Obiettivi

Per creare e configurare la VPC e le altre risorse collegate, eseguire le operazioni descritte nelle sezioni seguenti, in questo ordine:

1. Crea un VPC e una sottorete per definire la rete. Quando crei la tua sottorete, collega un gateway pubblico alla sottorete se vuoi consentire a tutte le risorse presenti nella sottorete di comunicare con l'internet pubblico.
2. Per limitare il traffico in entrata e in uscita della sottorete, puoi configurare un ACL (access control list). Per impostazione predefinita, è consentito tutto il traffico.
3. Crea una VSI (virtual server instance). Per impostazione predefinita, all'istanza è collegato un volume di avvio. Per la maggior parte delle istanze del server virtuale, la dimensione del volume di avvio predefinita è 100 GB. La dimensione del volume di boot predefinita per un'istanza del server virtuale z/OS è 250 GB.
4. Se vuoi ulteriore spazio di archiviazione, crea un volume di archiviazione blocchi e collegalo alla tua istanza.
5. Per definire il traffico in entrata e in uscita consentito per l'istanza, configurare il suo gruppo di sicurezza.
6. Se vuoi che la tua istanza sia raggiungibile da internet, riserva e associa un indirizzo IP mobile.
7. Per distribuire le richieste su più istanze, crea un programma di bilanciamento del carico.
8. Per consentire al tuo VPC di connettersi in modo sicuro a un'altra rete privata, come la tua rete in loco o un altro VPC, crea una VPN (virtual private network).

Dopo aver inserito i dati nelle pagine di provisioning, è possibile fare clic su Ottieni chiamata API di esempio per visualizzare la sequenza di richieste API corrispondenti alle impostazioni. La visualizzazione delle chiamate API è un buon modo per saperne di più sull'API e comprendere le azioni e le loro dipendenze.

Destinatari

Questa esercitazione è rivolta agli sviluppatori di software e agli amministratori di sistema che stanno creando un ambiente VPC e distribuendo un'istanza per la prima volta.

Prima di iniziare

Configura il tuo account per accedere al VPC. Assicuratevi che il vostro account sia stato aggiornato a un account a pagamento.

Puoi utilizzare una chiave SSH esistente, caricare una nuova chiave SSH oppure puoi creare una chiave SSH quando crei l'istanza del server virtuale. Per questa esercitazione, puoi selezionare una chiave esistente o creare una nuova chiave quando crei il server virtuale. Per ulteriori informazioni sul caricamento di una chiave SSH o sulla creazione di una chiave SSH in IBM Cloud VPC, vedi Introduzione alle chiavi SSH.

Se si intende creare un bilanciatore di carico delle applicazioni e utilizzare HTTP per l'ascoltatore, è necessario un certificato SSL. Puoi gestire i certificati con IBM Secrets Manager.

Puoi creare un'autorizzazione mediante Autorizzazioni IAM. Assicurati di scegliere Servizi dell'infrastruttura VPC come servizio di origine, quindi seleziona Risorse specifiche. Clic Seleziona un attributo e scegli Tipo di risorsa dall'elenco. Selezionare Bilanciatore del carico per VPC come tipo di risorsa e fare clic Prossimo. Per il servizio Target, selezionare Secrets Manager. Imposta l'accesso all'istanza del servizio di destinazione su " Tutte le istanze " oppure sulla tua specifica istanza di IBM Cloud Secrets Manager. Assegna il ruolo di accesso al servizio Scrittore (Writer). Per ulteriori informazioni, vedi Concessione dell'accesso tra i servizi.

Consentire un periodo di tempo supplementare per il completamento di eventuali passi facoltativi.

Creazione di un VPC e di una sottorete

Per creare un VPC e una sottorete, attieniti alla seguente procedura:

1. Apri la consoleIBM Cloud.

2. Fare clic sull'icona del menu di navigazione > infrastruttura > Rete > VPC e fare clic su Crea.

3. Immetti un nome per il VPC, ad esempio my-vpc.

4. Seleziona un gruppo di risorse per il VPC. Utilizza i gruppi di risorse per organizzare le risorse del tuo account per scopi di controllo degli accessi e fatturazione. Per ulteriori informazioni, consulta Procedure ottimali per organizzare le risorse in un gruppo di risorse.

