Objectifs

Pour créer et configurer votre VPC et d'autres ressources associées, effectuez les étapes présentées dans les sections suivantes, dans l'ordre indiqué :

1. Créez un cloud privé virtuel et un sous-réseau afin de définir le réseau. Lorsque vous créez votre sous-réseau, connectez une passerelle publique pour autoriser toutes les ressources du sous-réseau à communiquer avec l'Internet public.
2. Pour limiter le trafic entrant et sortant du sous-réseau, vous pouvez configurer une liste de contrôle d'accès. Par défaut, l'intégralité du trafic est autorisée.
3. Créez une instance de serveur virtuel. Par défaut, un volume de démarrage est attaché à l'instance. Pour la plupart des instances de serveur virtuel, la taille de volume d'amorçage par défaut est de 100 Go. La taille de volume d'amorçage par défaut pour une instance de serveur virtuel z/OS est de 250 Go.
4. Si vous souhaitez davantage de stockage, créez un volume de stockage par blocs et connectez-le à votre instance.
5. Pour définir le trafic entrant et sortant qui est autorisé pour l'instance, configurez son groupe de sécurité.
6. Si vous souhaitez que votre instance soit accessible à partir d'Internet, réservez et associez une adresse IP flottante.
7. Pour répartir les demandes sur plusieurs instances, créez un équilibreur de charge.
8. Pour activer votre VPC pour le connecter de façon sécurisée à un autre réseau privé (réseau sur site ou autre VPC, par exemple), créez un VPN (Virtual Private Network).

Après avoir saisi des données dans les pages de provisionnement, vous pouvez cliquer sur Obtenir un exemple d'appel API pour afficher la séquence de requêtes API correspondant à vos paramètres. L'affichage des appels d'API est un bon moyen d'en savoir plus sur l'API et de comprendre les actions et leurs dépendances.

Public ciblé

Ce tutoriel est destiné aux développeurs de logiciels et aux administrateurs système qui créent un environnement VPC et déploient une instance pour la première fois.

Avant de commencer

Configurez votre compte pour accéder à VPC. Vérifiez que votre compte a été mis à niveau vers un compte payant.

Vous pouvez utiliser une clé SSH existante, télécharger une nouvelle clé SSH ou créer une clé SSH lorsque vous créez l'instance de serveur virtuel. Pour ce tutoriel, vous pouvez sélectionner une clé existante ou créer une nouvelle clé lorsque vous créez le serveur virtuel. Pour plus d'informations sur le téléchargement d'une clé SSH ou la création d'une clé SSH dans IBM Cloud VPC, voir Initiation aux clés SSH.

Si vous prévoyez de créer un équilibreur de charge d'application et d'utiliser HTTPs pour le programme d'écoute, un certificat SSL est requis. Vous pouvez gérer les certificats avec IBM Secrets Manager.

Vous pouvez créer une autorisation via la section « Autorisations » d'IAM. Assurez-vous de choisir Services d'infrastructure VPC comme service Source, puis sélectionnez Ressources spécifiques. Cliquez sur Sélectionnez un attribut et choisissez Type de ressource de la liste. Sélectionnez « Équilibreur de charge pour VPC » comme type de ressource, puis cliquez sur « Suivant ». Pour le service « Target », sélectionnez Secrets Manager. Définissez l'accès à l'instance du service cible sur « Toutes les instances » ou sur votre instance spécifique d' IBM Cloud Secrets Manager. Affectez le rôle d'accès au service Editeur. Pour plus d'informations, voir Octroi d'accès entre services.

Prévoyez du temps supplémentaire pour les étapes facultatives.

Création d'un cloud privé virtuel et d'un sous-réseau

Pour créer un VPC et un sous-réseau, procédez comme suit :

1. Ouvrez la consoleIBM Cloud.

2. Cliquez sur l'icône navigation > Infrastructure > Réseau > VPC et cliquez sur Créer.

3. Entrez un nom pour le cloud privé virtuel, par exemple my-vpc.

4. Sélectionnez un groupe de ressources pour le VPC. Utilisez des groupes de ressources pour organiser vos ressources de compte à des fins de contrôle d'accès et de facturation. Pour plus d'informations, voir Meilleures pratiques pour l'organisation des ressources dans un groupe de ressources.

