 활용하기 2부 — 조직 마이그레이션
GCP 에서 조직(Organization) 활용하기 3부 — 조직 정책
GCP 에서 조직(Organization) 활용하기 4부 — 지원 케이스(Support case)
GCP 에서 조직(Organization) 활용하기 5부 — 보안센터(Security Command Center)
GCP 에서 조직(Organization) 활용하기 6부 — VPC 서비스 제어
GCP 에서 조직(Organization) 활용하기 7부 — 계층적 방화벽 정책(Hierarchical firewall policies)
지금까지 포스팅된 시리즈로 조직에 대해서 그리고 조직을 사용한 경우에만 사용할 수 있는 서비스를 통해서 조직을 사용할 경우의 이점을 확인했습니다. 이번 포스팅에서는 조직 관련 시리즈의 마지막으로 공유 VPC(Shared VPC) 에 대해서 테스트해보고 이해하는 시간을 가지려고 합니다.
공유 VPC 란, 이름 그대로 프로젝트 하나를 호스트 프로젝트로 지정하고 여기에 하나 이상의 다른 서비스 프로젝트를 연결하며 호스트 프로젝트의 Virtual Private Cloud(VPC) 네트워크를 공유하는 것을 의미합니다. 이를 통해서, 서비스 프로젝트들의 운영 가능 리소스들은 공유 VPC 네트워크의 서브넷을 사용할 수 있습니다. 좀 더 쉽게 설명드리면, 분리된 서비스 프로젝트들이 서로 private ip 로 통신이 가능하게 됩니다.
조직에서 공유 VPC 를 사용하는 경우 여러 프로젝트의 리소스를 공통 VPC 네트워크에 연결할 수 있으므로 해당 네트워크의 내부 IP를 사용하여 프로젝트가 서로 다르다고 해도 서로 안전하고 효율적으로 통신할 수 있을 뿐만 아니라, 조직 관리자가 서브넷, 경로, 방화벽과 같은 네트워크 리소스를 중앙에서 제어하면서 서비스 프로젝트 관리자에게 인스턴스 생성 및 관리와 같은 관리 책임을 위임할 수 있습니다.
예를 들어 공유 VPC 를 사용하지 않는다면 VPC peering 과 같은 솔루션을 통해서 각 프로젝트 별로 각각 연결하는 작업을 추가로 하나씩 해주어야 하지만 공유 VPC 를 사용하면 호스트 프로젝트의 VPC 를 공유하는 방식으로 보다 간편하게 여러 프로젝트간의 네트워크 연결을 수행할 수 있습니다. 또한, 네트워크 관리는 각 프로젝트에서 이루어지는 것이 아니라 호스트 프로젝트에만 수행되고 그 설정이 공유되는 형태이므로 네트워크 팀이 호스트 프로젝트에서 전체 네트워크를 제어하는 형태로 보다 중앙 집중식 네트워크 관리와 제어가 가능합니다.
하단의 참고 다이어그램을 보면 이해가 쉬울수 있을텐데 하나의 호스트 프로젝트에서만 VPC 를 만들어서 다른 서비스 프로젝트들(Tier1, Tier2) 로 공유하여 네트워크 연결 및 서비스를 수행하는 공유 VPC 를 사용한 형태입니다.
https://cloud.google.com/vpc/docs/shared-vpc
그럼 실제 테스트를 통해서 조직안에서 공유 VPC 를 어떻게 사용하고 활용할 수 있는지 간단하게 확인해보도록 하겠습니다.
#1) 공유 VPC 설정
공유 VPC 프로비저닝
https://cloud.google.com/vpc/docs/provisioning-shared-vpc
공유 VPC 를 사용하려면 기본적으로 공유할 VPC 를 만들고 관리할 호스트 프로젝트가 하나 필요합니다. 호스트 프로젝트에는 하나 이상의 공유 VPC 네트워크가 포함되며 공유 VPC 관리자가 먼저 프로젝트를 호스트 프로젝트로 사용 설정해야 합니다. 그런 다음 공유 VPC 관리자가 호스트 프로젝트에 하나 이상의 서비스 프로젝트를 연결할 수 있습니다.
다음으로, 서비스 프로젝트란 공유 VPC 관리자가 호스트 프로젝트에 연결한 프로젝트를 의미합니다. 이 연결을 사용하면 이 프로젝트가 공유 VPC에 참여할 수 있으며 여러 서비스 프로젝트를 조직의 여러 부서 또는 팀에서 운영하고 관리하는 형태로 운영 가능합니다.
간단하게 호스트 프로젝트로 사용할 프로젝트를 하나 만들고 다른 프로젝트로 공유할 목적으로 새로운 VPC 를 하나 생성합니다. (테스트 목적이라 간단하게 자동으로 생성했는데 커스텀으로 생성하셔도 됩니다.)
새로운 VPC 가 하나 생성되었으면 혼동될 수도 있고 좀 더 안전하게 기존의 Default VPC 는 삭제해 둡니다.
호스트로 사용할 프로젝트가 준비 되었으면 공유 VPC 작업을 수행할 멤버와 권한이 필요합니다. 여기서는 ilsoo@freejava.shop 이라는 사용자를 공유 VPC 작업을 수행할 멤버로 가정하고 해당 권한을 부여하도록 하겠습니다. 조직에서 IAM 메뉴를 클릭하여 해당 사용자에게 Compute Engine > Compute Shared VPC Admin, Resource Manager > Project IAM Admin 권한을 부여해 줍니다.
해당 권한이 정상적으로 부여되면 하단과 같이 IAM 메뉴에서 확인할 수 있습니다.
