GCP - 보안/자료계층/IAM/데이터베이스/컴퓨트

Google Cloud Product Fundamentals

Google Cloud Product Fundamentals

 

Module 1: Modernizing IT Infrastructure with GCP

 

1: introduction

learn about

• google cloud's global infrastructure

• hybrid and multi-cloud architectures

• googlce cloud's built-in security capabilites and measures

• GCP;s compute products and services

 

 

2: Single, hybrid and multi-cloud architectures

infrastructure modernization

• 클라우드를 사용할 경우 유지 보수 관리에 쓰이는 노력을 줄일 수 있음

• 온프레미스처럼 비효율적으로 자원을 사용하지 않아도 됨

• GCP는 구글의 방대한 네트워크를 사용

• 구글은 digital foot print를 탄소중립으로 변환하기 위해 노력하며 가치를 추구하고 있음

 

hybrid and multi-cloud

• 온프레미스를 클라우드로 완전히 바꾸기 어려울 때, 두가지를 혼용할 수 있음

• 이에 앞서 클라우드의 종류를 살펴보면

  • private cloud: 기업이 온프레미스 환경에 가상화한 서비스를 구축, 이미 인프라를 상당히 구축했거나 데이터를 온프레미스 환경에 저장해야 할 때 사용

  • hybrid cloud: 온프레미스 환경과 퍼블릭 클라우드의 혼용

  • Multi cloud: 여러 공급자의 클라우드 사용, 유연성이 필요할 때 사용

• GCP는 기업의 데이터 권한을 보장하기 위해 데이터를 다른 클라우드로 옮길 수 있는 방법들을 갖춤

  • Open APIs로 데이터 이동 가능

  • open source를 활용해 다른 환경에서도 사용 가능

  • Anthos, open application modernization platform : 원하는 곳 어디든 어플리케이션을 빌드할 수 있음

 

 

3: Secrity with Googlce Cloud Platform

security

• Google 은 lower layer의 보안을 담당

• hardware: 세계 각지 high-security 데이터 센터에 위치함

  • Titan이라는 칩이 내장돼 있어 재시동될 때 마다 기계의 온전함을 확인

• software: Titan 마이크로컨트롤러가 os와 deployed software 스택을 확인, 헬스체크가 돼야 네크워크에 허용됨

  • 모든 네트워크는 다른 네트워크를 신뢰하지 않으며, interaction은 검증돼야 하고 모니터 돼야 함

• operations layer: 글로벌 시큐리티팀이 대응

• Upper layer의 보안은 스스로 담담해야 하나, 구글은 IAM 과 같은 툴을 제공함

 

resource hierarchy and trust boundaries

Projects

• managing apis

• enabling billings

• adding/removing collaborators

• enabling other google services

• vm

• 각각의 프로젝트는 독립적이며, 리소스를 공유하지 않음

Folders

• 프로젝트 여러개를 포함할 수 있으며, 다른 폴더도 포함 가능

• 리소스를 폴더 단위로 묶을 수 있음

• 특정 폴더에 관리 권한을 부여해 모든 폴더에 대한 완전한 소유권을 가질 수도 있음

Organization

• 폴더는 기관 단위로 묶일 수 있음

특징

• 상위의 권한은 하위로 상속됨

• 그러나 반대되는 하위의 권한이 생기면 하위 권한이 우선권을 지님

 

Identity and access management

IAM(Cloud Identity and Access Management)

• 리소스에 접근하고 데이터와 시스템의 보안을 유지

• 세가지 요소로 이뤄짐

  • Who

  • can do what

  • on which resource

Who

• google account

• google group

• service account

• G suite

• Cloud identity domain

Can do what

• primitive:

  • 프로젝트의 모든 리소스에 영향을 줄 수 있음

  • billing, owner, editor, viewer로 역할이 거칠게 나뉨

• predefined:

  • permission으로 이뤄진 role이 있음

  • role은 organization, project, instance에 따라 달리 적용될 수 있음

• custom:

  • 조직 내 모든 이가 최소한의 권한이 부여됨

  • permission 관리를 해줘야 하는데, 조직 내 그룹별로 권한을 관리할 수 있음

 

 

4: Compute with Google Cloud Platform

data and storage

• IaaS, PaaS, Serverless Cloud functions 를 제공

• database : cloud spanner/ cloud sql (정형, 반정형 데이터)

❓정형, 비정형 데이터란? 정형 데이터에는 관계형 데이터베이스, 스프레드시트, CSV 등이 있다. 반정형 데이터는 형태가 있으며 연산이 불가능한 데이터로, XML, HTML, JSON, 로그 형태 등이 있다.

• storage: cloud storage(큰 미디어 파일이나 백업에 적합)

• big data storage: BigQuery

• machine learning

• cloud AI platform

 

compute

• VM, process, memory 커스터마이즈 가능

• Compute Engine: auto scaling으로 트래픽 감당 및 효율적 자원 사용 가능

• Kubernetes Engine

• App Engine: PaaS

• Cloud functions: Serverless