PowerShell-Bereitstellung für Google Cloud Platform

PowerShell-Befehle werden verwendet, um Unified Access Gateway 2103 oder höher in Compute Engine innerhalb der Google Cloud Platform bereitzustellen.

Empfohlene Betriebssysteme und PowerShell-Versionen

Prozedur

1. Vorbereiten der Clientmaschine
2. Vorbereiten der Google Cloud Platform-Umgebung
3. Hochladen des Unified Access Gateway-Images auf Google Cloud Platform
4. Vorbereiten einer .ini-Datei zur Bereitstellung auf Google Cloud Platform
5. Bereitstellen auf der Compute Engine

Schritt 1: Bereiten Sie die Clientmaschine für die PowerShell-Bereitstellung vor

Installieren Sie die Google Cloud-Dienstprogramme auf der Clientmaschine.

1. Installieren Sie gsutil. Anweisungen zum Installieren des gsutil-Tools auf Windows und Ubuntu finden Sie unter Installieren von gsutil als Teil der Google Cloud-CLI in der Google Cloud-Dokumentation.

2. Führen Sie für Windows-Maschinen den folgenden PowerShell-Befehl mit Administratorrechten aus.

   Install-Package 7Zip4PowerShell
   

Schritt 2: Bereiten Sie die Google Cloud Platform-Umgebung vor

Verwenden Sie ein Google Cloud-Projekt. Dieses Projekt muss mit VPC-Netzwerken, den entsprechenden Subnetz-Netzwerken und Firewallregeln konfiguriert werden. Weitere Informationen finden Sie in der Google Cloud-Dokumentation.

Voraussetzungen

• Stellen Sie sicher, dass Sie mit den Konzepten der Google Cloud Platform vertraut sind.
• Stellen Sie sicher, dass Sie im Google Cloud-Projekt über die notwendigen Berechtigungen zum Erstellen oder Ändern von Ressourcen verfügen, wie z. B. Images, VPC-Netzwerk, Subnetz, Firewallregeln usw.
• Die Compute Engine-API muss aktiviert werden.

Prozedur

1. Verwenden Sie ein Google Cloud-Projekt.

   Option	Aktion
   Neues Projekt	Navigieren Sie in der Google Cloud Console zur Seite Projektauswahl. Erstellen Sie ein Google Cloud-Projekt.
   Vorhandenes Projekt	Wenn ein Projekt bereits verfügbar und aktiv ist, können Sie das vorhandene Projekt verwenden.

2. Erstellen Sie ein VPC-Netzwerk (Virtual Private Cloud) für jede Netzwerkkarte.

   Jede Netzwerkkarte auf dem Unified Access Gateway verwendet ein eindeutiges VPC-Netzwerk und ein Subnetz innerhalb dieses Netzwerks.

   Wenn Sie kein VPC-Netzwerk erstellen möchten, kann lediglich ein Unified Access Gateway mit einer einzelnen Netzwerkkarte bereitgestellt werden. Die Unified Access Gateway-Appliance verwendet bei Bereitstellung in der Compute Engine das standardmäßige VPC-Netzwerk, das auf der Google Cloud Platform verfügbar ist.

   In der folgenden Abbildung werden beispielsweise zwei VPC-Netzwerke (uag-front-vpc und uag-back-vpc) in der Google Cloud Console erstellt. Diese VPC-Netzwerke weisen jeweils uag-front-network und uag-back-network als Subnetze auf. Eine Unified Access Gateway-Appliance mit zwei Netzwerkkarten kann bereitgestellt werden, um diese beiden Subnetze für Front-End-Internet-Verbindungen und ein separates Subnetz-Netzwerk für Back-End-Verbindungen zu verwenden.

   

   Hinweis: Sie können Unified Access Gateway auch mit gemeinsam genutzten VPC-Netzwerken konfigurieren. In diesem Fall werden die im Dienstprojekt bereitgestellten Unified Access Gateway-Instanzen an die gemeinsam genutzten VPC-Netzwerke angehängt, die im Hostprojekt erstellt und verwaltet wurden. Jede Netzwerkkarte (NIC) auf Unified Access Gateway kann unabhängig konfiguriert werden, um entweder ein gemeinsam genutztes VPC-Netzwerk oder ein lokales VPC-Netzwerk zu verwenden. Weitere Informationen finden Sie unter Konfigurieren einer gemeinsam genutzten VPC in der Dokumentation zu Google Cloud.

3. Notieren Sie sich den Namen des erstellten Subnetzes.

   Der Subnetzname innerhalb eines VPC-Netzwerks wird in der .ini-Datei verwendet, während Unified Access Gateway mithilfe von PowerShell bereitgestellt wird.