5. Opzionale: Inserire i tag per organizzare e trovare le risorse. Puoi aggiungere più tag in seguito. Per ulteriori informazioni, vedi Gestione delle tag.

6. Il processo di creazione VPC assegna un ACL predefinito. Più avanti in questa esercitazione, è possibile configurare le regole per l'ACL.

7. Seleziona se il gruppo di sicurezza predefinito consente il traffico SSH e ping in entrata verso le VSI (virtual server instance) in questo VPC. Per impostazione predefinita, le opzioni Consenti SSH e Consenti ping per il gruppo di sicurezza predefinito non sono selezionate. In seguito si potranno configurare altre regole per il gruppo di sicurezza predefinito.

8. Opzionale: Selezionare se si desidera abilitare la VPC ad accedere alle risorse dell'infrastruttura classica. Per ulteriori informazioni, vedi Configurazione dell'accesso all'infrastruttura classica.

   Puoi abilitare un VPC per l'accesso classico solo durante la creazione del VPC. Inoltre, è possibile avere un solo VPC di accesso classico nel proprio account in qualsiasi momento.

9. Opzionale: Deselezionare l'opzione Prefissi di indirizzo predefiniti se non si desidera assegnare prefissi di indirizzo predefiniti a ogni zona della VPC. Dopo aver creato il VPC, puoi andare alla relativa pagina dei dettagli e impostare i tuoi prefissi di indirizzo.

10. Per impostazione predefinita il processo di creazione VPC definisce tre sottoreti. Per modificare le proprietà definite per la sottorete, fare clic sull'icona Modifica per la sottorete che si desidera modificare. È anche possibile rimuovere una sottorete predefinita facendo clic sull'icona meno. Se hai bisogno di aggiungere una sottorete, completa la seguente procedura.

11. Fare clic su Aggiungi subnet e inserire un nome per la nuova subnet nella VPC, ad esempio my-subnet.

12. Seleziona un'ubicazione per la sottorete. L'ubicazione è composta da una regione e una zona. La regione che selezioni viene utilizzata come regione del VPC. Tutte le risorse aggiuntive create in questa VPC vengono create nella regione selezionata.

13. Seleziona un gruppo di risorse per la sottorete.

14. Immetti un intervallo IP per la sottorete nella notazione CIDR, ad esempio: 10.240.0.0/24. Nella maggior parte dei casi, puoi utilizzare l'intervallo di IP predefinito. Se vuoi specificare un intervallo di IP personalizzato, puoi utilizzare il calcolatore di intervalli IP per selezionare un prefisso di indirizzo diverso o modificare il numero di indirizzi.

    Una sottorete non può essere ridimensionata dopo la sua creazione.

15. Collega un gateway pubblico alla sottorete se vuoi consentire a tutte le risorse collegate di comunicare con l'internet pubblico. Puoi anche collegare il gateway pubblico dopo aver creato la sottorete.

16. Fai clic su Create virtual private cloud.

Configurazione dell'ACL

Puoi configurare l'ACL per limitare il traffico in entrata e in uscita alla sottorete. Per impostazione predefinita, è consentito tutto il traffico.

Ogni sottorete può essere collegata a un solo ACL. Tuttavia, ogni ACL può essere collegato a più sottoreti.

Per configurare l'ACL, attenersi alla seguente procedura:

1. Nel riquadro di navigazione, fai clic su Network > Subnets.

2. Fai clic sulla sottorete che hai creato.

3. Nell'area Subnet details, fai clic su l nome dell'ACL.

4. Fai clic su Add rule per configurare le regole in entrata e in uscita che definiscono il traffico consentito all'interno e all'esterno della sottorete. Per ogni regola, specifica le seguenti informazioni:

   • Seleziona se consentire o negare il traffico specificato.
   • Seleziona il protocollo a cui si applica la regola.
   • Per l'origine e la destinazione della regola, specifica l'intervallo IP e le porte a cui si applica la regola. Ad esempio, se si desidera che tutto il traffico in entrata sia consentito all'intervallo IP 192.168.0.0/24 nella propria sottorete, specificare Any come origine e 192.168.0.0/24 come destinazione. Se invece si vuole consentire il traffico in entrata solo da 169.168.0.0/24 verso l'intera subnet, specificare 169.168.0.0/24 come sorgente e Any come destinazione della regola.
   • Specifica la priorità della regola. Le regole con numeri più piccoli vengono valutate per prime e scavalcano quelle con numeri più alti. Ad esempio, se una regola con priorità 2 consente il traffico HTTP e una regola con priorità 5 nega tutto il traffico, il traffico HTTP è comunque consentito.

