Интеграция L7-балансировщика с Cloud CDN и Object Storage

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

1. Создайте сеть example-network:

   yc vpc network create example-network
   

   Результат:

   id: enptrcle5q3d********
   folder_id: b1g9hv2loamq********
   created_at: "2022-04-04T05:25:03Z"
   name: example-network
   default_security_group_id: enpbsnnop4ak********
   

   Подробнее о команде yc vpc network create см. в справочнике CLI.

2. Создайте подсети во всех зонах доступности:

   • В kz1-a:

     yc vpc subnet create example-subnet-kz1-a \
       --zone kz1-a \
       --network-name example-network \
       --range 10.1.0.0/16
     

     Результат:

     id: e9bnnssj8sc8********
     folder_id: b1g9hv2loamq********
     created_at: "2022-04-04T09:27:00Z"
     name: example-subnet-kz1-a
     network_id: enptrcle5q3d********
     zone_id: kz1-a
     v4_cidr_blocks:
     - 10.1.0.0/16
     

   • В kz1-b:

     yc vpc subnet create example-subnet-kz1-b \
       --zone kz1-b \
       --network-name example-network \
       --range 10.2.0.0/16
     

     Результат:

     id: e2lghukd9iqo********
     folder_id: b1g9hv2loamq********
     created_at: "2022-04-04T09:27:39Z"
     name: example-subnet-kz1-b
     network_id: enptrcle5q3d********
     zone_id: kz1-b
     v4_cidr_blocks:
     - 10.2.0.0/16
     

   • В kz1-d:

     yc vpc subnet create example-subnet-kz1-d \
       --zone kz1-d \
       --network-name example-network \
       --range 10.3.0.0/16
     

     Результат:

     id: b0c3pte4o2kn********
     folder_id: b1g9hv2loamq********
     created_at: "2022-04-04T09:28:08Z"
     name: example-subnet-kz1-d
     network_id: enptrcle5q3d********
     zone_id: kz1-d
     v4_cidr_blocks:
     - 10.3.0.0/16
     

   Подробнее о команде yc vpc subnet create см. в справочнике CLI.

Если у вас еще нет Terraform, установите его и настройте провайдер Yandex Cloud.

1. Опишите в конфигурационном файле параметры сети example-network и ее подсетей example-subnet-kz1-a, example-subnet-kz1-b и example-subnet-kz1-d:

   resource "yandex_vpc_network" "example-network" {
     name = "example-network"
   }
   
   resource "yandex_vpc_subnet" "example-subnet-a" {
     name           = "example-subnet-kz1-a"
     zone           = "kz1-a"
     network_id     = "${yandex_vpc_network.example-network.id}"
     v4_cidr_blocks = ["10.1.0.0/16"]
   }
   
   resource "yandex_vpc_subnet" "example-subnet-b" {
     name           = "example-subnet-kz1-b"
     zone           = "kz1-b"
     network_id     = "${yandex_vpc_network.example-network.id}"
     v4_cidr_blocks = ["10.2.0.0/16"]
   }
   
   resource "yandex_vpc_subnet" "example-subnet-d" {
     name           = "example-subnet-kz1-d"
     zone           = "kz1-d"
     network_id     = "${yandex_vpc_network.example-network.id}"
     v4_cidr_blocks = ["10.3.0.0/16"]
   }
   

   Подробнее см. в описаниях ресурсов yandex_vpc_network и yandex_vpc_subnet в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

1. Создайте сеть example-network с помощью вызова gRPC API NetworkService/Create или метода REST API create.
2. Создайте подсети example-subnet-kz1-a, example-subnet-kz1-b и example-subnet-kz1-d в трех зонах доступности с помощью вызова gRPC API SubnetService/Create или метода REST API create.

1. Создайте бакет:

   aws --endpoint-url https://storage.yandexcloud.net \
     s3 mb s3://<имя_бакета>
   

   Результат:

   make_bucket: s3://<имя_бакета>
   

2. Включите публичный доступ к чтению объектов и их списка:

   aws --endpoint-url https://storage.yandexcloud.net \
     s3api put-bucket-acl \
     --bucket <имя_бакета> \
     --acl public-read
   

1. Опишите в конфигурационном файле параметры для создания сервисного аккаунта и ключа доступа:

   ...
   // Создание сервисного аккаунта
   resource "yandex_iam_service_account" "sa" {
     name = "<имя_сервисного_аккаунта>"
   }
   
   // Назначение роли сервисному аккаунту
   resource "yandex_resourcemanager_folder_iam_member" "sa-admin" {
     folder_id = "<идентификатор_каталога>"
     role      = "storage.admin"
     member    = "serviceAccount:${yandex_iam_service_account.sa.id}"
   }
   
   // Создание статического ключа доступа
   resource "yandex_iam_service_account_static_access_key" "sa-static-key" {
     service_account_id = yandex_iam_service_account.sa.id
     description        = "static access key for object storage"
   }
   

2. Добавьте в конфигурационный файл параметры бакета:

   ...
   
   resource "yandex_storage_bucket" "<имя_бакета>" {
     access_key = yandex_iam_service_account_static_access_key.sa-static-key.access_key
     secret_key = yandex_iam_service_account_static_access_key.sa-static-key.secret_key
     bucket     = "<имя_бакета>"
     acl        = "public-read"
   }
   

   Подробнее о ресурсе yandex_storage_bucket см. в документации провайдера Terraform.

3. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

4. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

Используйте метод REST API create.

Выполните следующую команду:

yc vpc security-group create example-sg \
  --network-name example-network \
  --rule direction=egress,port=any,protocol=any,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=80,protocol=tcp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=443,protocol=tcp,v4-cidrs=[0.0.0.0/0] \
  --rule direction=ingress,port=30080,protocol=tcp,predefined=loadbalancer_healthchecks

Результат:

id: enpd133ngcnr********
folder_id: b1g9hv2loamq********
created_at: "2022-04-04T10:26:16Z"
name: example-sg
network_id: enptrcle5q3d********
status: ACTIVE
rules:
- id: enpkgrpi2gsi********
  direction: EGRESS
  protocol_name: ANY
  protocol_number: "-1"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enpgssij0i16********
  direction: INGRESS
  ports:
    from_port: "80"
    to_port: "80"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enp0bft67j9l********
  direction: INGRESS
  ports:
    from_port: "443"
    to_port: "443"
  protocol_name: TCP
  protocol_number: "6"
  cidr_blocks:
    v4_cidr_blocks:
    - 0.0.0.0/0
- id: enpmorcimu65********
  direction: INGRESS
  ports:
    from_port: "30080"
    to_port: "30080"
  protocol_name: TCP
  protocol_number: "6"
  predefined_target: loadbalancer_healthchecks

Подробнее о команде yc vpc security-group create см. в справочнике CLI.

1. Добавьте в конфигурационный файл параметры группы безопасности example-sg:

   resource "yandex_vpc_security_group" "example-sg" {
     name       = "example-sg"
     network_id = "yandex_vpc_network.example-network.id"
   
     egress {
       protocol       = "ANY"
       from_port      = 0
       to_port        = 65535
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 80
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol       = "TCP"
       port           = 443
       v4_cidr_blocks = ["0.0.0.0/0"]
     }
   
     ingress {
       protocol          = "TCP"
       port              = 30080
       predefined_target = "loadbalancer_healthchecks"
     }
   }
   

   Более подробную информацию о параметрах ресурсов в Terraform см. в документации провайдера.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

Используйте вызов gRPC API SecurityGroupService/Create или метод REST API create.

Чтобы добавить правило для проверок состояния балансировщика, используйте параметр loadbalancer_healthchecks в поле SecurityGroupRuleSpec.target.predefined_target для gRPC API или в поле predefinedTarget для REST API.

Используйте вызов gRPC API BackendGroupService/Create или метод REST API create.

1. Создайте HTTP-роутер example-router:

   yc alb http-router create example-router
   

   Результат:

   id: ds7qd0vj01dj********
   name: example-router
   folder_id: b1g9hv2loamq********
   created_at: "2022-04-04T10:31:41.027649223Z"
   

   Подробнее о команде yc alb http-router create см. в справочнике CLI.

2. Создайте виртуальный хост example-vh:

   yc alb virtual-host create example-vh \
     --http-router-name example-router \
     --authority cdn.yandexcloud.example
   

   Результат:

   done (1s)
   name: example-vh
   authority:
   - cdn.yandexcloud.example
   

   Подробнее о команде yc alb virtual-host create см. в справочнике CLI.

3. Создайте маршрут example-route в виртуальном хосте example-vh:

   yc alb virtual-host append-http-route example-route \
     --http-router-name example-router \
     --virtual-host-name example-vh \
     --prefix-path-match "/" \
     --backend-group-name example-bg
   

   Результат:

   done (1s)
   name: example-vh
   authority:
   - cdn.yandexcloud.example
   routes:
   - name: example-route
     http:
       match:
         path:
           prefix_match: /
       route:
         backend_group_id: ds7pbm5fj2v0********
   

   Подробнее о команде yc alb virtual-host append-http-route см. в справочнике CLI.