4. Erstellen Sie die notwendige Anzahl an Firewall-Einträgen, um dem TCP- und UDP-Port Zugriff auf Unified Access Gateway-Appliances in der über das Internet zugänglichen VPC zu gewähren.

   Wichtig: SSH-Remotezugriff auf Unified Access Gateway auf TCP-Port 22 über das Internet muss in der Firewall sorgfältig eingeschränkt werden. Wenn SSH-Zugriff erforderlich ist, darf dieser Zugriff gemäß Firewallregel lediglich über eine bestimmte IP-Quelladresse oder Jump-Box-VM in der Cloud erfolgen, von der aus der Zugriff gesteuert werden kann.

   Beispielsweise wird in der folgenden Abbildung einer Google Cloud Console eine Firewallregel mit der Bezeichnung uag-horizon-protocols in dem mit dem Internet verbundenen VPC-Netzwerk uag-front-vpc erstellt. Diese Firewallregel gilt für alle mit dem uag-front-vpc-Netzwerk verbundenen Instanzen und lässt aus dem öffentlichen Internet eingehenden TCP- und UDP-Datenverkehr auf bestimmten Ports zu.

   

Schritt 3: Laden Sie das Unified Access Gateway-Image auf Google Cloud Platform hoch

Zum Bereitstellen einer Unified Access Gateway-Instanz auf der Compute Engine müssen Sie ein Festplatten-Image der Unified Access Gateway-Appliance auf die Google Cloud Platform hochladen.

1. Navigieren Sie in Omnissa Customer Connect zur vSphere-, AWS- und Google Cloud-Datei für Unified Access Gateway (UAG) und klicken Sie auf JETZT HERUNTERLADEN.
   Eine ZIP-Datei euc-unified-access-gateway-x.x.x.xxxxxxxxx.ova wird auf Ihren lokalen Computer heruntergeladen.

2. Öffnen Sie ein PowerShell-Befehlsfenster und führen Sie folgenden Befehl aus, um die .vmdk-Datei aus der zuvor heruntergeladenen .ova-Datei zu extrahieren.

   • Bei ova-filename handelt es sich um die .ova-Image-Datei, die von „Customer Connect“ heruntergeladen wird.
   • target-location ist der Speicherort, in den die .vmdk-Datei extrahiert wird.

   Windows	Ubuntu
   expand-7zip ova-filename target-location Beispiel: euc-unified-access-gateway-22.12.0.0-42741890_OVF10.ova ist die heruntergeladene Datei, wobei 22-12 die Versionsnummer und 42741890 die Build-Nummer ist. Führen Sie folgenden Befehl aus, um die .vmdk-Datei in den Ordner C:\temp zu extrahieren: expand-7zip C:\temp\euc-unified-access-gateway-22.12.0.0-42741890_OVF10.ova C:\temp\	tar -xvf ova-filename Beispiel: tar -xvf euc-unified-access-gateway-22.12.0.0-42741890_OVF10.ova

3. Legen Sie die folgenden Variablen fest.

   • $gcImageFile ist der Name der in Schritt 2 extrahierten .vmdk-Datei.
   • $gcImageFolder ist der Ordnerpfad der .vmdk-Datei. Beispiel:

   
   $gcImageFolder="C:\temp"
   $gcImageFile="euc-unified-access-gateway-22.12.0.0-42741890-system.vmdk"
   $gcBucket="uag-appliance-images"
   $gcImageName=$gcImageFile.Replace("-system.vmdk","").Replace(".", "-")
   gcloud auth login
   gcloud config set project "my-project"
   
   

4. Erstellen Sie ein Google Cloud-Speicher-Bucket.

   Hinweis: Sie können Unified Access Gateway auch mit einem Computing-Image bereitstellen, das in einem anderen Google Cloud-Projekt gehostet wird. Geben Sie in diesem Fall den Namen des Computing-Images ($gcImageName) und die ID des als Host fungierenden Projekts während der Unified Access Gateway-Bereitstellung an.