5. Facultatif : entrez des balises pour organiser et trouver vos ressources. Vous pourrez ajouter d'autres balises ultérieurement. Pour plus d'informations, voir Utilisation d'étiquettes.

6. Le processus de création de VPC affecte une liste de contrôle d'accès (ACL) par défaut. Plus loin dans ce tutoriel, vous pourrez configurer des règles pour l'ACL.

7. Indiquez si le groupe de sécurité par défaut autorise le trafic SSH et ping entrant vers les instances de serveur virtuel dans ce cloud privé virtuel. Par défaut, les options Autoriser SSH et Autoriser ping pour le groupe de sécurité par défaut ne sont pas sélectionnées. Nous pourrons configurer d'autres règles pour le groupe de sécurité par défaut ultérieurement.

8. Facultatif : indiquez si vous souhaitez permettre à votre VPC d'accéder aux ressources d'infrastructure classiques. Pour plus d'informations, voir Configuration de l'accès à l'infrastructure classique.

   Vous pouvez activer un VPC pour un accès classique uniquement lorsque vous créez le VPC. En outre, vous ne pouvez avoir qu'un seul VPC avec accès à Classic Infrastructure dans votre compte à tout moment.

9. Facultatif : désélectionnez l'option Préfixes d'adresse par défaut si vous ne souhaitez pas affecter les préfixes d'adresse par défaut à chaque zone de votre VPC. Une fois que vous avez créé votre VPC, vous pouvez accéder à sa page des détails et définir vos propres préfixes d'adresse.

10. Par défaut, le processus de création de VPC définit trois sous-réseaux. Si vous devez modifier les propriétés définies pour le sous-réseau, cliquez sur l'icône Editer pour le sous-réseau que vous souhaitez modifier. Vous pouvez également supprimer un sous-réseau prédéfini en cliquant sur l'icône de signe Moins. Si vous devez ajouter un sous-réseau, procédez comme suit.

11. Cliquez sur Ajouter un sous-réseau et entrez un nom pour le nouveau sous-réseau dans votre VPC, tel que my-subnet.

12. Sélectionnez un emplacement pour le sous-réseau, c'est-à-dire une région et une zone. La région que vous sélectionnez est utilisée comme région du VPC. Toutes les ressources supplémentaires que vous créez dans ce VPC sont créées dans la région sélectionnée.

13. Sélectionnez un groupe de ressources pour le sous-réseau.

14. Entrez une plage d'adresses IP pour le sous-réseau dans la notation CIDR, par exemple : 10.240.0.0/24. Dans la plupart des cas, vous pouvez utiliser la plage d'adresses IP par défaut. Si vous voulez spécifier une plage d'adresses IP personnalisée, vous pouvez utiliser la calculatrice de plage d'adresses IP afin de sélectionner un préfixe d'adresse différent ou de changer le nombre d'adresses.

    Un sous-réseau ne peut pas être redimensionné après sa création.

15. Connectez une passerelle publique au sous-réseau si vous souhaitez autoriser toutes les ressources connectées à communiquer avec l'Internet public. Vous pouvez également associer la passerelle publique après avoir créé le sous-réseau.

16. Cliquez sur Nouveau cloud privé virtuel.

Configuration de la liste de contrôle d'accès

Vous pouvez configurer la liste de contrôle d'accès afin de limiter le trafic entrant et sortant du sous-réseau. Par défaut, l'intégralité du trafic est autorisée.

Chaque sous-réseau peut être associé à une liste de contrôle d'accès et une seule. Toutefois, chaque liste de contrôle d'accès peut être associée à plusieurs sous-réseaux.

Pour configurer l'ACL, procédez comme suit :

1. Dans le panneau de navigation, cliquez sur Réseau > Sous-réseaux.

2. Cliquez sur le sous-réseau que vous avez créé.

3. Dans la zone Détails du sous-réseau, cliquez sur le nom de la liste de contrôle d'accès.

4. Cliquez sur Ajouter une règle pour configurer les règles de trafic entrant et sortant qui définissent le trafic autorisé vers ou depuis le sous-réseau. Pour chaque règle, spécifiez les informations suivantes :