1. Добавьте в конфигурационный файл параметры HTTP-роутера example-router, его виртуальных хостов и маршрутов:

   ...
   
   resource "yandex_alb_http_router" "example-router" {
     name = "example-router"
   }
   
   resource "yandex_alb_virtual_host" "example-vh" {
     name           = "example-vh"
     http_router_id = ${yandex_alb_http_router.example-router.id}
     authority      = "cdn.yandexcloud.example"
     
     route {
       name = "example-route"
       http_route {
         http_route_action {
           backend_group_id = "<идентификатор_группы_бэкендов_example-bg>"
         }
       }
     }  
   }
   

   Подробнее см. в описаниях ресурсов yandex_alb_http_router и yandex_alb_virtual_host в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

1. Создайте HTTP-роутер example-router с помощью вызова gRPC API HttpRouterService/Create или метода REST API create.
2. Создайте виртуальный хост example-vh, привязанный к роутеру, и его маршрут с помощью вызова gRPC API VirtualHostService/Create или метода REST API create.

1. Получите идентификаторы подсетей сети example-network:

   yc vpc network list-subnets example-network
   

   Результат:

   +----------------------+----------------------------------+----------------------+----------------------+----------------+-------------------+---------------+
   |          ID          |               NAME               |      FOLDER ID       |      NETWORK ID      | ROUTE TABLE ID |       ZONE        |     RANGE     |
   +----------------------+----------------------------------+----------------------+----------------------+----------------+-------------------+---------------+
   | e9bnnssj8sc8******** |   example-subnet-kz1-d   | b1g9hv2loamq******** | enptrcle5q3d******** |                |   kz1-d   | [10.1.0.0/16] |
   | e2lghukd9iqo******** |   example-subnet-kz1-b   | b1g9hv2loamq******** | enptrcle5q3d******** |                |   kz1-b   | [10.2.0.0/16] |
   | b0c3pte4o2kn******** |   example-subnet-kz1-a   | b1g9hv2loamq******** | enptrcle5q3d******** |                |   kz1-a   | [10.3.0.0/16] |
   +----------------------+----------------------------------+----------------------+----------------------+----------------+-------------------+---------------+
   

   Подробнее о команде yc vpc network list-subnets см. в справочнике CLI.

2. Получите идентификатор группы безопасности example-sg:

   yc vpc security-group get example-sg | grep "^id"
   

   Результат:

   id: enpd133ngcnr********
   

   Подробнее о команде yc vpc security-group get см. в справочнике CLI.

3. Создайте балансировщик example-balancer:

   yc alb load-balancer create example-balancer \
     --network-name example-network \
     --security-group-id <идентификатор_группы_безопасности_example-sg> \
     --location zone=kz1-a,subnet-id=<идентификатор_подсети_example-subnet-kz1-a> \
     --location zone=kz1-b,subnet-id=<идентификатор_подсети_example-subnet-kz1-b> \
     --location zone=kz1-d,subnet-id=<идентификатор_подсети_example-subnet-kz1-d>
   

   Результат:

   done (3m0s)
   id: ds77q7v39b4u********
   name: example-balancer
   folder_id: b1g9hv2loamq********
   status: ACTIVE
   region_id: kz1
   network_id: enptrcle5q3d********
   allocation_policy:
     locations:
     - zone_id: kz1-d
       subnet_id: b0c3pte4o2kn********
     - zone_id: kz1-b
       subnet_id: e2lghukd9iqo********
     - zone_id: kz1-a
       subnet_id: e9bnnssj8sc8********
   log_group_id: ckg23vr4dlks********
   security_group_ids:
   - enpd133ngcnr********
   created_at: "2022-04-04T10:55:49.134935148Z"
   

   Подробнее о команде yc alb load-balancer create см. в справочнике CLI.

4. Добавьте к балансировщику обработчик:

   yc alb load-balancer add-listener \
     --name example-balancer \
     --listener-name example-listener \
     --external-ipv4-endpoint port=80 \
     --http-router-name example-router
   

   Результат:

   done (43s)
   id: ds77q7v39b4u********
   name: example-balancer
   folder_id: b1g9hv2loamq********
   status: ACTIVE
   region_id: kz1
   network_id: enptrcle5q3d********
   listeners:
   - name: example-listener
     endpoints:
     - addresses:
       - external_ipv4_address:
           address: 84.252.133.149
       ports:
       - "80"
     http:
       handler:
         http_router_id: ds7qd0vj01dj********
   allocation_policy:
     locations:
     - zone_id: kz1-d
       subnet_id: b0c3pte4o2kn********
     - zone_id: kz1-b
       subnet_id: e2lghukd9iqo********
     - zone_id: kz1-a
       subnet_id: e9bnnssj8sc8********
   log_group_id: ckg23vr4dlks********
   security_group_ids:
   - enpd133ngcnr********
   created_at: "2022-04-04T10:55:49.134935148Z"
   

   Подробнее о команде yc alb load-balancer add-listener см. в справочнике CLI.