   Per un esempio, consultare Configurazione delle regole.

5. Una volta terminata la creazione delle regole, fare clic sulla breadcrumb degli elenchi di controllo degli accessi all'inizio della pagina.

Per ulteriori informazioni, vedere Informazioni sugli elenchi di controllo accessi.

Creazione di una VSI (virtual server instance)

Per creare un'istanza di server virtuale nella nuova sottorete creata, procedere come segue:

1. Fare clic su Compute > Istanze server virtuali nel riquadro di navigazione e fare clic su Crea.

2. Per Ubicazione, selezionare l'area geografica, la regione e la zona in cui creare l'istanza.

3. Immetti un nome per l'istanza, ad esempio my-instance.

4. Seleziona un gruppo di risorse per l'istanza.

5. Opzionale: Inserire i tag per organizzare e trovare le risorse. Puoi aggiungere più tag in seguito. Per ulteriori informazioni, vedi Gestione delle tag.

6. Fare clic su Modifica immagine per selezionare un'immagine (ovvero, sistema operativo e versione), come Debian GNU/Linux, ibm-debian-11-7-minimal-amd64-2. Nella pagina Seleziona un'immagine, è possibile selezionare un'immagine stock, un'immagine personalizzata, un'immagine catalogo, un'istantanea o un volume esistente. Se l'ubicazione geografica in cui stai eseguendo il provisioning di un'istanza la supporta, hai la possibilità di selezionare l'architettura per il tuo server virtuale, x86 o s390x.

   Solo per z/OS Wazi aaS immagine personalizzata: se si utilizza l'immagine personalizzata creata utilizzando Wazi Image Builder, selezionare Immagine personalizzata per il sistema operativo e l'immagine viene chiamata wazi-custom-image per impostazione predefinita.

7. Per impostare la dimensione dell'istanza, fai clic su Modifica profilo per scegliere un profilo che contiene una combinazione di core, RAM e prestazioni di rete più appropriate per il tuo carico di lavoro. Per ulteriori informazioni, vedi Profili dell'istanzax86-64 e Profili dell'istanzas390x.

   Solo per le istanze del server virtuale z/OS: le istanze del server virtuale z/OS richiedono un profilo minimo di 2 vCPUs x 16 GB di RAM (2x16). Quando selezioni il profilo per qualsiasi immagine stock di z/OS con RAM inferiore a 8 GB, potresti riscontrare il messaggio IAR057D. Per ulteriori informazioni, consultare IAR057D.

8. Selezionare una chiave SSH esistente o creare una chiave SSH da utilizzare per accedere all'istanza del server virtuale. Per creare una chiave SSH, fare clic su Crea una chiave SSH e denominarla. Seleziona Generate a key pair for me, fai clic su Save private key, quindi Save public key. Una volta completata questa azione, fare clic su Crea.

9. Nota il volume di avvio. L' eliminazione automatica è abilitata per il volume; il volume di avvio viene eliminato automaticamente se l'istanza viene eliminata.

10. Nell'area Volumi di dati, fare clic su Crea per collegare un volume Block Storage all'istanza se si desidera più spazio di archiviazione. In questa esercitazione, si crea un volume Block Storage e lo si collega successivamente all'istanza.

    Solo per z/OS Wazi aaS: quando crei un'istanza del server virtuale z/OS con l'immagine personalizzata z/OS Wazi aaS devi aggiungere un volume di dati selezionando Import from Snapshot. L'istantanea viene chiamata wazi-custom-image-data per impostazione predefinita.