   • Indiquez si le trafic spécifié doit être autorisé ou interdit.
   • Sélectionnez le protocole auquel la règle s'applique.
   • Pour la source et la destination de la règle, spécifiez la plage d'adresses IP et les ports pour lesquels la règle s'applique. Par exemple, si vous souhaitez que le trafic entrant soit autorisé sur la plage d'adresses IP 192.168.0.0/24 dans votre sous-réseau, spécifiez Tout comme source et 192.168.0.0/24 comme destination. Mais si vous souhaitez autoriser le trafic entrant uniquement depuis 169.168.0.0/24 vers l'ensemble de votre sous-réseau, indiquez 169.168.0.0/24 comme source et Any comme destination de la règle.
   • Spécifiez la priorité de la règle. Les règles dont le nombre est le plus petit sont évaluées en premier et prévalent sur les règles dont le nombre est le plus élevé. Par exemple, si une règle de priorité 2 autorise le trafic HTTP et qu'une autre de priorité 5 interdit tout le trafic, le trafic HTTP reste autorisé.

   Voir Configuration des règles pour un exemple.

5. Lorsque vous avez fini de créer des règles, cliquez sur l'élément de navigation Listes de contrôle d'accès au début de la page.

Pour plus d'informations, voir À propos des listes de contrôle d'accès.

Création d'une instance de serveur virtuel

Pour créer une instance de serveur virtuel dans le sous-réseau nouvellement créé, procédez comme suit :

1. Cliquez sur Calcul > Instances de serveur virtuel dans le panneau de navigation et cliquez sur Créer.

2. Pour Emplacement, sélectionnez la zone géographique, la région et la zone dans laquelle vous souhaitez créer l'instance.

3. Entrez un nom pour l'instance, par exemple my-instance.

4. Sélectionnez un groupe de ressources pour l'instance.

5. Facultatif : entrez des balises pour organiser et trouver vos ressources. Vous pourrez ajouter d'autres balises ultérieurement. Pour plus d'informations, voir Utilisation d'étiquettes.

6. Cliquez sur Modifier l'image pour sélectionner une image (c'est-à-dire le système d'exploitation et la version), telle que Debian GNU/Linux, ibm-debian-11-7-minimal-amd64-2. Sur la page Sélectionner une image, vous pouvez sélectionner une image stockée, une image personnalisée, une image de catalogue, un instantané ou un volume existant. Si l'emplacement géographique dans lequel vous mettez à disposition une instance le prend en charge, vous avez la possibilité de sélectionner l'architecture de votre serveur virtuel, x86 ou s390x.

   Pour l'image personnalisée z/OS Wazi aaS uniquement: Si vous utilisez l'image personnalisée créée à l'aide de Wazi Image Builder, sélectionnez Image personnalisée pour le système d'exploitation et l'image est appelée wazi-custom-image par défaut.

7. Pour définir la taille de l'instance, cliquez sur Modifier le profil pour choisir un profil contenant une combinaison de performances de coeur, de mémoire RAM et de réseau qui convient le mieux à votre charge de travail. Pour plus d'informations, voir Profils d'instancex86-64 et Profils d'instances390x.

   Pour les instances de serveur virtuel z/OS uniquement: les instances de serveur virtuel z/OS requièrent un profil minimum de 2 vCPUs x 16 Go de mémoire RAM (2x16). Lorsque vous sélectionnez le profil pour des images stockées z/OS avec une mémoire RAM inférieure à 8 Go, le message IAR057D peut s'afficher. Pour plus d'informations, voir IAR057D.

8. Sélectionnez une clé SSH existante ou créez une clé SSH à utiliser pour accéder à l'instance de serveur virtuel. Pour créer une clé SSH, cliquez sur Créer une clé SSH et nommez la clé. Sélectionnez Générer une paire de clés pour moi, cliquez sur Sauvegarder la clé privée, puis sur Sauvegarder la clé publique. Une fois cette action terminée, cliquez sur Créer.

9. Prenez note du volume d'amorçage. La suppression automatique est activée pour le volume; le volume de démarrage est supprimé automatiquement si l'instance est supprimée.

10. Dans la zone Volumes de données, cliquez sur Créer pour associer un volume de stockage par blocs à votre instance si vous souhaitez plus de stockage. Dans ce tutoriel, vous créez un volume Block Storage et l'attachez à l'instance ultérieurement.