1. Добавьте в конфигурационный файл параметры L7-балансировщика example-balancer:

   ...
   
   resource "yandex_alb_load_balancer" "example-balancer" {
     name               = "example-balancer"
     network_id         = ${yandex_vpc_network.example-network.id}
     security_group_ids = [ ${yandex_vpc_security_group.example-sg.id} ]
   
     allocation_policy {
       location {
         zone_id   = "kz1-a"
         subnet_id = ${yandex_vpc_subnet.example-subnet-kz1-a.id}
       }
   
       location {
         zone_id   = "kz1-b"
         subnet_id = ${yandex_vpc_subnet.example-subnet-kz1-b.id}
       }
   
       location {
         zone_id   = "kz1-d"
         subnet_id = ${yandex_vpc_subnet.example-subnet-kz1-d.id}
       }
     }
   
     listener {
       name = "example-listener"
       endpoint {
         address {
           external_ipv4_address {
           }
         }
         ports = [80]
       }
       http {
         handler {
           http_router_id = ${yandex_alb_http_router.example-router.id}
         }
       }
     }
   }
   

   Подробнее о ресурсе yandex_alb_load_balancer см. в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов.

Используйте вызов gRPC API LoadBalancerService/Create или метод REST API create.

1. Создайте группу источников example-origin-group, указав IP-адрес балансировщика:

   yc cdn origin-group create --name "example-origin-group" \
     --origin source=<IP-адрес_балансировщика>:80,enabled=true
   

   Результат:

   id: "90748"
   folder_id: b1geoelk7fld********
   name: example-origin-group
   use_next: true
   origins:
   - id: "562449"
     origin_group_id: "90748"
     source: 51.250.10.216:80
     enabled: true
   

   Подробнее о команде yc cdn origin-group create см. в справочнике CLI.

2. Скопируйте идентификатор группы источников origin_group_id из предыдущего шага и создайте CDN-ресурс, выполнив команду:

   yc cdn resource create \
     --cname cdn.yandexcloud.example \
     --origin-group-id <идентификатор_группы_источников> \
     --origin-protocol http \
     --cert-manager-ssl-cert-id <идентификатор_сертификата> \
     --forward-host-header
   

   Результат:

   id: bc843k2yinvq********
   folder_id: b1ge1elk72ld********
   cname: cdn.yandexcloud.example
   ...
   active: true
   ...
   ...
   ...
   

   Подробнее о команде yc cdn resource create см. в справочнике CLI.

3. Включите переадресацию клиентов для ресурса:

   yc cdn resource update <идентификатор_ресурса> --redirect-http-to-https
   

1. Добавьте в конфигурационный файл параметры CDN-ресурсов:

   ...
   
   resource "yandex_cdn_origin_group" "my_group" {
     name     = "example-origin-group"
     use_next = true
     origin {
      source = "<IP-адрес_балансировщика>:80"
      backup = false
     }
   }
   
   resource "yandex_cdn_resource" "my_resource" {
   
       cname               = "cdn.yandexcloud.example"
       active              = true
       origin_protocol     = "http"
       origin_group_id     = yandex_cdn_origin_group.my_group.id
       ssl_certificate {
         type                   = "certificate_manager"
         certificate_manager_id = "<идентификатор_сертификата>"
       }
       options {
           edge_cache_settings    = "345600"
           browser_cache_settings = "1800"
           ignore_cookie          = true
           ignore_query_params    = false
       }
   
   }
   

   Подробнее см. в описаниях ресурсов yandex_cdn_origin_group и yandex_cdn_resource в документации провайдера Terraform.

2. Проверьте корректность конфигурационных файлов.

   1. В командной строке перейдите в папку, где вы создали конфигурационный файл.

   2. Выполните проверку с помощью команды:

      terraform plan
      

   Если конфигурация описана верно, в терминале отобразится список создаваемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

3. Разверните облачные ресурсы.

   1. Если в конфигурации нет ошибок, выполните команду:

      terraform apply
      

   2. Подтвердите создание ресурсов: введите в терминал слово yes и нажмите Enter.

   После этого в указанном каталоге будут созданы все требуемые ресурсы. Проверить появление ресурсов и их настройки можно в консоли управления.

4. Включите переадресацию клиентов для ресурса. Добавьте в начало блока options для CDN-ресурса следующее поле:

   ...
   options {
     redirect_https_to_http = true
   ...
   

5. Выполните проверку с помощью команды:

   terraform plan
   

   Если конфигурация описана верно, в терминале отобразится список обновляемых ресурсов и их параметров. Если в конфигурации есть ошибки, Terraform на них укажет.

6. Если ошибок нет, выполните команду:

   terraform apply
   

7. Подтвердите обновление ресурса: введите в терминал слово yes и нажмите Enter.

После этого для у ресурса будет включена переадресация.

Используйте вызов gRPC API ResourceService/Create или метод REST API create.