11. Per il VPC (Virtual Private Cloud) nella sezione Rete, seleziona il VPC che hai creato.

12. Nell'area Network interfaces, puoi modificare l'interfaccia di rete e cambiarne il nome. Se hai più sottoreti nella zona e nel VPC selezionati, puoi collegare una sottorete diversa all'interfaccia. Se vuoi che l'istanza esista in più sottoreti, puoi creare più interfacce.

    Ogni interfaccia ha una larghezza di banda di rete massima di 25 Gbps. Se il profilo selezionato per questa istanza ha una larghezza di banda di rete massima superiore a 25 Gbps, si consiglia di creare più interfacce per ottimizzare le prestazioni della rete. Per ulteriori informazioni, consultare Gestione delle interfacce di rete.

    Puoi anche selezionare i gruppi di sicurezza da collegare a ciascuna interfaccia. Per impostazione predefinita, è collegato il gruppo di sicurezza predefinito del VPC. Il gruppo di sicurezza predefinito consente il traffico SSH e ping in entrata, tutto il traffico in uscita e tutto il traffico tra le istanze all'interno del gruppo. Tutto il resto del traffico è bloccato; puoi configurare le regole per consentire più traffico. Se in seguito modifichi le regole del gruppo di sicurezza predefinito, tali regole aggiornate verranno applicate a tutte le istanze correnti e future del gruppo.

13. Facoltativo: nella sezione Opzioni avanzate, puoi immettere Dati utente per eseguire le attività di configurazione comuni all'avvio della tua istanza. Ad esempio, puoi specificare le direttive cloud-init o gli script shell per le immagini Linux. Per ulteriori informazioni, vedi Dati utente.

14. l'impostazione Metadati è disabilitata per impostazione predefinita. Quando il servizio metadati è abilitato, l'istanza raccoglie le informazioni di configurazione dell'istanza e i dati utente. Per ulteriori informazioni, vedere Informazioni sui metadati per VPC. I metadati non sono supportati per istanze IBM Cloud® Hyper Protect Virtual Server per istanze IBM Cloud® Virtual Private Cloud e istanze del server virtuale z/OS.

15. L'impostazione Aggiungi all'host dedicato è disabilitata per impostazione predefinita. Per ulteriori informazioni relative agli host dedicati, consultare Creazione di host e gruppi dedicati.

16. L'impostazione Aggiungi al gruppo di posizionamento è disabilitata per impostazione predefinita. Per ulteriori informazioni, vedi Informazioni sui gruppi di posizionamento.

17. L'impostazione Riavvio automatico dell'errore host è abilitata per impostazione predefinita. Per disabilitare il riavvio automatico dell'errore host, fare clic sull'interruttore. Per ulteriori informazioni, consultare Politiche di ripristino da errore host.

18. Fai clic su Create virtual server instance. Lo stato dell'istanza inizia con Pending, passa a Stopped e quindi a Running. Potresti dover aggiornare la pagina per vedere la modifica dello stato.

Creazione e collegamento di un volume di archiviazione blocchi

Puoi creare un volume di archiviazione blocchi e collegarlo alla tua VSI (virtual server instance) se vuoi ulteriore spazio di archiviazione.

Per creare e collegare un volume Block Storage, attieniti alla seguente procedura:

1. Nel riquadro di navigazione, fai clic su Storage > Block storage volumes.
2. Fai clic su Nuovo volume e specifica le seguenti informazioni:
   • Name: immetti un nome per il volume di archiviazione blocchi, ad esempio data-volume-1.
   • Resource group: seleziona un gruppo di risorse per il volume di archiviazione blocchi. Puoi utilizzare i gruppi di risorse per organizzare le risorse del tuo account per scopi di controllo degli accessi e fatturazione. Per ulteriori informazioni, consulta Procedure ottimali per organizzare le risorse in un gruppo di risorse.
   • Tag: Opzionale: Inserite i tag per aiutarvi a organizzare e trovare le vostre risorse. Puoi aggiungere più tag in seguito. Per ulteriori informazioni, vedi Gestione delle tag.
   • Location: seleziona un'ubicazione per il volume di archiviazione blocchi. L'ubicazione è composta da una regione e una zona, ad esempio Stati Uniti Sud 1.
   • Size: specifica la dimensione del volume tra 10 GB e 2000 GB.
   • IOPs: seleziona uno dei livelli IOPS o fai clic su Custom per immettere un valore IOPS in base alla dimensione del volume.
   • Codifica: accettare l'opzione di cifratura gestita dal provider .
3. Fare clic su Crea volume di archiviazione a blocchi.
4. Nell'elenco dei volumi di archiviazione blocchi, trova il volume che hai creato. Quando lo stato è Disponibile, fare clic su "..." e selezionare Collega all'istanza.
5. Seleziona l'istanza a cui vuoi collegare il volume e fai clic su Attach.
6. Solo per le istanze del server virtuale z/OS: per verificare il volume Block Storage appena collegato con il relativo indirizzo assegnato, è possibile trovare le informazioni sulla propria console dell'istanza del server virtuale z/OS tramite un messaggio broadcast inviato all'utente con l'indirizzo della periferica interessata.