    Pour l'image personnalisée z/OS Wazi aaS uniquement: Lorsque vous créez une instance de serveur virtuel z/OS avec l'image personnalisée z/OS Wazi aaS, vous devez ajouter un volume de données en sélectionnant Import from Snapshot. L'instantané est appelé wazi-custom-image-data par défaut.

11. Pour le cloud privé virtuel dans la section Mise en réseau, sélectionnez le cloud privé virtuel que vous avez créé.

12. Dans la zone Interfaces réseau, vous pouvez éditer l'interface réseau et modifier son nom. S'il existe plusieurs sous-réseaux dans la zone et le cloud virtuel privé sélectionnés, vous pouvez associer un sous-réseau différent à l'interface. Si vous voulez que l'instance se trouve sur plusieurs sous-réseaux, vous pouvez créer davantage d'interfaces.

    Chaque interface dispose d'une bande passante maximale de 25 Gbps. Si le profil que vous avez sélectionné pour cette instance a une bande passante maximale supérieure à 25 Gbps, il se peut que vous souhaitiez créer davantage d'interfaces afin d'optimiser les performances du réseau. Pour plus d'informations, voir Gestion des interfaces réseau.

    Vous pouvez également sélectionner les groupes de sécurité à associer à chaque interface. Par défaut, le groupe de sécurité par défaut du cloud privé virtuel est associé. Il autorise le trafic SSH et ping entrant, l'intégralité du trafic sortant, et tout le trafic entre les instances dans le groupe. Le reste du trafic est bloqué ; vous pouvez configurer des règles pour autoriser d'autres types de trafic. Si par la suite, vous éditez les règles du groupe de sécurité par défaut, ces règles mises à jour sont appliquées à toutes les instances en cours et ultérieures dans le groupe.

13. Facultatif: Dans la section Options avancées, vous pouvez entrer des données utilisateur pour exécuter des tâches de configuration communes lorsque votre instance démarre. Par exemple, vous pouvez spécifier des directives cloud-init ou des scripts shell pour les images Linux. Pour plus d'informations, voir Données utilisateur.

14. Le paramètre Métadonnées est désactivé par défaut. Lorsque le service de métadonnées est activé, l'instance collecte les informations de configuration d'instance et les données utilisateur. Pour plus d'informations, voir À propos des métadonnées pour VPC. Les métadonnées ne sont pas prises en charge pour les instances IBM Cloud® Hyper Protect Virtual Server pour les instances IBM Cloud® Virtual Private Cloud et les instances de serveur virtuel z/OS.

15. Le paramètre Ajouter à l'hôte dédié est désactivé par défaut. Pour plus d'informations sur les hôtes dédiés, voir Création d'hôtes et de groupes dédiés.

16. Le paramètre Ajouter au groupe de placement est désactivé par défaut. Pour plus d'informations, voir A propos des groupes de placement.

17. Le paramètre Host failure auto restart est activé par défaut. Pour désactiver le redémarrage automatique en cas d'échec de l'hôte, cliquez sur le bouton à bascule. Pour plus d'informations, voir Host failure recovery policies.

18. Cliquez sur Créer une instance de serveur virtuel. Le statut de l'instance est d'abord en attente, puis passe à arrêté et enfin à en cours d'exécution. Il peut être nécessaire d'actualiser la page pour constater le changement de statut.

Création et connexion d'un volume de stockage par blocs

Vous pouvez créer un volume de stockage par blocs et le connecter à votre instance de serveur virtuel si vous souhaitez davantage de stockage.

Pour créer et connecter un volume Block Storage, procédez comme suit:

1. Dans le panneau de navigation, cliquez sur Stockage > Volumes de stockage par blocs.
2. Cliquez sur Nouveau volume et spécifiez les informations ci-dessous.
   • Nom : entrez un nom pour le volume de stockage par blocs, tel que data-volume-1.
   • Groupe de ressources : sélectionnez un groupe de ressources pour le volume de stockage par blocs. Vous pouvez utiliser des groupes de ressources pour organiser vos ressources de compte à des fins de contrôle d'accès et de facturation. Pour plus d'informations, voir Meilleures pratiques pour l'organisation des ressources dans un groupe de ressources.
   • Balises : Facultatif : entrez des balises pour vous aider à organiser et à trouver vos ressources. Vous pourrez ajouter d'autres balises ultérieurement. Pour plus d'informations, voir Utilisation d'étiquettes.
   • Emplacement : sélectionnez un emplacement pour le volume de stockage par blocs. L'emplacement est constitué d'une région et d'une zone, par exemple US South 1.
   • Taille : indiquez la taille du volume entre 10 Go et 2000 Go.
   • IOPS : sélectionnez l'un des niveaux d'IOPS ou cliquez sur Personnalisé pour entrer une valeur en fonction de la taille du volume.
   • Chiffrement : acceptez l'option de chiffrement géré par le fournisseur par défaut.
3. Cliquez sur Créer un volume de stockage en bloc.
4. Dans la liste des volumes de stockage par blocs, recherchez le volume que vous avez créé. Lorsque le statut est Disponible, cliquez sur « ... » et sélectionnez Attacher à l'instance.
5. Sélectionnez l'instance à laquelle vous souhaitez connecter le volume et cliquez sur Connecter.
6. Pour les instances de serveur virtuel z/OS uniquement: Pour vérifier le volume Block Storage nouvellement connecté avec son adresse affectée, vous pouvez trouver les informations sur votre console d'instance de serveur virtuel z/OS via un message de diffusion qui vous est envoyé avec l'adresse du périphérique concerné.

Configuration du groupe de sécurité pour l'instance

Vous pouvez configurer le groupe de sécurité afin de définir le trafic entrant et sortant qui est autorisé pour l'instance. Par exemple, après avoir configuré des règles ACL pour le sous-réseau en fonction des règles de sécurité de votre société, en fonction de leurs charges de travail, vous pouvez restreindre davantage le trafic pour des instances spécifiques.

Pour configurer le groupe de sécurité, procédez comme suit :

1. Dans le panneau de navigation, cliquez sur Calcul > Instances de serveur virtuel.

2. Cliquez sur votre instance pour afficher ses détails.

3. Dans la section Interfaces réseau, cliquez sur le nom du groupe de sécurité.

4. Dans l'onglet Règles de la page des détails du groupe de sécurité, cliquez sur Créer pour configurer les règles entrantes et sortantes qui définissent le type de trafic autorisé à partir de l'instance et vers cette dernière. Pour chaque règle, spécifiez les informations suivantes :

   • Sélectionnez les protocoles et les ports auxquels la règle s'applique.
   • Spécifiez un bloc CIDR ou une adresse IP pour le trafic autorisé. Vous pouvez aussi spécifier un groupe de sécurité dans le même cloud privé virtuel pour autoriser le trafic vers ou depuis toutes les instances associées au groupe de sécurité sélectionné.

   Astuces :

   • Toutes les règles sont évaluées, quel que soit l'ordre dans lequel elles ont été ajoutées.
   • Les règles possèdent un état, ce qui signifie que le trafic en retour en réponse au trafic autorisé est admis automatiquement. Par exemple, vous avez créé une règle autorisant le trafic TCP entrant sur le port 80. Cette règle permet également de répondre au trafic TCP sortant sur le port 80 vers l'hôte d'origine, sans qu'une autre règle soit nécessaire.
   • Pour les images Windows, assurez-vous que le groupe de sécurité qui est associé à l'instance autorise le trafic RDP (Remote Desktop Protocol) entrant et sortant (port TCP 3389).
   • Si votre instance de serveur virtuel z/OS est créée à l'aide de l'image de stock de développement et de test z/OS, vous pouvez vous reporter au tableau Configurations réservées lors de l'ajout de ports supplémentaires au groupe de sécurité de votre instance de serveur virtuel z/OS.

5. Facultatif : Pour afficher les interfaces associées au groupe de sécurité, cliquez sur l'onglet Ressources associées et consultez la section Interfaces connectées.

6. Lorsque vous avez fini de créer des règles, cliquez sur l'élément de navigation Groupes de sécurité au début de la page.

Pour plus d'informations sur les groupes de sécurité, voir A propos des groupes de sécurité.

Réservation d'une adresse IP flottante (facultatif)

Réservez et associez une adresse IP flottante si vous souhaitez que votre instance soit accessible depuis Internet.

Votre instance doit être démarrée pour que vous puissiez associer une adresse IP flottante. L'instance peut nécessiter quelques minutes pour être opérationnelle.