   Führen Sie diesen Befehl aus, um einen Speicher-Bucket im selben Projekt zu erstellen.

   gsutil mb -l us-east1 gs://$gcBucket
   

   Führen Sie diesen Befehl aus, um einen Speicher-Bucket in einem anderen Projekt zu erstellen.

   gsutil mb -l us-east1 gs://$gcBucket -p my-image-hosting-project
   

5. Laden Sie das .vmdk-Image mithilfe des folgenden Befehls in den Google Cloud-Speicher-Bucket hoch:

   gsutil cp $gcImageFolder\$gcImageFile gs://$gcBucket
   

6. Erstellen Sie das Appliance-Image in der Compute Engine anhand der hochgeladenen .vmdk-Datei.

   Führen Sie diesen Befehl aus, um das Image in dasselbe Projekt zu importieren.

   gcloud compute images import $gcImageName --source-file gs://$gcBucket/$gcImageFile --data-disk
   

   Führen Sie diesen Befehl aus, um das Image in ein anderes Projekt zu importieren.

   gcloud compute images import $gcImageName --source-file gs://$gcBucket/$gcImageFile --data-disk --project my-image-hosting-project
   

   Hinweis: Wenn Sie ein Computing-Image importieren, können Sie das Subnetz angeben, das für die vom Importtool erstellten temporären VMs verwendet werden soll. Verwenden Sie das Flag --subnet, das im folgenden Beispiel angezeigt wird.

   gcloud compute images import $gcImageName --source-file gs://$gcBucket/$gcImageFile --data-disk --subnet default
   

   Weitere Informationen zu diesen Befehlen finden Sie in der Dokumentation zu Google Cloud SDK.

   Unter Beachtung des in den vorherigen Schritten erwähnten Beispiels handelt es sich bei dem in der Compute Engine erstellten Appliance-Image um euc-unified-access-gateway-22-12-0-0-42741890, wobei 22-12 die Versionsnummer und 42741890 die Build-Nummer darstellt.

Schritt 4: Bereiten Sie eine .ini-Datei zur Bereitstellung auf Google Cloud Platform vor

Das PowerShell-Bereitstellungsskript der Compute Engine für Unified Access Gateway liest alle Konfigurationseinstellungen aus einer .ini-Konfigurationsdatei. In diesem Abschnitt wird das Format der .ini-Datei beschrieben. Darüber hinaus werden Beispiele für die Einstellungen angezeigt, die für die Bereitstellung verwendet werden können.

Die meisten Abschnitte der .ini-Datei sind mit den Standardeinstellungen der .ini-Datei für Unified Access Gateway identisch, die für alle anderen Hypervisor-Bereitstellungen unterstützt werden. Weitere Informationen zur .ini-Datei finden Sie im Abschnitt Verwenden von PowerShell zum Bereitstellen der Unified Access Gateway-Appliance.

1. Konfigurieren Sie die erforderlichen Einstellungen im Abschnitt [Allgemein]. Weitere Informationen finden Sie unter PowerShell-Bereitstellungsparameter.

   Hinweis: Die folgenden Einstellungen werden für Google Cloud Platform-Bereitstellungen im Abschnitt [Allgemein] nicht verwendet:

   • diskMode
   • ds
   • folder
   • netInternet
   • netManagementNetwork
   • netmask0, netmask1, netmask2
   • netBackendNetwork
   • source
   • target
   • ip0, defaultGateway, netmask0, ipmode0
   • v6ip0, v6ipprefix0, v6DefaultGateway

2. Fügen Sie der .ini-Datei eine neue Gruppe, [GoogleCloud] und die erforderlichen Einstellungen für Google Cloud Platform hinzu.

In der folgenden Tabelle werden die Einstellungen (Wertname) aufgelistet, die für die Bereitstellung der Google Cloud Platform erforderlich sind.

sharedVpcForSubnet0=true
sharedVpcForSubnet1=false
sharedVpcForSubnet2=false

Beispiel 1: Definition der INI-Datei zur Bereitstellung von Unified Access Gateway in Google Cloud Platform

[General]
name=uag1
deploymentOption=onenic
sshEnabled=true

[GoogleCloud]
projectId=my-project
imageName=euc-unified-access-gateway-22-12-0-0-42741890
zone=us-central1-a
subnet0=uag-front-network

[Horizon]
proxyDestinationUrl=https://myhorizon.example.com

Beispiel 2: Definition der INI-Datei zur Bereitstellung von Unified Access Gateway in Google Cloud Platform

[General]
name=uag2
deploymentOption=twonic
sshEnabled=true
routes1=10.20.0.0/16 10.2.0.1

[GoogleCloud]
projectId=my-project
imageName=euc-unified-access-gateway-22-12-0-0-42741890
imageProjectId=my-image-hosting-project
zone=us-central1-a
vpcHostProjectId=my-sharedvpc-host-project
subnet0=uag-front-network
sharedVpcForSubnet0=true
subnet1=uag-back-network
sharedVpcForSubnet1=false

[Horizon]
proxyDestinationUrl=https://myhorizon.example.com

Schritt 5: Stellen Sie auf der Compute Engine bereit

Sie können Unified Access Gateway auf der Compute Engine bereitstellen, indem Sie den PowerShell-Befehl uagdeploygce.ps1 verwenden. Dieser Befehl übernimmt alle Konfigurationseinstellungen aus einer Datei mit der Erweiterung .ini und stellt eine Instanz von Unified Access Gateway bereit.