Configurazione del gruppo di sicurezza per l'istanza

Puoi configurare il gruppo di sicurezza per definire il traffico in entrata e in uscita consentito per l'istanza. Ad esempio, dopo aver configurato le regole ACL per la sottorete in base alle politiche di protezione della tua azienda, a seconda dei loro carichi di lavoro, puoi limitare ulteriormente il traffico per specifiche istanze.

Per configurare il gruppo di sicurezza, seguire queste istruzioni:

1. Nel riquadro di navigazione, fai clic su Compute > Virtual server instances.

2. Fai clic sulla tua istanza per visualizzarne i dettagli.

3. Nella sezione Interfacce di rete, fare clic sul nome del gruppo di sicurezza.

4. Nella scheda Regola della pagina dei dettagli del gruppo di sicurezza, fai clic su Crea per configurare le regole in entrata e in uscita che definiscono quale tipo di traffico è consentito verso e dall'istanza. Per ogni regola, specifica le seguenti informazioni:

   • Seleziona i protocolli e le porte a cui si applica la regola.
   • Specifica un blocco CIDR o un indirizzo IP per il traffico consentito. In alternativa, puoi specificare un gruppo di sicurezza nello stesso VPC per consentire il traffico da o verso tutte le istanze collegate al gruppo di sicurezza selezionato.

   Suggerimenti:

   • Vengono valutate tutte le regole, indipendentemente dall'ordine in cui sono state aggiunte.
   • Le regole sono con stato, il che significa che il traffico di ritorno in risposta al traffico consentito viene automaticamente autorizzato. Ad esempio, hai creato una regole che consente il traffico TCP in entrata sulla porta 80. Tale regola consente anche di replicare il traffico TCP in uscita sulla porta 80 nuovamente all'host di origine, senza la necessità di un'altra regola.
   • Per le immagini Windows, assicurati che il gruppo di sicurezza associato all'istanza consenta il traffico RDP (Remote Desktop Protocol) in entrata e in uscita (porta TCP 3389).
   • Se l'istanza del server virtuale z/OS viene creata utilizzando l'immagine stock di test e di sviluppo di z/OS, è possibile fare riferimento alla tabella Configurazioni riservate quando si aggiungono ulteriori porte al gruppo di sicurezza dell'istanza del server virtuale z/OS.

5. Facoltativo: per visualizzare le interfacce collegate al gruppo di sicurezza, fare clic su Risorse collegate ed esaminare la sezione Interfacce collegate.

6. Una volta terminata la creazione delle regole, fare clic sulla breadcrumb Gruppi di sicurezza all'inizio della pagina.

Per ulteriori informazioni sui gruppi di sicurezza, vedi Informazioni sui gruppi di sicurezza.

Riservare un indirizzo IP flottante (opzionale)

Riserva e associa un indirizzo IP mobile se desideri che la tua istanza sia raggiungibile da internet.

È necessario che la tua istanza sia in esecuzione prima di poter associare un indirizzo IP mobile. Potrebbero essere necessari alcuni minuti prima che l'istanza sia operativa.

