Google Cloud-projecten en Shared VPC: de STACKIT landing zone ontwerpen

Wat het ontwerp moet vastleggen

Uit een Google Cloud-organisatie komen vier vragen voort. De run brengt elke vraag naar voren als beslissing, niet als standaardwaarde.

• Hiërarchie

  Welke folders en projecten er op STACKIT bestaan en welke van de bronprojecten er één delen. De run noemt hiërarchie en projectplaatsing als openstaande instellingen van elke folder en elk project.

• Eigenaarschap van het netwerk

  Wie de subnets beheert die andere teams gebruiken. In Shared VPC is het hostproject eigenaar en gebruiken serviceprojecten ze; op STACKIT heeft elk project eigen netwerken.

• Toegang

  Wie welk netwerk mag gebruiken. Op Google Cloud is dat een rol op het hostproject of op een subnet; op STACKIT wordt het roltoewijzingen en security groups.

• Regio en facturering

  Het concept plaatst elke eenheid in één STACKIT-regio en één project. Een koppeling met een factureringsaccount en de Google API’s die in een project zijn ingeschakeld, hebben geen tegenhanger in de STACKIT-projectresource.

Drie manieren om het in te richten

De eerste rij volgt de mapping die de run voorstelt; de andere zijn keuzes die een architect in plaats daarvan kan maken. Feiten over Shared VPC komen uit de Google Cloud-documentatie, feiten over STACKIT uit de netwerkdocumentatie.

De STACKIT-documentatie geeft aan dat projecten standaard geïsoleerd zijn en dat verkeer tussen projecten een Network Area of publieke IP-connectiviteit vereist. De architectuurpagina voegt toe dat een Network Area binnen één regio werkt; de conceptenpagina noemt het een globale resource die u per regio inschakelt, waarbij verkeer tussen regio’s momenteel via het openbare internet loopt.

Een Shared VPC-omgeving en wat de run ervoor schreef

Een omgeving die voor deze pagina is geschreven en op 4 november 2026 door StackToIT is beoordeeld: een folder, een netwerkhostproject, een applicatieproject, de Shared VPC-koppeling ertussen, één gedeeld subnetwork en een VM in het applicatieproject. Links: de Shared VPC-blokken van de invoer met het gedeelde netwerk en subnetwork. Rechts: de enige resourceblokken die de run als concept schreef; de reviewcommentaren boven elk blok zijn hier weggelaten.

resource "google_compute_shared_vpc_host_project" "host" {
  project = google_project.net_host.project_id
}

resource "google_compute_shared_vpc_service_project" "app" {
  host_project    = google_compute_shared_vpc_host_project.host.project
  service_project = google_project.app_team.project_id
}

resource "google_compute_network" "shared" {
  project                 = google_project.net_host.project_id
  name                    = "shared"
  auto_create_subnetworks = false
}

resource "google_compute_subnetwork" "app" {
  project       = google_project.net_host.project_id
  name          = "app"
  network       = google_compute_network.shared.id
  region        = "europe-west3"
  ip_cidr_range = "10.30.0.0/24"
}

resource "stackit_network" "app" {
  project_id       = var.project_id
  name             = "app"
  ipv4_prefix      = "10.30.0.0/24"
  ipv4_nameservers = var.default_ipv4_nameservers
}

resource "stackit_network_interface" "worker_1" {
  project_id = var.project_id
  network_id = stackit_network.app.network_id
}

resource "stackit_server" "worker" {
  project_id        = var.project_id
  name              = "worker-1"
  machine_type      = var.worker_machine_type
  availability_zone = var.availability_zone
  boot_volume = {
    source_type           = "image"
    source_id             = var.worker_image_id
    size                  = 50
    delete_on_termination = true
  }
  network_interfaces = [stackit_network_interface.worker_1.network_interface_id]
}

• Subnet en VM zijn als concept geschreven

  Het subnetwork wordt een STACKIT-netwerk met hetzelfde bereik, de VM een server met zijn netwerkinterface.

• Folder, projecten en de Shared VPC-koppeling zijn dat niet

  De run schrijft er geen blok voor. Elk is een handmatige stap van het plan, met de instellingen die erover beslissen: hiërarchie, projectplaatsing, projectidentifier, identiteit van host- en serviceproject.

• Alles komt in één project terecht

  Het concept maakt elke resource aan in één project en één regio, bepaald door variabelen. De run meldt dat de bron het project op twee verschillende plaatsen instelt en dat u moet bepalen hoe de projecten worden gekoppeld.

Wat de run per eenheid heeft besloten

Tien resources zijn gescand en zeven werden migratie-eenheden. De twee IAM-bindingen (netwerkgebruiker op het subnet, editor op het applicatieproject) zijn ondersteunende resources die de run beoordeelt maar waarvoor hij niets schrijft; de serviceprojectkoppeling is evenmin een eenheid op zich.

Zes van de zeven eenheden hebben zekerheidsniveau LOW. Elk verwijst naar een folder of project dat het concept niet aanmaakt, en de run merkt op dat niet is beoordeeld wat zo’n verwijzing wordt; ook is de provider niet vastgezet met een lockbestand.

Beslissingen die de architect neemt

Elk punt is een handmatige stap of openstaande instelling in execution/manual/actions.md en engineering/architect-report.md.

• Projectmapping

  Bepaal of de bronprojecten één STACKIT-project of meerdere worden en bevestig het project waarin het netwerk wordt aangemaakt. Precies dat vraagt de run voor het subnetwork.

• Plaatsing van folders en projecten

  Maak de folders en projecten handmatig of met uw eigen Terraform aan; het concept bevat er geen blok voor.

• Scope van de Network Area

  Bepaal welke netwerken zich bij een area voegen. Bereiken van netwerken in een area komen uit de bereiken van de area, dus plan eerst de adresruimte.

• Vertaling van toegang

  In het voorbeeld heeft het app-team de rol netwerkgebruiker alleen op het subnet app en editor op zijn eigen project. Bouw beide opnieuw op als STACKIT-roltoewijzingen; de run noemt rolbindingen op projectniveau als openstaande instelling van het applicatieproject en laat de subnetbinding ter beoordeling staan.

• Egresspad

  De run kon niet bewijzen hoe het subnet het internet bereikt, omdat de VM geen extern adres heeft en er geen NAT wordt gezien. Bepaal het ontwerp voor uitgaand verkeer van het nieuwe netwerk.

• Regio en residentie

  Bevestig de ene STACKIT-regio voor de hele omgeving. De run koppelt geen Google-regio aan een STACKIT-regio en vraagt een persoon te bevestigen dat de gekozen regio de residentie behoudt die europe-west3 bood; zones kiest u op dezelfde manier.

Vragen van platformteams

Bronnen

• Google Cloud: Shared VPC
• STACKIT Docs: concepten van Network Area
• STACKIT Docs: architectuur van core networking
• STACKIT Docs: organisaties en folders in Resource Manager