적절한 권한을 부여했으면 이제 실제 공유 VPC 를 생성하기 위해서 해당 사용자로 로그인 한 뒤에 관리콘솔에서 VPC Network > Shared VPC 메뉴를 클릭합니다.
그리고 Set up Shared VPC 메뉴를 클릭하여 실제 공유 VPC 생성하는 작업을 수행합니다.
공유 VPC 생성 마법사의 다음 단계에서는 어떤 subnetwork 를 공유할지 선택하게 되어 있는데 이번 가이드에서는 가장 간단한 Share all subnets 을 선택 하도록 하겠습니다. (실제 운영환경에서는 필요한 subnet 만 공유하는 것을 추천드립니다.)
마지막으로 실제로 공유 VPC 를 Attach 할 다른 프로젝트들을 선택한 후 저장을 클릭합니다.
정상적으로 설정이 완료되었다면 하단과 같이 호스트 프로젝트를 확인할 수 있습니다.
또한, 연결된 프로젝트의 리스트도 다음 탭에서 확인 가능합니다.
기본적으로 설정이 완료 되면 각 프로젝트 제어를 위해서 서비스 프로젝트 별로 서비스 프로젝트 관리자 (roles/compute.networkUser) 권한이 필요합니다. 이를 위해서 각 서비스 프로젝트에 해당 권한을 추가합니다.
공유 VPC 사용을 위한 필수 권한에 대한 자세한 내용은 하단의 링크를 참고하시기 바라겠습니다.
필수 관리 역할
https://cloud.google.com/vpc/docs/shared-vpc#iam_roles_required_for_shared_vpc
이렇게 권한이 부여되면 권한이 있는 사용자를 통해서 하단과 같이 사용 가능한 subnet 을 확인해 볼때 호스트 프로젝트의 subnet 을 확인 가능하게 됩니다.
gcloud auth login ilsoo@freejava.shop
gcloud compute networks subnets list-usable — project hostporject-01
당연히 gcloud 명령 말고도 실제 서비스 프로젝트의 관리콘솔의 VPC Network 메뉴를 확인하면 ‘Networks shared to my project’ 탭이 추가된 것을 확인 가능합니다.
이렇게 하면 간단하게 테스트 해보기 위한 공유 VPC 설정이 완료되었습니다.
이제 간단한 테스트를 해보기 위하여 각 서비스 프로젝트인 org-test-gmail01 과 org-test-gmail02 프로젝트에서 각각 테스트용 GCE(VM) 를 생성해보도록 하겠습니다. 이때, 하단의 네트워크 탭에서 기존 default subnet 을 사용하지 않고 나에게 공유된 공유 VPC 를 선택하면 됩니다.
이렇게 분리된 서비스 프로젝트의 각 GCE 에 네트워크를 공유 VPC 의 subnet 을 사용하도록 하게 되면 첫번째 서비스 프로젝트의 GCE 안에서 다른 프로젝트의 GCE 의 private ip 로 별도 설정없이 ping 테스트가 가능한 것을 확인 가능합니다. 즉, 마치 하나의 프로젝트 처럼 네트워크가 연결되어 분리된 프로젝트라고 해도 다양한 형태의 구성을 수행할 수 있습니다.
추가 #1) 공유 VPC 를 사용하게 되면 전체 네트워크가 호스트 프로젝트 차원에서 제어되므로 조직 관점에서 호스트 프로젝트의 유지는 굉장히 중요한 항목이 됩니다. GCP 에서는 이를 위해서 조직 정책을 통해서 공유 VPC 의 호스트 프로젝트를 조직레벨에서 권한을 가진 사용자만 삭제할 수 있도록 정책을 조정 가능합니다.
추가 #2) 이번 아티클에서는 아주 간단한 형태로 테스트를 해봤지만 Google cloud 의 공식 메뉴얼을 참고하시면 ‘여러 호스트 프로젝트’ 나 ‘하이브리드 클라우드 시나리오’ 등 좀 더 다양한 예시 및 사용 사례를 참고하실 수 있습니다.
예시 및 사용 사례
https://cloud.google.com/vpc/docs/shared-vpc#use_cases
여기까지 잘 따라오셨다면, 공유 VPC 가 어떠한 기능을 할 수 있는지 호스트 프로젝트와 서비스 프로젝트의 관계와 작동 방식을 대충 이해하실 수 있지 않을까 합니다. 저는 간단하게 사용하는 방법에 대해서 언급했지만 실제 프로젝트에서는 훨씬 복잡한 방식으로 구성 가능하며 이를 통해서 네트워크에 대한 중앙 집중식 제어와 공유를 쉽게 할 수 있다는 장점을 줄 수 있습니다. 그럼 이번 포스팅은 여기서 마무리하고 다음에 다른 포스팅으로 다시 돌아오겠습니다.
Disclaimer: 본 글의 작성자는 Google 직원이지만 Google cloud 를 공부하는 한 개인으로서 작성된 글입니다. 본 글의 내용, 입장은 Google 을 대변하지 않으며 Google 이 해당 콘텐츠를 보장하지 않습니다.
참고 자료 #1
공유 VPC 프로비저닝
https://cloud.google.com/vpc/docs/provisioning-shared-vpc
공유 VPC 개요
https://cloud.google.com/vpc/docs/shared-vpc
Centralize control with Shared VPC
https://medium.com/@swongful/centralize-control-with-shared-vpc-35e991ee1666
[GCP]GCP 에서 조직(Organization) 활용하기 8부 — 공유 VPC(Shared VPC) was originally published in google-cloud-apac on Medium, where people are continuing the conversation by highlighting and responding to this story.

[GCP]GCP 에서 조직(Organization) 활용하기 8부 — 공유 VPC(Shared VPC)

댓글