Per riservare e associare un indirizzo IP flottante, procedere come segue:

1. Nel riquadro di navigazione, fai clic su Compute > Virtual server instances.
2. Fai clic sulla tua istanza per visualizzarne i dettagli.
3. Nella sezione Network interfaces, fai clic su Reserve per l'interfaccia che vuoi associare a un indirizzo IP mobile.

Successivamente, è possibile riassegnare questo indirizzo IP mobile a un'altra istanza nella stessa zona. Per riassegnare questo indirizzo IP mobile, puoi trovare l'indirizzo IP mobile nella pagina Network> Floating IPs, fare clic sul relativo menu di overflow (...) e fare clic su Annulla associazione. Quindi, fai clic su Associate per selezionare l'istanza e l'interfaccia di rete che vuoi associare all'indirizzo IP mobile.

Creare un gateway pubblico (opzionale)

Crea un gateway pubblico e connetti la tua istanza del server virtuale se vuoi che più istanze siano raggiungibili da internet.

Per creare un gateway pubblico:

1. Vai a Console IBM Cloud e accedi al tuo account.
2. Selezionare il menu di navigazione , quindi fare clic su Icona Infrastruttura > Rete > Gateway pubblici. Viene visualizzato il dashboard Gateway pubblici per VPC.
3. Fai clic su Create per andare al menu Create public gateway.

Un gateway pubblico fornisce solo la connettività in uscita delle istanze del server virtuale, mentre un indirizzo IP mobile fornisce la connettività in uscita e in entrata delle istanze del server virtuale. Un indirizzo IP mobile espone un servizio su Internet ad un'attività in entrata.

Per ulteriori informazioni su come creare un gateway pubblico, vedi Creazione di gateway pubblici.

Connessione alla tua istanza

Utilizzando l'indirizzo IP flottante creato, eseguire un ping dell'istanza per verificare che sia attiva e funzionante:

ping <public-ip-address>

ssh -i <path-to-private-key-file> root@<public-ip-address>

Monitoraggio della tua istanza

Puoi monitorare l'utilizzo di CPU, volume, memoria e rete della tua istanza nel tempo. Le metriche vengono conservate nel sistema per due settimane.

Per monitorare la tua istanza, attieniti alla seguente procedura:

1. Fai clic su VSI (virtual server instance) nel riquadro di navigazione.
2. Fai clic sul nome della tua istanza.
3. Fai clic su Monitoraggio nel riquadro di navigazione.

Poiché i dati di monitoraggio sono memorizzati in IBM Cloud Monitoring, è necessario essere autenticati a un'istanza di IBM Cloud Monitoring nel proprio account. Per ulteriori informazioni, consultare IBM Cloud Monitoring.

Creazione di un bilanciatore di carico (opzionale)

Puoi creare due tipi diversi di programmi di bilanciamento del carico IBM Cloud: un programma di bilanciamento del carico dell'applicazione e un programma di bilanciamento del carico di rete. Per ulteriori informazioni sulla creazione di un programma di bilanciamento del carico IBM Cloud, vedi Panoramica dei programmi di bilanciamento del carico.

Creazione di un gateway VPN (facoltativo)

Puoi creare una VPN (virtual private network) in modo che il tuo VPC possa connettersi in modo sicuro a un'altra rete privata, come una rete in loco o un altro VPC. Per ulteriori informazioni, vedi Creazione di un gateway VPN.

Visualizzazione delle risorse associate a un VPC

Puoi visualizzare rapidamente le risorse associate a un VPC accedendo alla vista delle risorse: nel riquadro di navigazione, fai clic su VPC layout. Puoi selezionare il VPC a cui sei interessato, se per il tuo account sono configurati più VPC. Per ogni VPC puoi visualizzare le sottoreti associate e, all'interno di ciascuna sottorete, puoi vedere quante istanze sono in esecuzione, arrestate e non riuscite. Puoi anche vedere quanti indirizzi IP sono disponibili in ogni sottorete. Dall'elenco di istanze e indirizzi IP associati, puoi fare clic su un'istanza specifica per visualizzarne i dettagli.

Congratulazioni!

La creazione e la configurazione della VPC sono state eseguite con successo utilizzando la console IBM Cloud. Puoi continuare a sviluppare il tuo VPC aggiungendo ulteriori istanze, sottoreti e altre risorse.