Wenn eine beliebige vorhandene Instanz auf der Compute Engine denselben Namen wie im Abschnitt „Allgemein“ der Datei .ini angegeben aufweist, entfernt das PowerShell-Skript die vorhandene Instanz während der Bereitstellung und erstellt eine neue Unified Access Gateway-Instanz mit demselben Namen. Diese Ersetzung hilft beim Upgraden einer Unified Access Gateway-Appliance oder beim erneuten Bereitstellen der Appliance mit aktualisierten Einstellungen.

1. Navigieren Sie in Omnissa Customer Connect zur PowerShell-Skript-Datei für Unified Access Gateway (UAG) und klicken Sie auf JETZT HERUNTERLADEN.
   Eine ZIP-Datei uagdeploy-xx.xx.x.x-xxxxxxxx wird auf Ihren lokalen Computer heruntergeladen.

2. Extrahieren Sie die Dateien aus der ZIP-Datei. Stellen Sie sicher, dass die folgenden PowerShell-Skripts auf Ihren Computer heruntergeladen wurden.
   uagdeploygce.ps1 und uagdeploy.psm1 auf Ihrer Windows-Maschine.

3. Starten Sie ein PowerShell-Befehlsfenster und ändern Sie das Verzeichnis in den Ordner, der die heruntergeladenen Skripts enthält.

4. Führen Sie die folgenden Schritte durch, um Unified Access Gateway auf der Compute Engine bereitzustellen:

   1. Bearbeiten Sie beim Durchführen eines Upgrades auf eine höhere Version von Unified Access Gateway die Datei .ini, um die Einstellung imageName auf den neuen Image-Namen zu aktualisieren, der in einer der vorherigen Aufgaben auf die Compute Engine hochgeladen wurde.

      Alle anderen Konfigurationsparameter in der Datei .ini dürfen nicht geändert werden.

   2. Führen Sie je nach Auswahl des interaktiven oder nicht interaktiven Modus den folgenden Befehl aus:

      Modus	Befehl
      Interaktiv	.\uagdeploygce.ps1 <ini-filename>.ini <ini-filename> ist der Name der .ini-Datei, die in vorherigen Aufgaben vorbereitet wurde. Beispiel: .\uagdeploygce.ps1 uag1.ini uag1.ini ist der in früheren Aufgaben verwendete Dateiname.
      Nicht interaktiv	.\uagdeploygce.ps1 <ini-filename> <root-pwd> <admin-pwd> <ceip-yes-no> .\uagdeploygce.ps1 <ini-filename> <secret> <admin-pwd> yes <ini-filename> ist der Name der .ini-Datei, die in vorherigen Aufgaben vorbereitet wurde. Wenn Kennwörter in der Befehlszeile wie im Befehl dargestellt angegeben werden, verwenden Sie den PowerShell-Befehl Clear-History, nachdem Sie Unified Access Gateway bereitgestellt haben. Bei schwachen Kennwörtern schlägt die Bereitstellung fehl. Das Kennwort muss eines der folgenden Zeichen enthalten: ! @ # $ % * ( ).

      Wenn Sie den Befehl uagdeploygce.ps1 erneut ausführen, werden die vorherige Unified Access Gateway-Instanz und zugehörige Ressourcen gelöscht und durch eine neue Instanz mit demselben Namen ersetzt. Die neue Datei vom Typ .ini muss alle erforderlichen Konfigurationsparameter aufweisen, damit die Unified Access Gateway-Appliance beim ersten Start in der Produktion eingesetzt werden kann.

Weitere Informationen zu den Anforderungen für Root-Benutzer- und Administratorkennwort finden Sie unter Kennwortanforderungen.

Nächste Schritte

Nach der Bereitstellung des Unified Access Gateway auf der Compute Engine und der Anwendung aller Einstellungen müssen die Metadaten, die zum Anwenden der Konfigurationseinstellungen der Unified Access Gateway-Appliance in Google Cloud verwendet werden, entfernt werden. Verwenden Sie zum Entfernen der Metadaten die folgenden im Beispiel angezeigten Befehle:

$uagName=uag1
$zone=us-central1-a
$projectId=my-project
gcloud compute instances remove-metadata $uagName --zone=$zone --project $projectId --keys "user-data"