Pour réserver et associer une adresse IP flottante, procédez comme suit :

1. Dans le panneau de navigation, cliquez sur Calcul > Instances de serveur virtuel.
2. Cliquez sur votre instance pour afficher ses détails.
3. Dans la section Interfaces réseau, cliquez sur Réserver pour l'interface à associer à une adresse IP flottante.

Ultérieurement, vous pourrez réaffecter cette IP flottante à une autre instance dans la même zone. Pour réattribuer cette adresse IP flottante, vous pouvez trouver l'adresse IP flottante sur la page Réseau > IP flottantes, cliquer sur son menu débordant (... ), et cliquer sur Dissocier. Ensuite, cliquez sur Associer pour sélectionner l'instance et l'interface réseau à associer à l'adresse IP flottante.

Créer une passerelle publique (facultatif)

Créez une passerelle publique et connectez votre instance de serveur virtuel si vous souhaitez que plusieurs instances soient accessibles depuis Internet.

Pour créer une passerelle publique :

1. Allez sur la console IBM Cloud et connectez-vous à votre compte.
2. Sélectionnez l' menu de navigation, puis cliquez sur l'icône Infrastructure > Réseau > Passerelles publiques. Le tableau de bord Passerelles publiques pour VPC s'affiche.
3. Cliquez sur Créer pour accéder au menu Créer une passerelle publique.

Une passerelle publique fournit des instances de serveur virtuel uniquement pour la connectivité sortante, tandis qu'une adresse IP flottante fournit des instances de serveur virtuel pour la connectivité sortante et entrante. Une adresse IP flottante expose un service sur Internet à une activité entrante.

Pour plus d'informations sur la création d'une passerelle publique, voir Création de passerelles publiques.

Connexion à votre instance

En utilisant l'adresse IP flottante que vous avez créée, envoyez un ping à votre instance pour vous assurer qu'elle est opérationnelle :

ping <public-ip-address>

ssh -i <path-to-private-key-file> root@<public-ip-address>

Surveillance de votre instance

Vous pouvez surveiller l'utilisation de l'UC, du volume, de la mémoire et du réseau de votre instance au fil du temps. Les métriques sont conservées dans le système pendant deux semaines.

Pour surveiller votre instance, procédez comme suit:

1. Cliquez sur Instance de serveur virtuel dans le panneau de navigation.
2. Cliquez sur le nom de votre instance.
3. Cliquez sur Surveillance dans le panneau de navigation.

Etant donné que les données de surveillance sont stockées dans IBM Cloud Monitoring, vous devez être authentifié auprès d'IBM Cloud Monitoring dans votre compte. Pour plus d'informations, voir IBM Cloud Monitoring.

Création d'un équilibreur de charge (facultatif)

Vous pouvez créer deux types d'équilibreur de charge IBM Cloud différents : un équilibreur de charge d'application et un équilibreur de charge de réseau. Pour plus d'informations sur la création d'un équilibreur de charge IBM Cloud, voir Présentation des équilibreurs de charge.

Création d'une passerelle de réseau privé virtuel (facultatif)

Vous pouvez créer un réseau privé virtuel (VPN) pour que votre cloud privé virtuel puisse se connecter en toute sécurité à un autre réseau privé, comme un réseau sur site ou un autre cloud privé virtuel. Pour plus d'informations, voir Création d'une passerelle de réseau privé virtuel.

Affichage des ressources associées à un VPC

Vous pouvez rapidement afficher les ressources associées à un VPC en accédant à la vue des ressources : dans la navigation, cliquez sur Topologie du VPC. Vous pouvez sélectionner le VPC qui vous intéresse, si plusieurs VPC sont configurés pour votre compte. Pour chaque VPC, il est possible de voir les sous-réseaux associés, et dans chaque sous-réseau, le nombre d'instances en cours d'exécution, arrêtées et en échec. Vous pouvez aussi voir combien d'adresses IP sont disponibles dans chaque sous-réseau. A partir des listes d'instances et des adresses IP associées, vous pouvez cliquer sur une instance spécifique pour afficher ses détails.

Félicitations !

Vous avez créé et configuré avec succès votre VPC en utilisant la console IBM Cloud. Vous pouvez continuer à développer votre cloud privé virtuel en ajoutant des instances et des sous-réseaux supplémentaires, ainsi que d'autres ressources.